Quelltext der Seite Antivirenprogramm

{{Überarbeiten||Dieser Artikel|grund=Er basiert zum großen Teil nicht auf [[WP:Q#Was sind zuverlässige Informationsquellen?|zuverlässigen Quellen]] und es ist daher zweifelhaft, ob dieser Artikel das Thema angemessen und wertneutral wiedergibt. Aussagen aus diesem Artikel sollten mit Hilfe verlässlicher Quellen überprüft und ggf. korrigiert werden.}}

Ein '''Antivirenprogramm''', '''Virenscanner''' oder '''Virenschutz'''-Programm (Abkürzung: AV) ist eine [[Software]], die [[Schadprogramm]]e wie z.&nbsp;B. [[Computervirus|Computerviren]], [[Computerwurm|Computerwürmer]] oder [[Trojanisches Pferd (Computerprogramm)|Trojaner]] aufspüren, blockieren, gegebenenfalls betroffene Nutzer informieren und die Schadsoftware beseitigen soll.

== Geschichte ==
Die meisten Computerviren, die Anfang und Mitte der 1980er Jahre geschrieben wurden, waren auf Selbstreproduktion beschränkt und verfügten auch oft nicht unbedingt über eine spezifische Schadfunktion. Erst als die Technik der Virenprogrammierung breiteren Kreisen bekannt wurde, tauchten zunehmend Schadprogramme auf, die gezielt Daten auf infizierten Rechnern manipulierten oder zerstörten. Damit entstand die Notwendigkeit, spezielle Antivirenprogramme zur Bekämpfung dieser Schadsoftware zu erwägen.<ref>{{Webarchiv |url=http://www.computerviren-info.de:80/Geschichte.html |text=Eine kurze Geschichte der Viren |wayback=20110212084313}} auf computerviren-info.de</ref>

Es gibt konkurrierende Ansprüche, wer sich Erfinder des ersten Antivirenprogramms nennen darf. Das erste Programm zur Bekämpfung des [[Creeper-Virus]] im ARPA-Net wurde bereits 1971 entwickelt. Die wahrscheinlich erste öffentlich dokumentierte Entfernung eines Computervirus mit einem Tool wurde von [[Bernd Fix]] im Jahr 1987 durchgeführt.<ref>{{Webarchiv |url=http://www.viruslist.com/en/viruses/encyclopedia?chapter=153311150 |text=Kaspersky Lab Virus list |wayback=20090713091733}} (englisch)</ref> [[Fred Cohen]], der schon 1984 durch seine Arbeiten das Thema "Computerviren" öffentlich gemacht hatte,<ref>[https://web.eecs.umich.edu/~aprakash/eecs588/handouts/cohen-viruses.html eecs.umich.edu] Fred Cohen 1984 „Computer Viruses – Theory and Experiments“ (englisch)</ref> entwickelte ab 1988 Strategien zur Virenbekämpfung. Diese wurden später für Antivirenprogramme genutzt und weiterentwickelt.

Ebenfalls 1988 entstand im [[BITNET]]/[[European Academic Research Network|EARN]]-Rechnerverbund eine [[Mailingliste]] namens "VIRUS-L", in der vor allem über das Auftauchen neuer Viren sowie über die Möglichkeiten zur Virenbekämpfung diskutiert wurde. Einige Teilnehmer dieser Liste, wie zum Beispiel [[John McAfee]] oder [[Jewgeni Walentinowitsch Kasperski|Eugene Kaspersky]], gründeten in Folge Unternehmen, die kommerzielle Antivirenprogramme entwickelten und anboten. Vier Jahre zuvor, 1984, war schon Arcen Data (heute [[Norman (Unternehmen)|Norman ASA]]) gegründet worden, das sich Ende der 1980er Jahre mit dem Auftauchen der ersten Computerviren in Norwegen ebenfalls auf Antivirenprogramme spezialisierte.<ref>{{Webarchiv |url=http://download.norman.no/documents/timeline_2009.pdf |text=Zeitleiste Norman 1989 bis 2009 |wayback=20131005004848}}. In: norman.no (PDF; 901&nbsp;kB), (englisch).</ref> Im Jahr 1987 stellte das Unternehmen [[G Data CyberDefense|G DATA Software]] das weltweit erste kommerzielle Virenschutzprogramm vor, welches speziell für den [[Atari ST]] entwickelt wurde.<ref>{{Internetquelle |url=https://www.wallstreet-online.de/nachricht/11779492-cyberdefense-made-germany-g-data-namen-foto |titel=CyberDefense – Made in Germany – G DATA ab sofort mit neuem Namen |werk=wallstreet-online.de |datum=2019-09-30 |abruf=2023-06-09}}</ref><ref>{{Internetquelle |url=https://inherne.net/virenbekaempfer-aus-wanne-eickel/ |titel=Andreas Lüning gründete weltweit aktive IT-Security Firma: Virenbekämpfer aus Wanne-Eickel |werk=inherne.net |datum=2019-02-27 |abruf=2023-06-09}}</ref><ref>{{Internetquelle |autor=Hubert Popiolek, Dany Dewitz |url=http://www.computerbild.de/artikel/cb-Special-G-Data-Internet-Security-CBE-10011799.html |titel=Virenschutz made in Germany: Das steht hinter G Data |hrsg=[[Computer Bild]] |datum=2015-05-22 |archiv-url=https://web.archive.org/web/20210519171635/https://www.computerbild.de/artikel/cb-Special-G-Data-Internet-Security-CBE-10011799.html |archiv-datum=2021-05-19 |abruf=2021-05-19}}</ref>

Bevor eine [[Internet]]-Verbindung üblich wurde, verbreiteten sich Viren typischerweise über [[Diskette]]n. Antivirenprogramme wurden zwar manchmal verwendet, aber nur unregelmäßig auf einen aktuellen Stand gebracht. Während dieser Zeit prüften diese nur die ausführbaren Programme sowie die Boot-Sektoren auf Disketten und [[Festplattenlaufwerk|Festplatten]]. Mit der Verbreitung des Internets begannen Viren auf diesem Weg, neue Rechner zu infizieren, damit eine allgemeinere Gefahr darzustellen und sich sehr viel schneller weiterzuverbreiten.<ref name="Panda21Apr04">{{cite web|url=http://www.pandasecurity.com/homeusers/media/press-releases/viewnews?noticia=4974&entorno=&ver=&pagina=&producto=|title=(II) Evolution of computer viruses|accessdate=2009-06-20|publisher=Panda Security|archiveurl=https://web.archive.org/web/20090802042225/http://www.pandasecurity.com/homeusers/media/press-releases/viewnews?noticia=4974&entorno=&ver=&pagina=&producto=|archivedate=2009-08-02|year=2004|month=April|language=en}}</ref>

Mit der Zeit wurde es für Antivirenprogramme immer wichtiger, verschiedene Dateitypen (und nicht nur ausführbare Programme) auf verborgene Viren zu untersuchen. Dies hatte unterschiedliche Gründe:
* Die Verwendung von [[Makro]]s in [[Textverarbeitung]]sprogrammen wie [[Microsoft Word]] stellte ein zusätzliches Infektionsrisiko dar, da Virenprogrammierer begannen, schädliche Makros in Dokumente einzubetten. Dies bedeutete, dass Computer allein dadurch infiziert werden konnten, dass ein eingebettetes Makrovirus in einem Dokument ausgeführt wurde.<ref>{{cite book|last = Szor|first = Peter|authorlink = Peter Szor|title = The Art of Computer Virus Research and Defense|publisher = [[Addison-Wesley]]|year = 2005|pages= 66–67|isbn = 0-321-30454-3|language=en}}</ref> Das Makro installierte externe Schadsoftware wie [[Trojanisches Pferd]]e, [[Rootkit]]s und meist [[Botnet]]s, um deren Betreibern den Zugang zum infizierten System zu verschaffen.
* Spätere E-Mail-Programme, insbesondere [[Outlook Express|Microsoft Outlook Express]] und [[Microsoft Outlook]], waren verwundbar für Viren, die in E-Mails eingebunden waren. Damit konnte ein Rechner schon durch das Öffnen der E-Mail infiziert werden.

Mit der steigenden Anzahl vorhandener Viren wurde auch die kontinuierliche Aktualisierung der Antivirenprogramme notwendig. Doch selbst unter diesen Umständen konnte sich ein neuartiger Virus innerhalb kurzer Zeit stark verbreiten, bevor Hersteller von Antivirenprogrammen darauf mit einer Aktualisierung reagieren konnten.

== Typen von Antivirenprogrammen ==

=== Echtzeitscanner ===
Der Echtzeitscanner ({{enS|on-access scanner, real-time protection, background guard}}), auch "Zugriffsscanner" oder "residenter Scanner" genannt, ist im Hintergrund als [[Windows-Systemdienst|Systemdienst]] ([[Windows]]) oder [[Daemon]] ([[Unixoid|Unix]]) aktiv und scannt alle Dateien, Programme, den [[Arbeitsspeicher]] und evtl. den [[Hypertext Transfer Protocol|HTTP]]- wie den [[File Transfer Protocol|FTP]]-Verkehr. Um dies zu erreichen, werden so genannte [[Gerätetreiber|Filtertreiber]] vom Antivirenprogramm installiert, welche die [[Schnittstelle]] zwischen dem Echtzeitscanner und dem [[Dateisystem]] bereitstellen. Findet der Echtzeitscanner etwas Verdächtiges, fragt er in der Regel den Benutzer nach dem weiteren Vorgehen. Dies ist das Blockieren des Zugriffs, das Löschen der Datei, das Verschieben in die [[Quarantäne]] oder, wenn möglich, ein Reparaturversuch. Generell kann beim Echtzeitschutz zwischen zwei Strategien unterschieden werden:
# Scannen beim Öffnen von Dateien (Lesevorgang)
# Scannen beim Erstellen / Ändern von Dateien (Schreibvorgang)

Es kann der Fall eintreten, dass eine virulente Datei gespeichert wurde, bevor eine Virensignatur, durch welche der Virus erkannt wird, für sie verfügbar war. Nach einem Signatur-Update ist es aber möglich, sie beim Öffnen zu erkennen. In diesem Fall ist also ein Scanvorgang beim Öffnen der Datei dem Scanvorgang beim Schreiben der Datei überlegen. Um die Belastung der verfügbaren Rechnerleistung durch den Echtzeitscanner zu verringern, werden meist bestimmte [[Dateiformate]], [[Datenkompression|komprimierte Dateien]] (Archive) oder Ähnliches nur teilweise oder gar nicht gescannt.

=== Manueller Scanner ===
Der manuelle Scanner ({{enS|on-demand scanner|de=auf Abruf}}), auch als ''Dateiscanner'' bezeichnet, muss vom Benutzer manuell oder zeitgesteuert gestartet werden. Findet ein Scanner schädliche Software, erscheint eine Warnmeldung und in der Regel auch eine Abfrage der gewünschten Aktion, z.&nbsp;B. Quarantäne oder Löschung der befallenen Datei(en).

=== Online-Virenscanner ===
Als Online-Virenscanner werden Antivirenprogramme bezeichnet, die sowohl ihren Programmcode als auch die Viren-Signaturen über ein Netzwerk (online) laden. Im Gegensatz zu fest installierten Virenscannern arbeiten sie nur im On-Demand-Modus. Das heißt, der persistente Schutz durch einen On-Access-Modus ist nicht gewährleistet. Online-Virenscanner werden oftmals als sogenannte "''Second-Opinion-Scanner"'' benutzt, um sich zusätzlich zum bereits installierten Virenscanner eine „zweite Meinung“ zu eventuellem Befall einzuholen.

Weiterhin gibt es Webseiten, die es ermöglichen, einzelne Dateien mit verschiedenen Virenscannern zu prüfen. Für diese Art des Scans muss der Benutzer selbst aktiv die Datei hochladen, es ist also eine Spezialform des ''On-Demand''-Scans.

Ein Beispiel dafür ist die Seite [[VirusTotal]], welche mithilfe von mehreren Antivirenprogrammen sowie [[YARA]] feststellt, ob eine gegebene Datei schädlich einzuordnen ist.<ref>[https://www.chip.de/downloads/webapp-VirusTotal_164038954.html VirusTotal], auf chip.de, abgerufen am 12. November 2023</ref>

=== Sonstige Scanner ===
Neben dem Echtzeit- und dem manuellen Scanner gibt es noch eine Reihe weiterer Scanner.
* Die meisten davon arbeiten, indem sie den Netzwerkverkehr analysieren. Dazu scannen sie den [[Datenstrom]] und führen bei einer Auffälligkeit eine definierte Operation aus, wie etwa das Sperren des Datenverkehrs.

* Eine andere Lösung ist der Einsatz von [[Proxy (Rechnernetz)|Proxy-Software]]. Manche Proxys erlauben das Anbinden von Antivirensoftware. Wird eine Datei so heruntergeladen, wird diese zunächst am Proxy untersucht und geprüft, ob sie verseucht ist. Je nach Ergebnis wird sie dann an den Client ausgeliefert oder gesperrt. Ein deutlicher Nachteil besteht jedoch in der Tatsache, dass dies bei einer [[Ende-zu-Ende-Verschlüsselung]] quasi wirkungslos ist. Eine Variante dieser Proxy-Virusfilter sind [[SMTP-Relay-Server|Mail-Relay-Server]] mit Antivirus-Software, teilweise als „Online-Virusfilter“ bezeichnet (vgl. aber oben). Dabei werden E-Mails zunächst auf den Relay-Server geleitet, dort gescannt und abgewiesen, unter Quarantäne gestellt oder gesäubert und dann auf den [[Mailserver]] des Empfängers weitergeleitet.

== Funktionsweise und Erfolgswahrscheinlichkeit ==
{{Belege fehlen|<small>(Mai 2017)</small>|Zahlreiche Abschnitte wie „Scanengines“, „Heuristik“ und „Verhaltensanalyse“ sind komplett frei von [[WP:Q|Belegen]] und auch die übrigen Abschnitte|Plural=1}}
Virenscanner können prinzipiell nur ''bekannte'' Schadprogramme (Viren, Würmer, Trojaner etc.) bzw. Schadlogiken ({{enS|Evil Intelligence}}) erkennen und somit nicht vor allen [[Computervirus|Viren]] und [[Computerwurm|Würmern]] schützen. Daher können Virenscanner generell nur als Ergänzung zu allgemeinen Vorsichtsmaßnahmen betrachtet werden, die Vorsicht und aufmerksames Handeln bei der Internetnutzung unentbehrlich macht. So erreichte die [[Stiftung Warentest]] bei einem „internationalen Gemeinschaftstest“<ref name="heise0" /><ref name="heise-AV-Lexikon">{{Internetquelle |url=https://www.heise.de/security/artikel/Das-Antivirus-Lexikon-Was-bedeutet-eigentlich-1105792.html |titel=Das Antivirus-Lexikon: Was bedeutet eigentlich… |werk=heise Security |abruf=2018-03-06}}</ref> Anfang 2012 gegen 1.800 eingesetzte „aktuelle“ Schädlinge mit 18 Antivirusprogrammen Werte von 36 % bis 96 % aufgespürten Signaturen.<ref name="test0" /> Symantec-Vizechef Brian Dye gestand gegenüber dem ''[[Wall Street Journal]]'' ein, dass Antivirensoftware nur etwa 45 % aller Angriffe erkenne.<ref>Jörg Thoma: [https://www.golem.de/news/symantec-antivirensoftware-ist-tot-1405-106251.html ''Symantec-Vizechef Brian Dye – Antivirensoftware erkennt nur etwa 45 % aller Angriffe''.] golem.de; abgerufen am 5. Mai 2014</ref>

Grundsätzlich kann bei der Erkennung zwischen zwei Techniken unterschieden werden. Aufgrund der Vor- und Nachteile werden bei aktuellen Virenscannern beide Techniken eingesetzt, um die Schwächen der jeweils anderen auszugleichen<ref>{{Literatur |Autor=Peter Szor |Titel=The art of computer virus research and defense |Verlag=Addison-Wesley |Ort=Upper Saddle River, NJ Munich |Datum=2005 |ISBN=978-0-321-30454-4 |Abruf=2026-01-05}}</ref>.

* Reaktiv: Bei dieser Art der Erkennung wird ein Schädling erst erkannt, wenn eine entsprechende Signatur (oder bekannter [[Hash-Wert]] in der Cloud) seitens des Herstellers der Antivirensoftware zur Verfügung gestellt wurde. Dies ist die klassische Art der Virenerkennung, welche von praktisch jeder Antivirensoftware verwendet wird.
** Vorteil: Eine Signatur kann innerhalb kurzer Zeit erstellt werden und bildet daher immer noch das Rückgrat eines jeden Scanners (bei Online-Verbindungen zusätzlich Cloud-basierte Erkennung)
** Nachteil: Ohne aktualisierte Signaturen werden keine neuen Schadprogramme erkannt.
* [[Proaktiv]]: Dies bezeichnet die Erkennung von [[Malware]], ohne dass eine entsprechende Signatur zur Verfügung steht. Aufgrund der rapiden Zunahme neuer [[Schadprogramm]]e werden solche Techniken immer wichtiger. Proaktive Verfahren sind etwa die Heuristik, die Verhaltensanalyse oder SandBox-Techniken<ref>{{Internetquelle |url=https://www.kaspersky.de/resource-center/definitions/heuristic-analysis |titel=Was ist die heuristische Analyse? |werk=kaspersky.de |hrsg=Kaspersky |datum=2024 |sprache=de |abruf=2024-06-15}}</ref><ref>{{Internetquelle |autor=Felix Bauer |url=https://www.bundespolizei-virus.de/virenscanner/arbeitsweise/ |titel=Wie arbeiten Virenscanner? Erkennungstechniken erklärt |werk=www.bundespolizei-virus.de |hrsg=Initiative "Bleib virenfrei" |datum=2023-08-09 |sprache=de |abruf=2024-06-15}}</ref>.
** Vorteil: Erkennung noch unbekannter Schadprogramme.
** Nachteil: Die komplexe Technik bedarf hoher Entwicklungskosten und langer Entwicklungszyklen. Proaktive Techniken haben prinzipbedingt gegenüber reaktiven Techniken eine höhere Fehlalarmquote.

=== Scanengines ===
Unter einer "Scanengine" versteht man den Programmteil eines Virenscanners, der für die Untersuchung eines Computers oder Netzwerkes auf [[Schadprogramm]]e verantwortlich ist<ref>{{Internetquelle |url=https://www.security-insider.de/was-sind-virenscanner-a-570942/ |titel=Was sind Virenscanner? Wichtige Begriffe aus dem Umfeld der Virenscanner |werk=security-insider.de |hrsg=Security Insider |datum=2017-06-01 |sprache=de |abruf=2024-06-15}}</ref>. Eine Scanengine ist somit unmittelbar für die Effizienz von Antivirensoftware verantwortlich. Gewöhnlich sind Scanengines Softwaremodule, die unabhängig vom Rest eines Virenscanners aktualisiert und eingesetzt werden können. Es gibt Antivirensoftware, welche neben der eigenen Scanengine auch lizenzierte Scanengines anderer AV-Hersteller einsetzt<ref>{{Internetquelle |autor=Debarshi |url=https://futuriq.de/2022/06/ms-windows/zweitmeinungs-anti-malware-scanner-mit-68-scan-engines/33131/ |titel=Zweitmeinungs-Anti-Malware-Scanner mit 68 Scan-Engines |werk=futuriq.de |hrsg=FUTURIQ |datum=2022-06-02 |sprache=de |abruf=2024-06-15}}</ref>. Durch den Einsatz mehrerer Scanengines kann zwar die Erkennungsrate theoretisch gesteigert werden, jedoch führt dies immer zu drastischen Performance-Verlusten. Ob sich Virenscanner mit mehreren Scanengines als sinnvoll erweisen, bleibt daher fragwürdig, hängt vom Sicherheitsanspruch oder dem Anspruch an System-Performance ab und muss von Fall zu Fall entschieden werden.

Die Leistungsfähigkeit eines signaturbasierten Antivirenscanners bei der Erkennung von schädlichen Dateien hängt nicht nur von den verwendeten Viren-Signaturen ab. Oftmals werden die ausführbaren Dateien vor ihrer Verbreitung so gepackt, dass sie sich später selbst entpacken können ([[Kompression ausführbarer Programmdateien|Laufzeitkomprimierung]]). So kann ein eigentlich bekannter Virus der Erkennung durch manche Scanner entgehen, weil diese nicht in der Lage sind, den Inhalt des laufzeitkomprimierten Archives zu untersuchen. Bei diesen Scannern kann nur das Archiv als solches in die Signaturen aufgenommen werden. Wird das Archiv neu gepackt (ohne den Inhalt zu ändern), müsste dieses Archiv ebenfalls in die Signaturen aufgenommen werden. Ein Scanner mit der Fähigkeit, möglichst viele Formate entpacken zu können, ist hier im Vorteil, weil er den Inhalt der Archive untersucht. Somit sagt auch die Anzahl der verwendeten Signaturen noch nichts über die Erkennungsleistung des Scanners aus.

Eine Engine beinhaltet mehrere Module, die je nach Hersteller unterschiedlich implementiert und integriert sind und miteinander interagieren:
* Dateiformat-Analyse (wie Programme ([[Portable Executable|PE]], [[Executable and Linking Format|ELF]]), Skripte ([[Visual Basic Script|VBS]], [[JavaScript]]), Datendateien ([[PDF]], [[GIF]]))
* Pattern-Matcher (Mustererkennung) für die klassischen Signaturen
* Entpack-Routinen für
** [[Kompression ausführbarer Programmdateien|laufzeitkomprimierte Programme]] und Verschlüsselungsroutinen (so etwa [[UPX]], Aspack, Y0daCrypt)
** Archive (so [[ZIP-Dateiformat|ZIP]], [[RAR (Dateiformat)|RAR]], [[7z]], [[UUencode|UUE]]/[[Base64]])
** Mailbox-Formate (so [[mbox]], .[[Outlook Express|dbx]], .[[E-Mail#Speicherung|eml]], [[MIME]])
* Code-Emulation (vergleichbar mit einer Art ''Mini-Sandbox'' oder es greift eine [[Sandbox]] darauf zurück, nützlich für generische Erkennung oder bei polymorphen Schadprogrammen)
* Heuristik für unterschiedliche Typen (PE, Scripte, [[Makro]]s)
* diverse Filter (In ELF-Dateien muss nicht nach PE-Signaturen gesucht werden oder per Zugriffsschutz geblockten Dateien, Entweder gibt es vordefinierte Regeln oder der Filter muss selbst konfiguriert werden.)

Des Weiteren oder vorrangig beim Echtzeitschutz eingesetzt:
* Verhaltensanalyse
* Cloud-Technik
* Sandbox

=== Heuristik ===
Einige Virenscanner verfügen über die Möglichkeit, auch nach allgemeinen Merkmalen zu suchen ([[Heuristik]]),<ref name="heise-AV-Lexikon" /> um unbekannte Viren zu erkennen, oder sie bringen ein rudimentäres [[Intrusion Detection System]] (IDS) mit. Die Wichtigkeit dieser –&nbsp;präventiven&nbsp;– Art der Erkennung nimmt stetig zu, da die Zeiträume, in denen neue Viren und Varianten eines Virus in Umlauf gebracht werden (auf den Markt drängen), immer kürzer werden. Für die Hersteller von Antiviren-Software wird es somit immer aufwändiger und schwieriger, alle Schädlinge zeitnah durch eine entsprechende Signatur zu erkennen.

Heuristika sollten nur als Zusatzfunktion des Virenscanners angesehen werden. Die tatsächliche Erkennung noch unbekannter Schadprogramme ist eher gering, da die Schadprogramm-Autoren meistens ihre „Werke“ mit den bekanntesten Scannern testen und sie so ändern, dass sie nicht mehr erkannt werden.

=== SandBox ===
Um die Erkennung von unbekannten Viren und Würmern zu erhöhen, stellte der norwegische Antivirenhersteller [[Norman (Unternehmen)|Norman]] im Jahr 2001 eine neue Technik vor, bei der die Programme in einer gesicherten Umgebung, der [[Sandbox]], ausgeführt werden. Dieses System funktioniert, vereinfacht ausgedrückt, wie ein Computer im Computer. In dieser Umgebung wird die Datei ausgeführt und es wird analysiert, welche Aktionen sie startet. Bei Bedarf kann die Sandbox auch Netzwerkfunktionalitäten, etwa die eines [[Mailserver|Mail]]- oder [[Internet Relay Chat|IRC]]-Servers, bereitstellen. Die Sandbox erwartet bei der Ausführung der Datei eine für diese typische Verhaltensweise. Weicht das Verhalten von einem gewissen Grad zu sehr ab, klassifiziert die Sandbox diese als potentielle Gefahr. Dabei kann sie beispielsweise folgende Gefährdungen unterscheiden:

* W32/[[Malware]]
* W32/[[Computerwurm|EMailWorm]]
* W32/[[Computerwurm|NetworkWorm]]
* W32/[[Hintertür|BackDoor]]
* W32/[[Computerwurm#P2P-Würmer|P2PWorm]]
* W32/FileInfector
* W32/[[Dialer]]
* W32/Downloader
* W32/[[Spyware]]

Als Ergebnis liefert sie zudem eine Ausgabe, die zeigt, welche Aktionen die Datei auf dem System ausgeführt hätte und welcher Schaden dabei angerichtet worden wäre. Diese Information kann auch nützlich sein, um die Bereinigung eines infizierten Computersystems vorzunehmen. Durch die [[Sandbox]]-Technik konnten nach Tests von AV-Test<ref>{{Webarchiv |url=http://www.av-test.org/down/papers/2004-09_vb_2004.zip |text=Testbericht von 2004 auf av-test.org, ZIP-Format |wayback=20060206144903}}</ref> 39 % noch unbekannter Viren und Würmer erkannt werden, bevor eine Signatur bereitstand. Im Vergleich zu einer herkömmlichen Heuristik ist dies ein wirklicher Fortschritt in [[proaktiv]]er Erkennung. Nachteil der Sandbox-Technik ist, dass sie durch die Code-Emulation recht Ressourcen-intensiv und langsamer als klassisches Scannen nach Signaturen ist. Daher wird sie primär in den Labors der Antiviren-Hersteller verwendet, um die Analyse- und damit die Reaktionszeit zu verbessern.

Ähnlich wie bei Online-Scannern stellen verschiedene Anbieter Web-Oberflächen ihrer Sandboxen zur Analyse einzelner verdächtiger Dateien zur Verfügung. Dabei werden Basisfunktionen oft kostenlos und erweiterte Funktionen gegen ein Entgelt zur Verfügung gestellt.<ref>{{Internetquelle |url=https://iseclab.org/ |titel=iSecLab - Welcome |abruf=2025-06-13}}</ref><ref>{{Webarchiv |url=http://anubis.iseclab.org/ |text=Anubis |wayback=20120621053339}}</ref><ref>{{Webarchiv |url=http://wepawet.iseclab.org/ |text=Wepawet |wayback=20090317041224}} (Projekt der TU-Wien, Eurecom France und UC Santa Barbara)</ref><ref>{{Internetquelle |url=https://zerowine.sourceforge.net/ |titel=https://zerowine.sourceforge.net/ |datum=2008-12-19 |sprache=en-US |abruf=2025-06-13}}</ref><ref>{{Webarchiv |url=http://www.norman.com/security_center/security_tools/submit_file |text=Norman Sandbox |wayback=20091019112118}}</ref><ref>{{Internetquelle |url=https://cwsandbox.org/ |titel=The Sandbox {{!}} Understanding CyberForensics |sprache=en-US |abruf=2025-06-13}}</ref><ref>{{Internetquelle |autor=Uptodown Technologies SL |url=https://threatexpert.de.uptodown.com/windows |titel=ThreatExpert (Windows) |sprache=de |abruf=2025-06-13}}</ref><ref>{{Webarchiv |url=http://www.joebox.ch/submit.php |text=Joebox |wayback=20101217080907}}</ref>

=== Verhaltensanalyse ===
Die Verhaltensanalyse ({{enS|Behavior Analysis/Blocking}}, oft auch als "''Host-based [[Intrusion Detection System]]''" bezeichnet, vgl. [[Intrusion Detection System#Netzwerk-basierte IDS|NIDS]]) soll ähnlich wie Sandbox und Heuristik anhand von typischen Verhaltensweisen Schadprogramme erkennen und blockieren. Allerdings wird die Verhaltensanalyse nur bei der Echtzeitüberwachung eingesetzt. Dies deshalb, da dabei die Aktionen eines Programms – im Gegensatz zur Sandbox – auf dem echten Computer mitverfolgt werden. Sie kann damit vor Überschreiten einer ''Reizschwelle'' (Summe der verdächtigen Aktionen) oder bei Verstößen gegen bestimmte Regeln (vor offensichtlich destruktiven Aktionen wie z.&nbsp;B. Festplatten-Formatierung, Löschen von Systemdateien) einschreiten. Bei der Verhaltensanalyse wird oft mit Statistik ([[Bayes Spamfilter]]), [[Künstliches neuronales Netz|neuronalen Netzwerken]], [[Genetische Algorithmen|genetischen Algorithmen]] oder anderen „trainierbaren“ bzw. „lernfähigen“ Algorithmen gearbeitet.

=== Nachträgliche Erkennung ===
Einen neuartigen Ansatz verfolgt der Münchner IT-Dienstleister Retarus mit seiner "Patient Zero Detection" genannten Lösung. Diese bildet Hash-Werte über alle Anhänge von E-Mails, die über die Infrastruktur des IT-Dienstleisters ankommen, und schreibt sie in eine Datenbank. Wird zu einem späteren Zeitpunkt ein identischer Anhang von einem Scanner als infiziert aussortiert, können die bereits mit dem Schadcode zugestellten Nachrichten anhand der Prüfsumme nachträglich identifiziert, und der Administrator und Empfänger umgehend darüber benachrichtigt werden. Wurden die infizierten Mails noch nicht geöffnet, lassen sie sich ungelesen löschen; in jedem Fall wird die [[IT-Forensik]] erleichtert.<ref>{{cite web | url = https://www.computerweekly.com/de/news/450412138/E-Mail-Sicherheit-Den-Patient-Zero-identifizieren | publisher = TechTarget | title = E-Mail-Sicherheit: Den Patient Zero identifizieren | first = Malte | last = Jeschke | date=2017-02-01 | language=de | accessdate = 2017-03-08}}</ref>

=== Cloud-Technik ===
Der prinzipielle Unterschied der [[Cloud Computing|Cloud-Technik]] (dt. ‚Wolke‘) zu „normalen“ Scannern ist, dass die Signaturen „in der Cloud“ (auf den Servern der Hersteller) liegen und nicht auf der lokalen Festplatte des eigenen Computers oder auch in der Art der Signaturen (Hash-Werte statt klassischer [[Virensignatur]]en wie Bytefolge ABCD an Position 123). Die Signaturen werden nicht bei allen Produkten lokal zwischengespeichert,<ref>{{Literatur |Autor=Jürgen Schmidt |Titel=Schutzbehauptung |Sammelwerk=c’t Magazin |Nummer=2 |Datum=2009 |Seiten=77 |Online=[https://www.heise.de/ct/artikel/Schutzbehauptung-291854.html Auszug auf heise.de]}}</ref> sodass ohne Internetverbindung nur eine reduzierte oder gar keine Erkennungsleistung verfügbar ist. Manche Hersteller bieten für Unternehmen eine Art „Cloud Proxy“ an, welcher die Hash-Werte lokal zwischenpuffert. Ein großer Vorteil der Cloud-Technik ist die Reaktion nahezu in Echtzeit. Die Hersteller verfolgen unterschiedliche Ansätze. Bekannt sind die Programme Panda Cloud Antivirus<ref>[https://www.pandasecurity.com/de/homeusers/vpn/ Website von Panda Security]</ref> (arbeitet inzwischen mit einem lokalen Cache<ref>{{cite web | url = https://www.pandasecurity.com/en/mediacenter/malware/arguments-against-cloud-based-antivirus/ | publisher = Panda | title = Arguments against cloud-based antivirus – A cloud-based antivirus needs to check everything against the cloud. Takes more time | first = Pedro | last = Bustamante | date = 2009-12-01 | language=en | accessdate = 2010-06-21}}</ref>), McAfee Global Threat Intelligence – GTI (früher Artemis),<ref>{{Webarchiv |url=http://www.mcafee.com/us/mcafee-labs/technology/global-threat-intelligence-technology.aspx |text=McAfee Global Threat Intelligence Technology |wayback=20101223122411}}</ref> F-Secure Realtime Protection Network,<ref>{{Webarchiv |url=http://www.f-secure.com/de_DE/products/technologies/deepguard/ |text=DeepGuard – Der schnellste Schutz in der Online-Welt |wayback=20100406020326}}</ref> Microsoft ''Morro'' SpyNet<ref>[https://www.heise.de/security/meldung/Microsoft-veroeffentlicht-Beta-Version-seiner-kostenlosen-Antivirenloesung-185819.html ''Microsoft veröffentlicht Beta-Version seiner kostenlosen Antivirenlösung'']. In: heise.de vom 24. Juni 2009</ref> und [[Immunet]] ClamAV für Windows<ref>{{Webarchiv |url=http://www.clamav.net/lang/de/about/win32/ |text=Clam AV: Windows Antivirus |wayback=20111213102530}}</ref> sowie Symantec mit Nortons SONAR 3 und das Kaspersky Security Network.<ref name="KSN">[https://media.kasperskycontenthub.com/wp-content/uploads/sites/62/2017/10/21140410/Kaspersky_Lab_Whitepaper_KSN_DE_1709.pdf media.kasperskycontenthub.com]</ref>

# Die Mehrheit der Hersteller übertragen lediglich Hash-Werte. Das heißt, wenn sich die Datei eines (Schad-)Programms nur um 1 Bit ändert, wird es nicht mehr erkannt. Bis dato ist nicht bekannt (wobei es aber anzunehmen ist), ob Hersteller ebenfalls „unscharfe“ Hashes (z.&nbsp;B. ssdeep<ref>[https://ssdeep-project.github.io/ssdeep/ ssdeep]</ref>) einsetzen, die eine gewisse Toleranz erlauben.
# Es werden Fehlerkennungen minimiert, da die White- und Blacklists bei den Herstellern ständig mit neuen Hash-Werten von Dateien aktualisiert werden.
# Ressourcen-Einsparung: Bereits analysierte Dateien werden nicht mehr erneut aufwendig in einem Emulator oder Sandbox beim Endbenutzer am Computer analysiert.
# Statistische Auswertung der Ergebnisse beim Hersteller: Von Symantec ist bekannt, dass Hash-Werte von neuen, unbekannten und wenig verbreiteten Dateien als verdächtig eingestuft werden. Unrühmliche Bekanntheit hat diese Funktion unter anderem bei Firefox-Aktualisierungen erlangt.<ref>{{cite web | url = https://www.heise.de/newsticker/meldung/Norton-Fehlalarm-bei-Firefox-Update-1029971.html | publisher = Heise | title = Norton-Fehlalarm bei Firefox-Update | date = 2010-06-28 | accessdate = 2011-02-27}}</ref>

== Automatische Aktualisierung ==
Die sogenannte Auto-, Internet- oder auch Live-Updatefunktion, mit der automatisch beim Hersteller aktuelle [[Virensignatur]]en heruntergeladen werden, ist bei Virenscannern von besonderer Bedeutung. Wenn sie aktiviert ist, wird der Benutzer regelmäßig daran erinnert, nach aktuellen [[Softwareaktualisierung|Updates]] zu suchen, oder die Software sucht selbstständig danach. Es empfiehlt sich, diese Option zu nutzen, um sicherzugehen, dass das Programm wirklich auf dem aktuellen Stand ist.

== Probleme mit Virenscannern ==
Da Virenscanner sehr tief ins System eingreifen, kommt es bei einigen Anwendungen zu Problemen, wenn sie gescannt werden. Zumeist kommen diese Probleme beim Echtzeitscan zum Tragen. Um Komplikationen mit diesen Anwendungen zu verhindern, erlauben die meisten Virenscanner das Führen einer Ausschlussliste, in der definiert werden kann, welche Daten nicht vom Echtzeitscanner überwacht werden sollen. Häufige Probleme treten auf mit:

* Zeitkritischen Anwendungen: Da die Daten immer erst gescannt werden, entsteht eine gewisse Verzögerung. Für einige Applikationen ist diese zu groß und sie erzeugen Fehlermeldungen oder Funktionsstörungen. Besonders häufig tritt dieses Verhalten auf, wenn auf Daten über eine Netzwerkfreigabe zugegriffen wird und an diesem entfernten Rechner ebenfalls eine Antivirensoftware läuft.
* Datenbanken (jeglicher Art): Da auf Datenbanken für gewöhnlich ein ständiger Zugriff stattfindet und sie oftmals sehr groß sind, versucht der Echtzeitscanner, diese dauerhaft zu scannen. Dies kann zu Timeout-Problemen, ansteigender Systemlast, Beschädigungen der Datenbank bis hin zum völligen Stillstand des jeweiligen Computersystems führen.
* Mailserver: Viele Mailserver speichern E-Mails [[Multipurpose Internet Mail Extensions|MIME]]- oder ähnlich codiert auf der Festplatte ab. Viele Echtzeitscanner können diese Dateien decodieren und Viren entfernen. Da der E-Mailserver jedoch von dieser Entfernung nichts wissen kann, „vermisst“ er diese Datei, was ebenfalls zu Funktionsstörungen führen kann.
* [[Parsing]]: Weil Antivirensoftware viele verschiedene, teils unbekannte Dateiformate mit Hilfe eines Parsers untersucht, kann sie selbst zum Ziel von Angreifern werden.<ref>{{Internetquelle |autor=Katharina Friedmann |url=https://www.computerwoche.de/a/virenscanner-oeffnen-hackern-die-tueren,1848636 |titel=Virenscanner öffnen Hackern die Türen |hrsg=Computerwoche |datum=2007-11-26 |abruf=2021-12-25}}</ref><ref>{{Webarchiv |url=http://www.nruns.com/parsing-engines-advisories.php |text=''Anti-Virus Parsing Engines.'' In: nruns.com, 2007 |wayback=20080709040624}}</ref>
* Häufig erlauben es Virenscanner nicht, noch einen zweiten Virenscanner parallel auszuführen.
* False Positives, also Fehlalarme, die bei einigen Virenscannern zu einer automatischen Löschung, Umbenennung etc. führen und teilweise nur sehr schwer deaktiviert werden können. Nach einer Rückumbenennung „erkennt“ das Programm erneut diese Datei und benennt sie wieder um.

== Kritik an Virenscannern ==

Die Zuverlässigkeit und Wirksamkeit von Virenscannern wird oft angezweifelt. So vertrauen nach einer Umfrage aus dem Jahr 2009 drei Viertel der befragten [[Systemadministrator]]en (Admins) oder Netzwerkbetreuer den Virenscannern nicht. Hauptgrund sei die tägliche Flut neuester unterschiedlichster Varianten von Schädlingen, die das Erstellen und Verteilen von [[Virensignatur|Signaturen]] immer unpraktikabler machten. 40 Prozent der befragten Administratoren hatten bereits darüber nachgedacht, die Virenscanner zu entfernen, weil diese die Performance des Systems negativ beeinflussen. Vielfach werden Virenscanner eingesetzt, weil die Unternehmensrichtlinien dieses forderten, so die Umfrage.<ref>[https://www.heise.de/newsticker/meldung/Drei-Viertel-der-Admins-trauen-dem-Virenscanner-nicht-755737.html ''Drei Viertel der Admins trauen dem Virenscanner nicht.''] In: heise.de vom 14. September 2009</ref> Diese Studie wurde allerdings von einem Unternehmen in Auftrag gegeben, das eine konkurrierende Software vertrieb, die anhand von [[Positivliste]]n das Ausführen von Programmen erlaubt. Dieser „[[Whitelisting]]“-Ansatz hat je nach Einsatzgebiet ebenso Vor- und Nachteile.<ref>[https://anti-virus-rants.blogspot.com/2006/03/rise-of-whitelisting.html ''anti-virus-rants – the rise of whitelisting.''] In: anti-virus-rants.blogspot.com vom 29. März 2006</ref><ref>[https://www.welivesecurity.com/2008/11/16/white-listing-the-end-of-antivirus/ welivesecurity.com]</ref> Im Jahr 2008 sagte [[Eva Chen]], [[CEO]] von [[Trend Micro]], dass die Hersteller von Antivirenprogrammen die Wirksamkeit ihrer Produkte seit 20 Jahren übertrieben und ihre Kunden damit angelogen hätten. Sinngemäß: Kein Antivirusprogramm könne alle Viren blockieren, dafür gäbe es zu viele.<ref>{{cite web|url=https://www.zdnet.com/article/trend-micro-antivirus-industry-lied-for-20-years/|title=Trend Micro: Antivirus industry lied for 20 years|accessdate=2018-12-25|author=Tom Espiner|publisher=''[[ZDNet]]''|date=2008-06-30 |language=en}}</ref>

Eine Sicherheitsstudie ergab 2014, dass nahezu alle untersuchten Antivirenprogramme verschiedenste Fehler aufweisen und damit teilweise die Systeme, auf denen sie installiert sind, angreifbar machen.<ref>Kim Rixecker: [https://web.archive.org/web/20140802030839/http://t3n.de/news/sicherheitsstudie-virenscanner-antivirensoftware-560067/ ''Sicherheitsstudie: Virenscanner machen Rechner angreifbar''.] t3n.de, 30. Juli 2014.</ref><ref>Joxean Koret: [https://ia801306.us.archive.org/26/items/SyScanArchiveInfocon/SyScan%202014%20Singapore/SyScan%202014%20presentations/SyScan2014_JoxeanKoret_BreakingAntivirusSoftware.pdf ''Breaking Antivirus Software''.] (PDF; 1,3&nbsp;MB) COSEINC, SYSCAN 360, 2014.</ref>

Das [[Bundesamt für Sicherheit in der Informationstechnik|BSI]] fasst die grundlegende Problematik des Einsatzes von Virenscannern wie folgt zusammen:

„Antivirensoftware, einschließlich der damit verbundenen echtzeitfähigen Clouddienste, verfügt über weitreichende Systemberechtigungen und muss systembedingt (zumindest für Aktualisierungen) eine dauerhafte, verschlüsselte und nicht prüfbare Verbindung zu Servern des Herstellers unterhalten. Daher ist Vertrauen in die Zuverlässigkeit und den Eigenschutz eines Herstellers sowie seiner authentischen Handlungsfähigkeit entscheidend für den sicheren Einsatz solcher Systeme. Wenn Zweifel an der Zuverlässigkeit des Herstellers bestehen, birgt Virenschutzsoftware ein besonderes Risiko für eine zu schützende <abbr>IT</abbr>-Infrastruktur.“<ref>{{Internetquelle |autor=publisher |url=https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2022/220315_Kaspersky-Warnung.html?nn=520690 |titel=BSI warnt vor dem Einsatz von Kaspersky-Virenschutzprodukten |sprache=de |archiv-url=https://web.archive.org/web/20220317190357/https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2022/220315_Kaspersky-Warnung.html?nn=520690 |archiv-datum=2022-03-17 |archiv-bot=2023-03-07 00:37:49 InternetArchiveBot |abruf=2022-03-15}}</ref>

=== Unzureichende Prüfung von digitalen Signaturen ===
Signaturen sollen sicherstellen, dass Dateien (z.&nbsp;B. von einer Software) tatsächlich vom erwartenden Urheber (Hersteller/Entwickler) stammen und nicht unbemerkt von Dritten manipuliert wurden. Hierfür besitzt der erwartende Urheber ein Zertifikat, womit er die Signatur in seinem Namen durchführen lassen kann. Die Gegenstelle (z. B. das System eines Nutzers) prüft, ob eine Signatur vorhanden und gültig ist. Signierte Software wird beispielsweise vom Betriebssystem [[Microsoft Windows]] als vertrauenswürdig erachtet und kann dadurch eine Reihe an Sicherheitsmaßnahmen umgehen. Auch Antivirensoftware verhält sich ähnlich.

2017 zeigte eine Untersuchung jedoch noch weitaus schwerwiegendere Mängel in Antivirenscannern: Sicherheitsforscher signierten bekannte Schadprogramme (die folglich von den Virenscannern erkannt wurden) mit einem ungültigen Zertifikat. Sämtliche Antivirenprogramme erkannten mindestens eine der zehn Schadprogramme nicht und vertrauten der abgelaufenen Signatur. Die schlechtesten Produkte erkannten bis zu 8 von 10 ungültig signierten Schadprogramme nicht. Viele Computer ließen sich über diesen Weg trotz des vorhandenen Antivirenprogramms relativ einfach infizieren.

Darüber hinaus existieren tiefer gehende Probleme mit digitalen Signaturen, die durch das pauschale Vertrauen von Virenscannern und Betriebssystemen zu Sicherheitsproblemen führen. So stellten die Forscher fest, dass 75 von 189 analysierten Malware-Proben mit einer gültigen Signatur versehen waren, die zuvor jedoch bereits für legitime Programme genutzt wurde. In diesen Fällen hat der rechtmäßige Inhaber des Zertifikats dieses aber nicht ausreichend geschützt, sodass dieses zur Signierung von Schadsoftware in seinem Namen missbraucht werden konnte.<ref>{{Internetquelle |autor=Redaktion |url=https://www.silicon.de/41662493/digital-signierte-malware-wesentlich-haeufiger-als-bisher-angenommen |titel=Digital signierte Malware wesentlich häufiger als bisher angenommen |datum=2017-11-06 |sprache=de-DE |abruf=2023-05-02}}</ref>

== Überprüfen der Konfiguration des Virenscanners ==
Die Funktion des Virenscanners kann nach der Installation und nach größeren Systemupdates überprüft werden. Damit kein „echter“ Virus zum Test der Virenscanner-Konfiguration verwendet werden muss, hat das ''[[EICAR|European Institute of Computer Antivirus Research]]'' in Verbindung mit den Virenscanner-Herstellern die sogenannte ''[[EICAR-Testdatei]]'' entwickelt. Sie ist kein Virus, wird aber von jedem namhaften Virenscanner als Virus erkannt. Mit dieser Datei kann getestet werden, ob das Antivirenprogramm korrekt eingerichtet ist und ob alle Arbeitsschritte des Virenscanners fehlerfrei arbeiten.

== Antivirensoftware ==
Antivirensoftware gibt es kostenlos oder als kostenpflichtige Angebote. Häufig bieten kommerzielle Hersteller auch [[Freeware|kostenlose Versionen]] mit abgespecktem Funktionsumfang an.<ref>{{Internetquelle |url=https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Virenschutz-Firewall/Virenschutzprogramme/virenschutzprogramme_node.html#doc504492bodyText3 |titel=Welches Virenschutzprogramm ist empfehlenswert? |hrsg=[[Bundesamt für Sicherheit in der Informationstechnik]] |archiv-url=https://web.archive.org/web/20210607220805/https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Virenschutz-Firewall/Virenschutzprogramme/virenschutzprogramme_node.html#doc504492bodyText3 |archiv-datum=2021-06-07 |archiv-bot=2022-10-04 02:43:17 InternetArchiveBot |abruf=2021-06-07}}</ref> Die Stiftung Warentest kam im Frühjahr 2017 zum Ergebnis, dass guter Schutz auch ohne Kosten zur Verfügung steht.<ref>{{Internetquelle |url=https://www.test.de/presse/pressemitteilungen/Sicherheitssoftware-Auch-Gratisprogramme-bieten-guten-Schutz-5144999-0/ |titel=Sicherheitssoftware Auch Gratisprogramme bieten guten Schutz |hrsg=Stiftung Warentest |datum=2017-02-22 |abruf=2021-12-25}}</ref> Die folgende Tabelle gibt nur einen kleinen Überblick über einige relevante Hersteller, Produkte und Marken.
<!-- Zur besseren Übersicht: Nur RELEVANTE Hersteller und mit eigenem Produktartikel in der Wikipedia über die Antivirensoftware (darunter zählt nicht zusätzlich Artikel über Ware mit eingebauten Zusatzfunktionen wie Internet Security)! -->

{| class="wikitable sortable"
|- class="hintergrundfarbe5"
! Hersteller
! Relevante Produkte / Marken
! Angebote für die folgenden Plattformen
! Lizenz
! [[deutschsprachig]]
! darunter kostenlose Angebote
|-
| {{DEU|#}}/{{USA|#}} [[Avira]]
| [[Avira Antivirus]]
| [[Microsoft Windows|Windows]], [[macOS]], [[Android (Betriebssystem)|Android]], [[IOS (Betriebssystem)|iOS]]
| class="hintergrundfarbe7" | [[Proprietär]]
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe9" | ja
|-
| rowspan="2" | {{CZE|#}}/{{GBR|#}}/{{USA|#}} [[Avast]]
| [[Avast Antivirus]]
| Windows, macOS, Android, iOS
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe9" | ja
|-
| [[AVG Antivirus]]
| Windows, macOS, Android
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe9" | ja
|-
| {{ROU|#}} [[Bitdefender]]
| [[Bitdefender Antivirus]]
| Windows, macOS, Android
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe9" | ja
|-
| {{USA|#}} [[Cisco Systems|Cisco]]
| [[ClamAV]]
| Windows, [[Unixähnliches Betriebssystem|Unixähnliche]] (darunter [[Linux]])
| class="hintergrundfarbe9" | [[GNU General Public License|GPL]]
| class="hintergrundfarbe7" | nein
| class="hintergrundfarbe9" | ja
|-
| {{NZL|#}} Emsisoft
| [[Emsisoft Anti-Malware]]
| Windows, Android
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe7" | nein
|-
| {{SVK|#}} [[ESET]]
| [[ESET NOD32 Antivirus]]
| Windows, macOS, Linux, Android
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe7" | nein
|-
| {{FIN|#}} [[F-Secure]] Corporation
| [[F-Secure Anti-Virus]]
| Windows, macOS, Android
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe7" | nein
|-
| {{CZE|#}}/{{USA|#}} [[Gen Digital]]
| [[Norton Internet Security]]
| Windows, macOS, Android, iOS
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe7" | nein
|-
| {{DEU|#}} [[G Data CyberDefense]]
| [[G Data Antivirus]]
| Windows, macOS, Android, iOS
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe7" | nein
|-
| {{RUS|#}} [[Kaspersky Lab]]
| [[Kaspersky Anti-Virus]]
| Windows, macOS, Android, iOS
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe9" | ja
|-
| {{USA|#}} [[Malwarebytes Inc.]]
| [[Malwarebytes]]
| Windows, macOS, Android
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe9" | ja
|-
| {{USA|#}} [[McAfee]]
| [[McAfee VirusScan]]
| Windows, macOS, Android, iOS
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe7" | nein
|-
| {{USA|#}} [[Microsoft]]
| [[Microsoft Defender]]
| Windows
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe9" | ja
|-
| {{JPN|#}} [[Trend Micro]]
| [[Trend Micro Internet Security]]
| Windows
| class="hintergrundfarbe7" | Proprietär
| class="hintergrundfarbe9" | ja
| class="hintergrundfarbe7" | nein
|}

== Weblinks ==
<!-- Bitte nur Links einstellen, die einen Mehrwert für den Artikel darstellen. Danke -->
{{Wiktionary}}
* Robert A. Gehring: {{Webarchiv |url=http://www.verbraucher-sicher-online.de/artikel/ein-immunsystem-fuer-den-computer |text=Ein Immunsystem für den Computer |wayback=20090905003937}}, in: Verbraucher sicher online. (durch das [[Bundesministerium für Ernährung, Landwirtschaft und Verbraucherschutz|BMELV]] gefördertes Projekt der Technischen Universität Berlin)

== Einzelnachweise ==
<references>
<ref name="heise0">
{{Internetquelle
 |url=https://www.heise.de/security/meldung/Antivirushersteller-ueber-Stiftung-Warentest-verstimmt-1500396.html
 |titel=Antivirushersteller über Stiftung Warentest verstimmt
 |datum=2012-04-04
 |abruf=2012-09-11}}
</ref>
<ref name="test0">
{{Internetquelle
 |url=http://www.test.de/Antivirenprogramme-Angriff-aus-dem-Internet-4348485-0/
 |titel=Angriff aus dem Internet
 |datum=2012-04-13
 |offline=1
 |archiv-url=https://web.archive.org/web/20170823162855/https://www.test.de/Antivirenprogramme-Angriff-aus-dem-Internet-4348485-0/
 |archiv-datum=2017-08-23
 |abruf=2012-09-11}}
</ref>
</references>

[[Kategorie:Sicherheitssoftware]]