Virenscanner - Der Spion auf meinem PC ?
Wozu erheben viele Virenscanner meine Daten von A-Z ?
Mit Tools und Anleitung zum Nachprüfen
Virenscanner sind mittlerweile unverzichtbarer Bestandteil nahezu aller Computersysteme. Wenn man sich ihr Verhalten und die AGBs aber genauer ansieht, dann kommt vielfach Befremdliches zu Tage, das mit PC-Sicherheit nichts tun hat. Gerade auch namhafte Bezahlprodukte sind hiervon betroffen. Afug-Info.de hat verschiedene Virenscanner getestet und jeder, egal ob Freeware oder Bezahl-Software, fiel durch einen einfachen Test, den jeder nachmachen kann.
Es gibt zwei simple Methoden, mit denen jeder seinen Virenscanner prüfen kann:
1. Lizenzbedingungen/Nutzungsbedingungen (AGBs) und Datenschutzerklärungen der Hersteller lesen
2. Prüfung mithilfe eines kleinen, portablen Tools (Anleitung und Tool siehe unten)
Gleich vorweg das Ergebnis: Alle getesteten Virenscanner nehmen ohne ersichtlichen Grund unaufgefordert und teilweise vehement im Minuten-Takt Kontakt zu Servern im Internet auf. Das Ganze geschieht in vielen Fällen ununterbrochen, beginnt schon beim Hochfahren des PCs und steht in keinem Zusammenhang mit Updates oder sicherheitsrelevanten Vorgängen.
Die getesteten Virenscanner waren ausnahmslos Installier-Software, keine Online-/Internet-/Cloud-Virenscanner. Alle automatischen Updates, jegliche Telemetrie- und Datenübertragungen, Feedback sowie die Einblendung von Werbung etc. wurden auf manuelles Update gestellt oder abgeschaltet. Es spielt dabei auch keine Rolle, ob die Virendatenbanken Sekunden zuvor auf den neuesten Stand gebracht wurden.
Selbstverständlich waren die verschiedenen Test-PCs mit unterschiedlichen Betriebssystemen so konfiguriert, dass kein anderes Programm die Internetverbindung herstellte.
Darüber hinaus konnte anhand zahlreicher IP-Adressen der kontaktierten Server einwandfrei festgestellt werden, dass diese vielfach auf den Virenscanner-Hersteller angemeldet sind.
Egal unter welcher Konstellation, der Virenscanner übernimmt die Internetverbindung - ohne dass der dafür zahlende Nutzer die Kontrolle darüber hat.
Zwei Produkte waren besonders dreist: Eines davon bemächtigte sich gleich der WLAN-Einstellungen, ein anderes war offline überhaupt nicht benutzbar (keine Programm-Oberfläche ohne Interverbindung, obwohl es kein Online-Virenscanner war).
Jetzt werden sich manche fragen: Was ist denn daran so schlimm? Das ist doch bestimmt für meine PC-Sicherheit notwendig.
Dabei braucht man nur logisch darüber nachzudenken oder das kleine Tool LastActivityView starten, um zu sehen, welche Daten im Fall der Fälle übertragen werden könnten (dazu später mehr).
LastActivityView ist ein kleines, portables Tool von NirSoft. Es überträgt keine Daten über das Internet, sondern zeigt lediglich die Inhalte von Windows-Protokollen an, die wiederum sehr aussagekräftige Rückschlüsse auf die PC-Nutzung zulassen.
Ein einfacher Vergleich verdeutlicht das Geschehen
Das Internet ist zweifelsohne das Einfallstor Nummer 1 für Spionage, Viren, Würmer und andere Schädlinge - darüber dürfte Einstimmigkeit herrschen. Ein Virenscanner, der ständig unaufgefordert Internetverbindungen aufbaut, ist also genauso wie wenn man immer seine Haustür offen ließe. Das würde kaum jemand tun.
Nichts anderes aber tun die getesteten Virenscanner (standardmäßige Installations-Software, keine Online/Internet/Cloud-Virenscanner): Sie öffnen Tür und Tor - im Minutentakt und ohne Kontrolle durch den Nutzer, obwohl der genau dieses Verhalten in den Einstellungen ausgeschaltet hat. Das ist völlig unverständlich.
Dass das kein Zufall ist, wird spätestens dann klar, wenn die Virenscanner-Hersteller in den AGBs eine immer aktive und stabile Internetverbindung vom Nutzer fordern. Dagegen konnten bis vor wenigen Jahren Virenscanner problemlos offline genutzt werden.
Dabei wäre es so einfach: Der Mensch sollte jederzeit die Technik dominieren und nicht umgekehrt. Wenn der Nutzer einer Software verbietet, eigenmächtig Internetverbindungen aufzubauen, hat sie dem Folge zu leisten.
Alle Betriebssysteme ab Windows 7 üben ebenso einen inakzeptablen Internet-Zwang aus. Bedauerlicherweise fehlt ab einschließlich Windows 7 vonseiten des Betriebssystem die Möglichkeit die Internetverbindung über ein Desktop-Symbol herzustellen und zu trennen, völlig unabhängig vom internen Netzwerk. Stattdessen kann man nur mehr noch das Netzwerk als Ganzes aus-/einschalten - mit einem unangenehmen Nebeneffekt: Es ist nicht mehr möglich, offline das interne Heim-Netzwerk zu nutzen.
Aber wieder zurück zu den Virenscannern. Nochmal zur Verdeutlichtung: Es geht hier nicht um sicherheitsrelevante Updates oder Virendatenbanken-Aktualisierungen und es handelt sich um standardmäßige Installations-Software, nicht um Online/Internet/Cloud-Virenscanner.
Spätestens wenn man sich die AGBs und Datenschutzerklärungen der Virenscanner-Hersteller durchgelesen hat, erfährt man schwarz auf weiß, dass die Server-Kontakte nicht dem Virenschutz dienen. Dies bestätigen auf intensive Nachfragen auch die Hersteller, nachdem sie es zunächst leugnen, aber anhand der Faktenlage dann letztlich doch eingestehen müssen.
In den meisten Lizenzbedingungen erlaubt der Nutzer - ohne es richtig zu merken - dem Virenscanner den vollen Zugriff auf seine kompletten Daten. Betroffen kann grundsätzlich jede Datei von A-Z sein, ohne dass ein Virenbefall vorliegen muss - so steht es oftmals in den AGBs. Auch sehr sensible Daten (Online Banking, Paypal...) sind davon nicht ausgenommen. Selbst Dateien, die schon längst gelöscht wurden oder nur einmal angesehen wurden, sind davon betroffe. Mehr hierzu siehe weiter unten: LastActivityView.
Der Nutzer hat keinerlei Kontrolle über evtl. Datenübertragungen und bekommt vom Geschehen im Regelfall gar nichts mit. Nicht zu vergessen: Das belegt auch unnötig Ressourcen.
Einige Virenscanner-Anbieter machen sogar konkrete Angaben über die Nutzer-Daten, die sie erheben. Darunter sind Name, Adresse, Telefonnummer, eMail-Adresse, Sozialversicherungsnummer, Zahlungsinformationen (Kreditkarteninformationen, Bankdaten, Paypal-Daten, etc.), Gesichtsbild (Stichwort: Webcam), Probe der Stimme (Stichwort: PC-Mikrofon), andere biometrische Aufzeichnungen, Fingerabdruck, sensible Daten, Spracheinstellungen, Geoinformationen (GPS/WiFi/Netzwerkposition etc.), bei mobilen Geräten wie Tablets/Smartphones zudem IMEI-Code, Telefonnummer, SIM-Nummer, Gerätemarke und Modell, Akkustand, Netzanbieter, Speicherstatus etc.
Da diese Liste nicht abschließend ist, sind auch Handschriften hiervon wohl nicht ausgenommen (vgl. hierzu auch die Windows-Nutzungsbedingungen). Ob auch die Eingabe über die virtuelle Tastatur, die viele Virenscanner anbieten, betroffen ist ?
Prozessor-ID, MAC-Adresse der Netzwerkkarte und IMEI-Code sind übrigens weltweit einmalig.
Bei einigen Virenscanner-Herstellern ist nachzulesen, dass diese Daten auch ins Ausland weitergegeben werden und ein Anbieter gibt unverhohlen zu, damit Geld zu machen.
Riesige Datenmengen müssen dazu gar nicht notwendigerweise übertragen werden. Verschiedene Log-Dateien, die Windows-Systeme automatisch anlegen, lassen bereits tief blicken. Solche aussagekräftigen Protokolle lassen sich in einer handlichen Textdatei bündeln, deren Übertragung nur wenig Bandbreite und Zeit einnimmt, aber immense Informationen enthält.
Wer sich davon selbst überzeugen möchte, braucht nur das kleine, portable Tool LastActivityView von NirSoft starten. LastActivityView selbst überträgt keine Daten ins Internet, es zeigt dem Nutzer lediglich, welche Daten regelmäßig von Windows-Betriebssystemen protokolliert werden. Mit diesen Protokollen kann nahezu jeder Handgriff, der mit dem PC gemacht wurde, auch weit im Nachhinein noch Jahre zurück verfolgt werden. Angefangen von der Installation mit Datum- und Zeitangabe, bis hin zu den Dateien, die man jemals mal geöffnet oder gespeichert hat. Auch dann noch, wenn diese Dateien schon lange gelöscht wurden. Zudem das Starten und Herunterfahren des PCs, das Ein-/Ausschalten des Netzwerks und vieles mehr. Damit kann die PC-Nutzung detailliert nachvollzogen werden.
DOWNLOAD LastActivityView in deutscher Sprache
Hinweis: Alle von Afug-Info.de bereitgestellten Downloads sind auf Viren geprüft.
Hier stellt sich zwangsläufig die Frage: Aus welchem Grund scheuen die Software-Hersteller keine Kosten für Server und Speicherkapazitäten ? Wozu benötigen sie unsere Daten und was tun sie damit, denn ganz offenkundig dienen sie nicht dem Virenschutz ?
Das läuft nicht nur dem Zweck eines Virenscanners und den Erwartungen des Nutzers an Virenschutz-Software zuwider, sondern auch dem Recht auf informationelle Selbstbestimmung und dem Grundsatz der Datenvermeidung. Hier wäre dringendst der Gesetzgeber in der Pflicht.
Der Nutzer verpflichtet sich laut AGBs zudem in vielen Fällen, den Virenscanner-Anbieter nicht zu verklagen und sich nicht an Sammelklagen zu beteiligen. Für den Fall der Fälle ist oftmals kein ordentliches deutsches oder europäisches Gericht zugelassen, sondern stattdessen ein us-amerikanisches Schiedsgericht.
Für eine gesetzliche Regelung bedarf es nicht einmal großen Fachwissens, grundsätzlich würde es genügen, entsprechende Passagen in den Lizenzbedingungen von Rechtswegen her zu verbieten.
Es ist völlig unverständlich, warum Computerzeitschriften ihre Leser hierüber nicht aufklären - Testberichte mit Software-Downloads veröffentlichen sie am laufenden Band und genau dorthin gehören auch immer entsprechende Hinweise. Auch von renommierten Computerclubs etc. ist nichts derartiges öffentlichkeitswirksam zu vernehmen. Ob das an Unkenntnis (wobei Fachwissen hierfür eigentlich nicht nötig ist) oder der Werbefinanzierung liegt, kann vorliegend nicht beantwortet werden.
Was man dagegen tun kann ?
Bei den Virenscanner-Anbietern ist nachzulesen, dass dieses Verhalten nur mit der Deinstallation des Virenscanners abgestellt werden kann. Das wiederum ist aber auch keine Lösung, auf Virenschutz ist man schließlich angewiesen.
Die Hersteller wissen, dass ein Virenscanner vielfach unverzichtbar ist. Das Sanktionspotential der Kunden ist damit zwar beschränkt, aber das ist kein Grund, sich mit allem abzufinden. Man ist schließlich nicht an einen einzigen Hersteller gebunden.
Man kann und sollte seinen Unmut kundtun - zum Beispiel mit einer kurzen eMail an Software-Hersteller, PC-Zeitschriften, Computerclubs und Politiker. Idealerweise sollten diese entsprechende Ausschnitte der Nutzungsbedingungen enthalten oder Beschreibungen des Software-Verhaltens, mit denen man nicht einverstanden ist.
In der Regel wird die Antwort zwar aus nichtssagenden standardmäßigen Textbausteinen oder einer Leugnung bestehen, es ist aber davon auszugehen, dass dies intern doch Wellen schlägt, die umso höher sind, je mehr Nutzer sich kritisch melden. Denn dann müssen die Hersteller finanzielle Einbußen fürchten. Wenn man schon ausspioniert wird, werden sich viele sagen, dann bezahl ich doch nicht auch noch mit barem Geld dafür.
Es geht hier keineswegs darum, ob man etwas zu verbergen hat oder nicht. Sondern darum, dass man als Nutzer einfach so seiner Rechte entledigt wird, zum Teil auch noch kostenpflichtig.
Bis sich dahingehend etwas geändert hat, kann man sich mit den kostenlosen Virenschutzprogrammen Microsoft Defender bzw. Microsoft Security Essentials (Systemvoraussetzung: Windows 7 und höher) behelfen. Sie sind in der Regel schon vorinstalliert und leicht zu bedienen. Sie sind zwar auch nicht makellos, aber im Vergleich immer noch die beste Wahl.
Der Test - Zum Nachprüfen
Das Lesen der Nutzungs-/Lizenzbedingungen (AGBs) und der Datenschutzerklärungen der Hersteller ist bei jeder Software und jedem Betriebssystem zwar unangenehm, aber in jedem Fall empfehlenswert.
Wer das Ganze selbst in der Praxis testen möchte, kann dies mit 3 einfachen Schritten bewerkstelligen. Dazu schaut man einfach nach, welche Server der Virenscanner kontaktiert. Die IP-Adressen dieser Server kann man dann lokalisieren und prüfen, auf welche Organisation sie registriert sind.
Schritt 1:
Die Einstellungen des Virenscanners sollten dazu angepasst werden. Die Konfiguration kann man in der Regel exportieren und dann später ohne großen Aufwand den ursprünglichen Zustand mit wenigen Klicks wiederherstellen. Ansonsten evtl. kurz notieren, wenn man etwas umstellt.
Zuerst deaktiviert man in den Virenscanner-Einstellungen alle automatischen Updates, jegliche Telemetrie- und Datenübertragung, Feedback-Funktionen, die Einblendung von Werbung etc. oder stellt auf manuelles Update um.
Dann führt man ein manuelles Update der Virendatenbanken durch, so dass diese auf dem neuesten Stand sind.
Schritt 2:
Nun sieht man sich die ein- und ausgehenden Internetverbindungen an. Das ist u.a. möglich über die Eingabeaufforderung mit dem Befehl
netstat -tuap
Afug-Info.de empfiehlt hierfür aber das komfortable, kleine, kostenlose Tool CurrPorts von NirSoft, das ohne Installation gestartet werden kann (für Windows XP und höher, Hersteller: NirSoft). CurrPorts selbst überträgt keine Daten zum Internet, sondern zeigt lediglich die ein-/ausgehenden Internet-Verbindungen des PCs an.
Hinweis: Afug-Info.de übernimmt keine Haftung für die Nutzung der Tools, insbesondere nicht, wenn Nutzer damit Vorgänge löschen/entfernen etc. Entfernen ist immer heikel, wenn man keine genaue Kenntnis über die zu löschenden Vorgänge und damit zusammenhängende Prozesse hat. Beim Ansehen allein kann in der Regel nichts passieren.
DOWNLOAD CurrPorts (32 Bit) in deutscher Sprache
DOWNLOAD CurrPorts (64 Bit) in deutscher Sprache
Hinweis: Alle von Afug-Info.de bereitgestellten Downloads sind auf Viren geprüft.
Nach dem Download, die heruntergeladene Datei entpacken und mit Doppelklick starten. Anschließend in der Statuszeile unter Optionen -> Auto-Aktualisierung -> auf 2 Sek. stellen. Restliche Einstellungen siehe Bildschirmkopie.
 |
Alternativ kann auch das Tool TCPView (für Windows XP oder höher) verwendet werden.
DOWNLOAD TCPView (externer Link)
Diese Tools zeigen einem dann, welches PC-Programm gerade mit welchem Server/IP-Adresse in Verbindung steht.
Schritt 3:
Ãœber diese IP-Adresse kann man den Standort und einiges mehr herausfinden.
Hierfür kann man weitere Tools nutzen oder online abfragen, z.B. über die Internetseite
www.utrace.de (externer Link)
Einfach in das Suchfeld die IP-Adresse des kontaktierten Servers eingeben, dann wird der Standort des Servers auf einer Landkarte angezeigt. Eine Whois-Abfrage im Internet ergibt dann in der Regel, auf welche Institution der Server zugelassen ist.
Es ist schon ganz schön dreist, wie viele Virenscanner-Hersteller angesichts dieser Faktenlage und ihrer eigener AGBs trotzdem noch davon sprechen, dass Datenschutz für sie die höchste Priorität habe, wo doch jeder mit wenigen Klicks weiß, dass dem nicht so ist.
Wer diese Tools ausprobiert, wird sich wundern, welche und wieviele Drittseiten beim ganz normalen Surfen im Internet beteiligt sind, von denen man als Nutzer nichts ahnt. Wer die Seite C aufruft, ist oftmals gleichzeitig auch mit den Servern D, E und F verbunden. Dabei ist es gar nicht so einfach, diese Verbindungen zu Drittseiten (wie Statistik- und Cloud-Diensten etc.) abzubrechen. Diese sind teils noch minutenlang vorhanden, obwohl man die Seite C schon lange geschlossen hat.
Teilweise genügt es schon, dass bestimmte Browser einfach nur gestartet werden - ohne, dass eine Internetseite geöffnet ist (leere Startseite). Bereits hier werden oftmals Cloud-Dienste kontaktiert wie cloudfront / akamaitechnologies.com / amazonaws.com / Pandora etc.
September 2017
