Die komplette Wahrheit über Viren & Co.

Dienstag, 3. März 2020

Es gibt einen Witz, der behauptet, dass Dr.Web Antivirus zusammen mit einem anderen Virenscanner versuchte, Trojaner loszuwerden, aber endlich schaffte er dies ohne fremde Hilfe. Und nun im Ernst, Scherz beiseite! Können sich mehrere Virenschutzprogramme in einem System gut miteinander vertragen?

Es ist allgemein bekannt, dass die Installation von zwei Antiviren auf demselben Computer Konflikte verursachen kann. In einigen inländischen und internationalen Normen wird jedoch empfohlen, mehrere Virenschutzprogramme in einem Unternehmen einzusetzen. Was stimmt? Wir versuchen, dies herauszufinden.

Klingt logisch. Je mehr Aufgaben auf einem Computer ausgeführt werden, desto mehr Ressourcen verbrauchen sie. Unsere aufmerksamen Leser würden hier einwenden, dass es keine gute Idee ist, einen USB-Datenträger automatisch beim Anschließen zu scannen, weil viele Nutzer die Funktion „Hardware sicher entfernen“ vernachlässigen. Dies kann zum Verlust von Daten auf dem USB-Datenträger führen, falls der Scanvorgang noch nicht abgeschlossen wurde.

Das stimmt nicht ganz. Falls eine Datei aus dem Internet heruntergeladen wird, wird sie höchstwahrscheinlich in Echtzeit während des Downloads gescannt (Wenn Sie Dr.Web nutzen, wird die Datei vom HTTP-Monitor SpIDer Gate geprüft). Angenommen, die Datei wurde nicht beim Herunterladen gescannt. Der Dateiwächter (Dr.Web SpIDer Guard) kann Dateien beim Öffnen und Schließen sowie im Paranoid-Modus (d. h. jedes Mal, wenn Daten hineingeschrieben werden) scannen. Wenn Sie eine Datei heruntergeladen haben, ist es sinnlos, sie beim Schließen zu scannen – Beim Schließen stellt sie keine Bedrohung dar und das Scannen verbraucht Systemressourcen. Logischer wäre es, die Datei beim nächsten Öffnen zu scannen. Nehmen wir nun an, dass alle Virenschutzprogramme das Scannen der Datei starteten, sobald diese gespeichert wurde. Hier sollte berücksichtigt werden, dass Betriebssysteme nicht mehrere Aktionen parallel ausführen können (in modernen Multiprozessorsystemen ist es zwar möglich, aber solche Prozesse müssen unbedingt überwacht werden, weil das Ergebnis einer gleichzeitigen Verarbeitung derselben Dateibereiche durch mehrere Programme unvorhersehbar sein kann). Um Zugriffsversuche auf Dateien abzufangen, installieren Antivirenprogramme spezielle Treiber im System, die eine Queue bilden. In einem intelligenten System verarbeiten die vorhandenen Virenschutzprogramme eine Datei der Reihe nach.

Bitte beachten Sie! Dabei kann nicht ausgeschlossen werden, dass ein Schadprogramm als Erstes in der Queue steht und von allen Virenschutzprogrammen übersehen wird. Daher überwacht Dr.Web alle Aktionen mit Dateien nicht auf der Dateisystemebene, sondern auf der Ebene der Systemtreiber.

Und das Prinzip wirkt. Vor einiger Zeit haben sich drei Antivirenprogramme auf meinem PC gut miteinander vertragen. Nur der Browser fiel hin und wieder aus. Daher raten wir davon ab, solche Experimente mit mehreren Virenschutzprogrammen durchzuführen.

Das klingt zunächst etwas verwirrend. Wieso sollte sich ein Antivirus für den einzigen Schutz auf einem PC halten? Nutzer können durchaus Schutzkomponenten wie Firewall, Kinderschutz, Backup-Tools und Tools zum Schutz vor Hackerangriffen verschiedener Hersteller einsetzen. Sollte ein Antivirus mit all diesen Tools in Konflikt stehen?

Kann ein Virenschutzprogramm die Dateien eines anderen Antivirus als Malware erkennen? Es ist ein bisschen komplizierter, als oben beschrieben. Es gibt einen alten Mythos über Signaturen. Ein Virenschutzprogramm erkennt Viren an Signaturen, die in seine Virendatenbank eingetragen wurden: wenn diese Datenbank von einem anderen Antivirus gescannt wird, werden alle Signaturen als Malware erkannt. Signaturen sind nichts anderes als Codeauszüge. Man weiß nie, welchen Codeauszug ein bestimmter Hersteller wählen wird. Angenommen, alle Anbieter haben dieselbe Signatur verwendet (gemäß der Wahrscheinlichkeitstheorie ist dies nicht unmöglich). Selbst in diesem Fall wird nichts Schlimmes passieren, denn Signaturen werden in gepackter Form in der Datenbank gespeichert und das andere Antivirenprogramm wird diese Datenbank nicht entpacken.

Massenmedien berichten jedoch ab und zu, dass ein Antivirenprogramm ein anderes blockiert hat. Ja, so etwas kann passieren, aber nicht öfter als die Sperrung sonstiger legitimer Programme durch einen Antivirus – Für die Medien sind jedoch solche Nachrichten uninteressant. Es kann auch vorkommen, dass ein Antivirus seine eigenen Dateien vernichtet. Doctor Web ist dies jedoch noch nie passiert.

Vor der Installation eines Programms senden Antivirenprogramme Warnmeldungen an Nutzer. Dies liegt daran, dass kein Virenschutzprogramm die Harmlosigkeit aller Anwendungen, die auf dem Computer installiert werden, zu hundert Prozent bestätigen kann. Dabei handelt es sich um einen Präventivschutz. So reagieren Antiviren auf alle Programme, die installiert werden, sei es ein anderes Virenschutzprogramm oder sonstige Software.

Sehen wir nun von Selbstschutzmechanismen ab und stellen uns vor, dass ein Antivirenprogramm versucht, ein anderes Virenschutzprogramm zu löschen. Was wird in diesem Fall passieren? Nichts Außergewöhnliches, denken wir. Keine Katastrophe. Keine Partitionsformatierung. Keine Säuberungsaktion. Ein Antivirenprogramm ist nur eine Software, so komplex sie auch sein mag.

Klingt unlogisch. Wenn zum Beispiel Dr.Web CureIt! eine Datei öffnet, sollte Ihr übliches Antivirenprogramm dies erkennen und die Datei scannen, bevor Dr.Web CureIt! Zugriff auf diese Datei erhält – „Der Zugang zur Datei könnte gesperrt werden“ (Siehe oben). Nutzer von Dr.Web CureIt! wissen jedoch, dass so etwas nicht passiert.

In den oben angeführten Zitaten wird der Virenschutz überhaupt nicht betrachtet. Es werden nur mögliche Probleme behandelt, die Sie völlig vermeiden können, falls Sie zuverlässige Produkte verwenden, die von erfahrenen Entwicklern unter anderem auf die Kompatibilität mit anderen Lösungen getestet wurden.

Bedeutet dies denn, dass zwei Antivirenprogramme auf demselben Computer installiert werden können, wie in den Normen empfohlen wird? Auch das stimmt nicht ganz. Die Idee, mehrere Virenschutzprogramme einzusetzen, wird damit begründet, dass verschiedene Anbieter mit unterschiedlichen Schadprogrammen konfrontiert werden: Falls ein Antivirus eine bestimmte Malware übersieht, kann ein anderes Virenschutzprogramm sie erkennen. In der Praxis sieht die Sache anders aus. Bevor Viren freigesetzt werden, werden sie von den Virenschreibern mit allen bekannten Antivirenprogrammen sorgfältig auf Erkennbarkeit geprüft. Ist der Cyber-Angriff gut organisiert, wird ein einfaches Scannen Ihr System nicht schützen, auch wenn Sie mehrere Antivirenprogramme (Virendatenbanken) einsetzen. Dazu sollten andere Schutztechnologien (z. B. Verhaltensanalyse) verwendet werden.

#Virenscannen #Sicherheit #Dr.Web_CureIt!