Das Herunterladen von Software birgt Risiken, die die meisten Nutzer unterschätzen. Eine gefälschte offizielle Website, ein veränderter Installer oder ein einfaches vorangekreuztes Kästchen reichen aus, um einen Computer zu gefährden. Die in Betriebssysteme und Paketmanager integrierten Prüfmechanismen verringern diese Risiken, ihre Wirksamkeit hängt jedoch vom gewählten Download-Kanal ab.
Digitale Signatur und Paketmanager: Download-Kanäle im Vergleich
Nicht alle Download-Kanäle sind gleich sicher. Einige prüfen die Integrität der Datei automatisch, andere überlassen den Nutzer einem Installer, dessen Herkunft er nicht bestätigen kann.
| Kanal | Automatische Prüfung des Hashwerts | Signatur des Herausgebers geprüft | Risiko veränderter Software |
|---|---|---|---|
| winget (Windows Package Manager) | Ja | Ja | Gering |
| Microsoft Store | Ja (SmartScreen integriert) | Ja | Gering |
| Ninite | Ja | Ja | Gering |
| Offizielle Website des Herausgebers | Nein (manuell per Hashwert) | Je nach Herausgeber unterschiedlich | Mittel |
| Drittanbieter-Website / inoffizieller Mirror | Nein | Nein | Hoch |
Eine Erhebung zu 14 kostenlosen Programmen zeigt: 11 von 14 sind über winget verfügbar, und 9 der 11 in winget enthaltenen Programme verfügen über eine von Windows erkannte Signatur. Sechs davon sind auch im Microsoft Store erhältlich. Diese Zahlen bestätigen, dass Paketmanager inzwischen die meisten gängigen Tools abdecken.
Wenn Sie ein Programm sicher installieren möchten, ist die Wahl des Download-Kanals ebenso wichtig wie die Wahl der Software selbst.
Gefälschte offizielle Websites und manipulierte Installer: unterschiedliche Risiken je nach Quelle
Ende Oktober 2022 zeigte eine Google-Anzeige für GIMP die Adresse gimp.org an. Der Klick führte jedoch zu gilimp.org, einer Klon-Website, auf der ein 700 MB großer Installer lag, der Vidar, einen Passwortdieb, verbarg. Zwischen der angezeigten und der tatsächlichen Website lag nur ein einziger Buchstabe.
Diese Art von Angriff nutzt das Vertrauen in den visuellen Eindruck aus. Der Domainname ähnelt dem Original, das Design der Website ist kopiert und die angebotene Datei trägt den erwarteten Namen. Den Domainnamen Buchstabe für Buchstabe zu überprüfen, ist der erste wichtige Schritt, bevor Sie etwas über eine Suchmaschine herunterladen.
Datei-Hash vor dem Ausführen überprüfen
Die meisten Herausgeber freier Software veröffentlichen den Hashwert (SHA-256 oder MD5) ihrer Download-Dateien. Von den 8 Open-Source-Programmen der oben genannten Erhebung veröffentlichen 7 ihren Hashwert auf ihrer offiziellen Seite. Kein kommerzieller Herausgeber macht dies auf seinen öffentlichen Seiten.
Unter Windows lässt sich der Hashwert mit dem Befehl certutil -hashfile in der Eingabeaufforderung in weniger als einer Minute überprüfen. Stimmen die Hashwerte nicht überein, wurde die Datei zwischen dem Server des Herausgebers und Ihrem Computer verändert.
- Rufen Sie den auf der offiziellen Website des Herausgebers veröffentlichten Hashwert ab (nicht aus einem Forum oder von einer Drittanbieter-Website)
- Öffnen Sie die Eingabeaufforderung und geben Sie Folgendes ein: certutil -hashfile Pfad_zur_Datei SHA256
- Vergleichen Sie die beiden Zeichenfolgen: Sie müssen exakt übereinstimmen
- Wenn Sie unsicher sind, übermitteln Sie den Hashwert an VirusTotal, bevor Sie die Datei selbst hochladen. So vermeiden Sie, ein möglicherweise vertrauliches Dokument weiterzugeben
SmartScreen-Warnungen und nicht signierte Anwendungen unter Windows
Wenn Windows die Meldung „Windows hat Ihren PC geschützt“ anzeigt, weist SmartScreen darauf hin, dass die Anwendung unbekannt ist oder keine Signatur besitzt. Dieser Filter blockiert standardmäßig ausführbare Dateien, für die noch keine etablierte Reputation vorliegt.
SmartScreen zu deaktivieren, um die Installation zu erzwingen, ist ein häufiger Fehler. Eine SmartScreen-Warnung bedeutet nicht, dass die Datei gefährlich ist, sondern dass sie nicht überprüft wurde. Das ist ein wichtiger Unterschied: Ein legitimes, aber selten heruntergeladenes Programm löst dieselbe Warnung aus wie eine neue Malware.
Was bei einer Warnung zu tun ist
Bevor Sie auf „Trotzdem ausführen“ klicken, sollten Sie zwei Prüfungen vornehmen:
- Vergewissern Sie sich, dass die Datei tatsächlich von der offiziellen Website des Herausgebers stammt (überprüfen Sie die URL im Download-Verlauf des Browsers)
- Klicken Sie mit der rechten Maustaste auf die Datei, öffnen Sie die Eigenschaften und wechseln Sie zum Tab „Digitale Signaturen“: Der Name des Herausgebers muss mit dem erwarteten Entwickler übereinstimmen
- Wenn keine Signatur angezeigt wird und die Software nicht Open Source ist, brechen Sie die Installation ab und suchen Sie nach einer Alternative in winget oder im Microsoft Store
Cyber Resilience Act: Was die EU-Verordnung für Software-Updates bedeutet
Die Sicherheit einer Software entscheidet sich nicht allein beim Herunterladen. Nicht mehr gepflegte Software sammelt Schwachstellen an, die Angreifer noch Monate nach der Installation ausnutzen können.
Die europäische Verordnung über die Cyberresilienz (Cyber Resilience Act, Verordnung (EU) 2024/2847) verpflichtet Herausgeber digitaler Produkte zu bestimmten Überwachungsmaßnahmen. Die Meldepflichten für Schwachstellen gelten ab dem 11. September 2026. Die Hauptanwendung der Verordnung, die Sicherheitsanforderungen über den gesamten Produktlebenszyklus umfasst, beginnt am 11. Dezember 2027.
Open-Source-Software ist nicht automatisch ausgenommen. Die Verordnung gilt auch für bestimmte unabhängig vertriebene Software; die Pflichten hängen von der Rolle des jeweiligen Akteurs und der Vertriebsart ab. Kostenlose Software, die von einer kommerziellen Stiftung gepflegt wird, kann in den Anwendungsbereich fallen.
Dieser Rechtsrahmen bietet ein konkretes Auswahlkriterium: Bevorzugen Sie Herausgeber, die einen Update-Zeitplan und ein Verfahren zur Meldung von Sicherheitslücken veröffentlichen. Bei Software, deren letztes Update mehr als ein Jahr zurückliegt und für die keine Sicherheitsrichtlinie angegeben ist, steigt das Risiko mit der Zeit.
Der Download-Kanal, die Überprüfung des Hashwerts und die Kontrolle auf Updates bilden drei sich ergänzende Schutzfilter. Keiner davon reicht allein aus. Besonders aussagekräftig ist das Ergebnis der Erhebung: Von 14 getesteten Programmen lassen sich 11 über winget mit automatischer Prüfung installieren. Für die meisten gängigen Installationen ist das der kürzeste Weg zu einem zuverlässigen Arbeitsplatzrechner.
