Funktionsweise
Ein Keylogger sitzt zwischen Tastatur und Betriebssystem oder Anwendung. Er zeichnet jeden Tastendruck auf, bevor der Text sein Ziel erreicht. Im Protokoll landet alles, was jemand eingibt: Zugangsdaten, Nachrichten, Entwürfe, Suchanfragen.
- 1
Tastendruck
Der Nutzer drückt eine Taste, die Tastatur sendet das Signal an den Rechner.
- 2
Abfangen
Software greift Tastaturereignisse im Betriebssystem oder in einer Anwendung ab. Ein Hardware-Gerät sitzt zwischen Tastatur und Rechner oder in der Tastatur selbst.
- 3
Aufzeichnung
Jeder Tastendruck wird protokolliert, bevor der Text die Anwendung erreicht.
- 4
Verwendung
Ein krimineller Keylogger speichert den Datenstrom oder schickt ihn an den Angreifer. Betriebliche Überwachung speichert jeden Eintrag mit Anwendung, Benutzerkonto und Zeitstempel.
Arten von Keyloggern
Keylogger unterscheiden sich danach, wo sie Eingaben abfangen und wie sie gebaut sind.
| Art | Funktionsweise |
|---|---|
| Software | Programm, das Tastaturereignisse erfasst. Oberbegriff für die meisten Werkzeuge, vom einfachen Skript bis zum kommerziellen Produkt. |
| Kernel-Level | Treiber tief im System, nah an der Tastaturhardware. Schwer zu entdecken und typisch für ausgefeilte Angriffe. |
| API-basiert | Nutzt die Tastaturschnittstellen, die das System Anwendungen bereitstellt. Verbreitet in Massen-Malware wie in Überwachungsagenten. |
| Form-Grabbing | Greift Formulartext im Browser beim Absenden ab, bevor die Website ihn verschlüsselt. Verbreitet im Bankbetrug. |
| Hardware | Gerät zwischen Tastatur und Rechner oder eine manipulierte Tastatur. Braucht physischen Zugang, Sicherheitssoftware sieht es nicht. |
Keylogger als Malware
In kriminellen Händen ist ein Keylogger Spyware. Sein Hauptziel sind Zugangsdaten: Passwörter für Firmen-E-Mail, Onlinebanking, VPN und Admin-Konsolen. Ein gestohlenes Passwort öffnet alles, worauf der legitime Nutzer zugreifen kann, ohne einen einzigen Alarm. Deshalb ist der Keylogger ein klassisches Werkzeug für den Erstzugriff, vom Banking-Trojaner bis zur Spionagekampagne. Im Protokoll stehen außerdem Nachrichtenentwürfe und Dokumentinhalte.
Kanalkontrollen erkennen ihn selten. Der Text wird erfasst, bevor etwas gesendet wird: Keine Datei bewegt sich, kein ungewöhnlicher Datenverkehr entsteht. Die Abwehr setzt auf mehrere Ebenen:
- Multi-Faktor-Authentifizierung, die gestohlene Passwörter weitgehend entwertet
- Endpoint-Schutz und zeitnahes Patchen
- Kontrolle der installierten Software
- Physische Prüfung der Arbeitsplätze auf Hardware-Keylogger
Tastaturüberwachung im Unternehmen
Unternehmen nutzen dieselbe Technik auf eigenen Arbeitsplätzen als Teil der Nutzeraktivitätsüberwachung. Es geht um Beweise an der Quelle: was in ein Dokument getippt wurde, bevor es den Rechner verließ, was im Chat stand, welche Datenbankabfragen liefen. Das Abfangen im Kanal zeigt, dass eine Datei abgeflossen ist. Der getippte Text zeigt oft, wie der Vorfall vorbereitet wurde.
Der Mechanismus ähnelt dem von Malware. Zweck, Transparenz und Schutzmaßnahmen sind andere:
| Merkmal | Krimineller Keylogger | Betriebliche Überwachung |
|---|---|---|
| Zweck | Passwörter und Daten stehlen | Beweise und Sicherheitsermittlungen |
| Geräte | Jedes, das der Angreifer erreicht | Firmeneigene Geräte |
| Transparenz | Vor dem Nutzer verborgen | Beschäftigte vorab informiert |
| Zugriff auf Protokolle | Der Angreifer | Nur befugte Personen |
| Aufbewahrung | Unbegrenzt | Vorab festgelegte Frist |
| Passwörter | Hauptziel | Eigene, kontrollierte Kategorie |
Im Agentenprofil
In Anexet ist der Keylogger ein einzelner Schalter im Agentenprofil, neben der Überwachung der PC-Aktivität und der Kontrolle der Zwischenablage.
Rechtslage am Arbeitsplatz
Ob Tastaturüberwachung am Arbeitsplatz zulässig ist, hängt vom Land und vom Vorgehen ab. Die meisten Rechtsordnungen stellen drei Fragen: Ist der Zweck legitim, etwa Sicherheit statt allgemeiner Überwachung? Ist die Maßnahme verhältnismäßig? Wurden die Beschäftigten informiert? Dauerhafte, verdeckte Überwachung des Tippens gilt fast überall als schwerer Eingriff.
In der Praxis stützt sich ein vertretbarer Einsatz auf eine schriftliche Richtlinie, einen festgelegten Sicherheitszweck, beschränkten Zugriff auf die Protokolle und feste Aufbewahrungsfristen.
Weiterlesen: Malware: Die Top 7 gefährlichsten Programme 2025.
| Rechtsraum | Kernregel |
|---|---|
| Europäische Union | Nach der DSGVO sind Tastaturprotokolle personenbezogene Daten. Die Verarbeitung braucht eine Rechtsgrundlage, Zweckbindung, Datenminimierung und Transparenz. Verdeckte Überwachung ist in der Regel unverhältnismäßig. |
| Deutschland | Technische Einrichtungen, die zur Überwachung von Beschäftigten geeignet sind, unterliegen der Mitbestimmung des Betriebsrats. Gerichte lassen offenes Keylogging nur in eng begrenzten Fällen zu. |
| Italien | Art. 4 des Statuto dei Lavoratori erlaubt Fernüberwachung nur aus organisatorischen, produktionsbedingten, Sicherheits- oder Eigentumsschutzgründen, meist mit Gewerkschaftsvereinbarung oder Genehmigung der Arbeitsaufsicht. |
| Vereinigte Staaten | Die Überwachung arbeitgebereigener Geräte ist weitgehend erlaubt. Eine Benachrichtigung wird erwartet, und einzelstaatliche Einwilligungsgesetze zur Aufzeichnung von Kommunikation können die Erfassung begrenzen. |
Wie Anexet das löst
Anexet zeichnet Tastatureingaben im Modul Activity auf. Der Agent am Arbeitsplatz speichert den getippten Text mit Anwendung, Benutzerkonto und Zeitstempel. So entsteht in der Konsole durchsuchbarer Text statt eines undurchsichtigen Datenstroms.
Anexet wird on-premise betrieben, die Protokolle bleiben also in der eigenen Infrastruktur der Organisation. Das zählt: Getippter Text ist ein sensibles personenbezogenes Datum, und wo er gespeichert wird, ist so wichtig wie das, was erfasst wird.
Was erfasst wird
Tastatureingaben in jeder aktiven Anwendung, vom E-Mail-Client über den Browser bis zum Messenger. Text in Passwortfeldern wird als eigenes, durchsuchbares Attribut markiert.
Suche und Korrelation
Einträge lassen sich nach Text, Anwendung und Zeitraum durchsuchen und zusammen mit abgefangener Kommunikation und Dateiübertragungen auswerten.
Audit-Trail
jeder Eintrag enthält Benutzer, Anwendung und Zeitstempel: wer was wo getippt hat.
Tastaturerfassung in Anexet
Mehr erfahren