macOS im Visier: Cyberangriffe auf Apples Plattform explodieren

Neuer Jamf-Report zeigt: Trojaner sind mit über 50 Prozent die häufigste Malware auf Macs. Entwickler und Unternehmen sind besonders betroffen.

Mit dem wachsenden Marktanteil im Unternehmenssektor (fast zehn Prozent aller Desktop-Computer) ist Apples Betriebssystem zum bevorzugten Ziel von Hackern geworden. Die Bedrohungslage hat sich fundamental gewandelt: Statt simpler Werbeprogramme setzen Angreifer heute auf professionelle Schadsoftware und gezielte Angriffe auf Entwickler.

Anzeige

Die Professionalisierung der Cyberkriminalität trifft Unternehmen oft unvorbereitet, da klassische Schutzmaßnahmen bei neuen Angriffsvektoren versagen. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Sicherheitslücken proaktiv schließen und aktuelle gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken und Unternehmen langfristig schützen

Infostealer und Trojaner: Die neue Gefahr

Der Wandel ist dramatisch. Der Sicherheitsreport von Jamf aus dem Juni 2025 dokumentierte einen Anstieg von „Infostealern" um 28 Prozent – Datendiebe wie Atomic Stealer, Poseidon und Banshee machten damals 28,36 Prozent aller Erkennungen aus. Diese Tools stehlen innerhalb weniger Minuten Browser-Cookies, Passwörter und Kryptogeld-Wallets.

Ein Jahr später hat sich das Bild erneut verschoben. Der aktuelle Jamf-Report vom Mai 2026 zeigt: Trojaner sind mit 50,3 Prozent aller Angriffe die neue Nummer eins. Allein die Familie Atomic Stealer war an 77 Prozent dieser Vorfälle beteiligt. Das Moonlock Lab bestätigt den Trend: 67 Prozent mehr macOS-Backdoor-Varianten und 17 Prozent mehr Stealer-Varianten im Jahresvergleich. Zwei Drittel aller Mac-Nutzer hatten 2025 mindestens eine Cyber-Bedrohung.

Die Angriffswerkzeuge werden zunehmend als „Stealer-as-a-Service" angeboten – inklusive Dashboard und Kundensupport. Neue Akteure wie MacSync Stealer, Phexia und DigitStealer nutzen mehrstufige Ausführungsketten, um Apples eingebauten Virenschutz XProtect zu umgehen.

Entwickler im Fadenkreuz: Angriffe auf die Lieferkette

Softwareentwickler sind 2026 die begehrtesten Ziele. Ihre Arbeitsplätze enthalten die Schlüssel zu Produktionsumgebungen, Quellcode und Cloud-Infrastruktur. Ein schwerwiegender Vorfall im Mai 2026: Eine manipulierte Visual-Studio-Code-Erweiterung kompromittierte einen Entwickler-Rechner bei GitHub und legte rund 3800 interne Repositories offen.

Die Angriffsmuster wiederholen sich:

• Bösartige IDE-Erweiterungen: Ende 2025 entdeckten Forscher Erweiterungen im VS-Code-Marktplatz, die SSH-Schlüssel, Slack-Nachrichten und Umgebungsvariablen stahlen
• Paketregister-Kompromittierung: Die Gruppe TeamPCP veröffentlichte im Mai 2026 innerhalb von 22 Minuten 637 schädliche Versionen über 317 Pakete – ein massiver Angriff auf die Abhängigkeitskette
• VS-Code-Task-Exploits: Eine nordkoreanische Kampagne nutzte manipulierte Konfigurationsdateien, die beim Öffnen eines Repos einen Hintertür installierten

Staatlich gesteuerte Gruppen wie Lazarus und BlueNoroff haben ihre Methoden verfeinert. Sie geben sich auf LinkedIn und Telegram als Recruiter aus und locken Entwickler mit gefälschten „Coding-Challenges" oder „Meeting-Apps".

Wenn Schutzmechanismen zur Falle werden

Apples neue Sicherheitsfunktionen werden clever umgangen. Die „ClickFix"-Technik bringt Opfer dazu, schädliche Befehle ins Terminal einzufügen – angeblich zur Fehlerbehebung. macOS Tahoe 26.4 warnt seit Mai 2026 vor solchen Terminal-Einfügungen.

Doch die Angreifer reagieren sofort. Der neue „Reaper"-Stealer nutzt eine applescript://-URL, um den macOS-Skript-Editor zu starten – und umgeht so die Terminal-Warnung. Die Tarnung ist professionell: Die Schadsoftware tarnt sich als WeChat- oder Miro-Installer, wird über eine falsche Microsoft-Domain ausgeliefert und verbirgt sich als Google-Software-Update.

Alarmierende Sicherheitslücken in Unternehmen

Trotz der wachsenden Gefahr sind viele Firmen schlecht vorbereitet. Der Jamf-Report enthüllt: 58 Prozent der Organisationen betreiben Macs mit kritisch veralteten Betriebssystemen. 73 Prozent aller geprüften Macs enthielten mindestens eine verwundbare Anwendung.

Zwei aktuelle Sicherheitslücken zeigen die Risiken:
- CVE-2025-43508: macOS Tahoe vor Version 26.1 protokollierte sensible Nutzerdaten im Systemlog
- CVE-2026-20648: Eine Schwachstelle in Tahoe 26.3 erlaubte den Zugriff auf Benachrichtigungen von iPhones und iPads

Viele Unternehmen haben für macOS nicht die gleiche Überwachung wie für Windows. Diese „Sichtbarkeitslücke" bedeutet: Eingebaute Schutzmechanismen wie Gatekeeper reichen nicht aus, um moderne, skriptbasierte Angriffe zu erkennen.

Anzeige

Während Cyber-Bedrohungen immer komplexer werden, verschärft der Gesetzgeber die Anforderungen an den Schutz sensibler Unternehmensdaten massiv. Erfahren Sie in diesem kostenlosen E-Book, welche rechtlichen Pflichten und neuen Risiken Unternehmer jetzt kennen müssen. Gratis-Report zu Cyberrisiken und neuen Gesetzen anfordern

Was jetzt zählt: Identität als neue Grenze

Der Wandel der Bedrohungslage spiegelt einen grundlegenden Wandel in der Cybersicherheit wider: Identität und Zugangsdaten sind der neue Perimeter. Angreifer zielen nicht mehr auf den Betriebssystemkern, sondern auf das Vertrauen der Nutzer.

Für Unternehmen bedeutet das: Compliance-Rahmenwerke wie NIS2 und DORA verlangen robustes Schwachstellenmanagement. macOS-Umgebungen brauchen das Endpoint Security Framework für Echtzeit-Überwachung von Prozessen, Netzwerkaktivitäten und Dateisystemänderungen. Sicherheitsverantwortliche sollten auf eine Zero-Trust-Strategie setzen, bei der Gerätezustand und Nutzeridentität kontinuierlich überprüft werden – statt auf die trügerische Sicherheit des Betriebssystems allein zu vertrauen.

Ausblick: KI-gestützte Angriffe nehmen zu

Experten erwarten für die zweite Jahreshälfte 2026 eine Zunahme KI-gestützter Social-Engineering-Angriffe. Phishing und „ClickFix"-Methoden werden selbst für erfahrene Entwickler schwerer zu erkennen sein. Apple wird die Sicherheitsoberfläche weiter härten – doch die Geschichte zeigt: Angreifer werden neue Wege über URI-Schemata und andere Systemfunktionen finden.

Für Entwicklungsteams wird die automatische Sicherheitsprüfung von IDE-Erweiterungen und die rigorose Überprüfung von Drittanbieter-Abhängigkeiten zur Überlebensfrage. Der Schutz der Lieferkette ist kein optionales Extra mehr – er ist zur Kernaufgabe geworden.