False Positive - Fehlalarm vom Virenscanner

Mit einer gewissen Ironie, kann man sich fragen: Wovon geht die größere Gefahr aus – von Computerviren oder vom genutzten Virenscanner?

Denn es gibt eine Gefahr, die immer existiert, die der sog. False Positives (FP). Dabei handelt es sich um einen Fehlalarm, der durch den Virenscanner ausgelöst wird. Der Virenscanner erkennt eine Schadsoftware in einer Datei oder einem sicherheitsrelevanten Objekt (Speicher, Registry etc.) und löscht bzw. blockiert dieses.
Schadsoftware, wie Computerviren, Trojaner und Bots werden über verschiedene Technologien erkannt. Ermittelt der Hersteller eines Virenscanners eine Erkennungsmethode, wird diese während der Qualitätskontrolle ausgetestet. Ergeben sich dabei keine Probleme oder Fehlalarme, wird die Erkennungsmethode freigegeben.

Die Qualitätskontrolle der Antivirus-Hersteller kann aber nicht alle existierenden Dateien überprüfen (Zeit- und Mengenproblem),die es weltweit gibt, so dass immer nur eine Teilmenge als Referenz herangezogen wird. Dies führt dazu, dass sich bei der Verwendung der Erkennungsmethode (z.B. Signatur) durch den Anwender FP's auftreten können. In diesem Fall werden harmlose Dateien bzw. Objekte als Schadsoftware erkannt, die aber nur rein zufällig in das Muster der Erkennungsmethode passen.

Falls der Virenscanner so eingestellt ist, dass er Schadsoftware automatisch löscht, kann diese sinnvolle Option bei einer fehlerhaften Erkennnung zu Folgeschäden führen. Denn irrtümlich können so Systemdateien oder Komponenten von Anwendungsprogrammen gelöscht werden. Im ungünstigsten Fall ist danach der Computer nicht mehr startfähig oder das Anwendungsprogramm stürzt ab oder verhält sich falsch.

Als generelle Empfehlung gilt daher: Keine festgestellte Schadsoftware, ohne Bestätigung durch den Anwender löschen lassen!

Übersicht zu einigen bekannten False Positive-Alarmen:

Link: Ergebnisberichte zu False-Alarm Tests von AV-Comparatives