Virenscanner sind wichtig. Sie ergänzen den Schutz vor schädlicher Software und sind somit für den behutsamen Computeristen eine notwendige Ergänzung.
Sie ersetzen aber nicht den gesunden Menschenverstand. Misstrauen gegenüber durch das Internet eingehenden Nachrichten bleibt unerlässlich, zum Beispiel gegenüber E‑Mails.
Gerne wird zum Beispiel versucht, Computer mit Viren zu infizieren, indem eine Nachricht verschickt wird, die angeblich von bekannten Absendern wie DHL, 1&1, der Telekom oder amazon.de stammt. Angehängt ist eine vorgeblich wichtige Nachricht als PDF-Datei. Dies kann eine Versandinformation oder eine Rechnung sein.
Mit dem Öffnen des Anhanges erfolgt die Infektion. An dieser Stelle werden Sicherheitslücken im PDF-Viewer benutzt (der verbreitetste PDF-Viewer ist der Adobe Reader). Übrigens ist dies der Grund, weshalb man den PDF-Viewer stets aktuell halten und die Updates hierfür sofort installieren sollte.
Nach dem Versand dieser schädlichen Anhänge durch Virenautoren werden die Viren dann irgendwann von Antivirusspezialisten entdeckt und die Datenbanken der Antivirusprogramme aktualisiert, so dass die Schutzsoftware die Gefahr erkennen. Aber bis es so weit ist, gibt es eine Lücke im Virenschutz!
Gute Virenscanner haben zwar eine „Verhaltenserkennung” eingebaut. Sie erkennen die Schadsoftware nicht anhand der Virendatenbank mit ihrer Liste an Viren, aber dem Antivirusprogramm kann auffallen, dass sich da ein Programm „seltsam” verhält und versucht, „merkwürdige” oder „ungewöhnliche” Dinge zu tun.
Darauf sollte man sich aber nicht verlassen! Schauen Sie sich einmal dieses Beispiel an:
Hier sehen Sie eine E‑Mail, die angeblich von Vodafone kommt und der angeblich eine Rechnung angehängt ist:
Etwa vier Stunden nach dem Erhalt der Nachricht habe ich den Anhang durch diverse Virenscanner prüfen lassen; nur 4 von 44 Scannern haben ihn anhand ihrer Signaturdatenbank als schädlich erkannt, nämlich Kaspersky, TrendMicro und McAfee:
Hätte ich also den Anhang zu diesem Zeitpunkt geöffnet, wäre mein Computer möglicherweise infiziert worden. Natürlich hätte es sein können, dass die Verhaltenserkennung meines Antivirusprogrammes eine Infektion noch verhindert hätte, oder dass das Virus eine Sicherheitslücke in meinem Computer hätte nutzen wollen, die es nicht mehr gibt – dank der Windows-Updates oder dank der Updates meines Adobe Readers. Auf diesen Versuch möchte ich es aber nicht ankommen lassen!
Bei einer zweiten Prüfung elf Tage später sieht das Bild so aus:
Immerhin 24 von 46 Antivirusprogramme erkennen jetzt, dass es sich um eine PDF-Datei mit einem eingebauten Virus handelt. Von den insgesamt 46 Schutzprogramme sind viele recht exotisch; fast alle in Deutschland verbreiteten Programme identifizieren den Schädling nun.
Dieses Beispiel zeigt deutlich, dass beim Erhalt einer E‑Mail mit einem schädlichen Anhang ein Virenschutzprogramm nur wenig Schutz bietet. Von dem Zeitpunkt, zu dem diese E‑Mail versandt wurde, bis zu dem Zeitpunkt, ab dem Virenscanner den Schädling „kennen”, vergehen immer Stunden, manchmal Tage. Bei guten Virenscannern ist die zeitliche Lücke kleiner, aber sie ist vorhanden!
Nun war ich aber zu keinem Zeitpunkt durch diesen E‑Mail-Schädling gefährdet. Ich habe nämlich kein Vodafone-Handy und auch keinen Vodafone-Telefonanschluss. Warum sollte ich also eine Rechnung öffnen, die mir – angeblich – Vodafone zusendet?
Der wirksamste Schutzmechanismus ist eigentlich ganz einfach:
- Eine E‑Mail trifft ein mit einem Anhang, den man nicht erwartet hat. Zum Beispiel eine DHL-Versandbestätigung, obwohl man kein Paket verschickt hat. Oder eine Rechnung von der Telekom, obwohl man dort gar keinen Telefonanschluss hat. In einem solche Fall ist höchste Vorsicht geboten. Entweder Sie löschen die E‑Mail, ohne den Anhang zu öffnen, oder Sie fragen einen Fachmann um Rat.
- Schwieriger ist es, wenn es sich beispielsweise um eine Rechnung handelt, die Sie erwarten. Zum Beispiel eine Rechnung von 1&1, wenn Sie einen 1&1‑Internetanschluss haben. Deshalb schreiben die Absender in diesen Fällen eine eindeutige Kennung in die E‑Mail-Nachricht selber, zum Beispiel Ihre Kundennummer. Diese sollten Sie mit Ihren Unterlagen vergleichen, bevor Sie den Anhang öffnen: Wenn die Nummer stimmt, stammt die Nachricht mit allergrößter Wahrscheinlichkeit wirklich von dem Absender. Und dann können Sie auch den Anhang öffnen.
PS: Einen ähnlichen Fall schildert Heise online hier: http://www.heise.de/security/meldung/Viren-in-vermeintlichen-Rechnungen-von-ImmobilienScout24-1784597.html