Wie entstehen Fehlalarme (False Positives), bei denen harmlose Dateien blockiert werden?

Melden

Fehlalarme (sogenannte False Positives) entstehen, wenn Sicherheitsprogramme (Antiviren-Software, EDR-Systeme oder Firewalls) eine harmlose Datei oder einen legitimen Prozess fälschlicherweise als bösartig einstufen.

Dies ist oft das Ergebnis eines Kompromisses: Sicherheitssoftware muss so empfindlich sein, dass sie neue Bedrohungen erkennt, aber gleichzeitig so präzise, dass sie den Arbeitsfluss nicht stört.

Hier sind die Hauptgründe, warum es zu diesen Fehlern kommt:

1. Zu breit gefasste Heuristik (Heuristic Analysis)

Moderne Virenscanner suchen nicht nur nach bekannten Viren-„Fingerabdrücken“ (Signaturen), sondern analysieren auch die Struktur einer Datei.

  • Das Problem: Die Heuristik sucht nach Merkmalen, die typisch für Malware sind (z. B. das Entpacken von Code im Arbeitsspeicher).
  • Der Fehlalarm: Viele legitime Programme nutzen ähnliche Techniken zur Komprimierung oder zum Schutz ihres geistigen Eigentums (Copy Protection). Der Scanner sieht diese Technik und schlägt Alarm, obwohl die Absicht dahinter harmlos ist.

2. Verdächtiges Verhalten (Behavioral Analysis)

Sicherheitstools überwachen Programme während der Laufzeit. Wenn ein Programm Aktionen ausführt, die auch Ransomware oder Spyware tun würde, wird es blockiert.

  • Das Problem: Ein Programm versucht, Systemeinstellungen zu ändern, Tastatureingaben zu lesen oder viele Dateien gleichzeitig zu verschlüsseln.
  • Der Fehlalarm: Ein Backup-Programm verschlüsselt Dateien (wie Ransomware), ein Screenshot-Tool liest Tastatureingaben für Hotkeys (wie ein Keylogger) oder ein automatisches Software-Update ändert Systemdateien. Die Sicherheitssoftware kann die „gute Absicht“ nicht von der „bösen Absicht“ unterscheiden.

3. Probleme mit Maschinellem Lernen (KI)

Viele moderne Schutzprogramme nutzen KI-Modelle, um unbekannte Bedrohungen zu identifizieren.

  • Das Problem: Die KI wurde mit Millionen von Beispielen (gut und böse) trainiert. Wenn eine neue, legitime Datei statistisch gesehen Merkmale aufweist, die häufiger in Malware vorkommen, ordnet die KI sie als Bedrohung ein.
  • Der Fehlalarm: „Blackbox-Entscheidungen“. Da die KI komplexe Muster erkennt, ist für Menschen oft schwer nachvollziehbar, warum genau eine harmlose Datei plötzlich als 99 % sicher bösartig eingestuft wurde.

4. Reputation und „Unbekanntheit“

Systeme wie Windows SmartScreen oder Cloud-basierte Scanner nutzen Reputationsdatenbanken.

  • Das Problem: Eine Datei wird als sicher eingestuft, wenn sie von Millionen Nutzern verwendet wird und digital signiert ist.
  • Der Fehlalarm: Wenn ein kleiner Softwareentwickler ein neues Update veröffentlicht oder ein Administrator ein eigenes Skript schreibt, hat diese Datei eine „niedrige Reputation“ (da sie noch niemand kennt). Die Sicherheitssoftware geht nach dem Prinzip „Sicherheit geht vor“ und blockiert die unbekannte Datei vorsichtshalber.

5. Ähnlichkeit mit Schadcode-Fragmenten (Signatur-Fehler)

Obwohl klassische Signaturen seltener werden, werden sie immer noch genutzt.

  • Das Problem: Ein Antiviren-Hersteller erstellt eine Signatur für einen neuen Trojaner. Diese Signatur besteht aus einer bestimmten Abfolge von Bytes.
  • Der Fehlalarm: Durch Zufall enthält eine völlig harmlose Datei (z. B. eine Datenbank oder eine Grafikdatei) exakt dieselbe Byte-Abfolge. Der Scanner „glaubt“, den Virus gefunden zu haben.

6. Verwendung von „Packern“ und Obfuskation

Programmierer nutzen oft Tools, um ihren Code zu komprimieren (Packer) oder unleserlich zu machen (Obfuskation), um ihn vor Analyse zu schützen.

  • Das Problem: Malware-Entwickler nutzen dieselben Tools massenhaft, um Virenscanner zu täuschen.
  • Der Fehlalarm: Wenn ein legitimes Programm einen populären Packer verwendet, der auch oft für Malware genutzt wird, wird die Datei oft pauschal als gefährlich markiert.

Zusammenfassung: Das „Dilemma der Sensitivität“

Sicherheitsanbieter stehen vor einer Wahl:

  1. Hohe Sensitivität: Man findet jeden Virus, hat aber viele Fehlalarme (nervt die Nutzer).
  2. Niedrige Sensitivität: Man hat kaum Fehlalarme, übersieht aber echte Bedrohungen (gefährlich).

Meistens entscheiden sich die Hersteller für eine höhere Sensitivität, da ein blockiertes harmloses Programm zwar ärgerlich ist, ein unbemerkter Ransomware-Angriff aber existenzbedrohend sein kann.

0