Malware-Signatur kontra Heuristik-Scan

Anbieter zum Thema

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Solche Malware kann sich die ersten Stunden und Tage praktisch ungebremst über alle Systeme verbreiten. In einer solchen Situation hängt dann alles davon ab, wie schnell die Hersteller entsprechende Signaturen-Updates bereitstellen. Hier gibt es erhebliche Unterschiede: Zwischen den schnellsten und langsamsten Firmen kann es Differenzen von bis zu zwei Tagen geben. Die bislang bewiesene Geschwindigkeit beim Bereitstellen von Updates sollte also ein, wenn nicht das wesentliche Kriterium bei der Auswahl des Scanners sein.

Malware-Detektive unter der Lupe

Auch die Heuristiken unterscheiden sich qualitativ sehr. Leider sind hier methodisch saubere Tests nur schwer durchzuführen. Da es etwas zu viel verlangt wäre, die Tester komplett neue Viren programmieren zu lassen, werden bekannte Schädlinge leicht abgewandelt oder aber mit Virenbaukasten neue Malware-Programme zusammengestrickt. Eine andere Methode ist, den Virenscanner mit mehrere Monate alten Signaturen zu verwenden. Aktuelle Viren kann er dann also nicht per Signatur, sondern nur per Heuristik finden.

Aber es muss klar sein, dass ein solcher Heuristik-Test nur einen Trend zeigt, da er nie alle denkbaren Situationen abdecken kann. Zudem haben die Virenautoren natürlich ebenfalls die wichtigsten Virenscanner zur Hand und können ihr Virus solange nachoptimieren, bis es nicht mehr gefunden wird. Insofern sind Heuristik-Tests mit großer Vorsicht zu genießen, was aber nicht so schlimm ist, da die Heuristik in der Praxis nicht so relevant ist wie die Signaturerkennung.

Viren lassen sich natürlich nur dann aufstöbern, wenn der Scanner nicht schon an einer Rootkit-Tarnkappe oder aber einem Archivdateiformat (ZIP, RAR und Obskureres) scheitert. Hier sollte sich ein Scanner grundsätzlich keine Schwächen leisten. Generell ist es aber sowieso am sichersten, weder unbekannte Dateien zu öffnen noch Downloads auf nicht vertrauenswürdigen Web-Portalen zu starten.

(ID:2005802)