Antivirus (AV).

Antivirus (AV) ist die historische Kategorie der Endpoint-Sicherheitssoftware. Pioniere waren Ende der 1980er-Jahre Bernd Fix' Routine gegen den Vienna-Virus, John McAfees VirusScan und Eugene Kasperskys AVP; AV entstand als Reaktion auf fruhe PC-Viren wie Brain (1986). Es scannt Dateien auf der Platte, im Speicher und im Transit, gleicht sie mit einer kontinuierlich aktualisierten Signaturdatenbank ab (historisch MD5/SHA-Hashes und Byte-Muster) und wendet Heuristiken an. AV-Agenten klinken sich uber Dateisystem-Mini-Filter-Treiber, On-Access-Scan-Callbacks sowie E-Mail- und Web-Gateways in das Betriebssystem ein und stellen Treffer in Quarantane oder loeschen sie.

Das Signaturmodell ist gegen weit verbreitete Massen-Malware stark, aber blind gegenuber neuartigen, polymorphen, gepackten und Fileless-Bedrohungen: eine winzige Aenderung an einer Binaerdatei veraendert ihren Hash und umgeht die Exact-Match-Erkennung, und Angreifer testen ihre Payloads routinemaessig gegen die Engines, bevor sie sie freigeben. Unabhaengige Labore (AV-TEST, AV-Comparatives) und die MITRE ATT&CK Enterprise-Evaluationen zeigen durchgaengig, dass rein signaturbasierte Engines das Verhalten moderner Angreifer verfehlen.

Es folgten zwei Antworten. Die Hersteller entwickelten AV zu Next-Generation Antivirus (NGAV) und Endpoint Detection and Response (EDR/XDR) weiter, die Machine-Learning-Klassifikatoren, Exploit-Praevention und Verhaltenstelemetrie hinzufuegen, welche Prozessbaeume statt Dateien nachverfolgt. Unter Windows integriert sich Microsoft Defender Antivirus mit dem Antimalware Scan Interface (AMSI), um Skriptinhalte (PowerShell, VBA, JScript) zur Laufzeit zu pruefen und so die Fileless-Luecke zu schliessen. Klassisches AV bleibt dennoch eine Basiskontrolle, die von Rahmenwerken wie PCI DSS und vielen Cyber-Versicherungspolicen vorgeschrieben wird.

flowchart TD
  F[Datei geschrieben geoeffnet oder heruntergeladen] --> H[Minifilter On-Access Hook]
  H --> SIG{Treffer in Signaturdatenbank?}
  SIG -->|Ja| Q[Quarantane loeschen oder warnen]
  SIG -->|Nein| HEU{Heuristik oder ML Flag?}
  HEU -->|Ja| Q
  HEU -->|Nein| ALLOW[Ausfuehrung erlauben]
  U[Signatur und Engine Updates] --> SIG