Befehl ins Terminal eingefügt? Prüf jetzt deinen Mac.

1Was die eingefügte Zeile tut

Seit Ende 2025 fordern gefälschte Seiten für KI-Tools und Suchanzeigen wie „Mac aufräumen“ Mac-Nutzer auf, das Terminal zu öffnen und eine Zeile einzufügen. Sophos hat zwischen November 2025 und Februar 2026 drei Kampagnen verfolgt, die auf diese Weise den Stealer MacSync installiert haben: Die Zeile lädt ein Skript, fragt nach dem Passwort deines Mac und greift dann Schlüsselbunddaten, gespeicherte Logins und Wiederherstellungsphrasen von Krypto-Wallets ab (The Hacker News, 16. März 2026). Microsoft meldet dieselben Köder für die Stealer Atomic (AMOS), MacSync und DigitStealer, oft erreicht über Suchanzeigen (Security Affairs zum Bericht von Microsoft, 4. Februar 2026).

Warum dich nichts gewarnt hat: macOS fragt nach, bevor du Software aus dem Internet zum ersten Mal öffnest (Apple-Plattformsicherheit), und erkennt eine Datei aus dem Internet an einer Quarantäne-Markierung, die Browser setzen. Dateien, die im Terminal mit curl geladen werden, bekommen diese Markierung womöglich nicht (MITRE ATT&CK T1553.001), und ein Skript, das direkt an bash weitergeleitet wird, wird nie als App geöffnet, also erscheint die Abfrage nie.

Die Zeilen sehen meist so aus, mit einer Webadresse in der Mitte:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Prüfung 1: Anmeldeobjekte und Hintergrund-Apps

Öffne Systemeinstellungen → Allgemein → Anmeldeobjekte & Erweiterungen (unter macOS 14 und früher: Anmeldeobjekte). Sieh dir Beim Anmelden öffnen und Im Hintergrund erlauben an.

Alles, was du nicht kennst, verdient einen genaueren Blick, vor allem ein Objekt mit seltsamem Namen, ohne angezeigten Entwickler oder eines, das an dem Tag aufgetaucht ist, an dem du den Befehl eingefügt hast. Wenn du ein Hintergrundobjekt ausschaltest, startet es nicht mehr von selbst; gelöscht ist es damit nicht.

3Prüfung 2: Launch Agents und Daemons

Programme, die von selbst starten, hinterlassen eine kleine Datei in einem von drei Ordnern. Dies listet sie auf, die neuesten zuerst:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Die meisten Namen sehen aus wie com.company.app.plist. Achte auf Dateien mit einem Datum um den Tag herum, an dem du den Befehl eingefügt hast, auf Namen, die Apple nachahmen (com.apple…), in deinem eigenen Library-Ordner, oder auf Namen aus zufälligen Buchstaben. Um zu sehen, welches Programm eine Datei startet, ersetze NAME durch ihren Namen:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Prüfung 3: die Startdateien deiner Shell

Deine Shell führt diese Dateien bei jedem Öffnen des Terminals aus, deshalb kann ein Stealer dort eine Zeile verstecken. Dies zeigt, wann jede zuletzt geändert wurde:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Wenn sich eine an einem Tag geändert hat, an dem du dich nicht erinnerst, sie bearbeitet zu haben, sieh dir ihre letzten Zeilen an:

tail -n 20 ~/.zshrc

Zeilen, die du nicht geschrieben hast und die curl, base64, osascript oder eine Webadresse enthalten, sind ein Fund.

5Prüfung 4: was du eingefügt hast

Das Terminal merkt sich die Zeilen, die du ausgeführt hast. Dies zeigt die letzten 30, die etwas geladen oder dekodiert haben:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Prüfung 5: Apps, die macOS nicht akzeptieren würde

Gatekeeper von macOS kann dir sagen, welche Apps in deinem Programme-Ordner es nicht akzeptieren würde (nicht von einem verifizierten Entwickler signiert oder nicht von Apple geprüft):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Manche alten oder Open-Source-Apps tauchen hier auf und sind in Ordnung. Eine App, an deren Installation du dich nicht erinnerst, ist der Fund. Mach dasselbe mit bloßem Auge für deinen Downloads-Ordner, die neuesten zuerst:

ls -lt ~/Downloads | head -n 20

7Prüfung 6: Fernzugriff und Profile

Öffne Systemeinstellungen → Allgemein → Teilen. Bildschirmfreigabe, Entfernte Anmeldung, Entfernte Verwaltung und Dateifreigabe sollten aus sein, außer du nutzt sie selbst.

Öffne dann Systemeinstellungen → Allgemein → Geräteverwaltung (unter älterem macOS: Datenschutz & Sicherheit → Profile). Ein Profil, das du nicht installiert hast, kann dein Surfen über den Server eines anderen leiten oder deinen Mac dessen Zertifikaten vertrauen lassen. Entferne eins nur, wenn du sicher bist, dass es nicht von deiner Schule oder deinem Arbeitgeber stammt.

8Prüfung 7: wer mit dem Internet spricht

Dies zählt die offenen Internetverbindungen pro Programm:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Dein Browser, Mail, Nachrichten und iCloud sind normal. Ein Name, den du nicht kennst, oder ein Skript-Programm wie osascript, python3 oder curl mit offenen Verbindungen verdient einen Blick. Um Programme zu sehen, die auf Verbindungen von anderen Computern warten:

lsof -nP -iTCP -sTCP:LISTEN

9Wenn du etwas findest

1. Trenn die Verbindung zum WLAN und zieh jedes Netzwerkkabel ab.
2. Von einem anderen Gerät aus änderst du zuerst die Passwörter für deinen Apple Account, deine E-Mail und deine Bank, meldest alle anderen Sitzungen ab und schaltest die Zwei-Faktor-Authentifizierung ein.
3. Behandle jede Krypto-Wallet, deren Wiederherstellungsphrase oder Schlüssel auf diesem Mac lagen, als verloren. Erstelle eine neue Wallet auf einem sauberen Gerät und verschieb das Guthaben dorthin. Ein Stealer hat die Phrase vielleicht schon, und eine Überweisung lässt sich nicht rückgängig machen. Siehe Sicherheit von Krypto-Wallets.
4. Entferne, was du gefunden hast: Beende es in der Aktivitätsanzeige, lösch die Launch-Agent-Datei und die App und starte neu. Wenn du nicht sicher bist, alles gefunden zu haben, sichere deine Dokumente (nicht deine Apps) und lösch den Mac: Systemeinstellungen → Allgemein → Übertragen oder zurücksetzen → Alle Inhalte & Einstellungen löschen.
5. Eine Meldung gesehen, dass Malware blockiert und in den Papierkorb gelegt wurde? Das ist XProtect, der eingebaute Schutz des Mac, der eine Datei entfernt, die er erkannt hat. Gut, aber prüf, woher die Datei kam: Dieselbe Seite hat vielleicht noch mehr geschickt. Siehe was der eingebaute Schutz des Mac tut.

10Bevor du wieder etwas ins Terminal einfügst

• Tipp die Adresse der Seite selbst ein; folge keiner Anzeige und keinem Link in einem Chat.
• Lies die Zeile, bevor du sie einfügst. | sh, | bash, base64 und osascript bedeuten, dass sie etwas ausführt.
• Keine echte Lösung für eine Website, ein Captcha oder einen „kaputten“ Download braucht das Terminal.
• Wenn eine Zeile nach deinem Passwort fragt, halt an und frag dich, wofür.

11Fragen

Mein Mac wurde gehackt. Was tue ich zuerst?

Trenn ihn vom Internet und ändere dann von einem anderen Gerät aus die Passwörter für deinen Apple Account, deine E-Mail und deine Bank und melde alle anderen Sitzungen ab. Bring Krypto, deren Wiederherstellungsphrase auf dem Mac lag, in eine neue Wallet, die auf einem sauberen Gerät erstellt wurde. Mach dann die Prüfungen auf dieser Seite oder lösch den Mac.

Wie erkenne ich, ob mein Mac gerade gehackt ist?

Achte auf Anmeldeobjekte oder Launch Agents, die du nicht kennst, Shell-Dateien, die du nicht geändert hast, Apps, die macOS nicht akzeptieren würde, und unbekannte Programme mit Internetverbindungen. Passwortabfragen, die du nicht ausgelöst hast, und Browsereinstellungen, die sich von selbst geändert haben, sind ebenfalls Zeichen.

macOS meldet, Malware wurde blockiert und in den Papierkorb gelegt. Bin ich sicher?

Es bedeutet, dass XProtect eine bekannte schädliche Datei erkannt und entfernt hat, bevor sie lief. Prüf, woher die Datei kam, und mach die Prüfungen oben: Dieselbe Seite oder E-Mail hat vielleicht etwas geliefert, das XProtect nicht erkannt hat.

Ist es sicher, einen Befehl ins Terminal einzufügen?

Nur wenn du die Adresse der Seite selbst eingetippt hast und weißt, was die Zeile tut. Füg nie eine Zeile aus einer Anzeige, einem Pop-up, einer Seite „Bestätige, dass du ein Mensch bist“ oder einem Chat ein. Wenn sie einen Download an sh oder bash weiterleitet, base64 dekodiert oder nach deinem Passwort fragt, halt an.

Muss ich meinen Mac löschen?

Wenn du nicht erkennen und entfernen kannst, was du gefunden hast, oder der Mac Wiederherstellungsphrasen oder Schlüssel von hohem Wert enthielt, ist Löschen die sichere Wahl. Sichere deine Dokumente, nicht deine Apps, und melde dich danach überall von Grund auf neu an.