Antivirussoftware einfach erklärt

Antivirussoftware ist ein Sicherheitsprogramm, das Schadsoftware auf Computern, Servern und anderen Endgeräten erkennen, blockieren und entfernen soll. Sie schützt Systeme beispielsweise vor Viren, Trojanern, Würmern, Spyware und bestimmten Formen von Ransomware.

Moderne Antivirussoftware beschränkt sich nicht mehr auf die Suche nach klassischen Computerviren. Sie überwacht Dateien, Programme und laufende Prozesse und versucht, auch neue oder bisher unbekannte Bedrohungen anhand ihres Verhaltens zu erkennen.

Antivirussoftware ist ein wichtiger Bestandteil der IT-Sicherheit. Sie kann jedoch keinen vollständigen Schutz garantieren und sollte immer mit weiteren Sicherheitsmaßnahmen kombiniert werden.

Was ist Antivirussoftware?

Antivirussoftware wird häufig auch als Virenschutzprogramm, Antivirenprogramm oder Virenscanner bezeichnet.

Ursprünglich wurden solche Programme entwickelt, um Computerviren zu erkennen. Heute verwenden Hersteller den Begriff meist für Lösungen, die unterschiedliche Arten von Schadsoftware abwehren.

Dazu gehören unter anderem:

• Computerviren
• Trojaner
• Würmer
• Spyware
• Keylogger
• Rootkits
• Ransomware
• schädliche Skripte
• unerwünschte Programme
• manipulierte oder verdächtige Dateien

Der übergeordnete Begriff für schädliche Software lautet Malware. Fachlich wäre deshalb häufig auch die Bezeichnung Anti-Malware-Software passend. Im allgemeinen Sprachgebrauch hat sich jedoch der Begriff Antivirussoftware etabliert.

Wie funktioniert Antivirussoftware?

Antivirussoftware verwendet verschiedene Verfahren, um schädliche oder verdächtige Aktivitäten zu erkennen.

Signaturbasierte Erkennung

Bei der signaturbasierten Erkennung vergleicht die Software Dateien mit bekannten Erkennungsmustern.

Wurde eine bestimmte Schadsoftware bereits analysiert, kann der Hersteller charakteristische Merkmale in einer Signaturdatenbank hinterlegen. Findet das Antivirenprogramm ein entsprechendes Muster, kann es die Datei blockieren oder in Quarantäne verschieben.

Diese Methode arbeitet bei bekannten Bedrohungen meist zuverlässig. Neue oder stark veränderte Schadsoftware besitzt jedoch möglicherweise noch keine bekannte Signatur.

Heuristische Analyse

Die heuristische Analyse untersucht Dateien auf verdächtige Eigenschaften und Programmstrukturen.

Dabei wird beispielsweise geprüft, ob ein Programm Funktionen verwendet, die häufig bei Schadsoftware vorkommen. Auf diese Weise kann Antivirussoftware auch Varianten bekannter Bedrohungen erkennen, für die noch keine eindeutige Signatur vorhanden ist.

Heuristische Verfahren können allerdings Fehlalarme verursachen. Eine ungefährliche Datei wird dann fälschlicherweise als Bedrohung eingestuft.

Verhaltensbasierte Erkennung

Bei der verhaltensbasierten Erkennung wird beobachtet, was ein Programm auf dem System tatsächlich tut.

Verdächtig können beispielsweise folgende Aktivitäten sein:

• zahlreiche Dateien werden innerhalb kurzer Zeit verschlüsselt
• ein Programm versucht, Sicherheitsfunktionen zu deaktivieren
• Zugangsdaten werden aus geschützten Bereichen ausgelesen
• ein unbekannter Prozess verändert wichtige Systemeinstellungen
• ein Programm startet automatisch bei jeder Anmeldung
• ein Prozess versucht, sich unbemerkt mit externen Servern zu verbinden

Die Verhaltensanalyse kann Bedrohungen erkennen, die noch nicht durch eine bekannte Signatur erfasst werden.

Cloudbasierte Erkennung

Moderne Antiviruslösungen können Informationen über verdächtige Dateien und Prozesse an einen cloudbasierten Analysedienst übermitteln.

Der Dienst gleicht diese Informationen mit aktuellen Bedrohungsdaten ab und kann verdächtige Dateien automatisiert untersuchen. Dadurch stehen neue Erkennungen häufig schneller auf vielen geschützten Geräten zur Verfügung.

Unternehmen sollten dabei prüfen, welche Daten übertragen werden und welche Datenschutz- und Compliance-Anforderungen gelten.

Maschinelles Lernen

Einige Sicherheitslösungen verwenden maschinelles Lernen, um verdächtige Dateien und Aktivitäten zu bewerten.

Die Systeme werden anhand großer Mengen bekannter gutartiger und schädlicher Daten trainiert. Dadurch können sie Auffälligkeiten erkennen, die nicht exakt mit einer vorhandenen Signatur übereinstimmen.

Auch maschinelles Lernen liefert keine unfehlbaren Ergebnisse. Die erkannten Hinweise müssen in manchen Fällen durch Sicherheitsexperten geprüft werden.

Was bedeutet Echtzeitschutz?

Beim Echtzeitschutz überwacht die Antivirussoftware das System fortlaufend.

Sie prüft beispielsweise Dateien:

• beim Herunterladen
• beim Öffnen
• beim Speichern
• beim Kopieren
• beim Ausführen
• beim Empfang als E-Mail-Anhang
• beim Zugriff über externe Datenträger

Wird eine Bedrohung erkannt, kann die Software den Zugriff blockieren, die Ausführung verhindern oder die betroffene Datei isolieren.

Zusätzlich zum Echtzeitschutz können manuelle oder zeitgesteuerte Systemprüfungen durchgeführt werden.

Welche Arten von Virenscans gibt es?

Antivirusprogramme bieten üblicherweise mehrere Scanarten.

Schnellüberprüfung

Bei einer Schnellüberprüfung werden vor allem Bereiche geprüft, in denen sich Schadsoftware häufig befindet. Dazu gehören beispielsweise laufende Prozesse, Autostart-Einträge und bestimmte Systemordner.

Der Scan benötigt vergleichsweise wenig Zeit, untersucht aber nicht jede Datei des Systems.

Vollständige Überprüfung

Eine vollständige Überprüfung untersucht möglichst alle erreichbaren Dateien und Laufwerke.

Sie dauert länger und kann die Systemleistung vorübergehend beeinträchtigen. Eine vollständige Prüfung kann sinnvoll sein, wenn ein konkreter Verdacht auf eine Infektion besteht.

Benutzerdefinierte Überprüfung

Bei einer benutzerdefinierten Überprüfung werden nur ausgewählte Dateien, Ordner, Laufwerke oder externe Datenträger untersucht.

Offlineüberprüfung

Bestimmte Schadprogramme versuchen, sich während des laufenden Betriebs zu verstecken oder den Virenscanner zu beeinflussen.

Bei einer Offlineüberprüfung wird das System in einer besonders geschützten Umgebung gestartet und geprüft. Dadurch können sich hartnäckige Bedrohungen weniger gut verbergen.

Was geschieht mit einer erkannten Bedrohung?

Erkennt die Antivirussoftware eine verdächtige Datei, sind je nach Produkt und Konfiguration verschiedene Reaktionen möglich.

Blockieren

Die Datei oder das Programm darf nicht ausgeführt werden.

Quarantäne

Die Datei wird in einen isolierten Bereich verschoben. Dort kann sie keinen normalen Schaden mehr verursachen, bleibt aber für eine spätere Analyse oder Wiederherstellung erhalten.

Bereinigen

Die Software versucht, den schädlichen Bestandteil aus einer infizierten Datei zu entfernen.

Löschen

Die betroffene Datei wird vollständig entfernt.

Zulassen

Wurde eine ungefährliche Datei fälschlicherweise erkannt, kann ein Administrator sie nach sorgfältiger Prüfung freigeben.

Erkannte Dateien sollten nicht ungeprüft aus der Quarantäne wiederhergestellt oder als Ausnahme eingetragen werden.

Schützt Antivirussoftware vor Ransomware?

Antivirussoftware kann viele bekannte Ransomware-Varianten erkennen und blockieren. Verhaltensbasierte Schutzfunktionen können zudem auffällige Verschlüsselungsaktivitäten feststellen.

Ein vollständiger Schutz vor Ransomware ist dadurch jedoch nicht gewährleistet.

Angreifer können beispielsweise:

• neue oder angepasste Schadsoftware einsetzen
• legitime Verwaltungswerkzeuge missbrauchen
• gestohlene Benutzerkonten verwenden
• Sicherheitsprogramme deaktivieren
• bekannte Schwachstellen ausnutzen
• Daten entwenden, bevor sie Systeme verschlüsseln

Zum Schutz vor Ransomware sind deshalb weitere Maßnahmen erforderlich. Dazu gehören regelmäßige Sicherheitsupdates, eingeschränkte Benutzerrechte, Multi-Faktor-Authentifizierung, Netzwerksegmentierung und getrennte, regelmäßig getestete Datensicherungen.

Was ist der Unterschied zwischen Antivirus und Firewall?

Antivirussoftware und Firewall erfüllen unterschiedliche Aufgaben.

Eine Antivirussoftware untersucht Dateien, Programme und Prozesse auf Schadsoftware und verdächtige Aktivitäten.

Eine Firewall kontrolliert Netzwerkverbindungen anhand festgelegter Regeln. Sie kann beispielsweise unerlaubte eingehende Verbindungen blockieren oder die Kommunikation bestimmter Programme einschränken.

Beide Schutzmaßnahmen ergänzen sich. Eine Firewall ersetzt keinen Virenschutz und Antivirussoftware ersetzt keine Firewall.

Was ist der Unterschied zwischen Antivirus und EDR?

Klassische Antivirussoftware konzentriert sich hauptsächlich auf die Erkennung und Blockierung von Schadsoftware.

Endpoint Detection and Response, kurz EDR, bietet darüber hinaus erweiterte Funktionen zur Überwachung, Analyse und Reaktion auf verdächtige Aktivitäten auf Endgeräten.

Eine EDR-Lösung kann beispielsweise:

• Aktivitäten und Prozesse umfangreich protokollieren
• komplexe Angriffsmuster erkennen
• Ereignisse auf mehreren Geräten miteinander verknüpfen
• den Verlauf eines Angriffs nachvollziehbar darstellen
• betroffene Geräte vom Netzwerk isolieren
• Dateien oder Prozesse zentral untersuchen
• Sicherheitsteams bei der Reaktion unterstützen

Moderne Sicherheitsplattformen kombinieren häufig Antivirus-, EDR- und cloudbasierte Analysefunktionen. Die Grenzen zwischen den Produktkategorien sind daher nicht immer eindeutig.

Reicht der integrierte Virenschutz von Windows aus?

Aktuelle Windows-Versionen enthalten mit Microsoft Defender Antivirus bereits eine integrierte Antiviruslösung.

Ob diese für ein Unternehmen ausreicht, hängt nicht nur von der Erkennungsleistung des Virenscanners ab. Entscheidend sind auch die zentrale Verwaltung, Überwachung, Alarmierung und Reaktion.

Unternehmen sollten unter anderem prüfen:

• Werden alle Geräte zentral erfasst?
• Ist der Echtzeitschutz aktiviert?
• Werden Sicherheitsinformationen regelmäßig aktualisiert?
• Ist der cloudbasierte Schutz eingeschaltet?
• Sind Sicherheitseinstellungen gegen Manipulation geschützt?
• Werden erkannte Bedrohungen zentral gemeldet?
• Gibt es Verantwortliche für die Bearbeitung von Alarmen?
• Können betroffene Geräte bei Bedarf isoliert werden?
• Werden Server, mobile Geräte und andere Betriebssysteme berücksichtigt?

Ein lokal aktiver Virenscanner ohne zentrale Überwachung kann Bedrohungen erkennen, ohne dass die zuständige IT-Abteilung rechtzeitig davon erfährt.

Warum ist die zentrale Verwaltung für Unternehmen wichtig?

In einer Unternehmensumgebung sollte Antivirussoftware nicht auf jedem Gerät einzeln verwaltet werden.

Eine zentrale Verwaltung ermöglicht es, Sicherheitsvorgaben einheitlich durchzusetzen und den Schutzstatus aller Geräte zu überwachen.

Wichtige Funktionen sind:

• zentrale Konfiguration der Schutzfunktionen
• automatische Aktualisierung der Erkennungsinformationen
• Übersicht über ungeschützte oder veraltete Geräte
• zentrale Meldung erkannter Bedrohungen
• Überwachung deaktivierter Schutzfunktionen
• Verwaltung von Ausnahmen
• Auswertung von Sicherheitsereignissen
• automatisierte Reaktionen
• manipulationsgeschützte Einstellungen

Ohne zentrale Kontrolle können einzelne Geräte über längere Zeit ungeschützt bleiben, beispielsweise weil ein Dienst deaktiviert wurde oder Aktualisierungen fehlschlagen.

Was ist Manipulationsschutz?

Angreifer versuchen häufig, Sicherheitslösungen zu deaktivieren oder ihre Einstellungen zu verändern.

Ein Manipulationsschutz soll verhindern, dass Benutzer, Schadsoftware oder nicht autorisierte Prozesse wichtige Sicherheitsfunktionen abschalten.

Geschützt werden können beispielsweise:

• Echtzeitschutz
• cloudbasierte Erkennung
• Sicherheitsdienste
• Erkennungseinstellungen
• bestimmte Ausnahmen
• automatische Reaktionen

Der Manipulationsschutz sollte zentral verwaltet und nur durch autorisierte Administratoren verändert werden können.

Warum sind regelmäßige Updates wichtig?

Antivirussoftware benötigt aktuelle Programmversionen und Erkennungsinformationen.

Neue Schadprogramme und Angriffsmethoden entstehen fortlaufend. Veraltete Signaturen oder nicht aktualisierte Schutzmodule können aktuelle Bedrohungen möglicherweise nicht zuverlässig erkennen.

Unternehmen sollten deshalb überwachen, ob:

• Erkennungsinformationen regelmäßig aktualisiert werden
• Programm- und Plattformupdates installiert sind
• Geräte längere Zeit keinen Kontakt zur Verwaltung hatten
• Aktualisierungen fehlschlagen
• Betriebssysteme und Anwendungen aktuell sind

Antivirusupdates ersetzen keine Sicherheitsupdates für das Betriebssystem und die installierten Anwendungen.

Können Virenscanner Fehlalarme auslösen?

Ja. Eine Antivirussoftware kann eine ungefährliche Datei oder Aktivität fälschlicherweise als Bedrohung einstufen. Dies wird als False Positive bezeichnet.

Fehlalarme können beispielsweise bei selbst entwickelter Software, ungewöhnlichen Administrationswerkzeugen oder selten verwendeten Programmen auftreten.

Bevor eine erkannte Datei freigegeben oder eine Ausnahme eingerichtet wird, sollte geprüft werden:

• Woher stammt die Datei?
• Ist die Quelle vertrauenswürdig?
• Ist die Datei digital signiert?
• Wurde sie durch mehrere Analyseverfahren geprüft?
• Ist das beobachtete Verhalten plausibel?
• Wurde die Datei verändert?
• Besteht eine aktuelle Sicherheitswarnung des Herstellers?

Ausnahmen sollten so eng wie möglich definiert, dokumentiert und regelmäßig überprüft werden. Weitreichende Ausnahmen für vollständige Laufwerke oder große Verzeichnisse können erhebliche Sicherheitslücken verursachen.

Welche Grenzen hat Antivirussoftware?

Antivirussoftware ist wichtig, kann aber nicht jeden Angriff verhindern.

Mögliche Grenzen sind:

• unbekannte oder stark veränderte Schadsoftware
• gestohlene Benutzerkonten
• Phishing ohne schädlichen Dateianhang
• Missbrauch legitimer Systemwerkzeuge
• Angriffe auf ungepatchte Schwachstellen
• fehlerhafte Berechtigungen
• unsichere Cloud-Konfigurationen
• Insider-Bedrohungen
• deaktivierte oder manipulierte Schutzfunktionen
• Angriffe auf Geräte, die nicht zentral verwaltet werden

Ein wirksames Sicherheitskonzept benötigt daher mehrere aufeinander abgestimmte Schutzebenen.

Welche zusätzlichen Schutzmaßnahmen sind erforderlich?

Antivirussoftware sollte mit weiteren technischen und organisatorischen Maßnahmen kombiniert werden.

Dazu gehören insbesondere:

• regelmäßige Sicherheitsupdates
• Multi-Faktor-Authentifizierung
• eingeschränkte Benutzer- und Administratorrechte
• sichere E-Mail- und Webfilter
• Firewall und Netzwerksegmentierung
• zentrale Protokollierung und Überwachung
• Endpoint Detection and Response
• sichere und getestete Datensicherungen
• Anwendungskontrolle
• Schulungen zur Erkennung von Phishing
• ein dokumentierter Incident-Response-Prozess

Das Ziel besteht darin, Angriffe zu verhindern, frühzeitig zu erkennen, ihre Ausbreitung einzuschränken und betroffene Systeme schnell wiederherzustellen.

Was sollten Unternehmen bei der Auswahl beachten?

Bei der Auswahl einer Antivirus- oder Endpoint-Security-Lösung sollten Unternehmen nicht ausschließlich auf den Anschaffungspreis achten.

Wichtige Kriterien sind:

• unterstützte Betriebssysteme und Gerätetypen
• Erkennungs- und Reaktionsfunktionen
• zentrale Verwaltung
• Schutz vor Manipulation
• cloudbasierte Analyse
• EDR-Funktionen
• automatische Isolation betroffener Geräte
• Integration in bestehende Sicherheitsplattformen
• Datenschutz und Speicherort der Telemetriedaten
• Qualität der Alarmmeldungen
• Aufwand für Betrieb und Pflege
• Support und Reaktionszeiten des Anbieters

Ebenso wichtig ist die Frage, wer die Sicherheitsmeldungen überwacht und bei einem Vorfall reagiert. Eine leistungsfähige Lösung bietet nur begrenzten Nutzen, wenn Warnungen nicht bearbeitet werden.

Fazit

Antivirussoftware schützt Computer, Server und andere Endgeräte vor vielen Arten von Schadsoftware. Moderne Lösungen nutzen neben bekannten Signaturen auch heuristische Analysen, Verhaltensüberwachung, cloudbasierte Erkennung und maschinelles Lernen.

Ein Virenscanner allein reicht jedoch nicht aus, um ein Unternehmen umfassend gegen Cyberangriffe zu schützen. Er muss zentral verwaltet, regelmäßig aktualisiert und durch weitere Maßnahmen wie EDR, Multi-Faktor-Authentifizierung, Sicherheitsupdates und getestete Backups ergänzt werden.

KNS unterstützt Unternehmen bei der Auswahl, Einrichtung und zentralen Überwachung geeigneter Endpoint-Security-Lösungen. Dazu gehören die Prüfung vorhandener Schutzfunktionen, die sichere Konfiguration, die Bearbeitung von Sicherheitsmeldungen und die Einbindung in ein ganzheitliches IT-Sicherheitskonzept.

Häufig gestellte Fragen zu Antivirussoftware

Benötigt jeder Computer Antivirussoftware?

Grundsätzlich sollte jedes unterstützte Endgerät über einen aktiven Schutz vor Schadsoftware verfügen. Die konkrete Lösung hängt vom Betriebssystem, Einsatzzweck und Sicherheitsrisiko ab.

Können zwei Antivirusprogramme gleichzeitig verwendet werden?

Mehrere gleichzeitig aktive Antivirusprogramme können sich gegenseitig behindern, Fehlalarme verursachen oder die Systemleistung beeinträchtigen. In der Regel sollte nur eine primäre Echtzeitschutzlösung aktiv sein.

Ist kostenlose Antivirussoftware für Unternehmen ausreichend?

Kostenlose Produkte bieten häufig nur eingeschränkte Verwaltungs-, Überwachungs- oder Supportfunktionen. Für Unternehmen sind insbesondere zentrale Steuerung, Alarmierung, Manipulationsschutz und eine klare Lizenzierung wichtig.

Entfernt Antivirussoftware jede gefundene Schadsoftware?

Nicht immer. Manche Bedrohungen können isoliert oder gelöscht werden, während bei schwerwiegenden Infektionen eine vollständige Neuinstallation oder Wiederherstellung des Systems erforderlich sein kann.

Was bedeutet Quarantäne beim Virenscanner?

Die Quarantäne ist ein isolierter Speicherbereich für verdächtige Dateien. Dort können die Dateien normalerweise nicht ausgeführt werden. Administratoren können sie anschließend prüfen, löschen oder bei einem bestätigten Fehlalarm wiederherstellen.

Schützt Antivirussoftware auch vor Phishing?

Antivirussoftware kann schädliche Anhänge, Downloads oder bekannte betrügerische Websites blockieren. Sie verhindert jedoch nicht jede Phishing-Nachricht und kann Benutzer nicht vollständig vor der Preisgabe von Zugangsdaten schützen.

Was ist der Unterschied zwischen Malware und einem Virus?

Malware ist der Oberbegriff für schädliche Software. Ein Computervirus ist eine bestimmte Form von Malware, die sich an Dateien oder Programme anhängen und weiterverbreiten kann.