Antivirus

Ein Antivirus ist der Türsteher und Putzmann für deinen Computer. Er macht zwei Dinge:

Wächter (Real-time): Er steht an der Tür und prüft jede Datei, die du öffnest oder herunterlädst. Sieht sie gefährlich aus? -> Blockieren.
Scanner (Scan): Er läuft durch alle Zimmer (Festplatte) und sucht nach Einbrechern (Viren), die sich vielleicht versteckt haben.

Früher suchte er nur nach "Viren". Heute schützt er vor allem Möglichen: Ransomware (Erpresser), Spyware (Spione) und Trojanern. Deshalb heißt es oft "Anti-Malware".

Merksatz: Software, die schädliche Programme erkennt, blockiert und entfernt.

Windows Defender reicht oft

Früher musste man Norton oder Kaspersky kaufen. Heute ist der Microsoft Defender (in Windows eingebaut) so gut, dass er für Privatleute oft ausreicht. Wichtig ist nur:

Schalte ihn nie aus.
Lass Updates zu (Täglich kommen neue Viren).
Klicke nicht auf "Warnung ignorieren", wenn er Alarm schlägt.

Wann brauche ich mehr?

Firmen nutzen oft "Endpoint Protection" (EDR). Das sind Super-Antiviren, die nicht nur blockieren, sondern genau aufzeichnen: "Der Virus kam per E-Mail um 14:00 Uhr von IP X".

1. Signaturen vs. Heuristik

Signaturen (Der Steckbrief): Der Antivirus hat eine riesige Liste mit Fingerabdrücken bekannter Viren. Er vergleicht jede Datei damit. Problem: Neue Viren werden nicht erkannt (Zero-Day).
Heuristik (Das Verhalten): Der Antivirus beobachtet, was ein Programm tut. "Oh, dieses Programm versucht gerade, alle deine Word-Dateien zu verschlüsseln? Das ist verdächtig!" -> Blockieren. Das nennt man Verhaltensanalyse.

2. Cloud Sandbox

Moderne AV-Scanner (wie CrowdStrike) laden unbekannte Dateien heimlich in eine Cloud-Umgebung hoch. Dort wird die Datei in einem sicheren Käfig "gezündet", um zu sehen, was passiert. Wenn sie explodiert, wissen alle anderen Computer weltweit sofort: "Diese Datei ist böse".

1. API-Hooking und Kernel-Treiber

Damit ein Antivirus auf Systemebene (Real-time Wächter) arbeiten kann, klinkt er sich tief ins Betriebssystem (OS) ein. Unter Windows nutzt er dafür oft Kernel-Level-Treiber (z.B. Minifilter Treiber). Er fängt Systemaufrufe ab (API-Hooking), bevor diese ausgeführt werden:

// Stark vereinfachtes Schema eines Hook-Aufrufs:
if (is_file_malicious(file_path)) {
    return STATUS_ACCESS_DENIED; // Blockiert den Zugriff!
}

Das ist auch der Grund, warum Antiviren-Software selbst eine große Angriffsfläche bietet: Wenn der Virenscanner einen Bug (Softwarefehler) hat, crasht das ganze System (siehe den globalen CrowdStrike-Ausfall 2024), da er mit den höchsten Privilegien läuft.

2. False Positives (Falscher Alarm)

Heuristische Scans produzieren oft False Positives. Der Scanner bewertet eine harmlose Aktion als bösartig. Entwickler müssen Software oft bei Microsoft "signieren" (Geld bezahlen, um zu beweisen, dass sie echt sind), damit der SmartScreen-Filter oder der Defender sie nicht sofort beim Download blockiert.

3. Packers & Cryptors

Malware-Entwickler wissen, dass Signaturen existieren. Deshalb wird Malware oft gepackt oder verschlüsselt. Der eigentliche Virus ist komprimiert, und nur ein winziger Code-Block (der "Stub") wird gestartet. Dieser Stub entschlüsselt den Virus erst direkt in den RAM, ohne ihn je auf die SSD (Solid State Drive) zu schreiben. Gute Scanner versuchen, diesen Code im Speicher zu emulieren und zu scannen.