Gefälschte Browserwarnungen, manipulierte Downloads und Aufforderungen zur Eingabe von Terminalbefehlen sind laut einer neuen Bitdefender-Auswertung wichtige Angriffswege gegen Mac-Nutzer. Der Sicherheitsanbieter stellte am 12. November 2026 Ergebnisse seines „macOS Threat Landscape Report 2026“ vor. Die Untersuchung umfasst Erkennungen aus dem Zeitraum August 2025 bis Juli 2026. Auffällig ist besonders der gestiegene Anteil von Adware.
Für die Auswertung nutzte Bitdefender Telemetrie seines Schutzsoftware-Netzwerks. Dabei handelt es sich um erkannte beziehungsweise blockierte Sicherheitsereignisse, nicht um eine repräsentative Zählung infizierter Macs. Der Bericht unterscheidet außerdem Bedrohungen, die unmittelbar im Browser oder in Dokumenten auftreten, von erkannten Trojanern, Adware und potenziell unerwünschten Anwendungen.
Adware erreicht 34,4 Prozent – mit eingeschränkter Bezugsgröße
Werden Web- und Dokumenttreffer aus den Berechnungen herausgenommen, entfallen laut Bitdefender 45,2 Prozent der verbleibenden Mac-Erkennungen auf Trojaner, 34,4 Prozent auf Adware und 20,4 Prozent auf potenziell unerwünschte Anwendungen (PUA). Im vorherigen Bericht hatte Adware in dieser enger gefassten Betrachtung noch einen Anteil von 22,6 Prozent. Der Zuwachs beträgt damit 11,8 Prozentpunkte.
Entscheidend ist die Bezugsgröße: Einschließlich Web- und Dokumenttreffern ergeben sich andere Werte. Diese machen rund 45,1 Prozent aller erfassten Ereignisse aus; auf Trojaner entfallen dann 24,8 Prozent, auf Adware 18,9 Prozent und auf PUA 11,2 Prozent. Die Zahl 34,4 Prozent darf deshalb nicht als Anteil sämtlicher Bedrohungen oder gar aller Macs verstanden werden.
Ein Gerät kann über die Zeit mehrere Warnungen auslösen. Die Erkennung einer Bedrohung bedeutet zudem nicht, dass ein Schadprogramm erfolgreich ausgeführt oder Daten gestohlen wurden. Die Statistik beschreibt von Bitdefenders Sensoren beobachtete Ereignisse und ist kein Infektionsregister sämtlicher macOS-Geräte.
ClickFix: Gefälschte Browserprüfung soll schädliche Befehle auslösen
Besonders praxisrelevant ist die im Bericht beschriebene ClickFix-Methode. Angreifer blenden eine vermeintliche Sicherheitskontrolle, eine CAPTCHA-Prüfung oder einen Hinweis auf ein Browserproblem ein. Zur angeblichen Behebung sollen Nutzer einen vorgegebenen Befehl kopieren und in macOS Terminal ausführen. Damit würde der Nutzer selbst die Ausführung des Schadcodes anstoßen – ein Angriff auf die Bedienentscheidung statt auf eine bestimmte ungepatchte Betriebssystemlücke.
Bitdefender veröffentlicht für ClickFix keinen gemessenen Anteil an seinen Mac-Erkennungen, weil die Telemetrie solche Vorgänge nicht sauber von anderen Ereignissen trennen kann. Aussagen über eine bestimmte Zahl betroffener Macs lassen sich daraus nicht ableiten. Weitere im Bericht beschriebene Köder sind gefälschte Infektionsmeldungen, irreführende Werbeanzeigen und vermeintliche Bereinigungs- oder Optimierungsprogramme.
Infostealer bleiben seltener, können aber Konten gefährden
Auf den Diebstahl von Zugangsdaten spezialisierte Programme bilden einen kleineren Teil der Mac-Telemetrie. Der monatliche Anteil entsprechend klassifizierter Treffer stieg ohne einen einmaligen Signaturausschlag von unter einem Prozent Mitte 2025 auf ungefähr 1,5 Prozent Mitte 2026. Die Werkzeuge können je nach Variante Browserpasswörter, Sitzungscookies, Wallet-Daten oder Inhalte des macOS-Schlüsselbunds anvisieren.
Der Bericht weist außerdem darauf hin, dass eine gültige Codesignatur oder die vorherige Beglaubigung durch Apple kein dauerhaftes Sicherheitsversprechen für jede App ist. Apple kann schädlich gewordene Anwendungen nachträglich sperren. Gatekeeper und XProtect sind wichtige Schutzschichten, ersetzen jedoch nicht die Prüfung, ob ein Download tatsächlich benötigt wird und aus einer vertrauenswürdigen Quelle stammt.
Was Mac-Nutzer und Administratoren prüfen sollten
Eine Browserseite, die für eine angebliche CAPTCHA- oder Sicherheitsprüfung die Eingabe eines Befehls im Terminal verlangt, sollte geschlossen werden. Solche Befehle nicht ausführen und vermeintliche Reparaturprogramme nur über die offizielle Herstellerseite beziehen. macOS, Browser und Schutzsoftware sollten aktuell bleiben; Warnungen von Gatekeeper und Safari nicht leichtfertig übergehen.
Wurde ein unbekannter Terminalbefehl bereits ausgeführt oder ein fragwürdiger Installer gestartet, ist eine gezielte Sicherheitsprüfung sinnvoll. Bei Anzeichen für Zugangsdatenmissbrauch sollten betroffene Passwörter über ein vertrauenswürdiges Gerät geändert und laufende Sitzungen beziehungsweise Zugriffstokens überprüft werden. In Unternehmen gehören betroffene Hosts, ausgeführte Prozesse und Browserereignisse in die Untersuchung durch die zuständige IT-Sicherheit.
Weitere Informationen
Bitdefender erläutert die Ergebnisse in seiner Veröffentlichung vom 12. November 2026. Der vollständige macOS Threat Landscape Report 2026 (PDF) enthält die detaillierten Statistiken und deren Zählweise. Apple erklärt die Schutzmechanismen beim Öffnen von Mac-Apps in seiner deutschsprachigen Supportdokumentation.
Meroth IT-Service ist Ihr lokaler IT-Dienstleister in Frankfurt am Main für kleine Unternehmen, Selbstständige und Privatkunden
Kostenfreie Ersteinschätzung Ihres Anliegens?
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten