Warum Antivirus gegen moderne Malware versagt

Wie klassisches Antivirus funktioniert

Antivirus war jahrzehntelang die erste Verteidigungslinie auf privaten und geschäftlichen Geräten. Sein Erfolg beruhte darauf, bekannte schädliche Dateien vor der Ausführung zu erkennen. Um die Schwachstellen zu verstehen, lohnt ein Blick auf die drei wichtigsten Erkennungsmethoden.

Signaturabgleich vergleicht Datei-Hashes mit einer vom Hersteller gepflegten Datenbank. Stimmt der Hash überein, wird die Datei blockiert. Bei bekannten Bedrohungen schnell und präzise, wertlos in dem Moment, in dem die Malware mutiert.

Heuristische Analyse nimmt Dateistruktur und Verhalten unter die Lupe. Ein Dokument, das PowerShell startet oder die Registry verändert, wird markiert. Es ist, als würde man in einer Menschenmenge nach verdächtigem Verhalten Ausschau halten, und es erzeugt entsprechend viele Fehlalarme.

Verhaltensbasiertes Sandboxing zündet verdächtige Dateien in einer lokalen Sandbox und beobachtet schädliche Aktionen. Gegen neuartige Bedrohungen wirksam, aber CPU-lastig und von Malware, die Sandbox-Bedingungen erkennt, routinemässig umgangen.

Diese Verfahren waren stark, solange Malware-Autoren dieselben Payloads immer wieder recycelten. Heutige Angreifer betrachten Antivirus nur als Grundhürde, die es zu nehmen gilt, nicht als ernsthafte Barriere. Sie iterieren schneller, als die Verteidigerseite Signaturen ausrollen kann.

Warum Antivirus 2025 versagt

Moderne Malware ist darauf ausgelegt, Schutzmassnahmen zu umgehen, die sich auf Dateien und bekannte Verhaltensmuster stützen. Angreifer nutzen den Browser als Einfallstor, setzen auf dateilose Payloads und greifen Zero-Days an, die den Herstellern noch gar nicht bekannt sind.

Das Zero-Day- und N-Day-Fenster. Laut Mandiant ist die durchschnittliche Zeit zwischen der Offenlegung einer Schwachstelle und ihrer breiten Ausnutzung 2024 auf 6 Tage geschrumpft. Die meisten Unternehmen brauchen Wochen, um Patches auszurollen. Malware-Autoren leben genau in dieser Lücke. Der Chrome-Zero-Day vom Mai 2025 (CVE-2025-1023) tauchte schon 48 Stunden nach der Entdeckung in Phishing-Kampagnen auf. Antivirus markierte die schädlichen Seiten nicht, weil es schlicht noch keine Signaturen dafür gab.

Polymorphe Malware. Malware-Kits werden inzwischen mit polymorphen Engines ausgeliefert, die den Hash der Payload bei jedem Download verändern. Eine einzige Phishing-Kampagne kann an einem Tag 10.000 unterschiedliche ausführbare Dateien erzeugen. Signaturbasierte Erkennung bricht zusammen, sobald es keinen konstanten Fingerabdruck mehr gibt. IBM X-Force meldet zwischen 2023 und 2025 ein Plus von 300 Prozent bei polymorphen Ransomware-Familien.

Dateilose und Living-off-the-Land-Angriffe. Statt eine schädliche EXE abzulegen, missbrauchen Angreifer legitime Tools, die ohnehin auf dem System liegen (PowerShell, WMI, Office-Makros). Die Payload läuft im Arbeitsspeicher und nutzt vertrauenswürdige Prozesse als Vehikel. FIN7 stellte 2024 auf dateilose Angriffe um und verzeichnete steigende Erfolgsraten, weil Endpoint-Security legitime Admin-Tools selten genauer prüft.

Kommt dann noch der Faktor Mensch dazu (Mitarbeitende klicken auf dringende Rechnungen, Analysten untersuchen verdächtige Links, Entwickler ziehen sich Tools von Drittanbietern), ist das Pulverfass komplett. Antivirus erwischt vielleicht die Bedrohungen von gestern. Angreifer bauen schon für morgen.

Ein Blick auf die moderne Bedrohungslage

Für Cyberkriminelle ist der Browser das universelle Einfallstor. Er ist die Schicht, in der Mensch und Web aufeinandertreffen, und damit ein idealer Nährboden für Social Engineering, Drive-by-Downloads und schädliche Skripte, die unbemerkt Prozesse starten.

Antivirus bleibt Teil des Stacks, aber seine Grenzen sind unübersehbar. Security-Verantwortliche suchen Wege, den Browser (die am häufigsten attackierte Anwendung) aus der Schusslinie zu holen, ohne die Mitarbeitenden auszubremsen. Genau hier kommt Isolation ins Spiel.

Warum Isolation die Lücke schliesst

Antivirus versucht, schädlichen Code zu erkennen und zu stoppen. Browser-Isolation dreht den Spiess um: Sie nimmt von vornherein an, dass Code schädlich sein könnte, und hält ihn von deinem Gerät fern. Statt auf Erkennung zu setzen, setzt du auf die Architektur.

Diese Architektur besteht aus vier Bausteinen. Remote Execution führt jede Website, jedes Skript und jeden Download in einem isolierten Cloud-Container aus; auf deinem Gerät kommt nur ein sicherer Render-Stream an. Ephemere Sessions sind Einwegumgebungen, nach dem Schliessen bleiben weder Cookies noch Verlauf noch Footholds zurück.

Zero-Trust-Browsing behandelt jeden Tab als potenziell feindselig und begrenzt den Wirkungsradius, sodass ein Zero-Day deine lokale Maschine gar nicht erst erreicht. Sicherer Umgang mit Dateien öffnet verdächtige Downloads zuerst im isolierten Browser. So gelangt Ransomware selbst dann nicht auf den Endpoint, wenn jemand klickt.

Statt sich auf Threat-Intelligence-Updates zu verlassen, zieht Isolation einen Schutzwall um deine Mitarbeitenden. Antivirus hat weiterhin seinen Platz (vor allem bei USB-Risiken und Legacy-Anwendungen), aber er ist nicht mehr dein Single Point of Failure. Ein anschaulicher Vergleich: Antivirus ist der Sicherheitsgurt, Isolation der Airbag. Am besten wirkt beides zusammen.

Fallstudie: der Neuaufbau bei Aegis Logistics

Erinnerst du dich an Aegis Logistics, das Unternehmen, das die präparierte Rechnung ausgeknockt hat? Die Nachbereitung dort liefert eine handfeste Vorlage, wie man aus so einem Vorfall lernt.

Die eigentliche Ursache war altbekannt. Eine Phishing-Mail rutschte am Secure Email Gateway vorbei, und der Anhang brachte einen polymorphen Loader mit, der den Endpoint-Antivirus umging, indem er beim Download seinen Hash veränderte. Die Begleitumstände verschärften den Schaden zusätzlich. Die Antivirus-Signaturen hingen wegen eines gestaffelten Rollouts 24 Stunden hinterher. In der Finanzabteilung teilten sich mehrere Personen Arbeitsplätze mit erhöhten Rechten und gemounteten Netzlaufwerken. Für verdächtige Links existierte kein sicherer Prüfprozess, also öffneten die Analysten sie lokal.

Die Reaktion nach dem Vorfall war strukturell, nicht kosmetisch. Finanzen, Einkauf und Security verlagerten Phishing-Untersuchungen in Browser.lol. Antivirus lief parallel zu EDR weiter, ergänzt um verpflichtende Isolationsrichtlinien. Alle Hochrisiko-Workflows setzen inzwischen Einweg-Sessions voraus, bevor irgendetwas das Netzwerk berührt. Die durchschnittliche Zeit bis zur Erkennung eines Phishing-Versuchs sank von 9 Stunden auf 45 Minuten. Seit 11 Monaten ist kein einziger browserbasierter Vorfall mehr durchgekommen. Antivirus ist weiterhin an Bord, aber niemand verlässt sich mehr allein darauf.

Ein 30-Tage-Aktionsplan

Mit diesem Fahrplan holst du Stakeholder ins Boot, führst Isolation ein und machst erste Erfolge sichtbar.

Heute mit gestaffelter Verteidigung anfangen

Gegen moderne Malware ist es mit klassischen Verteidigungslinien kein fairer Kampf. Angreifer iterieren schneller, machen den Browser zur Waffe und tarnen sich im normalen Datenverkehr. Antivirus zählt weiterhin, braucht aber Verstärkung, vor allem an der Front, wo Menschen Links anklicken und Anhänge öffnen.

Browser-Isolation bringt eine neue Denkweise mit: vom Ernstfall ausgehen und ihn eingedämmt halten. Die Unternehmen, die 2025 vorne liegen, bauen ihre Sicherheit so, wie Menschen tatsächlich arbeiten, nämlich neugierig, kollaborativ und ab und zu unachtsam. Gib ihnen ein Sicherheitsnetz, das nicht darauf angewiesen ist, zu erraten, welche Datei schädlich ist.