Ein Antivirenprogramm, Virenscanner oder Virenschutz-Programm (Abkürzung: AV) ist eine Software, die Schadprogramme wie z. B. Computerviren, Computerwürmer oder Trojaner aufspüren, blockieren, gegebenenfalls betroffene Nutzer informieren und die Schadsoftware beseitigen soll.
Geschichte Die meisten Computerviren, die Anfang und Mitte der 1980er Jahre geschrieben wurden, waren auf Selbstreproduktion beschränkt und verfügten auch oft nicht unbedingt über eine spezifische Schadfunktion. Erst als die Technik der Virenprogrammierung breiteren Kreisen bekannt wurde, tauchten zunehmend Schadprogramme auf, die gezielt Daten auf infizierten Rechnern manipulierten oder zerstörten. Damit entstand die Notwendigkeit, spezielle Antivirenprogramme zur Bekämpfung dieser Schadsoftware zu erwägen. auf computerviren-info.de
Es gibt konkurrierende Ansprüche, wer sich Erfinder des ersten Antivirenprogramms nennen darf. Das erste Programm zur Bekämpfung des Creeper-Virus im ARPA-Net wurde bereits 1971 entwickelt. Die wahrscheinlich erste öffentlich dokumentierte Entfernung eines Computervirus mit einem Tool wurde von Bernd Fix im Jahr 1987 durchgeführt. (englisch) Fred Cohen, der schon 1984 durch seine Arbeiten das Thema "Computerviren" öffentlich gemacht hatte,eecs.umich.edu Fred Cohen 1984 „Computer Viruses – Theory and Experiments“ (englisch) entwickelte ab 1988 Strategien zur Virenbekämpfung. Diese wurden später für Antivirenprogramme genutzt und weiterentwickelt.
Ebenfalls 1988 entstand im BITNET/EARN-Rechnerverbund eine Mailingliste namens "VIRUS-L", in der vor allem über das Auftauchen neuer Viren sowie über die Möglichkeiten zur Virenbekämpfung diskutiert wurde. Einige Teilnehmer dieser Liste, wie zum Beispiel John McAfee oder Eugene Kaspersky, gründeten in Folge Unternehmen, die kommerzielle Antivirenprogramme entwickelten und anboten. Vier Jahre zuvor, 1984, war schon Arcen Data (heute Norman ASA) gegründet worden, das sich Ende der 1980er Jahre mit dem Auftauchen der ersten Computerviren in Norwegen ebenfalls auf Antivirenprogramme spezialisierte.. In: norman.no (PDF; 901 kB), (englisch). Im Jahr 1987 stellte das Unternehmen G DATA Software das weltweit erste kommerzielle Virenschutzprogramm vor, welches speziell für den Atari ST entwickelt wurde.
Bevor eine Internet-Verbindung üblich wurde, verbreiteten sich Viren typischerweise über Disketten. Antivirenprogramme wurden zwar manchmal verwendet, aber nur unregelmäßig auf einen aktuellen Stand gebracht. Während dieser Zeit prüften diese nur die ausführbaren Programme sowie die Boot-Sektoren auf Disketten und Festplatten. Mit der Verbreitung des Internets begannen Viren auf diesem Weg, neue Rechner zu infizieren, damit eine allgemeinere Gefahr darzustellen und sich sehr viel schneller weiterzuverbreiten.
Mit der Zeit wurde es für Antivirenprogramme immer wichtiger, verschiedene Dateitypen (und nicht nur ausführbare Programme) auf verborgene Viren zu untersuchen. Dies hatte unterschiedliche Gründe: Die Verwendung von Makros in Textverarbeitungsprogrammen wie Microsoft Word stellte ein zusätzliches Infektionsrisiko dar, da Virenprogrammierer begannen, schädliche Makros in Dokumente einzubetten. Dies bedeutete, dass Computer allein dadurch infiziert werden konnten, dass ein eingebettetes Makrovirus in einem Dokument ausgeführt wurde. Das Makro installierte externe Schadsoftware wie Trojanisches Pferde, Rootkits und meist Botnets, um deren Betreibern den Zugang zum infizierten System zu verschaffen. Spätere E-Mail-Programme, insbesondere Microsoft Outlook Express und Microsoft Outlook, waren verwundbar für Viren, die in E-Mails eingebunden waren. Damit konnte ein Rechner schon durch das Öffnen der E-Mail infiziert werden.
Mit der steigenden Anzahl vorhandener Viren wurde auch die kontinuierliche Aktualisierung der Antivirenprogramme notwendig. Doch selbst unter diesen Umständen konnte sich ein neuartiger Virus innerhalb kurzer Zeit stark verbreiten, bevor Hersteller von Antivirenprogrammen darauf mit einer Aktualisierung reagieren konnten.
Typen von Antivirenprogrammen
Echtzeitscanner Der Echtzeitscanner (), auch "Zugriffsscanner" oder "residenter Scanner" genannt, ist im Hintergrund als Systemdienst (Windows) oder Daemon (Unix) aktiv und scannt alle Dateien, Programme, den Arbeitsspeicher und evtl. den HTTP- wie den FTP-Verkehr. Um dies zu erreichen, werden so genannte Filtertreiber vom Antivirenprogramm installiert, welche die Schnittstelle zwischen dem Echtzeitscanner und dem Dateisystem bereitstellen. Findet der Echtzeitscanner etwas Verdächtiges, fragt er in der Regel den Benutzer nach dem weiteren Vorgehen. Dies ist das Blockieren des Zugriffs, das Löschen der Datei, das Verschieben in die Quarantäne oder, wenn möglich, ein Reparaturversuch. Generell kann beim Echtzeitschutz zwischen zwei Strategien unterschieden werden: Scannen beim Öffnen von Dateien (Lesevorgang) Scannen beim Erstellen / Ändern von Dateien (Schreibvorgang)
Es kann der Fall eintreten, dass eine virulente Datei gespeichert wurde, bevor eine Virensignatur, durch welche der Virus erkannt wird, für sie verfügbar war. Nach einem Signatur-Update ist es aber möglich, sie beim Öffnen zu erkennen. In diesem Fall ist also ein Scanvorgang beim Öffnen der Datei dem Scanvorgang beim Schreiben der Datei überlegen. Um die Belastung der verfügbaren Rechnerleistung durch den Echtzeitscanner zu verringern, werden meist bestimmte Dateiformate, komprimierte Dateien (Archive) oder Ähnliches nur teilweise oder gar nicht gescannt.
Manueller Scanner Der manuelle Scanner (), auch als Dateiscanner bezeichnet, muss vom Benutzer manuell oder zeitgesteuert gestartet werden. Findet ein Scanner schädliche Software, erscheint eine Warnmeldung und in der Regel auch eine Abfrage der gewünschten Aktion, z. B. Quarantäne oder Löschung der befallenen Datei(en).
Online-Virenscanner Als Online-Virenscanner werden Antivirenprogramme bezeichnet, die sowohl ihren Programmcode als auch die Viren-Signaturen über ein Netzwerk (online) laden. Im Gegensatz zu fest installierten Virenscannern arbeiten sie nur im On-Demand-Modus. Das heißt, der persistente Schutz durch einen On-Access-Modus ist nicht gewährleistet. Online-Virenscanner werden oftmals als sogenannte "Second-Opinion-Scanner" benutzt, um sich zusätzlich zum bereits installierten Virenscanner eine „zweite Meinung“ zu eventuellem Befall einzuholen.
Weiterhin gibt es Webseiten, die es ermöglichen, einzelne Dateien mit verschiedenen Virenscannern zu prüfen. Für diese Art des Scans muss der Benutzer selbst aktiv die Datei hochladen, es ist also eine Spezialform des On-Demand-Scans.
Ein Beispiel dafür ist die Seite VirusTotal, welche mithilfe von mehreren Antivirenprogrammen sowie YARA feststellt, ob eine gegebene Datei schädlich einzuordnen ist.VirusTotal, auf chip.de, abgerufen am 12. November 2023
Sonstige Scanner Neben dem Echtzeit- und dem manuellen Scanner gibt es noch eine Reihe weiterer Scanner. Die meisten davon arbeiten, indem sie den Netzwerkverkehr analysieren. Dazu scannen sie den Datenstrom und führen bei einer Auffälligkeit eine definierte Operation aus, wie etwa das Sperren des Datenverkehrs.
Eine andere Lösung ist der Einsatz von Proxy-Software. Manche Proxys erlauben das Anbinden von Antivirensoftware. Wird eine Datei so heruntergeladen, wird diese zunächst am Proxy untersucht und geprüft, ob sie verseucht ist. Je nach Ergebnis wird sie dann an den Client ausgeliefert oder gesperrt. Ein deutlicher Nachteil besteht jedoch in der Tatsache, dass dies bei einer Ende-zu-Ende-Verschlüsselung quasi wirkungslos ist. Eine Variante dieser Proxy-Virusfilter sind Mail-Relay-Server mit Antivirus-Software, teilweise als „Online-Virusfilter“ bezeichnet (vgl. aber oben). Dabei werden E-Mails zunächst auf den Relay-Server geleitet, dort gescannt und abgewiesen, unter Quarantäne gestellt oder gesäubert und dann auf den Mailserver des Empfängers weitergeleitet.
Funktionsweise und Erfolgswahrscheinlichkeit
Virenscanner können prinzipiell nur bekannte Schadprogramme (Viren, Würmer, Trojaner etc.) bzw. Schadlogiken () erkennen und somit nicht vor allen Viren und Würmern schützen. Daher können Virenscanner generell nur als Ergänzung zu allgemeinen Vorsichtsmaßnahmen betrachtet werden, die Vorsicht und aufmerksames Handeln bei der Internetnutzung unentbehrlich macht. So erreichte die Stiftung Warentest bei einem „internationalen Gemeinschaftstest“ Anfang 2012 gegen 1.800 eingesetzte „aktuelle“ Schädlinge mit 18 Antivirusprogrammen Werte von 36 % bis 96 % aufgespürten Signaturen. Symantec-Vizechef Brian Dye gestand gegenüber dem Wall Street Journal ein, dass Antivirensoftware nur etwa 45 % aller Angriffe erkenne.Jörg Thoma: Symantec-Vizechef Brian Dye – Antivirensoftware erkennt nur etwa 45 % aller Angriffe. golem.de; abgerufen am 5. Mai 2014
Grundsätzlich kann bei der Erkennung zwischen zwei Techniken unterschieden werden. Aufgrund der Vor- und Nachteile werden bei aktuellen Virenscannern beide Techniken eingesetzt, um die Schwächen der jeweils anderen auszugleichen.
Reaktiv: Bei dieser Art der Erkennung wird ein Schädling erst erkannt, wenn eine entsprechende Signatur (oder bekannter Hash-Wert in der Cloud) seitens des Herstellers der Antivirensoftware zur Verfügung gestellt wurde. Dies ist die klassische Art der Virenerkennung, welche von praktisch jeder Antivirensoftware verwendet wird. Vorteil: Eine Signatur kann innerhalb kurzer Zeit erstellt werden und bildet daher immer noch das Rückgrat eines jeden Scanners (bei Online-Verbindungen zusätzlich Cloud-basierte Erkennung) Nachteil: Ohne aktualisierte Signaturen werden keine neuen Schadprogramme erkannt. Proaktiv: Dies bezeichnet die Erkennung von Malware, ohne dass eine entsprechende Signatur zur Verfügung steht. Aufgrund der rapiden Zunahme neuer Schadprogramme werden solche Techniken immer wichtiger. Proaktive Verfahren sind etwa die Heuristik, die Verhaltensanalyse oder SandBox-Techniken. Vorteil: Erkennung noch unbekannter Schadprogramme. Nachteil: Die komplexe Technik bedarf hoher Entwicklungskosten und langer Entwicklungszyklen. Proaktive Techniken haben prinzipbedingt gegenüber reaktiven Techniken eine höhere Fehlalarmquote.
Scanengines Unter einer "Scanengine" versteht man den Programmteil eines Virenscanners, der für die Untersuchung eines Computers oder Netzwerkes auf Schadprogramme verantwortlich ist. Eine Scanengine ist somit unmittelbar für die Effizienz von Antivirensoftware verantwortlich. Gewöhnlich sind Scanengines Softwaremodule, die unabhängig vom Rest eines Virenscanners aktualisiert und eingesetzt werden können. Es gibt Antivirensoftware, welche neben der eigenen Scanengine auch lizenzierte Scanengines anderer AV-Hersteller einsetzt. Durch den Einsatz mehrerer Scanengines kann zwar die Erkennungsrate theoretisch gesteigert werden, jedoch führt dies immer zu drastischen Performance-Verlusten. Ob sich Virenscanner mit mehreren Scanengines als sinnvoll erweisen, bleibt daher fragwürdig, hängt vom Sicherheitsanspruch oder dem Anspruch an System-Performance ab und muss von Fall zu Fall entschieden werden.