So prüfst du einen Mac auf Adware und Malware

Stand: 4. November 2026

Echte Mac-Viren sind selten. Was einem tatsächlich begegnet, ist Adware: ein Browser, der immer wieder eine seltsame Suchseite öffnet, Pop-ups, ein „Cleaner“, den niemand installiert hat. Meist kam sie mit einem Download und startet bei jeder Anmeldung neu.

Kurz gesagt: Sieh dir an, was von selbst startet. Prüf Systemeinstellungen › Allgemein › Anmeldeobjekte & Erweiterungen, dann die Ordner ~/Library/LaunchAgents, /Library/LaunchAgents und /Library/LaunchDaemons. Adware versteckt sich dort unter zufälligen oder Apple-ähnlichen Namen. Prüf danach deine Browser-Erweiterungen und Konfigurationsprofile. XProtect von macOS blockiert bekannte Malware-Dateien schon selbst.

Wo versteckt sich Adware auf dem Mac?

• Launch Agents und Daemons: kleine .plist-Dateien, die macOS sagen, dass es ein Programm beim Anmelden oder beim Starten ausführen soll. Deine liegen in ~/Library/LaunchAgents, die für den ganzen Mac in /Library/LaunchAgents und /Library/LaunchDaemons.
• Programme: eine App, an deren Installation du dich nicht erinnerst, oft mit einem allgemeinen Namen.
• Browser-Erweiterungen: Safari › Einstellungen › Erweiterungen und die Erweiterungsseite jedes anderen Browsers.
• Konfigurationsprofile: Systemeinstellungen › Allgemein › Geräteverwaltung. Auf einem Mac, den niemand für dich verwaltet, ist diese Liste meist leer.

Wie liste ich Launch Agents im Terminal auf?

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Bei jeder Datei, die du nicht kennst, sieh nach, welches Programm sie startet und wer dieses Programm signiert hat:

plutil -p ~/Library/LaunchAgents/com.example.helper.plist
codesign -dv --verbose=2 "/path/to/the/program"

Die Zeile Program oder ProgramArguments ist das Programm. In der Ausgabe von codesign nennen die Zeilen „Authority“ den Entwickler; „code object is not signed at all“ heißt, dass niemand es signiert hat.

Was wirkt verdächtig?

• Ein Programm, das kein bekannter Entwickler signiert hat und zu keiner installierten App gehört.
• Ein Programm in einem versteckten Ordner, in /tmp oder in /Users/Shared, wo jeder Benutzer schreiben darf.
• Ein zufällig wirkender Name wie com.xkqzt.plist.
• Ein com.apple-Name bei einem Programm, das Apple nicht signiert hat.

Jedes davon ist ein Grund, genauer hinzusehen, kein Beweis: Die Helfer kleiner Entwickler können genauso aussehen. Such nach dem Namen, bevor du etwas entfernst.

Wie entferne ich Adware vom Mac?

1. Beende die App, zu der sie gehört, falls es eine gibt, und leg die App in den Papierkorb.
2. Leg ihre .plist aus LaunchAgents oder LaunchDaemons in den Papierkorb. Die in /Library verlangen ein Administratorpasswort.
3. Leg auch das Programm, auf das die .plist verwiesen hat, in den Papierkorb.
4. Starte neu oder melde dich ab und wieder an, damit es nicht mehr läuft. Entferne jede Browser-Erweiterung und jedes Profil, das sie hinzugefügt hat.

Reicht XProtect, oder brauche ich einen Virenschutz?

macOS prüft Downloads mit Gatekeeper und der Notarisierung, und XProtect blockiert und entfernt bekannte Malware anhand von Signaturen, die Apple selbstständig aktualisiert. Für die meisten reicht das. So siehst du deine XProtect-Version:

defaults read /Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Info.plist CFBundleShortVersionString

Adware wird oft mit deiner Erlaubnis installiert, als Teil von etwas anderem. Ab und zu nachzusehen, was von selbst startet, lohnt sich deshalb trotzdem.