Die Firewall ZoneAlarm, Adobes Flash-Player und sogar kritische Windows-Systemkomponenten - sie alle hat der Virenscanner AVG in den letzten Wochen fälschlich als Malware identifiziert. Damit hat AVG eine Reihe besonders auffälliger Fehlalarme geliefert. "Solche 'False Positives' sind ein Problem, mit dem auch andere Hersteller zu kämpfen haben", betont Andreas Marx, Geschäftsführer beim Testlabor AV-Test. Die schiere Menge immer neuer Malware im Internet macht es schwer, sowohl schnellen als auch umfassend qualitätsgeprüften Schutz bereitzustellen. Modernere Ansätze als die signaturbasierte Erkennung könnten helfen, das Problem in den Griff zu bekommen.
Fehlalarme von Virenscannern sind meist nur lästig, beispielsweise, wenn Flash nicht mehr funktioniert. Wenn aber die Windows-Systembibliothek "user32.dll" fälschlich als Malware identifiziert wird, gefährdet das die Funktionalität des Betriebssystems. Das ist kürzlich bei AVGs Virenscanner passiert, in diesem Jahr aber auch schon bei Avast, G Data und Kaspersky. Ein wichtiger Grund für die Fehlalarm-Problematik ist die steigende Masse an Malware. "Waren es 2004 noch um die 10.000, so finden wir seit gut einem Jahr über eine halbe Mio. neuer Samples pro Monat", sagt Marx. Meist handelt es sich dabei um Varianten bekannter Schadprogramme. "Die Schreiber sind sehr fleißig damit beschäftigt, Virenscanner zu umgehen", meint der Experte. Teils würden neue Malware-Variationen innerhalb weniger Minuten veröffentlicht.
Die AV-Industrie steht aufgrund der Malware-Massen vor einer schweren Wahl, was die klassische signaturbasierte Erkennung betrifft. Entweder, man lässt sich mit Updates etwas Zeit und riskiert so, vor neuen Bedrohungen zu langsam zu schützen oder aber neue Signaturen werden rasch bereitgestellt. "AVG dürfte versucht haben, Updates etwas schneller herauszubringen", meint Marx. Bei dieser Variante bleibt aber weniger Zeit für die Qualitätssicherung der Signaturupdates, wodurch auch das Risiko von Fehlalarmen steigt. Besonders bei regelmäßigen Systemscans können dann an sich harmlose Dateien fälschlich als Infektionen behandelt werden.
Mit neuen Schutzansätzen könnten die AV-Hersteller aber auch hier Fortschritte machen. "Es gibt die verhaltensbasierte Erkennung sowie das Verlagern des signaturbasierten Scans 'into the Cloud'", erklärt Marx. Bei letzterer Variante wird mit Erkennungshilfen nicht auf dem lokalen Computer, sondern auf einem zentralen Server gearbeitet. In beiden Fällen wird besonders darauf gesetzt, neu auf einen Computer gelangende Dateien zu überwachen. "Immerhin kommt die meiste Malware aus dem Internet", betont Marx. Falls es den AV-Anbietern gelingt, diesen Verbreitungsweg besser abzusichern, könnte das die Notwendigkeit lokaler Scans reduzieren. Damit würde besonders das Risiko von Fehlalarmen bei unveränderten, lokal gespeicherten Dateien wie Systemkomponenten oder bereits installierten Plug-ins sinken. "Eine neue Installation etwa des Flash-Players würde zwar bei einem 'False Positive' blockiert", meint Marx. Das aber wäre durch ein Update des Schutzangebots und ohne wirklich ernsthafte Nachteile für den Nutzer zu beheben. (pte)