Antivirenprogramm

Ein Antivirenprogramm (auch Virenscanner oder Virenschutz genannt, Abkürzung: AV) ist eine Software, die bekannte Computerviren, Computerwürmer und Trojanische Pferde aufspürt, blockiert und gegebenenfalls beseitigt.

Geschichte

Die meisten der Computerviren, die Anfang und Mitte der '80er Jahre geschrieben wurden, waren auf reine Selbstreproduktion beschränkt und verfügten oft noch nicht einmal über eine spezifische Schadfunktion. Erst als die Technik der Virenprogrammierung breiteren Kreisen bekannt wurde, tauchten zunehmend Viren auf, die gezielt Daten auf infizierten Rechnern manipulierten oder zerstörten. Damit war die Notwendigkeit gegeben, sich um die Bekämpfung dieser schädlichen Viren durch spezielle Antivirenprogramme Gedanken zu machen.^[1]

Es gibt konkurrierende Ansprüche, wer der Erfinder des ersten Antivirenprogrammes ist. Die wahrscheinlich erste öffentlich dokumentierte Entfernung eines Computervirus wurde von Bernd Fix im Jahr 1987 durchgeführt.^[2][3]

Fred Cohen, der schon 1984 durch seine Arbeiten das Thema „Computerviren“ öffentlich gemacht hatte ^[4], entwickelte ab 1988 Strategien zur Virenbekämpfung^[5], die von späteren Antivirenprogrammierern aufgegriffen und fortgeführt wurden.

Ebenfalls 1988 entstand im BITNET/EARN-Rechnerverbund eine Mailingliste namens VIRUS-L^[6], in der vor allem über das Auftauchen neuer Viren sowie die Möglichkeiten zur Virenbekämpfung diskutiert wurde. Einige Teilnehmer dieser Liste wie zum Beispiel John McAfee oder Eugene Kaspersky gründeten in der Folge Unternehmen, die kommerzielle Antivirenprogramme entwickelten und anboten. Vier Jahre zuvor, 1984, war schon Arcen Data (heute Norman ASA) gegründet worden, das sich Ende der 1980er Jahre, mit dem Auftauchen der ersten Computerviren in Norwegen, ebenfalls auf Antivirenprogramme spezialisierte.^[7]

Bevor eine Internet-Anbindung üblich wurde, verbreiteten sich Viren typischerweise über Disketten. Antivirenprogramme wurden zwar manchmal verwendet, aber nur unregelmäßig auf einen aktuellen Stand nachgeführt. Während dieser Zeit prüften Antivirenprogramme nur ausführbare Programme sowie die Boot-Sektoren auf Disketten und Festplatten. Mit der Verbreitung des Internets begannen Viren auf diesem Weg, neue Rechner zu infizieren und damit eine allgemeinere Gefahr darzustellen.^[8]

Mit der Zeit wurde es für Antivirenprogramme immer wichtiger, verschiedene Dateitypen (und nicht nur ausführbare Programme) auf verborgene Viren zu untersuchen. Dies hatte unterschiedliche Gründe:

• Die Verwendung von Makros in Textverarbeitungs-Programmen wie Microsoft Word stellten ein zusätzliches Viren-Risiko dar. Virenprogrammierer begannen, Viren als Makros in Dokumente einzubetten. Dies bedeutete, dass Computer allein dadurch infiziert werden konnten, dass ein eingebettetes Makrovirus in einem Dokument ausgeführt wurde.^[9]
• Spätere E-Mail-Programme, insbesondere Microsoft Outlook Express und Outlook, waren verwundbar für Viren, die in E-Mails eingebunden waren. Dadurch konnte ein Rechner infiziert werden, indem eine E-Mail geöffnet und angesehen wurde.

Mit der Verbreitung von Breitbandanschlüssen und der steigenden Anzahl vorhandener Viren wurde auch die häufige Aktualisierung der Antivirenprogramme notwendig. Aber selbst unter diesen Umständen konnte sich ein neuartiger Virus innerhalb kurzer Zeit stark verbreiten, bevor die Hersteller von Antivirenprogrammen darauf mit einer Aktualisierung reagieren konnten.^[10]

Typen von Antivirenprogrammen

Virenscanner arbeiten meist auf eine oder mehrere der folgenden Arten:

Echtzeitscanner

Der Echtzeitscanner (engl. on-access scanner, real-time protection, background guard), auch Zugriffsscanner oder residenter Scanner genannt, ist im Hintergrund als Systemdienst (Windows) oder Daemon (Unix) aktiv und scannt alle Dateien, Programme, den Arbeitsspeicher und evtl. den HTTP- wie den FTP-Verkehr. Um dies zu erreichen, werden so genannte Filtertreiber vom Antivirenprogramm installiert, welche die Schnittstelle zwischen dem Echtzeitscanner und dem Dateisystem bereitstellen. Generell muss beim Echtzeitschutz zwischen zwei Strategien unterschieden werden:

1. Scannen beim Öffnen von Dateien (Lesevorgang)
2. Scannen beim Erstellen / Ändern von Dateien (Schreibvorgang)

Bei einigen Virenscannern lässt sich diese Strategie einstellen, bei anderen ist sie unveränderlich im Programm konfiguriert. Da Schreibvorgänge wesentlich seltener vorkommen als Lesevorgänge, bevorzugen viele Benutzer diese Einstellung. Sie sorgt dafür, dass die ohnehin zusätzliche Belastung des Computers durch den Echtzeitscanner vermindert wird, aber sie verhindert nicht, dass sich das Computersystem infiziert, wenn Benutzer virulente, aber inaktive Dateien öffnen.

Der alleinige Einsatz eines On-Access-Virenscanners bietet keinen vollständigen Schutz vor Schadprogrammen, da die meisten Virenscanner nicht sehr erfolgreich beim Erkennen anderer Arten bösartiger Software als Viren und Würmer sind. Auch sind sie meist nur in der Lage, solche Malware zu erkennen, für die sie Virensignaturen erhalten haben. Befindet sich jedoch eine vom Antivirenprogramm erkannte virulente, aber unaktivierte Datei auf dem Computer, die vor dem entsprechenden Update der Virensignatur heruntergeladen wurde, kann sie das System oder eventuell auch das Netzwerk nicht infizieren, wenn sie durch den Benutzer ausgeführt (geöffnet) wird, falls alle Dateien auch beim Öffnen überprüft werden.

Um die Belastung durch den Echtzeitscanner weiter zu verringern, werden oft einige Dateiformate, komprimierte Dateien (Archive) oder Ähnliches nur zum Teil oder gar nicht gescannt. Daher sollte trotz eines Echtzeitschutzes regelmäßig ein manueller Scan durchgeführt werden. Findet der Echtzeitscanner etwas Verdächtiges, fragt er in der Regel den Benutzer nach dem weiteren Vorgehen. Dies sind das Löschen der Datei, das Verschieben in die Quarantäne oder, wenn möglich, ein Reparaturversuch.

Manueller Scanner

Der manuelle Scanner (engl. on-demand scanner), auch als Dateiscanner bezeichnet, muss vom Benutzer manuell oder zeitgesteuert gestartet werden (On-Demand). Findet ein Scanner schädliche Software, erscheint eine Warnung und in manchen Fällen auch Optionen zur Reinigung, Quarantäne oder Löschung der befallenen Dateien. In den Fällen, wo derartige Optionen nicht gegeben werden, erfolgt meist ein Verweis auf ein kostenpflichtiges Produkt. Der Festplattenscan sollte regelmäßig ausgeführt werden. Die meisten Programme bieten dafür bestimmte Assistenten an, die den Rechner in bestimmten festgelegten Zeiträumen durchsuchen.

Manuelle Scanner kommen auch auf bootfähigen Live-CDs – wie etwa Desinfec’t – zum Einsatz. Hierbei ist sichergestellt, dass die Betriebssystemumgebung des Scanners nicht verseucht sein kann. Manipulationen, die das Auffinden oder Entfernen der Schadsoftware verhindern, werden so ausgeschlossen.

Online-Virenscanner

Als Online-Virenscanner werden Antivirusprogramme bezeichnet, die ihren Programmcode und die Viren-Muster über ein Netzwerk (online) laden. Sie arbeiten im Gegensatz zu fest installierten Virenscannern nur im On-Demand-Modus. Das heißt, der persistente Schutz durch einen On-Access-Modus ist nicht gewährleistet. Deshalb eignen sich Online-Virenscanner zwar zum Reinigen, nicht aber zum präventiven Schutz eines Systems. Auch besteht die Gefahr, dass ein befallener Rechner über die Verbindung zum Internet ferngesteuert werden kann oder selbst Spam versendet oder andere Rechner angreift, während er für den Scan online ist. Daher sollte man ein potenziell befallenes System nach Möglichkeit umgehend vom Netz trennen und mit einem Offline-Scanner untersuchen. Oft werden Online-Virenscanner auch als sogenannte Second-Opinion-Scanner benutzt, um sich zusätzlich zum installierten Virenscanner eine „zweite Meinung“ zu evtl. Befall einzuholen.

Die meisten Online-Virenscanner basieren auf der ActiveX-Technik und sind damit an die Benutzung des Internet Explorers gebunden. Es gibt aber auch Alternativen für den plattformübergreifenden Einsatz, die mit Java verwirklicht wurden.

Weiterhin gibt es Webseiten, die es ermöglichen, einzelne Dateien mit verschiedenen Virenscannern zu prüfen. Für diese Art des Scans muss der Benutzer selbst aktiv die Datei hochladen, es ist also eine Spezialform des On-demand-Scan.

Sonstige Scanner

Neben dem Echtzeit- und dem manuellen Scanner gibt es noch eine Reihe weiterer Scanner. Die meisten davon arbeiten, indem sie den Netzwerkverkehr analysieren. Dazu scannen sie den Datenstrom und führen bei einer Auffälligkeit eine definierte Operation aus, wie etwa das Sperren des Datenverkehrs.

Eine andere Lösung ist der Einsatz von Proxysoftware. Manche Proxys erlauben das Anbinden von Antivirensoftware. Wird eine Datei so heruntergeladen, wird diese zunächst am Proxy untersucht und geprüft, ob sie verseucht ist. Je nach Ergebnis wird sie dann an den Client ausgeliefert oder gesperrt.

Eine Variante dieser Proxy-Virusfilter sind Mail-Relay-Server mit Antivirus-Software, teilweise als Online-Virusfilter bezeichnet (vgl. aber oben). Dabei werden E-Mails zunächst auf den Relay-Server geleitet, dort gescannt und abgewiesen, unter Quarantäne gestellt oder gesäubert und dann auf den Mailserver des Empfängers weitergeleitet.

Erfolgswahrscheinlichkeit

Aufgrund der ständigen Weiterentwicklung von Schadprogrammen (Viren, Würmer, Trojaner etc.) und der Unvorhersehbarkeit der eingesetzten Schadlogik (engl. Evil Intelligence) kann praktisch kein Virenscanner vor allen erdenklichen Viren und Würmern schützen. Virenscanner sollten daher generell nur als Ergänzung zu allgemeinen Vorsichtsmaßnahmen betrachtet oder eingesetzt werden. Vorsicht und aufmerksames Handeln sind deshalb für verantwortungsvolle Computernutzer trotz des Einsatzes eines Virenscanners unabdingbar.

Grundsätzlich kann bei der Erkennung zwischen zwei Techniken unterschieden werden:

• Reaktiv: Bei dieser Art der Erkennung wird ein Schädling erst erkannt, wenn eine entsprechende Signatur (oder bekannter Hash-Wert in der Cloud) seitens des Herstellers der Antivirensoftware zur Verfügung gestellt wurde. Dies ist die klassische Art der Virenerkennung, welche von praktisch jeder Antivirensoftware verwendet wird.
  • Vorteil: Eine Signatur kann innerhalb kurzer Zeit erstellt werden und bildet daher immer noch das Rückgrat eines jeden Scanners (bei Online Verbindungen - zusätzlich Cloud based Erkennungen)
  • Nachteil: Ohne aktualisierte Signaturen werden keine neuen Schadprogramme erkannt.
• Proaktiv: Dies bezeichnet die Erkennung von Malware, ohne dass eine entsprechende Signatur zur Verfügung steht. Aufgrund der rapiden Zunahme neuer Schadprogramme werden solche Techniken immer wichtiger. Proaktive Verfahren sind etwa die Heuristik, Verhaltensanalyse oder die SandBox-Techniken.
  • Vorteil: Erkennung noch unbekannter Schadprogramme.
  • Nachteil: Die komplexe Technik bedarf hoher Entwicklungskosten und langer Entwicklungszyklen. Proaktive Techniken haben prinzipbedingt gegenüber reaktiven eine höhere Fehlalarmquote.

Auf Grund der Vor- und Nachteile werden bei aktuellen Virenscannern beide Techniken eingesetzt, um die Schwächen der jeweils anderen auszugleichen.

Scanengines

Unter einer Scanengine versteht man den Programmteil eines Virenscanners, der für die Untersuchung eines Computers oder Netzwerkes auf Schadprogramme verantwortlich ist. Eine Scanengine ist somit unmittelbar für die Effizienz von Antivirensoftware verantwortlich. Für gewöhnlich sind Scanengines Softwaremodule, die unabhängig vom Rest eines Virenscanners aktualisiert und eingesetzt werden können.

Es gibt Antivirensoftware, welche neben der eigenen Scanengine auch lizenzierte Scanengines anderer AV-Hersteller einsetzt. Durch den Einsatz mehrerer Scanengines kann zwar die Erkennungsrate theoretisch gesteigert werden, jedoch führt dies immer zu drastischen Performance-Verlusten. Es bleibt daher fragwürdig, ob sich Virenscanner mit mehreren Scanengines als sinnvoll erweisen. Das hängt vom Sicherheitsanspruch oder dem Anspruch an Systemperformance ab und muss von Fall zu Fall entschieden werden.

Die Leistungsfähigkeit eines signaturbasierten Antivirenscanners bei der Erkennung von schädlichen Dateien hängt nicht nur von den verwendeten Virensignaturen ab. Oftmals werden die ausführbaren Dateien vor ihrer Verbreitung so gepackt, dass sie sich später selbst entpacken können (Laufzeitkomprimierung). So kann ein eigentlich bekannter Virus der Erkennung durch manche Scanner entgehen, weil sie nicht in der Lage sind, den Inhalt des laufzeitkomprimierten Archives zu untersuchen.

Bei diesen Scannern kann nur das Archiv als solches in die Signaturen aufgenommen werden. Wird das Archiv neu gepackt (ohne den Inhalt zu ändern), müsste dieses Archiv ebenfalls in die Signaturen aufgenommen werden. Ein Scanner mit der Fähigkeit, möglichst viele Formate entpacken zu können, ist hier im Vorteil, weil er den Inhalt der Archive untersucht. Somit sagt auch die Anzahl der verwendeten Signaturen noch nichts über die Erkennungsleistung aus.

Eine Engine beinhaltet mehrere Module, die je nach Hersteller unterschiedlich implementiert und integriert sind und miteinander interagieren:

• Dateiformat-Analyse (wie Programme (PE, ELF), Scripte (VBS, JavaScript), Datendateien (PDF, GIF))
• Pattern-Matcher (Mustererkennung) für die klassischen Signaturen
• Entpack-Routinen für
  • laufzeitkomprimierte Programme und Verschlüsselungsroutinen (so etwa UPX, Aspack, Y0daCrypt)
  • Archive (so ZIP, RAR, 7z, UUE/Base64)
  • Mailbox-Formate (so mbox, .dbx, .eml, MIME)
• Code-Emulation (vergleichbar mit einer Art Mini-Sandbox oder es greift eine Sandbox darauf zurück, nützlich für generische Erkennung oder bei polymorphen Schadprogrammen)
• Heuristik für unterschiedliche Typen (PE, Scripte, Makros)
• diverse Filter (in ELF-Dateien muss nicht nach PE-Signaturen gesucht werden oder per Zugriffsschutz geblockte Dateien - entweder vordefinierte Regeln oder selbst konfiguriert)

Weiters oder vorrangig beim Echtzeitschutz eingesetzt:

• Verhaltensanalyse
• Cloud-Technik
• Sandbox

Heuristik

Einige Virenscanner verfügen über die Möglichkeit, auch nach allgemeinen Merkmalen zu suchen (Heuristik), um unbekannte Viren zu erkennen, oder sie bringen ein rudimentäres Intrusion Detection System (IDS) mit. Die Wichtigkeit dieser – präventiven – Art der Erkennung nimmt stetig zu, da die Zeiträume, in denen neue Viren und Varianten eines Virus in Umlauf gebracht werden (auf den Markt drängen), immer kürzer werden. Für die Antivirenhersteller wird es somit immer aufwändiger und schwieriger, alle Schädlinge zeitnah durch eine entsprechende Signatur zu erkennen. Heuristika sollten nur als Zusatzfunktion des Virenscanners angesehen werden. Die tatsächliche Erkennung noch unbekannter Schadprogramme ist eher gering, da die Schadprogramm-Autoren meistens ihre „Werke“ mit den bekanntesten Scannern testen und sie so ändern, dass sie nicht mehr erkannt werden.

SandBox

Um die Erkennung von unbekannten Viren und Würmern zu erhöhen, wurde von dem norwegischen Antivirenhersteller Norman 2001 eine neue Technik vorgestellt, bei der die Programme in einer gesicherten Umgebung, der Sandbox, ausgeführt werden. Dieses System funktioniert, vereinfacht ausgedrückt, wie ein Computer im Computer. In dieser Umgebung wird die Datei ausgeführt und analysiert, welche Aktionen sie ausführt. Bei Bedarf kann die Sandbox auch Netzwerkfunktionalitäten, etwa eines Mail- oder IRC-Servers, bereitstellen. Die Sandbox erwartet bei der Ausführung der Datei eine für diese Datei typische Verhaltensweise. Weicht die Datei von dieser zu einem gewissen Grad ab, klassifiziert die Sandbox diese als potentielle Gefahr. Dabei kann sie folgende Gefährdungen unterscheiden:

• W32/Malware
• W32/EMailWorm
• W32/NetworkWorm
• W32/BackDoor
• W32/P2PWorm
• W32/FileInfector
• W32/Dialer
• W32/Downloader
• W32/Spyware

Als Ergebnis liefert sie zudem eine Ausgabe, die zeigt, welche Aktionen die Datei auf dem System ausgeführt hätte und welcher Schaden angerichtet worden wäre. Diese Information kann aber auch nützlich sein, um eine Bereinigung eines infizierten Computersystems vorzunehmen.

Durch die Technik der Sandbox konnten nach Tests von AV-Test^[11] 39 % noch unbekannter Viren und Würmer erkannt werden, bevor eine Signatur bereitstand. Im Vergleich zu einer herkömmlichen Heuristik ist dies ein wirklicher Fortschritt in proaktiver Erkennung.

Nachteil der Sandbox-Technik ist, dass sie durch die Code-Emulation recht ressourcen-intensiv und vergleichsweise langsam zur klassischen Signaturenscannen ist. Daher wird sie primär in den Labors der Antiviren-Hersteller verwendet, um die Analyse- und damit die Reaktionszeit zu verbessern.

Ähnlich wie bei Online-Scannern stellen verschiedene Anbieter Web-Oberflächen ihrer Sandboxen zur Analyse einzelner verdächtiger Dateien zur Verfügung (normalerweise Basisfunktionen kostenlos, erweiterte Funktionen gegen Entgelt) ^{[12][13][14][15][16][17][18][19]}

Verhaltensanalyse

Die Verhaltensanalyse (engl. Behavior Analysis/Blocking, oft auch als Hostbased Intrusion Detection System bezeichnet, vgl. NIDS) soll ähnlich wie SandBox und Heuristik anhand von typischen Verhaltensweisen Schadprogramme erkennen und blockieren. Allerdings wird die Verhaltensanalyse nur bei der Echtzeitüberwachung eingesetzt, da dabei die Aktionen eines Programms – im Gegensatz zur Sandbox – auf dem echten Computer mitverfolgt werden, und kann vor Überschreiten einer Reizschwelle (Summe der verdächtigen Aktionen) oder bei Verstößen gegen bestimmte Regeln, vor offensichtlich destruktiven Aktionen (Festplatte formatieren, Systemdateien löschen) einschreiten.

Bei der Verhaltensanalyse wird oft mit Statistik (Bayesscher Filter bekannt von Spamfiltern), neuronalen Netzwerken, genetischen Algorithmen oder anderen „trainierbaren/lernfähigen“ Algorithmen gearbeitet, bekannt so als: Emsisoft Mamutu,^[20] BitDefender B-Have, Sophos HIPS.

Cloud-Technik

Der pinzipielle Unterschied der Cloud-Technik (dt. ‚Wolke‘) zu "normalen" Scannern ist, dass die Signaturen „in the Cloud“ (auf den Servern der Hersteller) liegen und nicht auf der lokalen Festplatte des eigenen Computers oder auch in der Art der Signaturen (Hash-Werte statt klassischer Virensignaturen wie Bytefolge ABCD an Position 123). Die Signaturen werden leider nicht bei allen Produkten lokal zwischengespeichert^[21], so dass ohne Internetverbindung nur eine reduzierte oder keine Erkennungsleistung verfügbar ist. Manche Hersteller bieten für Unternehmen eine Art „Cloud Proxy“ an, der Hash-Werte lokal zwischengepuffert. Ein großer Vorteil der Cloud-Technik ist die Reaktion nahezu in Echtzeit. Die Hersteller verfolgen unterschiedliche Ansätze. Bekannt sind die Programme Panda Cloud Antivirus^[22](arbeitet inzwischen mit einem lokalen Cache^[23]), McAfee Global Threat Intelligence - GTI (früher Artemis)^[24], F-Secure Realtime Protection Network^[25], Microsoft Morro SpyNet^[26] und Immunet ClamAV für Windows^[27], sowie Symantec mit Nortons SONAR 3.

Die unterschiedlichen Ansätze:

1. Die Mehrheit der Hersteller übertragen lediglich Hash-Werte. Das heißt, wenn sich die Datei eines (Schad)programms nur um 1 Bit ändert, wird es nicht mehr erkannt. Bis dato ist nicht bekannt (wobei es aber anzunehmen ist), ob Hersteller ebenfalls „unscharfe“ Hashes (z. B. ssdeep^[28]) einsetzen, die eine gewisse Toleranz erlauben.
2. Es werden Fehlerkennungen minimiert, da die White- und Blacklists bei den Herstellern ständig mit neuen Hash-Werten von Dateien aktualisiert werden.
3. Ressourceneinsparung: Bereits analysierte Dateien werden nicht mehr erneut aufwenig in einen Emulator oder Sandbox beim Endbenutzer am Computer analysiert.
4. Statistische Auswertung der Ergebnisse beim Hersteller: Von Symantec ist bekannt, dass Hash-Werte von neuen, unbekannten und wenig verbreiteten Dateien als verdächtig eingestuft werden. Unrühmliche Bekanntheit hat diese Funktion unter anderen bei Firefox-Aktualisierungen erlangt^[29]

Automatische Aktualisierung

Die sogenannte Auto-, Internet-, oder auch Live-Updatefunktion, mit der automatisch beim Hersteller aktuelle Virensignaturen heruntergeladen werden, ist bei Virenscannern von besonderer Bedeutung. Wenn sie aktiviert ist, wird der Benutzer regelmäßig daran erinnert, nach aktuellen Updates zu suchen, oder die Software sucht selbstständig danach. Es empfiehlt sich, diese Option zu nutzen, um sicher zu gehen, dass das Programm wirklich auf dem aktuellen Stand ist. Die Häufigkeit, mit der Updates von den Herstellern bereitgestellt werden, sagt jedoch nichts direkt über die Qualität des Produktes aus. Wichtiger ist, dass bei einer bestehenden Bedrohung möglichst zeitnah eine entsprechende Signatur veröffentlicht wird (Reaktionszeit).

Probleme mit Virenscannern

Da Virenscanner sehr tief ins System eingreifen, kommt es bei einigen Anwendungen zu Problemen, wenn sie gescannt werden. Zumeist kommen diese Probleme beim Echtzeitscan zum Tragen. Um Komplikationen mit diesen Anwendungen zu verhindern, erlauben die meisten Virenscanner das Führen einer Ausschlussliste, in der definiert werden kann, welche Daten nicht vom Echtzeitscanner überwacht werden sollen. Häufige Probleme treten auf mit:

• Zeitkritischen Anwendungen: Da die Daten immer erst gescannt werden, entsteht eine gewisse Verzögerung. Für einige Applikationen ist diese zu groß und sie erzeugen Fehlermeldungen oder Funktionsstörungen. Besonders häufig tritt dieses Verhalten auf, wenn auf Daten über eine Netzwerkfreigabe zugegriffen wird und an diesem entfernten Rechner ebenfalls eine Antivirensoftware läuft.
• Datenbanken (jeglicher Art): Da auf Datenbanken für gewöhnlich ein ständiger Zugriff stattfindet und sie oftmals sehr groß sind, versucht der Echtzeitscanner, diese dauerhaft zu scannen. Dies kann zu Timeout-Problemen, ansteigender Systemlast, Beschädigungen der Datenbank bis hin zum völligen Stillstand des jeweiligen Computersystems führen.
• Mailserver: Viele Mailserver speichern E-Mails MIME- oder ähnlich codiert auf der Festplatte ab. Viele Echtzeitscanner können diese Dateien decodieren und Viren entfernen. Da der E-Mailserver jedoch von dieser Entfernung nichts wissen kann, „vermisst“ er diese Datei, was ebenfalls zu Funktionsstörungen führen kann.
• Parsing: Weil Antivirensoftware viele verschiedene, teils unbekannte Dateiformate mit Hilfe eines Parsers untersucht, kann sie selbst zum Ziel von Angreifern werden.^[30][31]
• Häufig erlauben es Virenscanner nicht, noch einen zweiten Virenscanner parallel auszuführen.
• False Positives, also Fehlalarme, die bei einigen Virenscannern zu einer automatischen Löschung, Umbenennung etc. führen und teilweise nur sehr schwer abzustellen sind. Nach einer Rückumbenennung „erkennt“ das Programm erneut diese Datei und benennt sie wieder um.

Kritik an Virenscannern

Die Zuverlässigkeit und Wirksamkeit von Virenscannern wird oft angezweifelt. So vertrauen nach einer Studie drei Viertel der befragten Systemadministratoren (Admins) oder Netzwerkbetreuer den Virenscannern nicht. 40 Prozent der befragten Administratoren hatten bereits darüber nachgedacht, die Virenscanner zu entfernen, weil diese die Performance des Systems negativ beeinflussen. Vielfach werden Virenscanner eingesetzt, weil die Firmenrichtlinien dieses forderten, so die Umfrage. Hauptgrund sei die tägliche Flut neuester unterschiedlichster Varianten von Schädlingen, die das Erstellen und Verteilen von Signaturen immer unpraktikabler machten.^[32] Es sei anzumerken, dass diese Studie von einer Firma erstellt wurde, die eine Software vertreibt, die anhand von Positivlisten das Ausführen von Programmen erlaubt. Dieser „Whitelisting“-Ansatz hat je nach Einsatzgebiet ebenso Vor- und Nachteile.^[33][34]

Überprüfen der Konfiguration des Virenscanners

Die Funktion des Virenscanners kann nach der Installation und nach größeren Systemupdates überprüft werden. Damit kein „echter“ Virus zum Test der Virenscanner-Konfiguration verwendet werden muss, hat das European Institute of Computer Anti-virus Research in Verbindung mit den Virenscanner-Herstellern die sogenannte EICAR-Testdatei entwickelt. Sie ist kein Virus, wird aber von jedem namhaften Virenscanner als Virus erkannt. Mit dieser Datei kann getestet werden, ob das Antivirenprogramm korrekt eingerichtet ist und ob alle Arbeitsschritte des Virenscanners tadellos arbeiten.

Antivirensoftware

Software	Hersteller	Lizenz	Betriebssystem	Deutschsprachig	kostenlos
AntiVir Premium	Avira	Proprietär	Windows, Linux, BSD, Solaris	ja	nein
AntiVir Personal	Avira	Proprietär	Windows, Linux, BSD, Solaris	ja	ja
avast! Professional Edition	Alwil Software	Proprietär	Windows, Linux	ja	nein
avast! Home Edition	Alwil Software	Proprietär	Windows, Linux	ja	ja
AVG Anti-Virus Free	AVG Technologies	Proprietär	Windows	ja	ja
AVG Anti-Virus	AVG Technologies	Proprietär	Windows, Linux	ja	nein
BitDefender AntiVirus	Softwin	Proprietär	Windows, Linux	ja	nein
BitDefender Free Edition	Softwin	Proprietär	Windows	ja	ja
ClamAV	ClamAV	GPL	Windows, Linux, Unix, Mac OS X	nein	ja
Comodo Internet Security Pro	Comodo Group	Proprietär	Windows	ja	nein
Comodo Internet Security	Comodo Group	Proprietär	Windows	ja	ja
Emsisoft Anti-Malware	Emsisoft	Proprietär	Windows	ja	nein
F-Secure	F-Secure Corporation	Proprietär	Windows	ja	nein
G DATA Antivirus	G DATA Software	Proprietär	Windows, Linux	ja	nein
Ikarus Antivirus	Ikarus Software	Proprietär	Windows	ja	nein
Kaspersky Anti-Virus	Kaspersky Lab	Proprietär	Windows, Mac OS X, Linux	ja	nein
McAfee VirusScan	McAfee	Proprietär	Windows, Linux	ja	nein
Microsoft Security Essentials	Microsoft	Proprietär	Windows	ja	ja
Nod32	eset	Proprietär	Windows, Linux, Unix, NetWare, Mac OS X	ja	nein
Norman Endpoint Protection	Norman	Proprietär	Windows	ja	nein
Norman Security Suite	Norman	Proprietär	Windows	ja	nein
Norman Virus Control for Linux	Norman	Proprietär	Linux	ja	nein
Norton AntiVirus	Symantec	Proprietär	Windows, Linux, Mac OS X	ja	nein
Panda Security	Panda Security	Proprietär	Windows, Linux	ja	nein
Panda Security Cloud Antivirus	Panda Security	Proprietär	Windows	ja	ja
PC Tools AntiVirus	PC Tools	Proprietär	Windows	ja	ja
Trendmicro Internet Security	Trend Micro	Proprietär	Windows	ja	nein
Sophos Endpoint Security and Control	Sophos	Proprietär	Windows, Linux, Unix, Mac OS X, NetWare, AIX, Solaris, OpenVMS, NetApp Storage systems	ja	nein
VIPRE Antivirus Home	GFI	Proprietär	Windows	ja	nein
VIPRE Antivirus Business	GFI	Proprietär	Windows, Mac OS X	ja	nein
VirusBarrier	Intego	Proprietär	Mac OS X	ja	nein

Siehe auch

• Computersicherheit
• Eicar-Testdatei

Weblinks

 Wiktionary: Antivirenprogramm – Bedeutungserklärungen, Wortherkunft, Synonyme, Übersetzungen

• Robert A. Gehring: Ein Immunsystem für den Computer: Antiviren-Software. In: Verbraucher sicher online. (durch das BMELV gefördertes Projekt der Technischen Universität Berlin)

Einzelnachweise

1. ↑ http://www.computerviren-info.de/Geschichte.html Eine kurze Geschichte der Viren
2. ↑ Kaspersky Lab Virus list
3. ↑ Joe Wells (30. August 1996): Virus timeline. IBM. Abgerufen am 6. Juni 2008.
4. ↑ http://www.eecs.umich.edu/%7Eaprakash/eecs588/handouts/cohen-viruses.html Fred Cohen 1984 „Computer Viruses – Theory and Experiments“
5. ↑ http://portal.acm.org/citation.cfm?id=51535 Fred Cohen: On the implications of Computer Viruses and Methods of Defense 1988
6. ↑ http://securitydigest.org/virus/mirror/www.phreak.org-virus_l/ Archiv der Mailingliste VIRUS-L
7. ↑ http://download.norman.no/documents/timeline_2009.pdf Zeitleiste auf der Seite von Norman ASA (englisch)
8. ↑ Panda Security (April 2004): (II) Evolution of computer viruses. Abgerufen am 20. Juni 2009.
9. ↑ Peter Szor: The Art of Computer Virus Research and Defense, S. 66–67, Addison-Wesley 2005, ISBN 0-32-130454-3
10. ↑ Slipstick Systems (February 2009): Protecting Microsoft Outlook against Viruses. Abgerufen am 18. Juni 2009.
11. ↑ Testbericht von 2004 auf av-test.org, ZIP-Format
12. ↑ ISecLab
13. ↑ Anubis
14. ↑ Wepawet (Projekt der TU-Wien, Eurecom France und UC Santa Barbara)
15. ↑ ZeroWINE (OpenSource)
16. ↑ Norman Sandbox
17. ↑ CWSandbox
18. ↑ ThreatExpert
19. ↑ Joebox
20. ↑ http://www.mamutu.de/de/software/mamutu/
21. ↑ Jürgen Schmidt: Schutzbehauptung. In: c't Magazin. Nr. 2, 2009, S. 77 (Heise.de).
22. ↑ http://www.cloudantivirus.com/
23. ↑ Pedro Bustamante (1. Dezember 2009): Arguments against cloud-based antivirus. Panda. Abgerufen am 21. Juni 2010.
24. ↑ http://www.mcafee.com/us/mcafee-labs/technology/global-threat-intelligence-technology.aspx
25. ↑ http://www.f-secure.com/de_DE/products/technologies/deepguard/
26. ↑ http://www.heise.de/security/Microsoft-veroeffentlicht-Beta-Version-seiner-kostenlosen-Antivirenloesung--/news/meldung/141042
27. ↑ http://www.clamav.net/lang/de/about/win32/
28. ↑ ssdeep
29. ↑ Norton-Fehlalarm bei Firefox-Update. Heise. Abgerufen am 27. Februar 2011.
30. ↑ http://www.nruns.com/_downloads/cw47-Artikel-Virenscanner.pdf
31. ↑ http://www.nruns.com/parsing-engines-advisories.php
32. ↑ heise.de: Drei Viertel der Admins trauen dem Virenscanner nicht
33. ↑ http://anti-virus-rants.blogspot.com/2006/03/rise-of-whitelisting.html
34. ↑ http://www.eset.com/threat-center/blog/2008/11/16/white-listing-%E2%80%93-the-end-of-antivirus