So entfernen Sie die WindRelay NFC-Relay-Malware von Android

Was für eine Art von Malware ist WindRelay?

WindRelay ist eine spezialisierte NFC-Relay-Malware, die auf Android-Nutzer in Mitteleuropa abzielt. In Verbindung mit SpyNote, einem Remote-Access-Trojaner, erfasst sie kontaktlose Zahlungskartendaten und überträgt sie in Echtzeit an Angreifer. Laut Untersuchungen von Group-IB ist die Malware mindestens seit November 2025 aktiv.

WindRelay-Malware im Überblick

WindRelay wurde speziell entwickelt, um NFC-Relay-Angriffe auf kontaktlose Zahlungskarten durchzuführen. Wenn ein Opfer seine Karte in die Nähe eines infizierten Android-Geräts hält, erfasst die Malware im Hintergrund das NFC-Signal der Karte und leitet die Daten über das Internet an eine von den Angreifern kontrollierte Infrastruktur weiter.

Der Betrug funktioniert durch einen sorgfältig geplanten zweistufigen Angriff. Zuerst ruft ein Betrüger das Opfer an, gibt sich als Bankmitarbeiter aus und überzeugt es, eine bösartige App zu installieren. Diese App ist SpyNote, die dem Angreifer die vollständige Fernsteuerung über das Gerät des Opfers verschafft.

Sobald SpyNote läuft, nutzt der Angreifer dessen Fernzugriff, um WindRelay unbemerkt auf das Gerät zu übertragen (Sideloading), ohne dass das Opfer davon weiß. Das Opfer wird dann aufgefordert, seine Zahlungskarte an die Rückseite des Telefons zu halten, angeblich um seine Identität zu „verifizieren".

In diesem Moment fängt WindRelay das NFC-Kartensignal ab und übermittelt die Daten in Echtzeit an den Betrüger. Der Angreifer lädt die weitergeleiteten Kartendaten auf ein separates Gerät, das als gefälschtes Zahlungsterminal fungiert, und nutzt es anschließend, um Einkäufe zu tätigen oder Bargeld an Geldautomaten abzuheben.

WindRelay fordert mehrere Berechtigungen an, um diese Funktionen auszuführen. Der NFC-Zugriff ermöglicht das Erfassen von Kartendaten, während Internetberechtigungen die Übermittlung in Echtzeit ermöglichen. Es fordert außerdem Zugriff auf Kontakte an und nutzt Diagnoseberechtigungen, um Sicherheitssoftware auf dem Gerät zu erkennen und sich ihr zu widersetzen.

Forscher von Group-IB identifizierten 23 WindRelay-Samples, die zwischen November 2025 und Juli 2026 auf VirusTotal hochgeladen wurden. Die Malware wird mithilfe eines Builder-Toolkits kompiliert, das es Betreibern ermöglicht, jede APK für jedes Ziel mit einem anderen App-Namen, Symbol und Paketnamen anzupassen.

Alle analysierten Samples zielten auf Nutzer in Tschechien, der Slowakei und Slowenien ab, wobei App-Inhalte und Benennung reale Finanzinstitute in diesen Ländern nachahmten. Diese Lokalisierung lässt die bösartigen Apps für Opfer in diesen Regionen überzeugend erscheinen.

Es sei erwähnt, dass Malware-Entwickler ihre Tools im Laufe der Zeit häufig verbessern. Zukünftige Versionen von WindRelay könnten weitere Länder ins Visier nehmen oder neue Fähigkeiten enthalten, die über das derzeit Dokumentierte hinausgehen.

Zusammenfassend kann das Vorhandensein von WindRelay auf einem Gerät Zahlungskartenbetrug in Echtzeit, erhebliche finanzielle Verluste und eine weitere Kompromittierung durch die umfangreichen Fernsteuerungs- und Überwachungsfunktionen von SpyNote ermöglichen.

Fazit

WindRelay ist ein gefährliches Werkzeug für Finanzbetrug, das die NFC-Hardware von Android ausnutzt, um Zahlungskartendaten in Echtzeit zu stehlen, ohne dass die Karte jemals die Hände des Opfers verlässt. In Kombination mit SpyNote erlangen Angreifer die vollständige Fernsteuerung des Geräts, was dies zu einer besonders raffinierten Bedrohung macht.

Weitere Beispiele für Android-spezifische Malware und Remote-Access-Trojaner sind Rokarolla, Night Dragon und RedWing. Cyberkriminelle entwickeln kontinuierlich neue Tools und Methoden, weshalb der Einsatz zuverlässiger Sicherheitssoftware und ein skeptischer Umgang mit unaufgeforderten Anrufen unerlässlich sind.

Wie ist WindRelay in mein Gerät eingedrungen?

WindRelay verbreitet sich nicht über den Google Play Store oder legitime App-Store-Kanäle. Der primäre Angriffsvektor ist Vishing - betrügerische Telefonanrufe, bei denen sich Angreifer als Bankmitarbeiter ausgeben und Opfer anweisen, eine vermeintliche Banking- oder Verifizierungs-App zu installieren.

Diese App ist SpyNote, die dem Angreifer die vollständige Kontrolle über das Gerät verschafft. Von dort aus wird WindRelay unbemerkt per Sideloading installiert, ohne weiteres Zutun des Opfers. Jede APK wird mit einem Namen und Inhalten angepasst, die zur lokalen Bank des Ziels passen, um die Täuschung überzeugender zu gestalten.

Android-Malware kann Geräte auch über Phishing-Links in E-Mails oder Textnachrichten, Drittanbieter-App-Stores und gefälschte Update-Aufforderungen erreichen. Behandeln Sie unaufgeforderten Kontakt von jedem, der vorgibt, ein Finanzinstitut zu vertreten, stets mit Vorsicht.

Wie lässt sich die Installation von Malware vermeiden?

Installieren Sie Apps nur aus dem Google Play Store oder von der offiziellen Website eines vertrauenswürdigen Entwicklers. Beachten Sie, dass keine seriöse Bank oder Finanzinstitution Sie jemals während eines Telefonanrufs auffordern wird, Software zu installieren. Wenn Sie eine solche Aufforderung erhalten, legen Sie auf und kontaktieren Sie Ihre Bank direkt.

Überprüfen Sie App-Berechtigungen sorgfältig, bevor Sie sie erteilen, und behandeln Sie Anfragen nach NFC-Zugriff mit Misstrauen, wenn die App keinen klaren Grund dafür hat. Halten Sie Ihr Android-Gerät und alle installierten Apps aktuell und verwenden Sie seriöse mobile Sicherheitssoftware, um Bedrohungen zu erkennen, bevor sie Schaden anrichten können.

Schnellmenü:

• Einleitung
• Wie löscht man den Browserverlauf im Chrome-Webbrowser?
• Wie deaktiviert man Browserbenachrichtigungen im Chrome-Webbrowser?
• Wie setzt man den Chrome-Webbrowser zurück?
• Wie löscht man den Browserverlauf im Firefox-Webbrowser?
• Wie deaktiviert man Browserbenachrichtigungen im Firefox-Webbrowser?
• Wie setzt man den Firefox-Webbrowser zurück?
• Wie deinstalliert man potenziell unerwünschte und/oder bösartige Anwendungen?
• Wie startet man das Android-Gerät im „Abgesicherten Modus"?
• Wie überprüft man den Akkuverbrauch verschiedener Anwendungen?
• Wie überprüft man den Datenverbrauch verschiedener Anwendungen?
• Wie installiert man die neuesten Software-Updates?
• Wie setzt man das System auf seinen Standardzustand zurück?
• Wie deaktiviert man Anwendungen mit Administratorrechten?

Browserverlauf im Chrome-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Verlauf".

Tippen Sie auf „Browserdaten löschen", wählen Sie den Reiter „ERWEITERT", wählen Sie den Zeitraum und die Datentypen, die Sie löschen möchten, und tippen Sie auf „Daten löschen".

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Chrome-Webbrowser deaktivieren:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Einstellungen".

Scrollen Sie nach unten, bis Sie die Option „Website-Einstellungen" sehen, und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option „Benachrichtigungen" sehen, und tippen Sie darauf.

Suchen Sie die Websites, die Browserbenachrichtigungen senden, tippen Sie darauf und klicken Sie auf „Löschen und zurücksetzen". Dadurch werden die diesen Websites erteilten Berechtigungen zum Senden von Benachrichtigungen entfernt. Wenn Sie jedoch dieselbe Website erneut besuchen, kann sie erneut um Erlaubnis bitten. Sie können wählen, ob Sie diese Berechtigungen erteilen möchten oder nicht (wenn Sie ablehnen, wird die Website in den Abschnitt „Blockiert" verschoben und bittet Sie nicht mehr um die Erlaubnis).

[Zurück zum Inhaltsverzeichnis]

Chrome-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Chrome" finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher".

Tippen Sie auf „SPEICHER VERWALTEN", dann auf „ALLE DATEN LÖSCHEN" und bestätigen Sie die Aktion durch Tippen auf „OK". Beachten Sie, dass das Zurücksetzen des Browsers alle darin gespeicherten Daten entfernt. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Browserverlauf im Firefox-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Verlauf".

Scrollen Sie nach unten, bis Sie „Private Daten löschen" sehen, und tippen Sie darauf. Wählen Sie die Datentypen, die Sie entfernen möchten, und tippen Sie auf „DATEN LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Firefox-Webbrowser deaktivieren:

Besuchen Sie die Website, die Browserbenachrichtigungen sendet, tippen Sie auf das Symbol links neben der URL-Leiste (das Symbol muss nicht unbedingt ein „Schloss" sein) und wählen Sie „Website-Einstellungen bearbeiten".

Aktivieren Sie im geöffneten Pop-up die Option „Benachrichtigungen" und tippen Sie auf „LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Firefox-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Firefox" finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher".

Tippen Sie auf „DATEN LÖSCHEN" und bestätigen Sie die Aktion durch Tippen auf „LÖSCHEN". Beachten Sie, dass das Zurücksetzen des Browsers alle darin gespeicherten Daten entfernt. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder bösartige Anwendung sehen, wählen Sie sie aus und tippen Sie auf „Deinstallieren". Wenn Sie aus irgendeinem Grund die ausgewählte App nicht entfernen können (z. B. weil eine Fehlermeldung angezeigt wird), sollten Sie den „Abgesicherten Modus" verwenden.

[Zurück zum Inhaltsverzeichnis]

Das Android-Gerät im „Abgesicherten Modus" starten:

Der „Abgesicherte Modus" im Android-Betriebssystem deaktiviert vorübergehend die Ausführung aller Drittanbieter-Anwendungen. Die Verwendung dieses Modus ist eine gute Möglichkeit, verschiedene Probleme zu diagnostizieren und zu lösen (z. B. bösartige Anwendungen zu entfernen, die Sie daran hindern, dies zu tun, wenn das Gerät „normal" läuft).

Drücken Sie die „Ein/Aus"-Taste und halten Sie sie gedrückt, bis Sie den Bildschirm „Ausschalten" sehen. Tippen Sie auf das Symbol „Ausschalten" und halten Sie es gedrückt. Nach einigen Sekunden erscheint die Option „Abgesicherter Modus", und Sie können ihn durch einen Neustart des Geräts ausführen.

[Zurück zum Inhaltsverzeichnis]

Den Akkuverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Gerätewartung" sehen, und tippen Sie darauf.

Tippen Sie auf „Akku" und überprüfen Sie den Verbrauch jeder Anwendung. Seriöse/echte Anwendungen sind darauf ausgelegt, so wenig Energie wie möglich zu verbrauchen, um die beste Benutzererfahrung zu bieten und Strom zu sparen. Daher kann ein hoher Akkuverbrauch darauf hindeuten, dass die Anwendung bösartig ist.

[Zurück zum Inhaltsverzeichnis]

Den Datenverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Verbindungen" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Datennutzung" sehen, und wählen Sie diese Option. Wie beim Akku sind seriöse/echte Anwendungen darauf ausgelegt, den Datenverbrauch so weit wie möglich zu minimieren. Das bedeutet, dass ein enormer Datenverbrauch auf das Vorhandensein einer bösartigen Anwendung hindeuten kann. Beachten Sie, dass einige bösartige Anwendungen so konzipiert sein könnten, dass sie nur dann aktiv sind, wenn das Gerät mit einem drahtlosen Netzwerk verbunden ist. Aus diesem Grund sollten Sie sowohl die Mobilfunk- als auch die WLAN-Datennutzung überprüfen.

Wenn Sie eine Anwendung finden, die viele Daten verbraucht, obwohl Sie sie nie verwenden, raten wir Ihnen dringend, sie so schnell wie möglich zu deinstallieren.

[Zurück zum Inhaltsverzeichnis]

Die neuesten Software-Updates installieren:

Die Software auf dem neuesten Stand zu halten, ist eine gute Praxis, wenn es um die Gerätesicherheit geht. Die Gerätehersteller veröffentlichen kontinuierlich verschiedene Sicherheitspatches und Android-Updates, um Fehler und Bugs zu beheben, die von Cyberkriminellen missbraucht werden können. Ein veraltetes System ist wesentlich anfälliger, weshalb Sie stets sicherstellen sollten, dass die Software Ihres Geräts aktuell ist.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Software-Update" sehen, und tippen Sie darauf.

Tippen Sie auf „Updates manuell herunterladen" und prüfen Sie, ob Updates verfügbar sind. Falls ja, installieren Sie diese umgehend. Wir empfehlen außerdem, die Option „Updates automatisch herunterladen" zu aktivieren - dadurch benachrichtigt Sie das System, sobald ein Update veröffentlicht wird, und/oder installiert es automatisch.

[Zurück zum Inhaltsverzeichnis]

Das System auf seinen Standardzustand zurücksetzen:

Das Durchführen eines „Zurücksetzens auf Werkseinstellungen" ist eine gute Möglichkeit, alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf den Standard zurückzusetzen und das Gerät allgemein zu bereinigen. Sie müssen jedoch bedenken, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (die auf dem Gerät gespeichert sind, nicht auf der SIM-Karte), SMS-Nachrichten und so weiter. Mit anderen Worten, das Gerät wird in seinen ursprünglichen Zustand zurückversetzt.

Sie können auch die grundlegenden Systemeinstellungen und/oder einfach die Netzwerkeinstellungen wiederherstellen.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Über das Telefon" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Zurücksetzen" sehen, und tippen Sie darauf. Wählen Sie nun die Aktion, die Sie ausführen möchten:
„Einstellungen zurücksetzen" - alle Systemeinstellungen auf den Standard zurücksetzen;
„Netzwerkeinstellungen zurücksetzen" - alle netzwerkbezogenen Einstellungen auf den Standard zurücksetzen;
„Auf Werkseinstellungen zurücksetzen" - das gesamte System zurücksetzen und alle gespeicherten Daten vollständig löschen;

[Zurück zum Inhaltsverzeichnis]

Anwendungen mit Administratorrechten deaktivieren:

Wenn eine bösartige Anwendung Berechtigungen auf Administratorebene erhält, kann sie das System ernsthaft beschädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie stets überprüfen, welche Apps solche Berechtigungen haben, und diejenigen deaktivieren, die sie nicht haben sollten.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Sperrbildschirm und Sicherheit" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Andere Sicherheitseinstellungen" sehen, tippen Sie darauf und anschließend auf „Geräteadministrator-Apps".

Identifizieren Sie Anwendungen, die keine Administratorrechte haben sollten, tippen Sie darauf und dann auf „DEAKTIVIEREN".

Häufig gestellte Fragen (FAQ)

Mein Android-Gerät ist mit der WindRelay-Malware infiziert. Sollte ich mein Speichergerät formatieren, um sie loszuwerden?

Ein Formatieren ist zur Entfernung von WindRelay selten notwendig. Das Ausführen einer seriösen mobilen Sicherheitssoftware wie Combo Cleaner sollte ausreichen, um die Bedrohung auf Ihrem Gerät zu erkennen und zu beseitigen.

Was sind die größten Probleme, die die WindRelay-Malware verursachen kann?

WindRelay ermöglicht Zahlungskartenbetrug in Echtzeit, indem es NFC-Signale Ihrer kontaktlosen Karte erfasst und an Angreifer weiterleitet. In Kombination mit dem Fernzugriff von SpyNote kann dies zu nicht autorisierten Transaktionen, schwerwiegenden finanziellen Verlusten und andauernden Datenschutzverletzungen führen.

Kann WindRelay Geld von meiner kontaktlosen Zahlungskarte stehlen, ohne dass ich es merke?

Ja. Wenn Sie Ihre Karte in die Nähe des infizierten Geräts halten, erfasst WindRelay die NFC-Zahlungsdaten und sendet sie sofort an die Angreifer. Diese können dann Ihre Karte an Zahlungsterminals oder Geldautomaten emulieren, während sich die Karte physisch in Ihrem Besitz befindet.

Wie ist die WindRelay-Malware in mein Android-Gerät eingedrungen?

WindRelay gelangt typischerweise über Vishing-Angriffe auf das Gerät. Ein Betrüger ruft das Opfer an, gibt sich als Bankmitarbeiter aus und überzeugt es, SpyNote zu installieren. Sobald SpyNote aktiv ist, installiert der Angreifer WindRelay unbemerkt per Sideloading, ohne weiteres Zutun des Opfers.

Wird Combo Cleaner mich vor Malware schützen?

Combo Cleaner kann die überwiegende Mehrheit der bekannten Android-Malware erkennen und entfernen. Das Durchführen eines vollständigen Systemscans wird dringend empfohlen, da sich raffinierte Bedrohungen wie WindRelay möglicherweise tief im Gerät zu verbergen versuchen.