Quarantäne

Schutzprogramme auf Computern und Handys durchsuchen Dateien nach Schadsoftware. Schadsoftware sind Programme, die heimlich Daten stehlen oder den Rechner unbrauchbar machen. Findet ein Schutzprogramm etwas Verdächtiges, löscht es die Datei meist nicht sofort. Stattdessen verschiebt es sie in einen abgesperrten Bereich, die Quarantäne. Dort ist die Datei so verpackt, dass sie nicht mehr gestartet werden kann. Der Begriff stammt aus der Medizin: Wer ansteckend sein könnte, wird erst einmal isoliert, nicht bestraft.

Warum man Verdächtiges nicht sofort löscht

Schutzprogramme irren sich regelmäßig. Ein solcher Irrtum heißt Fehlalarm oder auf Englisch False Positive. Dabei wird eine harmlose Datei fälschlich als gefährlich eingestuft. Das trifft oft selbst geschriebene Programme, Spiele-Mods oder Software kleiner Anbieter.

Würde das Programm sofort löschen, wäre so ein Fehler nicht mehr zu reparieren. Im schlimmsten Fall fehlt danach eine Systemdatei und der Rechner startet nicht mehr. Genau das ist 2010 bei einem fehlerhaften Update von McAfee passiert: Weltweit wurde eine harmlose Windows-Datei entfernt, tausende Firmenrechner fielen aus. Die Quarantäne ist die Versicherung gegen solche Unfälle.

Für Fachleute hat der Quarantäne-Ordner noch einen zweiten Nutzen. Sicherheitsforscher können sich die isolierte Datei später in Ruhe ansehen und herausfinden, was sie eigentlich tun wollte. Bei einem Angriff auf eine Firma ist das oft die wichtigste Spur. Gelöschte Dateien verraten dagegen nichts mehr.

Was beim Verschieben mit der Datei passiert

Die Datei wird vom ursprünglichen Ort weggenommen und in ein spezielles Verzeichnis kopiert. Dabei verändert das Schutzprogramm die Datei absichtlich. Häufig werden alle Bytes mit einem festen Muster verrechnet, sodass der Inhalt unlesbar wird. Das Verfahren ist umkehrbar, die Datei lässt sich also wiederherstellen.

Zusätzlich verliert die Datei ihre Endung und ihre Rechte. Aus einer ausführbaren Datei wird ein Datenklumpen, den das Betriebssystem nicht mehr starten kann. Selbst ein Doppelklick im Quarantäne-Ordner löst also nichts aus. Parallel speichert das Schutzprogramm einen Eintrag mit Fundort, Zeitpunkt und dem Namen der erkannten Bedrohung.

Ein häufiges Missverständnis: Quarantäne ist kein Papierkorb. Im Papierkorb bleibt eine Datei voll funktionsfähig und kann weiter Schaden anrichten. In der Quarantäne ist sie neutralisiert. Die meisten Programme löschen den Inhalt nach einigen Wochen automatisch, wenn niemand eingreift.

Von der Windows-Sicherheit bis zum Spam-Ordner

Auf privaten Rechnern begegnet einem die Quarantäne meist in der Windows-Sicherheit oder in Programmen wie Avast, Bitdefender oder Malwarebytes. Nach einem Fund erscheint eine Meldung mit drei Möglichkeiten: endgültig entfernen, wiederherstellen oder eine Ausnahme eintragen. Eine Ausnahme sollte man nur setzen, wenn man genau weiß, woher die Datei stammt.

Auch E-Mail-Systeme in Firmen und Schulen nutzen den Begriff. Verdächtige Nachrichten landen dort in einer Mail-Quarantäne, nicht im Postfach. Viele Angestellte bekommen einmal täglich eine Übersicht dieser zurückgehaltenen Mails und können einzelne freigeben. Auch der Spam-Ordner eines normalen Mailkontos funktioniert nach demselben Prinzip.

In Wirtschaftsnachrichten taucht Quarantäne meist dann auf, wenn etwas schiefgelaufen ist. Wenn ein Update eines Sicherheitsanbieters plötzlich wichtige Programme isoliert, stehen ganze Betriebe still. Sicherheitssoftware greift tief ins System ein, deshalb wiegen ihre Fehler schwer. Die Quarantäne begrenzt den Schaden, verhindert ihn aber nicht.