70 Punkte für die Schutzleistung

Entsprechend der Bedeutung dieses Kriteriums lag der Schwerpunkt des Tests darauf, wie zuverlässig die Produkte Malware aller Art erkennen. Dafür allein gab es 70 der 100 maximal erreichbaren Punkte. Basis dafür waren Messdaten des renommierten Testinstituts AV-Test aus Magdeburg.

Bewertet wurden darüber hinaus die Kriterien Fehlalarme (20 Punkte) und Systemlast (10 Punkte). Die Prüfung der Schutzleistung erfolgte in zwei Schritten: Zum einen wurden im Real-World-Test frisch entdeckte Schädlinge auf die Produkte losgelassen, zum anderen mussten sie mit einem Referenz-Set bekannter Malware fertigwerden.

Real-World-Test: Hier nutzt AV-Test ein Paket aus rund 350 brandneuen Schädlingen, sogenannte Zero-Day-Malware. Diese filtert das Labor teils erst wenige Stunden vor dem Test aus dem Internet heraus. Sie stammen von präparierten Webseiten, die als Honeypot dienen, und aus verseuchten E-Mails. Dieser Testparcours ist bei Herstellern gefürchtet, da er aufdeckt, wie gut die Erkennungsmechanismen eines Produkts zusammenarbeiten. Denn während es für bekannte Malware bereits Signaturen zur Erkennung gibt, müssen hier die Lösungen anders agieren. Sie nutzen meist eine Mischung aus verhaltensbasierter Erkennung gepaart mit Erkenntnissen aus cloudbasiertem Machine Learning und Sandboxing.

Referenz-Set: AV-Test hat ein Muster-Set zusammengestellt, das aus 13.500 recht aggressiven Vertretern der verschiedensten Malware-Bereiche besteht, darunter etwa Trojaner, Viren und Würmer. Die meisten dieser Angreifer sind bis zu zwei Wochen alt. Der Testabschnitt ermittelt, wie gut die Hersteller ihre Malware-Datenbanken pflegen. In der Regel erkennen die Produkte das Referenz-Set gut. Es gibt aber auch immer wieder Ausnahmen und Fehler.