SPIEGEL ONLINE: In Medienberichten über den Storm-Wurm wurde dieser öfter als Peer-to-Peer-Wurm bezeichnet. Was muss man sich darunter vorstellen?

Candid Wüest: Der Storm-Wurm wird deshalb als Peer-to-Peer-Wurm bezeichnet, weil er selbstständig quasi sein eigenes Rechnernetzwerk über Peer-to-Peer aufbaut. Das heißt, alle mit dem Wurm infizierten Rechner stehen untereinander in Kontakt. Es ist quasi ein "Botnet", das über ein Peer-to-Peer-Netzwerk kommuniziert und steuerbar ist, zum Beispiel um Spam zu versenden.

Ein Botnet ist ein Netzwerk infizierter Computer, die über ein sogenanntes Botprogramm, das in die Rechner eingeschleust wurde, fernsteuerbar sind.

Solche Botnetze können unterschiedlich groß sein. Sie werden in der Regel dazu benutzt, Spam- oder Phishing-E-Mails massenweise zu versenden. Bei Botprogrammen wird üblicherweise Internet Relay Chat (kurz IRC) verwendet. IRC macht in Chaträumen die Kommunikation untereinander möglich, indem die Nutzer ein Chat-Programm (genannt IRC-Client) auf ihrem Computer installieren. Beim Botnet gibt es einen zentralen Server, von dem aus die Kommandos erfolgen. Im Unterschied dazu nutzt der Storm-Wurm kein IRC, sondern die Peer-to-Peer-Struktur, um seine Kommandos zu verteilen. Hier gibt es keinen zentralen Server.

SPIEGEL ONLINE: Wie kann man sich vor solchen Schadprogrammen schützen?

Candid Wüest: Ein Virenscanner allein reicht heute leider nicht mehr aus, um sich sicher im Internet zu bewegen. Am besten installiert man ein Komplettpaket auf seinem Rechner, das verschiedene Sicherheitsfunktionen beinhaltet. So sollten auch Spyware oder Schadprogramme wie zum Beispiel Rootkits, welche sich tief im System verstecken, erkannt und entfernt werden.

Um beim Beispiel Storm-Wurm zu bleiben: Dieser nutzt verschiedene Techniken von Schadprogrammen, unter anderem auch eine Rootkit-Komponente. Auch eine Firewall mit "Intrusion Prevention" ist wichtig. Sie kontrolliert sowohl den eingehenden, als auch ausgehenden Datenverkehr. Für den Fall, dass der Virenscanner das Schadprogramm nicht erkannt hat, könnte die Firewall greifen und die Kommunikation des Programms nach außen unterbinden.

Sicherheitssoftware wie Norton 360 bietet diese sowie weitere Schutzfunktionen, zum Beispiel die Erkennung von noch unbekannten Schadprogrammen; auch warnt die Software vor gefälschten Webseiten (Phishingseiten).

Sind zwei Virenscanner besser als einer?

Thomas Meinl: Ist es sinnvoll, mehrere unterschiedliche Virenscanner zu haben, da manche bestimmte Viren erkennen und manche nicht?

Toralv Dirro: Es sollten auf keinen Fall zwei verschiedene Virenscanner gleichzeitig installiert werden.

Virenscanner sind sehr systemnahe Programme, die sich auch selbst davor schützen, dass ein anderes Programm ihnen die Kontrolle wegnimmt. Konflikte wären da sehr wahrscheinlich.

Eine Alternative wäre die Verwendung eines sogenannten Kommandozeilen-Scanners, der nicht installiert, sondern bei Bedarf über eine Kommandozeile gestartet wird. Sinnvoll ist dies allerdings nur dann, wenn ein konkreter Verdacht auf ein Virus oder Trojaner besteht. Zum Überprüfen einer einzelnen verdächtigen Datei gibt es Dienste wie www.virustotal.com, die mit mehreren Scannern hochgeladene Dateien überprüfen. Oder senden Sie die Datei einfach an das Research Lab Ihres AV Herstellers.

Erkennt man Viren im Task Manager?

Angela Scherer: Kann man die Aktivitäten dieser Schadprogramme nicht irgendwie bemerken? Zum Beispiel in "Prozesse" im Windows Task Manager? Bei mir werden oft ganz komische Prozesse, mit sehr merkwürdigen Namen, angezeigt.

Magnus Kalkuhl: In manchen Fällen verrät sich Malware tatsächlich durch Prozessnamen. In der Regel sind diese aber möglichst nahe an den Namen normaler Windows-Prozesse angelehnt (z.B. csrsss.exe zusätzlich zum Windows-typischen csrss.exe - kryptisch klingt letztlich beides).

Wirklich kompliziert wird es bei sogenannten Rootkits, die in der Lage sind, eigene Prozesse zu tarnen und gezielt auszublenden. Aus diesen Gründen macht die Malware-Suche per Prozessanzeige nur Sinn, wenn man sich sehr gut mit dem System auskennt - und selbst dann ist ein Virenscanner immer die bessere Alternative. Dieser hat auch in Systembereiche Einblick, die dem Anwender mit normalen Bordmitteln verborgen bleiben.

Schicken Sie uns weitere Fragen!