Dipl.-Inform. Carsten Eilers

Was macht man, wenn man sich auf die Antivirus-Software nicht mehr verlassen kann oder will? "Das übliche" hilft schon mal sehr viel: Wenn Betriebssystem und Software auf dem aktuellen Stand sind, laufen die allermeisten Drive-by-Infektionen ins Leere, da die davon ausgenutzten Schwachstellen nicht mehr vorhanden sind. Und über Drive-by-Infektionen erfolgen heutzutage die meisten Infektionen.

Ein Problem sind 0-Day-Exploits im Rahmen von Drive-by-Infektionen, denn für die davon ausgenutzten Schwachstellen gibt es noch keine Patches. Aber diese Angriffe erkennen die Virenscanner auch meist erst nach einiger Zeit. So lange die 0-Day-Exploits zuerst im Rahmen gezielter Angriffe eingesetzt werden ist die Wahrscheinlichkeit gross, dass es einen Workaround gibt, bevor die Exploits es in die Exploit-Kits geschafft haben und allgemein eingesetzt werden. Und dann gilt wieder das anfangs geschriebene: Sind System und Software auf dem aktuellen Stand, scheitert der 0-Day-Exploit, in diesem Fall dann am Workaround.

Die zweithäufigste Methode zum Einschleusen von Schadsoftware sind per Mail zugesandte Programme und Trojaner (die sich zum Beispiel als PDF-"Rechnung" und ähnliches tarnen). Hier gilt: Alles, was unverlangt zugesandt wird, wird nicht geöffnet. Und schon ist der größte Teil der Angriffe neutralisiert. Vor allem sollten keine Anhänge aus Spam-Mails geöffnet werden, denn zumindest bei mir landen die meisten Mails mit angehängtem Schädling im Spamfilter. Völlig zu recht übrigens, da die Cyberkriminellen diese Mails ja wie Spam verschicken.

"Sehr geehrter Kunde,
zu Ihrer Bestellung xyz senden wir Ihnen als Anhang Ihre Rechnung als pdf-Datei, welche Sie bedenkenlos öffnen und ausdrucken können."

versehen. Das schreiben natürlich auch die Cyberkriminellen in ihre Mails rein. Also: Wenn Sie eine Mail mit einer angehängten Rechnung, Bestellbestätigung, Lieferinformation oder was auch immer bekommen, ohne beim betreffenden Unternehmen aktuell etwas bestellt zu haben, gehen Sie besser davon aus, dass es sich um Schadsoftware handelt. Wenn Sie die angehängte Datei unbedingt öffnen wollen, prüfen Sie wenigstens vorher, ob es wirklich eine Datei im angekündigten Format ist und nicht etwa eine entsprechend getarnte ausführbare Datei. Unverlangt zugeschickte ausführbare Dateien sollten Sie niemals öffnen.

Ansonsten gilt noch: Installieren Sie nur Software, die Sie wirklich brauchen, und holen Sie die nur aus vertrauenswürdigen Quellen. Am besten von den offiziellen Websites der Hersteller, sofern es sich um Downloads handelt. Idealerweise prüfen Sie auch die Prüfsummen der herunter geladenen Dateien, sofern diese Möglichkeit besteht.

Wenn Sie diese Grundsätze beachten, ist ihr Rechner auch ohne Antivirus-Software ziemlich sicher.

Oder auch trotz installiertem Virenscanner, denn der erkennt ja sowieso nur einen Teil der Angriffe. Der Rest scheitert dann entweder an Ihren Schutzmaßnahmen - oder infiziert Ihren Rechner. Und das, obwohl Sie sich durch den installierten Virenscanner doch so sicher gefühlt haben! Gibt Ihnen das nicht auch zu denken?

Ist Antivirus-Software gefährlich?

Es wäre zu überlegen, ob Antivirus-Software nicht sogar die Gefahr für den Rechner erhöht:

1. Es gibt immer wieder False-Positives: Eigentlich harmlose Dateien werden als Schadsoftware erkannt und in Quarantäne verschoben oder sogar gelöscht. Mit unschöner Regelmäßigkeit werden dabei auch das System oder harmlose Programme lahm gelegt.
2. Auch in der AV-Software werden immer wieder Schwachstellen entdeckt, die natürlich ausgenutzt werden können. Generell sollte man keine nicht benötigte Software installieren, um die Angriffsfläche zu minimieren. Da die Virenscanner nicht mal die Hälfte der Angriffe erkennen stellt sich die Frage, ob sie nicht unnötig sind.

Ob die Antivirus-Software gefährlich ist oder nicht muss jeder für sich selbst beantworten. Insbesondere nach den aktuellen Aussagen des Symantec-Managers tendiere ich eher zu "ist sie".

Sicheres Surfen dank Virtualisierung

Eine Alternative für sicheres Surfen ist übrigens der "Browser-in-the-Box" von Sirrix: Der Browser läuft in einer gehärteten virtuellen Maschine, ist aber transparent ins System integriert und läuft wie ein ganz normaler Browser. Gelangt Schadsoftware durch eine Drive-by-Infektion oder einen unvorsichtigen Download in die virtuelle Maschine, kann sie auf das eigentliche System und dessen Daten nicht zugreifen. Jedenfalls nicht ohne zusätzlichen Aufwand, worauf die bisherigen Schädlinge nicht ausgelegt sind. Bei jedem Neustart des Browsers wird die virtuelle Maschine auf den zertifizierten Ausgangszustand zurückgesetzt und die möglicherweise eingeschleuste Schadsoftware dabei gelöscht.

Irgendwann werden die Cyberkriminellen sicher auch den Ausbruch aus Virtuellen Maschinen ins Repertoire ihrer Schädlinge aufnehmen. Denn der ist durchaus möglich, wie schon des öfteren bewiesen wurde. Bisher enthält aber nur ein Teil der Schadsoftware überhaupt Code zum Erkennen virtueller Maschinen. Und im Allgemeinen stellen diese Schädlinge den Betrieb ein, wenn sie erkennen, dass sie in einer VM laufen. Denn das bedeutet meist, dass sie analysiert werden sollen. Was den Cyberkriminellen natürlich gar nicht recht ist.

Carsten Eilers