Die komplette Wahrheit über Viren & Co.

Mittwoch, 3. Juli 2024

Entwickler von Antivirenprogrammen aktualisieren ihre Produkte ständig und implementieren neue Algorithmen zur Virenerkennung und Verhaltensanalyse. Allerdings sind Fehlalarme auch bei den fortschrittlichsten Antivirenprogrammen nicht ausgeschlossen. In dieser Ausgabe erklären wir, warum Fehlalarme auftreten, zu welchen Folgen sie führen können und wie Sie die Anzahl von Fehlalarmen reduzieren können.

Was ist ein Fehlalarm?

Bei einem Fehlalarm handelt es sich um eine Situation, in der eine harmlose Datei oder Anwendung fälschlicherweise als bösartig eingestuft wird. Die Ursachen können unterschiedlich sein. Das Ergebnis ist immer das gleiche: Der Nutzer erhält eine Warnmeldung über eine Bedrohung, die in Wirklichkeit harmlos ist.

Falsch positiv vs. falsch negativ

Eine der Herausforderungen für Virenschutzentwickler besteht darin, das Gleichgewicht zwischen falsch positiven Ergebnissen (wenn eine harmlose Datei als Bedrohung wahrgenommen wird) und falsch negativen Ergebnissen (wenn eine Bedrohung übersehen wird) zu finden. Daher ist die Entwicklung von Antivirensoftware eine komplexe Aufgabe, die eine ständige Verbesserung von Erkennungstechnologien erfordert. Die Spezialisten von Doctor Web optimieren die Erkennungsalgorithmen der Dr.Web Produkte laufend, um sowohl Fehlalarme als auch die Anzahl nicht erkannter Bedrohungen zu reduzieren und einen sicheren Schutz vor Cyberbedrohungen zu gewähren.

Wie funktioniert ein Virenscanner?

Wenn das Virenlabor von Doctor Web eine schädliche Datei oder Anwendung erhält, ermitteln unsere Virenanalysten die eindeutige Signatur der Bedrohung und fügen diese zur Virendatenbank hinzu.

Der Dr.Web Antivirus auf dem Computer des Nutzers prüft zunächst die Datei auf ihre Funktionsfähigkeit. Wenn die Datei nicht funktionsfähig (beschädigt, nicht korrekt komprimiert etc.) ist, wird sie von unserer Antivirus-Engine übersprungen. Antivirenprogramme vieler anderer Hersteller hingegen analysieren solche Dateien und, wenn eine Virensignatur in der Datei erkannt wird, wird diese Datei als bösartig eingestuft, obwohl der enthaltene Code nicht funktionsfähig ist.

Wenn die Datei funktionsfähig ist, wird sie von unserem Antivirus auf bekannte Virensignaturen durchsucht. Werden keine Treffer gefunden, gilt die Datei als harmlos. Bei diesem Erkennungsverfahren handelt es sich um die signaturbasierte Analyse.

Bei der heuristischen Analyse wird die Schädlichkeit von Dateien anhand indirekter Erkennungszeichen ermittelt. Dateien, bei denen die Wahrscheinlichkeit des Schadcodes einen in den Einstellungen festgelegten Schwellenwert (z.B. 50%) überschreitet, werden vom Antivirus als gefährlich eingestuft und gesperrt oder gelöscht.

Die heuristische Analyse dient zur Erkennung noch nicht bekannter Bedrohungen. Fehlalarme können auftreten, wenn die Datei für bösartige Anwendungen typische Codeteile enthält oder nach einem für Schadprogramme spezifischen Algorithmus arbeitet.

Eine weitere Erkennungsmethode ist die Verhaltensanalyse. Diese Methode ermöglicht es, auch getarnte Bedrohungen zu erkennen, die z.B. von Packern gepackt wurden oder mit Protector-Programmen geschützt sind. Bösartige Anwendungen, die harmlose ausführbare Programme (z.B. Installationsprogramme) nachahmen, lassen sich an verdächtigem Verhalten erkennen. Wenn die Aktivitäten der gescannten Datei denen von Malware ähneln, wird die Datei vom verhaltensbasierten Analyse-Tool gesperrt.

Doch auch die Aktivitäten einiger harmloser Anwendungen können verdächtig aussehen. Daher werden diese manchmal fälschlicherweise als bösartig eingestuft. Solche Fehlalarme können z.B. beim Scan einiger Computerspiele auftreten, die ihre eigenen Protector- und Anti-Cheat-Systeme verwenden. Wenden Sie sich in diesem Fall an unseren technischen Support.

Wie Sie Fehlalarme reduzieren können

Wie erfahren Sie, ob eine Datei tatsächlich einen Virus enthält oder ob es sich um einen Fehlalarm handelt? Senden Sie die Datei zur Analyse an den Hersteller Ihres Antivirus. Das Virenlabor untersucht die Datei. Wenn sich herausstellt, dass es sich um einen Fehlalarm handelt, werden entsprechende Änderungen im Antivirenprogramm vorgenommen, um ähnliche Fehler in Zukunft zu vermeiden.

Um einen Fehlalarm zu melden, füllen Sie das Formular auf unserer Website aus (Kategorie „Detektionsfehler“).