Die Zeiten, in denen Antivirus-Software mit Hilfe spezifischer Virensignaturen nahezu jeden Schädling identifizieren konnte, sind längst vorbei. Heute wird diese Methode durch verschiedene Techniken ergänzt, die Malware auf Grund allgemeinerer Merkmale als solche erkennen sollen. Das Magdeburger Testlabor AV-Test (www.av-test.de) hat 28 Antivirus-Programme daraufhin untersucht, wie gut sie aktuelle Schädlinge finden, darunter auch aktive Rootkits.
Die klassische Signatur-basierte Erkennung hat AV-Test mit mehr als einer Million Malware-Dateien aus den letzten sechs Monaten geprüft, ältere Schädlinge sind außen vor geblieben. Ein "sehr gut" bekommt, wer 98 Prozent oder mehr Schädlinge gefunden hat, bei 90 Prozent gibt es noch eine gute Note, unter 80 Prozent sind indiskutabel. Die besten Resultate mit jeweils mehr als 99 Prozent haben WebWasher, G Data AVK 2008, Avira AntiVir und Avast erzielt.
So wurde getestet
Beim Test der so genannten proaktiven Techniken haben die Tester nicht nur die generische und heuristische Signaturerkennung geprüft sondern auch die in einigen Produkten enthaltenen "Behaviour-Blocker", also Verhaltens-basierte Analysefunktionen. Beispiele dafür sind Pandas TruPrevent und F-Secures DeepGuard. Hierfür kamen 3500 aktuelle Schädlinge zum Einsatz, weitere 20 durften sich "live" auf einem Testrechner tummeln und mussten so erkannt werden. Um die reine Signaturerkennung auszuschließen, haben die Tester Updates installiert, die bereits eine Woche alt waren.
Rootkits, die nicht aktiv sind, kann ein Virenscanner wie jede andere Malware mit Signaturen erkennen. Anders sieht es aus, wenn ein Rootkit auf einem Rechner installiert ist und seine Tarnkappe aktiviert hat. Mit 12 aktiven Rootkits haben die AV-Test-Prüfer getestet, wie sich aktuelle Antivirusprogramme dabei schlagen. Nur wer alle Rootkits findet, bekommt eine sehr gute Note (F-Secure, Panda, Symantec, Trend Micro), ein übersehenes gibt noch ein "gut", bei drei oder mehr Patzern gibt es eine schlechte Note.
Außerdem haben die Magdeburger mit 65.000 harmlosen Dateien getestet, wie viele Fehlalarme die Virenscanner produzieren. Eine sehr gute Wertung haben die Tester nur vergeben, wenn kein einziger falscher Alarm aufgetreten ist. Das haben nur CA eTrust, McAfee, Microsoft und Symantec hin bekommen. Bereits ab drei Fehlalarmen gibt es eine schlechte Note.
Auch die Reaktionszeiten der Hersteller wurden gemessen
Die Reaktionszeiten der Hersteller auf neu entdeckte Schädlingsvarianten hat AV-Test mit 55 Malware-Dateien getestet, die aus dem Jahr 2007 stammen. AV-Test lädt dazu seit Jahren im Takt weniger Minuten alle neuen Updates aller Produkte herunter und speichert sie. Die Updates können nacheinander installiert werden, um zu prüfen, ob ein bestimmter Schädling damit erkennt wird. Bei einer mittleren Reaktionszeit von weniger als zwei Stunden gibt es ein "sehr gut", bei mehr als sechs Stunden nur eine schlechte Wertung.
Diese Stichprobe konzentriert sich auf die reine Erkennungsleistung der Produkte. Ob gefundene Schädlinge auch entfernt werden können, hat AV-Test in diesem Fall nicht überprüft. Auch weitere wichtige Kriterien, die Sie bei einer Kaufentscheidung berücksichtigen sollten, sind nicht Gegenstand dieses Testlaufs gewesen. Dazu zählen etwa Bedienbarkeit, Ressourcenverbrauch, Zusatzfunktionen oder auch der Preis.