Mac-Fernzugriff sofort prüfen: Screen-Sharing-Lücke wird bereits für Kryptomining missbraucht

Wer Screen Sharing auf einem Mac nicht bewusst braucht, sollte es jetzt prüfen und abschalten. Die Sicherheitslücke CVE-2026-65400 betrifft die Bildschirmfreigabe. Apple hat Korrekturen für macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 veröffentlicht. Das kanadische Cyberzentrum verweist auf Berichte über reale Ausnutzung. Im Fokus stehen besonders Systeme, deren Fernzugriff aus dem Internet erreichbar ist.

Die richtige Reaktion ist weder Panik noch bloßes Abwarten: Update installieren, Fernzugriff kontrollieren und unnötige Freigaben beenden. Dieser Artikel zeigt die Schritte für private Macs, Selbstständige und kleine Teams. Er trennt sauber zwischen der macOS-Funktion „Bildschirmfreigabe“, legitimer Fernwartung und einem ungeschützt erreichbaren Dienst. Diese Unterscheidung ist entscheidend, weil eine eingeschaltete Funktion im lokalen Netz nicht automatisch von beliebigen Personen im Internet erreichbar ist.

Was hinter CVE-2026-65400 steckt

Apple beschreibt die Schwachstelle im Sicherheitsinhalt der korrigierten macOS-Versionen. Betroffen ist Screen Sharing, die integrierte Funktion zur Fernsteuerung eines Macs. Nach den Angaben zur Lücke konnte ein Angreifer die Authentifizierung umgehen. Für die Risikobewertung ist wichtig: Eine Schwachstelle allein bedeutet nicht automatisch, dass jeder Mac offen im Internet steht. Gefährlich wird die Lage insbesondere dann, wenn die Funktion aktiviert, erreichbar und nicht ausreichend abgesichert ist.

Die National Vulnerability Database führt die Kennung CVE-2026-65400. Solche Einträge helfen dabei, eine Meldung eindeutig von ähnlichen Warnungen zu unterscheiden. Prüfen Sie immer CVE-Nummer, betroffene Produktversion und Herstellerhinweis. Namen wie „Screen Sharing Hack“ oder „Mac-Fernzugriff-Bug“ sind dagegen unpräzise und führen leicht zu falschen Anleitungen oder überzogenen Schlussfolgerungen.

Berichte über Kryptomining erklären, warum die Prüfung nicht auf später verschoben werden sollte. Beim Kryptomining missbrauchen Angreifer Rechenleistung, um digitale Währungen zu erzeugen. Mögliche Folgen sind ungewöhnlich hohe CPU-Auslastung, starke Erwärmung, laute Lüfter, kürzere Akkulaufzeit und ein spürbar langsamer Mac. Diese Symptome beweisen keinen Angriff. Sie sind aber ein Anlass, Aktivitätsanzeige, installierte Software und Zugriffswege sorgfältig zu prüfen.

Welche Macs gepatcht werden müssen

Apple nennt als korrigierte Versionen macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9. Welche Version für Ihren Mac relevant ist, sehen Sie über das Apple-Menü und „Über diesen Mac“. Dort erscheinen Name und Versionsnummer des Betriebssystems. Entscheidend ist nicht, ob der Mac neu aussieht oder gerade erst gekauft wurde, sondern welche unterstützte macOS-Version installiert ist.

Öffnen Sie danach „Systemeinstellungen“, „Allgemein“ und „Softwareupdate“. Installieren Sie das angebotene macOS-Update und starten Sie den Mac neu. Apple erläutert die Sicherheitsinhalte von Tahoe 26.6.1 unter Informationen zum Sicherheitsinhalt von macOS Tahoe 26.6.1. Wenn Ihr Mac Sequoia oder Sonoma verwendet, prüfen Sie in Softwareupdate das entsprechende Sicherheitsrelease für genau diese Linie.

Ein älteres, nicht mehr unterstütztes System kann keine aktuelle Korrektur erhalten. In diesem Fall ist es besonders wichtig, nicht benötigte Fernzugriffe abzuschalten, den Mac nicht direkt aus dem Internet erreichbar zu machen und eine Aktualisierung auf ein unterstütztes System oder einen Gerätewechsel zu planen. Sicherheitssoftware kann das Risiko mindern, kann aber eine fehlende Betriebssystemkorrektur nicht gleichwertig ersetzen.

Screen Sharing auf dem Mac finden und bewerten

Öffnen Sie auf aktuellen macOS-Versionen die Systemeinstellungen und gehen Sie zu „Allgemein“ und anschließend zu „Freigaben“. Suchen Sie dort nach „Bildschirmfreigabe“. Ist der Schalter deaktiviert, stellt der Mac über diese Funktion keine Bildschirmfreigabe bereit. Ist er aktiviert, sehen Sie je nach Konfiguration, welche Nutzer zugreifen dürfen. Prüfen Sie diese Liste bewusst: Nur bekannte Konten mit einem nachvollziehbaren Zweck sollten dort stehen.

Verwechseln Sie Bildschirmfreigabe nicht mit jedem Fernzugriff. Es gibt auch Remote Management, Dateifreigabe, Remote Login, Drittanbieter-Fernwartung und Routerfreigaben. Jede Funktion hat eigene Risiken. Für CVE-2026-65400 ist Screen Sharing der zentrale Punkt, doch ein aufgeräumter Freigaben-Bereich bietet generell weniger Angriffsfläche.

1. Apple-Menü öffnen und „Systemeinstellungen“ wählen.
2. Zu „Allgemein“ und „Freigaben“ gehen.
3. „Bildschirmfreigabe“ suchen.
4. Wenn nicht benötigt: deaktivieren.
5. Wenn benötigt: zugelassene Nutzer einzeln kontrollieren.
6. Weitere aktivierte Freigaben auf Zweck und Berechtigung prüfen.

Eine gute Frage lautet: Würde ich bemerken, wenn diese Funktion heute für eine Fernwartung gebraucht würde? Wenn die Antwort nein ist, fehlt meist ein klarer Betriebszweck. In privaten Haushalten ist die Bildschirmfreigabe oft nur für kurzfristige Hilfe aktiviert worden und kann danach wieder aus bleiben. In Teams sollte festgelegt sein, wer sie wann einschalten darf und wer die Abschaltung kontrolliert.

Port 5900: Was die Erreichbarkeit aussagt

Screen Sharing nutzt typischerweise VNC-Technik; Port 5900 ist deshalb ein wichtiger Prüfpunkt. Eine aktive Bildschirmfreigabe im heimischen WLAN ist nicht automatisch vom Internet aus erreichbar. Erst Routerweiterleitungen, spezielle Fernzugriffsdienste, falsch konfigurierte Firewalls oder ein Unternehmensnetz können dazu führen, dass ein Dienst extern erreichbar wird. Genau diese Unterscheidung verhindert voreilige Schlüsse.

Prüfen Sie zuerst den Router: Suchen Sie im Verwaltungsbereich nach Portfreigaben, NAT-Regeln oder Weiterleitungen. Entfernen Sie eine Weiterleitung auf Port 5900, wenn sie nicht zwingend benötigt wird. Löschen Sie nicht wahllos Unternehmensregeln oder VPN-Konfigurationen. In einer Firma sollte die zuständige IT den Eintrag bewerten, weil externe Wartung über dokumentierte Zugänge laufen kann.

Eine sichere Fernwartung setzt nicht einfach auf einen offen ins Internet weitergeleiteten Bildschirmfreigabe-Port. Besser sind ein aktuelles System, eindeutige Benutzerkonten, starke Passwörter, begrenzte Berechtigungen, ein abgesicherter VPN-Zugang und eine dokumentierte Freigabe. Welche Methode passend ist, hängt von Umgebung und Supportkonzept ab. Für die meisten privaten Nutzer ist die einfachste und sicherste Lösung: Bildschirmfreigabe deaktiviert lassen, bis sie konkret gebraucht wird.

Update installieren und Neustart abschließen

Sichern Sie offene Arbeit, schließen Sie wichtige Programme und verbinden Sie ein MacBook mit Strom. Öffnen Sie dann „Systemeinstellungen“, „Allgemein“ und „Softwareupdate“. Wählen Sie die Installation des verfügbaren Updates. Während des Vorgangs kann der Mac mehrere Neustarts durchführen. Schließen Sie das Gerät nicht und erzwingen Sie keinen Ausschaltvorgang, solange ein Apple-Logo oder ein Fortschrittsbalken angezeigt wird.

Nach dem Neustart kontrollieren Sie die Versionsnummer über „Über diesen Mac“. Wiederholen Sie danach den Blick in „Freigaben“. Das Update behebt die bekannte Schwachstelle, aber es entscheidet nicht für Sie, ob ein Fernzugriff weiterhin notwendig ist. Diese Konfigurationsentscheidung bleibt wichtig. Wer Screen Sharing nach dem Update weiter aktiviert lässt, sollte Berechtigungen und externe Erreichbarkeit ebenfalls geprüft haben.

In kleinen Teams lohnt sich eine einfache Dokumentation: Mac-Name, Betriebssystem, installierte Version, Datum, verantwortliche Person und Status der Bildschirmfreigabe. Das ist besonders hilfreich, wenn Geräte nicht täglich im Büro sind. Ein Mac, der wochenlang offline war, kann sonst leicht übersehen werden. Dokumentation ist dabei keine Bürokratie um ihrer selbst willen, sondern ein schneller Weg, unklare Zuständigkeiten sichtbar zu machen.

Kryptomining erkennen, ohne voreilige Diagnose

Hohe Prozessorlast ist kein eindeutiger Beleg für Kryptomining. Videokonferenzen, Fotoexporte, Indizierung nach einem Update und viele Browser-Tabs können ebenfalls Lüfter und Akku belasten. Prüfen Sie deshalb in der Aktivitätsanzeige, welche Prozesse CPU, Energie und Netzwerk nutzen. Notieren Sie einen unbekannten Prozessnamen, bevor Sie ihn beenden oder recherchieren.

Verdächtig wird eine Kombination aus dauerhaft hoher Last im Leerlauf, unbekannten Autostart-Objekten, nicht erklärbaren Netzwerkverbindungen und einem aktivierten oder extern erreichbaren Fernzugriff. Trennen Sie den Mac bei einem ernsthaften Verdacht vom Netzwerk, aber löschen Sie nicht vorschnell Beweise oder Systemdateien. Bei geschäftlichen Geräten informieren Sie die IT oder einen qualifizierten Incident-Response-Dienst. Ändern Sie Passwörter von einem anderen, vertrauenswürdigen Gerät aus, wenn ein unbefugter Zugriff möglich erscheint.

Das kanadische Cyberzentrum beschreibt die Apple-Warnung unter Apple Security Advisory AV26-823. Die Meldung ist eine Grundlage für die technische Priorisierung, keine Ferndiagnose für einen einzelnen Mac. Gute Sicherheitsarbeit trennt bestätigte Fakten von beobachteten Symptomen. Ein lauter Lüfter kann harmlos sein; ein unbekannter Prozess verdient dagegen eine nachvollziehbare Prüfung.

Fernzugriff sicher organisieren

Manche Menschen brauchen Bildschirmfreigabe tatsächlich: etwa zur Hilfe für Angehörige, für die Arbeit im Homeoffice oder für die Administration eines kleinen Studios. Dann sollte der Zugriff zeitlich und personell begrenzt sein. Aktivieren Sie die Funktion nur für die Dauer eines konkreten Supportfalls, erlauben Sie nur bekannte Benutzer und deaktivieren Sie sie anschließend wieder. Teilen Sie Passwörter nicht per ungeschütztem Chat oder in E-Mails.

Bei wiederkehrender Fernwartung ist ein klarer Ablauf sinnvoll. Wer fordert Zugriff an? Wer bestätigt ihn? Über welchen abgesicherten Weg wird verbunden? Wer prüft nach Abschluss die Deaktivierung? Dieser Ablauf ist weniger spektakulär als ein neues Tool, verhindert aber dauerhaft eingerichtete Zugänge ohne Besitzer. Ergänzend hilft es, Supportzeiten und verantwortliche Kontakte festzuhalten.

• Nur individuelle Benutzerkonten verwenden.
• Starke, einzigartige Passwörter einsetzen.
• Keine unnötigen Routerweiterleitungen nutzen.
• Fernzugriff nach erledigter Hilfe wieder deaktivieren.
• macOS und die verwendete Fernwartungssoftware aktuell halten.
• Bei beruflicher Nutzung Zugriffe protokollieren.

Apple erklärt die allgemeine Einrichtung der Bildschirmfreigabe im Handbuch Bildschirmfreigabe auf dem Mac. Für die Sicherheit gilt: Komfort ist kein Grund, eine Funktion dauerhaft offen zu lassen. Ein bewusst aktivierter, zeitlich begrenzter Zugriff ist einfacher zu prüfen und besser zu verantworten als eine alte Freigabe, deren Zweck niemand mehr kennt.

Was bei einem Verdacht auf unbefugten Zugriff zu tun ist

Wenn Sie einen unbekannten Zugriff, unerklärliche Konfigurationsänderungen oder auffällige Last feststellen, gehen Sie strukturiert vor. Trennen Sie den Mac bei akutem Verdacht vom Netzwerk. Fotografieren oder notieren Sie sichtbare Meldungen, Zeitpunkte, Prozessnamen und ungewöhnliche Benutzerkonten. Prüfen Sie, ob Bildschirmfreigabe aktiviert ist. Installieren Sie anschließend das aktuelle macOS-Update, sofern das noch nicht geschehen ist.

Ändern Sie wichtige Kennwörter über ein anderes, vertrauenswürdiges Gerät und aktivieren Sie Mehrfaktor-Authentifizierung, wo verfügbar. Bei Firmen-Macs ist eine eigene Bereinigung ohne Rücksprache oft keine gute Idee: Sie kann Spuren beseitigen und zentrale Schutzmaßnahmen stören. Melden Sie den Vorfall stattdessen der IT. Private Nutzer können bei anhaltendem Verdacht professionelle Hilfe einholen und besonders kritische Konten, etwa E-Mail und Bankzugang, gesondert sichern.

Ein kompletter Neustart oder das Schließen eines Prozesses reicht nicht als Beweis, dass ein Problem verschwunden ist. Ebenso ist ein lauter Lüfter kein Beweis für einen Einbruch. Ziel ist eine nachvollziehbare Prüfung, nicht eine schnelle Selbstdiagnose. Wer Beobachtungen, Zeitpunkte und bereits vorgenommene Schritte notiert, erleichtert auch einer später hinzugezogenen Fachperson die Einschätzung.

Checkliste für heute

• macOS-Version über „Über diesen Mac“ feststellen.
• Passendes Sicherheitsupdate in Softwareupdate installieren.
• Mac vollständig neu starten lassen.
• Bildschirmfreigabe in „Allgemein“ und „Freigaben“ prüfen.
• Nicht benötigte Bildschirmfreigabe deaktivieren.
• Zugelassene Benutzer kontrollieren.
• Router auf Portweiterleitungen, insbesondere Port 5900, prüfen.
• Bei Auffälligkeiten Aktivitätsanzeige und Netzwerkzugriff dokumentieren.
• Wichtige Passwörter und Mehrfaktor-Authentifizierung überprüfen.

Der wichtigste Punkt dieser Liste ist die Kombination aus Patch und Konfiguration. Ein aktueller Mac mit unnötig offenem Fernzugriff bleibt schlechter geschützt als ein Mac, auf dem die Funktion gar nicht läuft. Umgekehrt ist eine deaktivierte Funktion kein Grund, ein verfügbares Sicherheitsupdate auszulassen. Erst das Zusammenspiel aus aktuellem System, möglichst kleiner Angriffsfläche und aufmerksamer Kontoprüfung ergibt einen belastbaren Schutz.

Zugänge und Berechtigungen rund um den Mac aufräumen

Die Prüfung der Bildschirmfreigabe ist ein guter Anlass, auch die zugehörigen Benutzerkonten zu betrachten. In den Systemeinstellungen sollte nachvollziehbar sein, welche Personen einen eigenen Zugang zum Mac haben und warum dieser Zugang noch benötigt wird. Alte Testkonten, frühere Mitarbeitende oder längst nicht mehr genutzte Familienprofile erhöhen die Unübersichtlichkeit. Entfernen oder deaktivieren Sie Konten nur, wenn ihre Daten gesichert sind und der Zweck eindeutig geklärt wurde.

Besondere Aufmerksamkeit verdienen Konten mit Administratorrechten. Diese Rechte werden für manche Wartungsaufgaben gebraucht, sollten aber nicht beiläufig an mehrere Personen vergeben sein. Je klarer geregelt ist, wer Einstellungen verändern darf, desto leichter fallen unerwartete Änderungen auf. Für die tägliche Nutzung ist ein gewöhnliches Benutzerkonto oft ausreichend. Administratorrechte können dann gezielt eingesetzt werden, wenn macOS nach einer Bestätigung fragt.

Kontrollieren Sie auch, welche Apps beim Anmelden gestartet werden dürfen. Unbekannte oder nicht mehr benötigte Hintergrundobjekte sind kein automatischer Hinweis auf Schadsoftware, aber sie verdienen eine nachvollziehbare Erklärung. Notieren Sie den Namen, prüfen Sie den Hersteller und entscheiden Sie erst dann, ob das Objekt deaktiviert oder entfernt werden soll. Ein vorschnelles Löschen kann wichtige Funktionen beschädigen, während ein dokumentierter Check später eine bessere Einordnung ermöglicht.

Für Apple Accounts und andere zentrale Dienste ist Mehrfaktor Authentifizierung besonders wertvoll. Prüfen Sie bekannte Geräte, Wiederherstellungsoptionen und hinterlegte Kontaktwege. Wenn ein Fernzugriff oder eine fremde Anmeldung befürchtet wird, ändern Sie Zugangsdaten nicht auf dem möglicherweise betroffenen Mac, sondern auf einem vertrauenswürdigen Gerät. Dadurch sinkt das Risiko, dass neue Kennwörter unmittelbar mitgelesen werden. Ein Passwortmanager hilft dabei, für unterschiedliche Dienste eigene, starke Zugangsdaten zu verwenden.

Supportanfragen sicher und nachvollziehbar behandeln

Fernhilfe ist nützlich, wird aber häufig für Täuschungsversuche missbraucht. Seien Sie skeptisch, wenn sich jemand unerwartet als Apple Support, Sicherheitsfirma oder Internetanbieter meldet und sofort Zugriff auf den Bildschirm verlangt. Ein Hinweis auf eine aktuelle Sicherheitslücke macht einen Anruf nicht glaubwürdig. Beenden Sie die Kommunikation und nehmen Sie bei Bedarf selbst über eine bekannte offizielle Adresse Kontakt auf.

Bei echter Hilfe sollte vorab klar sein, wer unterstützt, welches Problem gelöst werden soll und wie lange der Zugriff nötig ist. Aktivieren Sie die Bildschirmfreigabe erst, wenn diese Fragen beantwortet sind. Beobachten Sie während der Sitzung, welche Änderungen vorgenommen werden, und lassen Sie sich wichtige Schritte erklären. Nach dem Supportfall wird die Freigabe wieder deaktiviert. Kontrollieren Sie danach die Liste zugelassener Benutzer sowie die übrigen Freigaben in den Systemeinstellungen.

In einem kleinen Team lohnt sich eine einfache Regel: Fernzugriff benötigt einen konkreten Auftrag und einen verantwortlichen Ansprechpartner. Notieren Sie Datum, betroffenen Mac, Anlass und die durchgeführten Änderungen. Diese Notiz muss nicht aufwendig sein. Sie sorgt aber dafür, dass eine später entdeckte Einstellung nicht rätselhaft bleibt. Außerdem erleichtert sie die Übergabe, wenn ein anderes Teammitglied oder ein externer Dienstleister die Betreuung übernimmt.

Bewahren Sie bei Auffälligkeiten einen nüchternen Blick. Ein langsamer Mac, ein lauter Lüfter oder eine kurze hohe Prozessorlast können viele technische Ursachen haben. Entscheidend ist das Gesamtbild: unerklärliche Konten, unbekannte Hintergrundobjekte, ungewohnte Freigaben oder auffällige Netzwerkaktivität verdienen weitere Prüfung. Halten Sie Beobachtungen fest, aktualisieren Sie macOS und begrenzen Sie unnötige Zugänge. So wird aus einer einzelnen Sicherheitsmeldung eine dauerhafte Verbesserung der eigenen Mac Sicherheit.

Quellen und weiterführende Informationen

Apple dokumentiert die korrigierte Sicherheitslücke in den Sicherheitsinformationen zu macOS Tahoe 26.6.1. Die CVE-Referenz steht in der National Vulnerability Database. Hinweise zur gemeldeten Ausnutzung enthält die Warnung des Canadian Centre for Cyber Security. Apple erläutert außerdem die Verwendung der Bildschirmfreigabe und die Aktualisierung von macOS. Allgemeine Empfehlungen für sichere Geräte und Konten bietet das BSI.