Ein sauberer Virenscan und wiederkehrende Malware-Meldungen schließen sich nicht aus: Häufig stammt die Warnung nicht von Windows-Sicherheit, sondern von einer Website, die Benachrichtigungen senden darf. Klicke weder auf eine angezeigte Telefonnummer noch auf Schaltflächen zum Bereinigen oder Verlängern eines angeblichen Schutzabos. Ermittle zuerst, welcher Browser oder welche App die Meldung erzeugt, entziehe der betreffenden Website die Benachrichtigungsberechtigung und überprüfe danach Browser sowie Windows 11. Hast du bereits eine Datei geladen, Zugangsdaten eingegeben oder Fernzugriff gewährt, sind zusätzliche Schutzmaßnahmen nötig.
Woran du eine gefälschte Sicherheitswarnung erkennst
Betrügerische Browserwarnungen sollen zu einer überstürzten Reaktion verleiten. Sie behaupten beispielsweise, mehrere Viren seien gefunden worden, ein Schutzabo sei abgelaufen oder persönliche Daten würden unmittelbar gestohlen. Oft erscheinen sie als Windows-Benachrichtigung am rechten Bildschirmrand, obwohl sie technisch von einer Website über Chrome, Edge oder Firefox gesendet werden.
Eine Browserbenachrichtigung kann Logos und Produktnamen nachahmen. Das macht sie jedoch weder zu einem Ergebnis von Microsoft Defender noch zu einer Meldung des genannten Sicherheitsanbieters. Achte auf folgende Merkmale:
- Die Meldung fordert zum Anrufen einer angeblichen Supportnummer auf.
- Sie verlangt eine Zahlung, ein Abonnement oder die Installation eines unbekannten Bereinigungsprogramms.
- Sie verwendet Zeitdruck, einen Countdown oder übertriebene Angaben zur Zahl gefundener Bedrohungen.
- Im kleinen Hinweistext steht der Name eines Browsers oder eine unbekannte Webadresse.
- Ein Klick öffnet eine Internetseite statt des Bereichs Viren- und Bedrohungsschutz von Windows-Sicherheit.
- Windows-Sicherheit zeigt im Schutzverlauf keinen passenden Fund an.
Eine echte Microsoft-Defender-Erkennung lässt sich in Windows-Sicherheit unter Viren- und Bedrohungsschutz sowie im Schutzverlauf nachvollziehen. Verlasse dich trotzdem nicht allein auf das Erscheinungsbild: Entscheidend sind die angezeigte Quelle und der Eintrag im Schutzverlauf.
Die Quelle der Meldung feststellen, ohne sie anzuklicken
Öffne unter Windows 11 Einstellungen > System > Benachrichtigungen. Dort siehst du, welche Apps Benachrichtigungen senden dürfen. Taucht der verwendete Browser in der Liste auf, kann die vermeintliche Malware-Warnung eine Website-Benachrichtigung sein. Das Abschalten sämtlicher Browserbenachrichtigungen in Windows stoppt zwar zunächst die Anzeige, entfernt aber noch nicht die Berechtigung der auslösenden Website.
Beobachte auch, wann die Meldung erscheint:
- Nur bei geöffneter verdächtiger Seite: Wahrscheinlich handelt es sich um ein Pop-up, eine Weiterleitung oder eine manipulierte Werbeanzeige.
- Auch auf anderen Webseiten: Prüfe zuerst zugelassene Benachrichtigungen und anschließend Erweiterungen.
- Bei geschlossenem Browser: Browser können abhängig von ihren Einstellungen im Hintergrund weiterlaufen und Website-Benachrichtigungen zustellen.
- Unabhängig von jedem Browser: Prüfe installierte Apps, Autostart-Einträge und den Schutzverlauf von Windows-Sicherheit.
Bleibt eine Warnseite im Vollbild hängen, drücke zunächst Esc oder F11. Reagiert der Browser nicht, öffne mit Strg + Umschalt + Esc den Task-Manager, markiere den Browser und wähle Task beenden. Stelle beim nächsten Start nicht ungeprüft alle zuvor geöffneten Registerkarten wieder her.
Benachrichtigungsrechte im betroffenen Browser entziehen
Entferne die unbekannte Website direkt aus der Berechtigungsliste des Browsers. Dieser Schritt beseitigt die häufigste Quelle solcher Warnungen, ohne gespeicherte Kennwörter oder Lesezeichen zu löschen.
Microsoft Edge
- Öffne Edge und gib
edge://settings/content/notificationsin die Adressleiste ein. - Suche im Bereich der zugelassenen Websites nach unbekannten oder verdächtigen Adressen.
- Öffne das Menü neben dem Eintrag und wähle Entfernen oder Blockieren.
- Aktiviere auf Wunsch die Einstellung, nach der Websites vor dem Senden von Benachrichtigungen fragen müssen. Eine vollständig blockierte Abfrage verhindert neue Freigaben, kann aber erwünschte Webdienste betreffen.
Kontrolliere in Edge zusätzlich unter Einstellungen > System und Leistung, ob Edge nach dem Schließen im Hintergrund weiterlaufen darf. Deaktivierst du den Hintergrundbetrieb, können Websites bei geschlossenem Browser keine entsprechenden Hinweise mehr über Edge zustellen. Andere Hintergrundfunktionen des Browsers können dadurch ebenfalls entfallen.
Google Chrome
- Rufe in Chrome
chrome://settings/content/notificationsauf. - Prüfe die Liste der Websites, die Benachrichtigungen senden dürfen.
- Entferne oder blockiere jede Adresse, die du nicht bewusst freigegeben hast.
- Kontrolliere anschließend unter Datenschutz und Sicherheit > Website-Einstellungen, ob die betreffende Website weitere Rechte wie Pop-ups oder automatische Weiterleitungen besitzt.
Falls Chrome nach dem Schließen weiter aktiv bleibt, suche in seinen Systemeinstellungen nach der Option für Hintergrund-Apps und schalte sie testweise aus. Die genaue Anordnung kann sich zwischen Chrome-Versionen ändern; die interne Benachrichtigungsseite führt unabhängig davon direkt zur maßgeblichen Liste.
Mozilla Firefox
- Gib
about:preferences#privacyin die Adressleiste ein. - Gehe im Bereich Berechtigungen bei Benachrichtigungen auf Einstellungen.
- Markiere unbekannte Websites und entferne sie oder ändere ihren Status auf Blockieren.
- Speichere die Änderungen.
Firefox kann neue Anfragen nach Benachrichtigungsrechten vollständig blockieren. Das ist sinnvoll, wenn du keine Website-Benachrichtigungen nutzt. Bereits erteilte Berechtigungen solltest du trotzdem aus der Liste entfernen.
Website-Daten und verdächtige Erweiterungen bereinigen
Bleiben Umleitungen, neue Registerkarten oder Werbeseiten bestehen, reicht das Löschen der Benachrichtigungsfreigabe nicht aus. Entferne dann zuerst die gespeicherten Daten der betroffenen Website. Das löscht deren Cookies und lokale Einstellungen, kann dich dort aber auch abmelden. Es ist nicht erforderlich, sofort den gesamten Browserverlauf oder alle gespeicherten Kennwörter zu löschen.
Prüfe danach die Erweiterungsverwaltung:
- Edge:
edge://extensions - Chrome:
chrome://extensions - Firefox:
about:addons
Deaktiviere Erweiterungen, die du nicht erkennst, die erst seit Auftreten der Warnungen vorhanden sind oder weitreichende Rechte zum Lesen und Verändern von Webseiten besitzen. Starte den Browser neu und beobachte das Verhalten. Ist die Störung verschwunden, entferne die verdächtige Erweiterung. Bei verwalteten Firmenrechnern können Erweiterungen durch Richtlinien installiert sein; ein solcher Eintrag sollte nicht ohne Rücksprache mit der IT-Abteilung entfernt oder umgangen werden.
Kontrolliere außerdem die Startseite, die beim Start geöffneten Seiten und die Standardsuchmaschine. Eine unerwünschte Erweiterung oder potenziell unerwünschte Software kann diese Einstellungen verändern. Korrigiere sie erst, nachdem die mutmaßliche Ursache deaktiviert wurde, sonst werden die Änderungen möglicherweise erneut überschrieben.
Windows 11 mit Microsoft Defender überprüfen
Auch wenn die Warnung wahrscheinlich aus dem Browser stammt, ist eine gestufte Systemprüfung sinnvoll. Öffne Windows-Sicherheit > Viren- und Bedrohungsschutz > Scanoptionen. Beginne nicht mit Löschwerkzeugen unbekannter Anbieter, die über die Warnseite angeboten werden.
- Aktualisiere unter Viren- und Bedrohungsschutz die Sicherheitsinformationen, sofern Windows eine Aktualisierung anbietet.
- Starte eine Vollständige Überprüfung. Sie benötigt mehr Zeit als die Schnellüberprüfung, erfasst dafür die vorhandenen Dateien und laufwerksbezogenen Bereiche umfassender.
- Sieh danach im Schutzverlauf nach. Dort erkennst du, ob Microsoft Defender tatsächlich etwas gefunden, blockiert oder unter Quarantäne gestellt hat.
- Nutze die Microsoft Defender Offlineüberprüfung, wenn sich verdächtige Prozesse sofort neu starten, Scans abbrechen oder das Verhalten trotz Browserbereinigung bestehen bleibt. Windows startet dafür neu; speichere vorher alle geöffneten Arbeiten.
Ein erneut sauberes Ergebnis beweist nicht, dass jede aufgerufene Website vertrauenswürdig war. Es spricht aber zusammen mit einem unauffälligen Schutzverlauf und dem Ende der Meldungen nach Entzug der Website-Berechtigung dafür, dass die Warnungen über den Browser zugestellt wurden.
Installierte Programme und Autostart nur bei anhaltenden Symptomen prüfen
Öffnen sich nach der Browserbereinigung weiterhin selbstständig Werbeseiten oder erscheint eine unbekannte App, prüfe unter Einstellungen > Apps > Installierte Apps die zuletzt hinzugefügten Programme. Deinstalliere nicht wahllos unbekannt klingende Komponenten. Suche zuerst nach dem Herausgeber, dem Installationsdatum und einem zeitlichen Zusammenhang mit dem Beginn der Meldungen.
Öffne anschließend im Task-Manager den Bereich Autostart-Apps. Ein unerwarteter Eintrag kann ein Hinweis sein, ist allein aber kein Malware-Beweis. Deaktiviere einen verdächtigen Autostart-Eintrag zunächst, starte Windows neu und prüfe, ob die Warnungen ausbleiben. Systemkomponenten, Treiberprogramme und Sicherheitssoftware sollten nicht allein wegen eines unbekannten Namens entfernt werden.
Ein vollständiges Zurücksetzen des Browsers ist erst sinnvoll, wenn Berechtigungen, Website-Daten und Erweiterungen geprüft wurden. Der Reset setzt unter anderem Startseite, Suchmaschine und weitere Einstellungen zurück. Lesezeichen und gespeicherte Daten werden je nach Browser anders behandelt; lies den angezeigten Bestätigungsdialog, bevor du fortfährst.
Was nach einem Klick auf die Warnung zu tun ist
Das reine Öffnen einer betrügerischen Seite bedeutet nicht automatisch, dass Windows 11 infiziert wurde. Die erforderliche Reaktion hängt davon ab, was du auf der Seite getan hast.
- Nur die Seite geöffnet: Schließe sie, entferne die Website-Berechtigung und führe die beschriebenen Browser- und Defender-Prüfungen aus.
- Datei heruntergeladen, aber nicht geöffnet: Lösche die Datei aus dem Downloadordner und dem Papierkorb. Prüfe den Rechner anschließend vollständig mit Microsoft Defender.
- Programm installiert oder Datei ausgeführt: Trenne bei auffälligem Verhalten vorübergehend die Netzwerkverbindung, deinstalliere die unbekannte Anwendung nicht blind mitten in einem laufenden Vorgang und starte eine vollständige sowie gegebenenfalls eine Offlineüberprüfung.
- Kennwort eingegeben: Ändere es von einem vertrauenswürdigen Gerät aus. Verwende ein neues, ausschließlich für dieses Konto bestimmtes Kennwort und aktiviere, falls verfügbar, eine Mehrstufenanmeldung. Melde unbekannte Sitzungen in der Kontoverwaltung ab.
- Zahlungsdaten angegeben: Kontaktiere das betreffende Kreditinstitut über eine selbst ermittelte offizielle Rufnummer und kontrolliere die Umsätze. Verwende keine Kontaktdaten aus der Warnseite.
- Fernzugriff erlaubt: Beende die Verbindung, trenne den PC vom Netzwerk und hole fachkundige Hilfe. Nach einem beaufsichtigten Fernzugriff lässt sich nicht allein durch einen sauberen Schnellscan ausschließen, dass Einstellungen, Konten oder Software verändert wurden.
Erfolgskontrolle: Wann die Bereinigung abgeschlossen ist
Die Bereinigung ist plausibel erfolgreich, wenn die entfernte Website nicht mehr in der Berechtigungsliste steht, keine unerwünschten Erweiterungen aktiv sind und nach einem Browser- sowie Windows-Neustart keine Warnungen mehr erscheinen. Der Schutzverlauf von Windows-Sicherheit sollte entweder leer sein oder nur nachvollziehbare, bereits behandelte Einträge enthalten.
Bleiben Warnungen bestehen, ordne das Symptom erneut seiner Quelle zu: Erscheint es nur in einem Browser, arbeite dessen Profile, Erweiterungen und Startseiten ab. Tritt es browserübergreifend auf, konzentriere dich auf installierte Programme und Autostart. Verändert sich Windows-Sicherheit selbst, werden Schutzfunktionen ohne deine Zustimmung abgeschaltet oder kehren unbekannte Programme nach dem Entfernen zurück, solltest du den PC nicht für sensible Anmeldungen verwenden, bis er fachkundig geprüft wurde.
Häufige Fragen zu betrügerischen Malware-Meldungen
Kann eine Website den Namen des verwendeten Virenschutzes kennen?
Webseiten können bestimmte Browser- und Systemmerkmale erkennen, kennen aber nicht automatisch das echte Ergebnis eines lokalen Virenscans. Häufig werden bekannte Produktnamen lediglich geraten, aus Werbedaten abgeleitet oder unabhängig vom tatsächlich installierten Schutz eingeblendet. Ein dargestelltes Logo ist kein Nachweis für eine Kommunikation mit dem Sicherheitsprogramm.
Warum erscheint die Warnung nach der Synchronisierung auf einem zweiten PC?
Browser synchronisieren je nach Produkt und Kontoeinstellung Erweiterungen, Einstellungen oder geöffnete Registerkarten. Website-Berechtigungen werden nicht in jeder Konstellation gleich behandelt. Prüfe auf dem zweiten Gerät daher separat die Erweiterungen, Startseiten und Benachrichtigungsrechte, statt eine Infektion über das Microsoft- oder Browserkonto anzunehmen.
Ist ein privates Browserfenster eine sichere Gegenprobe?
Ein privates Fenster kann helfen, Einflüsse gespeicherter Cookies oder bestimmter Erweiterungen einzugrenzen. Es ist jedoch keine sichere Testumgebung und schützt nicht vor schädlichen Downloads, betrügerischen Eingaben oder Sicherheitslücken. Verschwindet die Meldung dort, prüfe das normale Browserprofil auf Website-Daten und Erweiterungen; interagiere auch im privaten Fenster nicht mit der Warnseite.
