Viren­scanner winken durch

Nichts ist ver­ständ­licher als ein Bei­spiel. Also: Ich habe meinem Notebook bei­gebracht dort keine Malware mehr zu finden, wo ich zu Demons­tra­ti­ons­zwecken Malware instal­liert habe. Geht ganz einfach.

Viren­scanner abge­schaltet

Nicht gut, wenn das auf einem pro­duk­tiven System pas­siert, bei dem der Viren­scanner alles finden sollte. Dabei könnte alles so einfach sein: Kaufen, instal­lieren, zurück­lehnen und Wohl­fühlen! Weit gefehlt. Andere Dinge gehen ja auch nicht so einfach: Auto kaufen, ein­steigen los­fahren. Füh­rer­schein! Ver­si­cherung! Zulassung! Etc. Ja, da war noch was. Eigentlich ist es erschre­ckend einfach, Aus­nahmen für den Viren­scanner fest­zu­legen: Viren­scanner auf­rufen, in die Ein­stel­lungen gehen und einfach den ent­spre­chenden Datenpfad den Aus­nahmen hin­zu­fügen. Schon wird dieses Ver­zeichnis, Laufwerk oder Daten­träger nicht mehr geprüft. Für alle Zeit – außer jemand sieht irgendwann nach dem Rechten. Liegen dort Viren oder andere Malware, werden diese nicht mehr ent­deckt und sie können ihrer destruk­tiven Aufgabe nach­gehen.

Mani­pu­lation der Viren­scanner

Erschre­ckend. Denn, wenn man es genau nimmt, kann jedes Pro­gramm auf diese Weise Ein­stel­lungen am Viren­scanner vor­nehmen. Man muss nur wissen, dass jedes Pro­gramm, sei es lokal oder aus dem Internet, die Berech­ti­gungen erhält, die sein Anwender besitzt. Dies sind leider in einer Vielzahl der Fälle admi­nis­trative Rechte. Grund­sätzlich gilt: Wer einen Viren­scanner instal­lieren kann, kann ihn modi­fi­zieren, beenden oder löschen – und die von ihm benutzten Pro­gramme können dies eben­falls. Dreh- und Angel­punkt sind die Benut­zer­rechte, auch wenn unter Umständen noch ein Passwort zur Absi­cherung der Ein­stel­lungen ver­geben werden kann. Wer nicht weiß, was es damit auf sich hat, wird die Ein­stellung nicht akti­vieren bzw. kein Passwort ver­geben. 

Vor­sicht bei Admi­nis­tra­to­ren­konten

Instal­lieren, modi­fi­zieren, beenden oder löschen sind Tätig­keiten, die eigentlich einem Admi­nis­trator vor­be­halten sind. Wer nun sein Betriebs­system selbst instal­liert, muss natürlich hierfür zunächst Admi­nis­trator sein, auch um die Pro­gramme zu kon­fi­gu­rieren. Wer im Laden einen  fer­tigen PC kauft, muss eben­falls zunächst noch einige Ein­stel­lungen vor­nehmen. Was für den Beginn not­wendig ist und dann geändert werden sollte, ist jedoch den wenigsten wirklich bewusst: Ist alles so wie es sein soll, sollte zumindest ein „Benutzer“ angelegt werden, mit dem dann gear­beitet wird. Und nur mit diesem, der Job des Admi­nis­trators ist erst einmal zu Ende. Dieser Benutzer hat sinn­vol­ler­weise nur ein­ge­schränkte Rechte für die Nutzung des Betriebs­system und die dort instal­lierten Pro­grammen. Damit hat man einem ganz wich­tigen Sicher­heits­risiko vor­ge­beugt: Der Viren­scanner kann von einem Benutzer und den von ihm genutzten Pro­grammen nicht mehr ver­ändert oder mani­pu­liert werden. Hierzu gehören auch Pro­gramme die im Browser laufen und bei­spiels­weise als Java­Script, AdInn, ActiveX etc. bezeichnet werden.

Idea­ler­weise instal­liert und kon­fi­gu­riert der Admin den Viren­scanner — und sorgt dann dafür, dass der “normale Benutzer” diesen nicht abschalten und ver­ändern kann. Wenn Aus­nahmen bei­spiels­weise wegen Fehl­alarmen erfor­derlich sind, kann er die Ein­stel­lungen ent­spre­chend anpassen. Besonders wichtig ist, nur als Benutzer zu arbeiten.

Wer möchte, kann fol­gende Prüfung durch­führen:

• Wer nach­sehen möchte, mit welchen Rechten er unterwegs ist, kann ja mal in der Sys­tem­steuerung die Benut­zer­konten auf­rufen. Dort werden Benutzer und Admi­nis­tra­toren angelegt, dort können die Berech­ti­gungen für vor­handene Benutzer geändert und ver­waltet werden.
• Wer testen möchte, ob sein Viren­scanner einfach abzu­schalten ist, kann mit der Tas­ten­kom­bi­nation “Strg+Alt+Entf” den Task-Manager auf­rufen. Suchen Sie sich den Prozess mit dem Namen des Viren­scanners heraus und beenden diesen. Wenn Sie das können (bitte danach unbe­dingt wieder starten!), dann kann dies ein belie­biges anderes lokales Pro­gramm oder eines aus dem Internet ebenso.