Der Erfinder der Computer-Viren verfolgte alles andere als böse Absichten. Selbst wenn er es getan hätte, hätte es ihm an technischen Möglichkeiten gefehlt, diese Absichten in die Tat umzusetzen. John von Neumann, unbestritten einer der größten Mathematiker der Geschichte, formulierte im Jahr 1949 eine für seine Zeit ungeheuerliche Idee: Einen Algorithmus zu entwickeln, zu dessen Funktionen es gehört, Kopien seiner selbst herzustellen. Seitdem tragen Computer-Viren die Bezeichnung „Viren“. Dass sich selbst reproduzierende Programme eine ernste Gefahr werden könnten, war zu diesem Zeitpunkt noch niemandem in den Sinn gekommen.

Es dauerte lange, bis die Computertechnologie so weit fortgeschritten war, dass solche Algorithmen nicht nur theoretisch untersucht werden konnten, sondern eine tatsächliche Programmierung von Viren möglich wurde. Fred Cohen stellte in seiner Dissertation im Jahr 1984 den ersten tatsächlich funktionsfähigen Computer-Virus vor. Von ihm stammt auch der erste Hinweis darauf, dass Computer-Viren sich als gefährlich erweisen könnten. Bereits zuvor tauchten erste „freie Wildbahn“-Infektionen auf, etwa frühe Boot- und Dateiviren, die über Disketten kursierten. Mit zunehmender Vernetzung der Systeme, grafischen Oberflächen, Makro-Funktionen in Office-Dokumenten und dem Internet verbreiteten sich virale Infektionen immer schneller und wirkten zunehmend professionell – von einfachen Proof-of-Concepts hin zu komplexen, mehrstufigen Angriffsketten mit Tarnmechanismen, Verschleierung und gezielten Nutzlasten.

Schadviren

Es dauerte nur drei Jahre, bis die Warnung vor den potenziellen Gefahren der Computer-Viren sich bewahrheitete. Nach einigen recht harmlosen Viren kam im Jahr 1987 der Jerusalem Virus in Umlauf. Der Jerusalem Virus wies mehrere Schadfunktionen auf. Unter anderem löschte er auf befallenen Rechnern an jedem Freitag dem 13. sämtliche ausführbare Dateien. Es folgten weitere reine Lösch- und sonstige Schadviren.

Gemeinsames Merkmal dieser Viren war, dass ihre Verbreitung rein destruktiven Zielen diente. Den Programmierern ging es ausschließlich darum, möglichst viel Schaden anzurichten. Wirtschaftliche Ziele verfolgten sie nicht. Aber auch diese Periode dauerte nur zwei Jahre. Im Jahr 1989 wurde erstmals ein Virus mit krimineller Bereicherungsabsicht in Umlauf gebracht.

Typische Schadfunktionen (Payloads) klassischer Viren:

• Löschen, Überschreiben oder Beschädigen von Daten und Systemdateien
• Manipulation von Bootsektor-Informationen mit Startproblemen als Folge
• Logikbomben und Zeittrigger (z. B. Aktivierung an bestimmten Daten wie Freitag, der 13.)
• Ressourcenverbrauch, Verlangsamung und Instabilität von Systemen
• Veränderung oder Infektion weiterer Dateien mit exponentieller Ausbreitung

Mit dem Fortschritt der Betriebssysteme und Sicherheitsmechanismen wandelte sich die Motivation: Neben purer Zerstörung traten verdeckte, langfristige Ziele in den Vordergrund. Moderne Schadprogramme kombinieren oft mehrere Techniken: Tarnung durch Verschlüsselung oder Packen des Codes, polymorphe und metamorphe Varianten zur Signaturumgehung sowie die Ausnutzung legitimer Systemwerkzeuge, um unauffällig zu bleiben.

Kriminelle Malware

Der Aids-Computer-Virus wurde 1989 auf einer AIDS-Konferenz in Umlauf gebracht, getarnt als eine Diskette mit Informationsmaterial. Seine Funktion bestand darin, Dateien auf dem befallenen Rechner zu verschlüsseln. Die Besitzer der Rechner wurden aufgefordert, eine bestimmte Summe zu überweisen. Im Gegenzug wurde ihnen der Schlüssel zur Dechiffrierung der Dateien versprochen. Dies war die Geburtsstunde der Computerkriminalität in heutigem Sinne.

Erstmals wurde Schadsoftware entwickelt, mittels derer sich der Programmierer auf Kosten der Opfer bereichern wollte. Von solcher Software geht heute die mit Abstand größte Gefahr aus. Anders als frühere Viren, die möglichst auffällig einen großen Schaden anrichten sollten, verfolgen moderne Viren gänzlich andere Ziele. Sie sollen möglichst unentdeckt bleiben und wertvolle Informationen ausspähen. Dies geschieht auf unterschiedliche Weise.

Aktuelle Entwicklung bis heute: Aus den frühen Erpressungsversuchen entwickelte sich über die Jahre ein hochprofessionelles Ökosystem mit arbeitsteilig organisierten Gruppen. Heutige Angriffe nutzen oftmals mehrstufige Infektionsketten, schwache Passwörter, Social Engineering und Exploits. Datenverschlüsselung wird mit Erpressung kombiniert (z. B. Drohung mit Veröffentlichung sensibler Informationen). Zahlungsvorgänge sind automatisiert, die Schadkomponenten modular aufgebaut, und Tarnmechanismen erschweren die Erkennung. Obwohl nicht jede Erpressersoftware im strengen Sinn ein Virus ist, verwenden einige Varianten virale Replikationselemente, um sich zu verbreiten.

Einige wichtige Virentypen

Der klassische Virentyp, der bis vor wenigen Jahren als extrem gefährlich eingestuft wurde, war der Boot-Virus. Er nistete sich im Bootsektor von Datenträgern ein um bei jedem Start aktiviert zu werden. Heute sind alle Rechner relativ gut gegen solche Viren geschützt, ihre Bedeutung ist nur noch gering. Wichtiger sind heute Dateiviren, die sich in andere ausführbare Programme einfügen. Besondere Gefahr besteht, wenn die Wirtsdatei der Desktop Firewall als vertrauenswürdig gemeldet wurde. Der Dateivirus kann dann ungehindert mit dem Web kommunizieren, sofern er nicht von einem Virenscanner entfernt wird.

Ebenfalls zunehmend an Bedeutung gewinnen Retroviren, deren Angriffsziele die Desktop Firewall oder der Virenscanner sind. Retroviren dienen also dazu, Schutzmaßnahmen gegen Viren zu deaktivieren. Ein abschließender Hinweis: Nicht jede Form von Malware ist ein Computer-Virus. Viren sind dadurch gekennzeichnet, dass sie sich selbst reproduzieren und andere Dateien infizieren. Viele Trojaner und sonstige Spionageprogramme erfüllen diese Bedingungen nicht, sind aber nicht minder gefährlich.

Weitere häufige Virenvarianten und aktuelle Bezüge:

• Makroviren: Infizieren Dokumente mit aktiven Makros und verbreiten sich über Office-Dateien. Trotz verbesserter Standards bleiben sie relevant, wenn Makros aktiviert werden.
• Skript- und E-Mail-Viren: Nutzen Skriptsprachen und Anhänge, um sich über Postfächer und Kontakte zu vervielfältigen.
• Polymorphe und metamorphe Viren: Verändern ihren Code bei jeder Infektion, erschweren signaturbasierte Erkennung und erfordern Verhaltensanalyse.
• Multipartite Viren: Kombinieren mehrere Infektionswege (z. B. Bootsektor und Dateien) und erhöhen so die Persistenz.
• Companion-/Link-Viren: Platzieren sich neben legitimen Programmen und werden über Suchreihenfolgen oder Dateiendungen zuerst gestartet.
• Moderne Boot-/UEFI-Bootkits: Weiterentwicklung klassischer Bootviren mit Fokus auf sehr frühe Startphasen. Sie sind selten, aber aufgrund ihrer Tiefe schwer zu entfernen.

Infektionswege und typische Anzeichen:

• Verbreitung über Wechseldatenträger, unsichere Downloads, manipulierte Anhänge, kompromittierte Webseiten und Schwachstellen
• Plötzliche Verlangsamung, unerklärliche Systemfehler, auffällige Prozesse, deaktivierte Schutzfunktionen, ungewohnte Netzwerkkommunikation

Schutzmaßnahmen in der Praxis:

• Aktuelle Betriebssystem- und Programmupdates, um bekannte Schwachstellen zu schließen
• Kombination aus Signatur- und verhaltensbasierter Erkennung, regelmäßige On-Demand-Scans
• Restriktive Makro-Einstellungen, Prinzip der geringsten Rechte, Anwendungskontrolle
• Regelmäßige, getestete Datensicherungen auf getrennten Medien, um bei Vorfällen schnell wiederherzustellen
• Sensibilisierung gegen Social Engineering, geprüfte Anhänge und Downloads

Wichtig bleibt die klare Abgrenzung: Ein Virus repliziert sich selbst und infiziert Dateien oder Systembereiche. Andere Schädlinge wie Würmer, Trojaner oder Spionageprogramme können ähnliche Ziele verfolgen, replizieren jedoch nicht notwendigerweise auf dieselbe Weise. Für Betroffene ist die Unterscheidung dennoch relevant, weil Reaktionswege und Bereinigung je nach Art des Schädlings variieren.

Häufige Fragen und Antworten