Mac-Programme richtig deinstallieren: Warum alte Apps im Hintergrund weiterlaufen und wie du Anmelde- und Hintergrundobjekte aufräumst

01 / Der Anlass

Was beim Fall Popcorn Time passiert ist.

Popcorn Time war vor rund zehn Jahren ein beliebtes Programm, mit dem man Filme per BitTorrent herunterladen und direkt ansehen konnte. Das Original wurde 2014 eingestellt, danach entstanden Ableger. Einer davon heißt Time4Popcorn und wurde ebenfalls unter dem Namen „Popcorn Time“ verteilt, sodass viele Nutzer gar nicht wissen, welche Fassung sie installiert haben [1]. Ein neues, legales Projekt, das seit Anfang 2025 den Namen nutzt, ist nicht betroffen [2].

Die niederländische Sicherheitsfirma Eye Security stieß bei einer Routine-Suche im Netzwerk eines Kunden auf einen Updater, der eine nicht mehr registrierte Adresse ansprach. Das Team registrierte die Domain selbst und sah rund 50 Anfragen pro Sekunde eingehen [1]. Laut Bericht hatte keiner der betroffenen Kunden die Software noch aktiv genutzt, die meisten hatten sie vor Jahren installiert und vergessen [1].

Das Problem: Der Updater holte Updates über unverschlüsseltes HTTP und führte heruntergeladene Programme ohne Prüfung einer Signatur aus, auf dem Mac mit Root-Rechten [1][2]. Wer eine der aufgegebenen Update-Adressen kaufte oder den Datenverkehr manipulieren konnte, hätte damit beliebigen Code auf diesen Rechnern starten können. Die Lücke trägt die Kennung CVE-2026-30612 [2].

Die Zahlen aus dem Bericht

• Macs: Anfangs zählte Eye Security rund 1,7 Millionen Mac-Kennungen. Weil sich die Kennung bei geändertem Rechnernamen oder Netzwerkadressen ändert, schätzt das Team die tatsächliche Zahl auf 250.000 bis 350.000 Macs [1][4].
• Windows: geschätzt 2,5 bis 3 Millionen Rechner [1].
• Herkunft: Neben Privatanschlüssen kamen Verbindungen auch aus Firmen-, Behörden- und Militärnetzen [1].

Zwischen November 2025 und März 2026 hat Eye Security über die Lücke selbst ein Update verteilt, das den Updater nur abschaltet, insgesamt mehr als 2 Millionen Downloads. Bis zum 1. März 2026 sank der Update-Verkehr um 98 Prozent, die 15 eigenen Domains gingen Ende März an die Shadowserver Foundation [1]. Vorgestellt wurde das als „Operation IXIM“ am 22. Oktober 2026 auf der Konferenz hack.lu [1]. Hinweise, dass Kriminelle die Lücke ausgenutzt haben, fanden die Forscher laut MacRumors nicht [3].

Erledigt ist der Fall trotzdem nicht. Einige Update-Domains gehören weiterhin Dritten, und die App selbst nutzt eine Chrome-Engine von 2014 mit abgeschalteter Sandbox [1]. Die Empfehlung der Forscher lautet deshalb schlicht: deinstallieren [1][3].

02 / Grundlagen

Warum eine gelöschte App weiterlaufen kann.

Eine Mac-App ist auf den ersten Blick ein einzelnes Symbol im Ordner „Programme“. Viele Programme bringen aber Helfer mit, die außerhalb dieses Symbols liegen. Bei Time4Popcorn war es eine Datei namens PT.updd im Ordner /Library/PrivilegedHelperTools/, gestartet über einen sogenannten Launch-Daemon unter /Library/LaunchDaemons/PT.updd.plist [2]. Dieser Daemon startet beim Hochfahren des Mac, ganz gleich, ob die App jemals wieder geöffnet wird [2].

Apple selbst unterscheidet drei Arten solcher Hintergrundobjekte: Anmeldeobjekte, Launch-Agenten und Launch-Daemons [10]. Anmeldeobjekte öffnen sich, wenn du dich anmeldest. Launch-Agenten laufen im Kontext eines angemeldeten Nutzers, Launch-Daemons systemweit, oft mit erweiterten Rechten (Einschätzung, gängige macOS-Praxis). Für viele Programme ist das sinnvoll, etwa für Cloud-Sync, Druckertreiber oder einen Virenscanner. Gefährlich wird es, wenn das Hauptprogramm längst weg ist und der Helfer keine Updates mehr bekommt.

Seit macOS 13 macht Apple diese Objekte sichtbarer: Fügt eine App ein Anmelde- oder Hintergrundobjekt hinzu, erscheint eine Mitteilung, und du kannst es in den Systemeinstellungen abschalten [11]. Ab macOS 26 fragt der Mac zusätzlich nach, wenn eine App Hintergrundaktionen startet, die nach dem Beenden der App aktiv bleiben [10]. Ältere Installationen von vor diesen Versionen können trotzdem noch Helfer enthalten, die du nie bewusst bestätigt hast (Einschätzung).

03 / Anleitung

So deinstallierst du Mac-Programme richtig.

Apple beschreibt den Weg in einem Support-Artikel, der für alle Apps gilt, die nicht zu macOS gehören [5]. Ich gehe ihn in dieser Reihenfolge durch:

1. App beenden: Ist das Programm geöffnet, beende es zuerst [5].
2. App im Finder finden: Die meisten Apps liegen im Ordner „Programme“, manche im Ordner „Programme“ deines Benutzerordners. Über Spotlight findest du sie mit gedrückter Befehlstaste und Doppelklick auf das Suchergebnis [5].
3. Nach einem Deinstaller suchen: Liegt die App in einem eigenen Ordner, schau dort nach „[App] deinstallieren“ [6]. Apple nennt den Deinstaller ausdrücklich die beste Möglichkeit, auch Anmeldeobjekte, Erweiterungen und Daten an anderen Orten zu entfernen. Manche Apps haben die Funktion als Menüpunkt oder in den Einstellungen [5].
4. Sonst in den Papierkorb: Ohne Deinstaller ziehst du die App in den Papierkorb oder wählst „Ablage“ › „In den Papierkorb legen“. Fragt der Mac nach Name und Passwort, gibst du die Daten eines Administrator-Accounts ein [5].
5. Papierkorb leeren: Erst mit „Finder“ › „Papierkorb leeren“ ist die App endgültig gelöscht [5].

Apps aus dem App Store kannst du auch in der App-Übersicht löschen: Symbol gedrückt halten, bis es wackelt, dann auf das Löschsymbol klicken [7]. Zwei Hinweise aus Apples Artikel werden gern übersehen: Dokumente, die du mit der App erstellt hast, bleiben erhalten, und laufende Abos werden durch das Löschen nicht gekündigt [5]. Die Kündigung musst du also separat erledigen.

04 / Aufräumen

Wie du Anmelde- und Hintergrundobjekte prüfst.

Nach dem Löschen lohnt der Blick in die Systemeinstellungen. Du findest die Liste unter Menü „Apple“ › „Systemeinstellungen“ › „Allgemein“ › „Anmeldeobjekte & Erweiterungen“. Ändern kannst du dort nur als Admin [8].

Bei der Anmeldung öffnen

Hier stehen Apps, Dokumente oder Serververbindungen, die beim Anmelden automatisch starten, also die klassischen Mac-Autostart-Programme. Mit dem Minus-Zeichen unter der Liste entfernst du einen Eintrag [9]. Zeigt die Liste neben einem Objekt ein Warnsymbol, wurde es verschoben oder gelöscht und kann nicht mehr geöffnet werden [8]. Solche Leichen kannst du entfernen.

Im Hintergrund erlauben

Darunter folgen die Apps, die Aktionen ausführen dürfen, obwohl sie nicht geöffnet sind, zum Beispiel nach Updates suchen oder Daten synchronisieren [8][9]. Im aktuellen Handbuch heißt der Bereich „App-Hintergrundaktivitäten“ [8], in älteren macOS-Versionen hieß er „Im Hintergrund erlauben“. Über die Informationstaste neben einem Eintrag siehst du, welches Objekt tatsächlich gestartet wird [10]. Steht dort ein Hersteller, dessen Programm du nicht mehr nutzt, schalte den Schalter aus. Ein Eintrag, den du nicht zuordnen kannst, ist nicht automatisch schädlich. Ich würde ihn erst recherchieren und dann abschalten, statt Dateien von Hand zu löschen (Einschätzung).

Die Ordner hinter der Liste

Im Fall Popcorn Time lag der Helfer in /Library/PrivilegedHelperTools/, die Startdatei in /Library/LaunchDaemons/ [2]. Weitere übliche Ablageorte für Startdateien sind /Library/LaunchAgents/ und ~/Library/LaunchAgents/ in deinem Benutzerordner (Einschätzung, macOS-Konvention). Im Finder erreichst du sie über „Gehe zu“ › „Gehe zum Ordner“. Ein Dateiname mit dem Namen eines längst gelöschten Programms ist ein Hinweis, mehr nicht. Eye Security nennt für Time4Popcorn diesen Befehl, um den Daemon dauerhaft abzuschalten [2]:

launchctl unload -w /Library/LaunchDaemons/PT.updd.plist

Für Dateien in Systemordnern brauchst du Administratorrechte, der Befehl wird daher in der Regel mit vorangestelltem sudo ausgeführt (Einschätzung). Danach sollte PT.updd nicht mehr laufen und nach einem Neustart nicht wieder starten [2]. Die App selbst entfernst du anschließend wie oben beschrieben. Wenn du dir bei solchen Ordnern unsicher bist: Finger weg von Dateien, die du nicht eindeutig zuordnen kannst.

05 / Firmen-Macs

Welche Routine sich für Firmen-Macs lohnt.

Eye Security hat den Updater auf Firmenlaptops gefunden, auf denen die Software niemand mehr bewusst genutzt hat [1]. Das ist der typische Fall in kleinen Büros: Ein Mitarbeiter installiert einmal ein Tool, Jahre später weiß niemand mehr davon. Für Firmen-Macs empfehle ich deshalb eine einfache Routine (Einschätzung):

• Vierteljährlich: Ordner „Programme“ durchgehen und alles löschen, was niemand mehr braucht, jeweils mit Deinstaller, falls vorhanden.
• Direkt danach: „Anmeldeobjekte & Erweiterungen“ öffnen und Hintergrundobjekte ohne zugehöriges Programm abschalten.
• Mitteilungen ernst nehmen: Meldet der Mac ein neues Hintergrundobjekt, kurz prüfen, zu welcher Installation es gehört.
• Bei Geräteübergabe: Vor der Weitergabe an neue Mitarbeitende ohnehin neu aufsetzen statt nur aufräumen.

Ab ein paar Geräten lohnt sich eine zentrale Verwaltung. Über ein Geräteverwaltungsprofil kann ein Admin festlegen, welche Hintergrundobjekte erlaubt sind. Passende Objekte werden dann automatisch genehmigt und lassen sich von Nutzern nicht deaktivieren [10][11]. Mit sfltool dumpbtm im Terminal gibt macOS außerdem den Status aller Anmelde- und Hintergrundobjekte aus [10]. Wie du Firmen-Macs mit Apple Business einbindest, steht in Apple Business: Firmen-iPhones und Macs zentral verwalten.

Ein Virenscanner kann bei solchen Altlasten helfen, ersetzt das Aufräumen aber nicht. Eye Security empfiehlt Sicherheitsanbietern, PT.updd als potenziell unerwünschtes Programm zu markieren und die Dateien zu entfernen [1]. Bis das überall umgesetzt ist, bleibt der Blick in die eigene Programmliste wichtig. Was macOS selbst an Schutz mitbringt und wann ein Zusatzprogramm sinnvoll ist, habe ich in Braucht der Büro-Mac einen Virenschutz? beschrieben.

Quellen

Quellen

1. Eye Research (Niels Teusink): „Operation IXIM: Preventing a botnet of millions of Popcorn Time users“, 22. Oktober 2026 – labs.eye.security · abgerufen 31.10.2026.
2. Eye Research (Niels Teusink): „CVE-2026-30612: A vulnerability in Time4Popcorn (PopcornTime)“, 11. Juni 2026 – labs.eye.security · abgerufen 31.10.2026.
3. MacRumors (Tim Hardwick): „Old ‚Popcorn Time‘ App Left Hundreds of Thousands of Macs at Risk“, 29. Oktober 2026 – macrumors.com · abgerufen 31.10.2026.
4. AppleInsider (Andrew Orr): „Up to 350,000 Macs exposed by a forgotten Popcorn Time updater“, 29. Oktober 2026 – appleinsider.com · abgerufen 31.10.2026.
5. Apple Support: „Apps auf dem Mac löschen oder deinstallieren“, 19. Juni 2026 – support.apple.com · abgerufen 31.10.2026.
6. Apple, Mac – Benutzerhandbuch: „Apps aus dem Internet oder von CDs/DVDs auf dem Mac installieren und deinstallieren“ – support.apple.com · abgerufen 31.10.2026.
7. Apple, App Store – Benutzerhandbuch: „Installieren und Deinstallieren von Apps, die im App Store auf dem Mac gekauft wurden“ – support.apple.com · abgerufen 31.10.2026.
8. Apple, Mac – Benutzerhandbuch: „Ändern der Einstellungen für ‚Anmeldeobjekte & Erweiterungen‘ auf dem Mac“ – support.apple.com · abgerufen 31.10.2026.
9. Apple, Mac – Benutzerhandbuch: „Automatisches Öffnen von Objekten beim Anmelden auf dem Mac“ – support.apple.com · abgerufen 31.10.2026.
10. Apple, Implementierung von Apple-Plattformen: „Verwalten von Anmeldeobjekten und Hintergrundaufgaben auf dem Mac“, 17. Dezember 2025 – support.apple.com · abgerufen 31.10.2026.
11. Apple Business – Benutzerhandbuch: „Paketen in Apple Business weitere Informationen hinzufügen“ (Abschnitt Anmelde- und Hintergrundobjekte), 14. April 2026 – support.apple.com · abgerufen 31.10.2026.

Alle Quellen am 31. Oktober 2026 abgerufen. Aussagen ohne belastbare Quelle sind im Text als Einschätzung gekennzeichnet; die Ziffern in eckigen Klammern verweisen auf die Nummern dieser Liste.