„Macs bekommen keine Viren.“ Diesen Satz hört man noch immer – auch in Unternehmen, in denen Cybersicherheit erklärte Priorität ist. Lange galt macOS als grundsätzlich sicherer, weniger exponiert und für Angreifer weniger interessant. Dieses Bild hat sich gehalten, doch die Bedrohungslandschaft hat sich grundlegend verändert.
Heute entwickeln die am besten organisierten kriminellen Gruppierungen Malware, die gezielt für macOS konzipiert ist. Nicht als Experiment, sondern als fester Bestandteil ihrer Operationen. Macs sind weit verbreitet bei Entwicklern, Managern und Entscheidungsträgern – Rollen mit direktem Zugang zu kritischen Systemen, Finanzplattformen, Code-Repositories und sensiblen Daten. Für einen Angreifer bedeutet die Kompromittierung eines solchen Geräts den Schlüssel zu einem Großteil der Unternehmensinfrastruktur.
Das Problem liegt nicht in macOS als solchem. Das Problem ist, macOS als Ausnahme in der IT-Sicherheitsstrategie zu behandeln.
Malware für macOS: die Bedrohungen sind real
Malware für macOS ist weder eine theoretische Neuheit noch ein Randphänomen. Aktive Malware-Familien, laufende Kampagnen und bereits in Unternehmensnetzwerken zirkulierende Persistenzmechanismen zeichnen ein ausgereiftes, strukturiertes und wachsendes Bedrohungsbild:
- Aktive Malware-Familien stehlen Anmeldedaten, Session-Cookies und Keychain-Inhalte – oft ohne, dass der Benutzer etwas bemerkt.
- Social-Engineering-Kampagnen verleiten Opfer dazu, Befehle im Terminal auszuführen – und umgehen so herkömmliche Schutzmaßnahmen, ohne auf Exploits angewiesen zu sein.
- Persistenzmechanismen verstecken sich hinter Namen legitimer Dienste – OneDrive, Apple-Komponenten – und bleiben in Organisationen unsichtbar, die nicht aktiv danach suchen.
Ende April 2026 wurde eine neue Kampagne namens „Mach-O Man“ bekannt, die der Lazarus-Gruppe zugeschrieben wird – einer mit Nordkorea verbundenen kriminellen Organisation, die ein speziell für macOS konzipiertes Malware-Kit erstellt hat. Der Angriff beginnt mit einer einfachen Telegram-Nachricht – einer Einladung zu einem Meeting. Das Opfer wird auf eine gefälschte Zoom-, Teams- oder Meet-Seite weitergeleitet und dazu gebracht, einen Befehl auszuführen. Von diesem Moment an installiert sich die Malware ohne weiteres Zutun, sammelt alle verwertbaren Daten und überträgt sie an die Angreifer. Anschließend löscht sie ihre eigenen Spuren.
Es braucht keine technischen Schwachstellen oder ausgeklügelte Exploits – es genügt, dass ein Benutzer einer Nachricht vertraut, die scheinbar von einem Kollegen stammt. Ein Angriff dieser Art gehört zu den Bedrohungskategorien, die ein Security Operations Center (SOC) durch die Verhaltensanalyse von Endgeräten überwacht. Ohne spezifische macOS-Abdeckung läuft die gesamte Angriffskette außerhalb des operativen Sichtbarkeitsperimeters ab.
macOS und Unternehmenssicherheit: der blinde Fleck
Der Großteil der Unternehmens-Cybersicherheitsstrategien ist auf Windows ausgerichtet. Detection-Regeln, Endpoint-Monitoring, Incident-Response-Prozesse: alles ist für das Microsoft-Ökosystem konzipiert und getestet. Sind im Unternehmen auch Macs im Einsatz, werden sie häufig nur auf Inventarebene in den Perimeter einbezogen – nicht aber in die operative Logik von Detection und Response.
Daraus entsteht ein blinder Fleck in der IT-Sicherheit der Organisation. Ein Mac ohne ausreichende Abdeckung ist ein Gerät, das auf dieselben Ressourcen wie alle anderen zugreift – aber mit weniger Sichtbarkeit für diejenigen, die für die Sicherheit zuständig sind. Genau diese Asymmetrie suchen Angreifer.
Es geht nicht darum, macOS als weniger sicher einzustufen als Windows. Es geht darum, anzuerkennen, dass jedes mit dem Unternehmensnetzwerk verbundene Gerät – unabhängig vom Betriebssystem – dasselbe Niveau an Überwachung und Schutz verdient.
SOC Cyberlys: Überwachung und Detection – auch für macOS
Das SOC Cyberlys überwacht und schützt die macOS-Endgeräte betreuter Kunden als Teil der operativen Standardabdeckung. In der Praxis bedeutet das: spezifische Detection-Regeln für macOS auf den EDR/XDR-Plattformen (die Cyberlys-Lösungen Managed Detection & Response und Managed Extended Detection & Response) zu schreiben, die die spezifischen Mechanismen des Betriebssystems berücksichtigen: LaunchAgent für die Persistenz, Code-Signierung für die Legitimität von Anwendungen, Keychain für Anmeldedaten und die typischen Kommunikationsmuster von macOS-Malware.
Sobald eine relevante neue Bedrohung bekannt wird – wie die Lazarus-Kampagne vom April –, ändert sich der Prozess gegenüber jeder anderen Plattform nicht: Samples werden in Sandbox-Umgebungen und virtuellen Maschinen validiert, die beobachteten Verhaltensweisen werden bestätigt, Detection-Regeln werden geschrieben und eingespielt, die Netzwerkabdeckung wird auf Kunden mit integrierten Firewalls ausgeweitet.
Im konkreten Fall haben die vom SOC-Team durchgeführten Tests die gesamte in der ursprünglichen Untersuchung beschriebene Angriffskette bestätigt. Die Detection-Regeln wurden auf den Plattformen der Kunden innerhalb weniger Stunden nach Veröffentlichung aktiviert.
Vollständiger Endpunktschutz: Windows, macOS, Linux
Angreifer unterscheiden nicht zwischen Betriebssystemen: Sie wählen das Ziel, das den größten Wert bei geringstem Entdeckungsrisiko bietet. Ein Gerät mit Zugang zu kritischen Ressourcen und wenig Sicherheitsabdeckung ist per Definition das ideale Ziel. Denn: Wer nur einen Teil des Perimeters schützt, schützt keinen. Das Team für Cyber Threat Intelligence des SOC Cyberlys arbeitet rund um die Uhr daran, diese Lücken zu schließen – auf jedem Betriebssystem.
Sind in Ihrer Organisation macOS-Endgeräte im Einsatz und möchten Sie das aktuelle Abdeckungsniveau prüfen, kontaktieren Sie das Cyberlys-Team für ein Security Assessment: Wir analysieren gemeinsam die Sichtbarkeitslücken und legen die Prioritäten für die nächsten Schritte fest.
