Was ist Zero-Day-Erkennung?
Die Zero-Day-Erkennung bezeichnet den Prozess der Identifizierung schädlicher Dateien, bevor eine entsprechende Signatur dafür in Antiviren-Datenbanken vorhanden ist. Herkömmliche Antiviren-Tools sind von Natur aus reaktiv: Sie können nur Bedrohungen blockieren, die ihr Hersteller bereits erfasst hat. Die Zeitspanne zwischen dem ersten Auftreten einer Bedrohung und dem Zeitpunkt, zu dem Antiviren-Anbieter ein Erkennungsmuster erstellen, ist das Zeitfenster, in dem Angreifer zuschlagen können.
Kurzfassung / Wichtigste Erkenntnisse
- Laut der Zero-Day-Erkennungsanalyse OPSWAT für das Jahr 2026, die auf über einer Million erkannter Dateien basiert, hinkten herkömmliche Antiviren-Engines bei der Zero-Day-Erkennung um durchschnittlich 3,0 Tage hinterher, wobei die maximale Sicherheitslücke im schlimmsten Fall 26,7 Tage betrug
- Nur 3,7 % der Zero-Day-Bedrohungen wurden von herkömmlichen Antiviren-Engines innerhalb von 24 Stunden nach ihrem ersten Auftreten erkannt
- Skript- und Dokumentdateitypen weisen durchweg die längsten Expositionszeiträume auf, wobei Office-Dokumente im Durchschnitt 6,9 Tage nach ihrer Erkennung noch unentdeckt bleiben
- Etwa 20,8 % der Zero-Day-Angriffe im Datensatz wurden letztendlich von herkömmlichen Antiviren-Engines erkannt; bei einem erheblichen Teil waren die Reaktionszeiten jedoch so lang, dass sie praktisch keinen Schutz boten
- MetaDefender liefert für jede Datei ein einziges, mit einer Konfidenzbewertung versehenes Ergebnis, wobei eine vierstufige Erkennungs-Pipeline zum Einsatz kommt, die nicht auf Musterabgleich basiert
Herkömmliche Antivirenprogramme haben ein zeitliches Problem
Herkömmliche Antivirenprogramme erkennen Bedrohungen, indem sie Dateien mit einer Datenbank bekannter Malware-Signaturen abgleichen. Eine Datei, die keinem vorhandenen Muster entspricht, kann ungehindert durchrutschen. Diese strukturelle Abhängigkeit von Vorwissen führt zu einer messbaren, ausnutzbaren Verzögerung zwischen dem Auftreten einer Bedrohung und dem Zeitpunkt, zu dem das Antivirenprogramm sie stoppen kann.
Laut unserer Analyse zur Zero-Day-Erkennung aus dem Jahr 2026, die auf über einer Million Dateierkennungen basiert, hinkten herkömmliche Antiviren-Engines bei der Zero-Day-Erkennung um durchschnittlich 3,0 Tage hinterher, wobei der Median bei 2,0 Tagen lag. Im schlimmsten Fall betrug die Expositionsdauer 26,7 Tage. Nur 3,7 % der Zero-Day-Bedrohungen im Datensatz wurden von herkömmlichen Antiviren-Engines innerhalb von 24 Stunden erkannt. Bei etwa 3 % dauerte es länger als eine Woche, bis eine Erkennungsreaktion erfolgte.
Ein Hinweis zur Methodik: Der 3,0-Tage-Durchschnitt schließt Dateien mit sehr langen Antiviren-Reaktionszeiten sowie Dateien ohne jegliche Historie von Musterabgleichen aus. Der vollständige Datensatz spiegelt ein breiteres Spektrum an Ergebnissen wider. In den zugrunde liegenden Daten ist zudem eine geringe, aber von Null verschiedene Falsch-Positiv-Rate zu verzeichnen.
Die Daten basieren auf Momenten wie diesem. Zum Zeitpunkt der Überprüfung hat keine der 20 von uns verwendeten Antiviren-Engines die Datei als verdächtig eingestuft, und kein Reputationsdienst hatte sie erfasst. Die Bedrohung war bereits bestätigt.
Die meisten Zero-Day-Exploits entsprechen nie einem bekannten Muster
Das Zeitproblem verschärft sich noch, wenn Antiviren-Engines überhaupt keine passende Signatur für eine Bedrohung liefern. In unserer Analyse wurden etwa 20,8 % der Zero-Day-Dateien schließlich von herkömmlichen Antiviren-Engines erkannt. Bei rund 17,9 % gab es keinerlei Historie von Musterabgleichen, wodurch sie vollständig außerhalb des Katalogs aller analysierten Antiviren-Engines lagen. Bei geschätzten 54 % waren die Reaktionszeiten der Antiviren-Engines so lang, dass sie in der Praxis praktisch keinen Schutz bieten. Es ist zu beachten, dass diese Zahl, wie auch die anderen, eine geringe, aber nicht nullige Falsch-Positiv-Rate aufweist und als Richtwert zu betrachten ist.
Selbst wenn die Antiviren-Engines schließlich den Rückstand aufholen, bleibt die Abdeckung begrenzt. Bei einer späteren erneuten Überprüfung hatten nur drei dieser 20 Antiviren-Engines einen Treffer für dieselbe Datei gefunden. Die Mehrheit hatte nach wie vor nichts gefunden.
Bei der musterbasierten Erkennung muss ein Anbieter eine Bedrohung zunächst beobachten, analysieren und katalogisieren, bevor ein Schutz möglich ist. Bei neuartiger oder absichtlich verschleierter Malware kann dieser Prozess entweder gar nicht oder zu spät abgeschlossen werden, um noch von Bedeutung zu sein.
Wo herkömmliche Virenscanner am stärksten hinterherhinken
Nicht alle Dateitypen bergen das gleiche Risiko, wenn die Erkennung durch Antivirenprogramme verzögert erfolgt. Skript- und dokumentbasierte Dateien weisen in unserer Analyse durchweg die längsten Zeitfenster auf, in denen ein Risiko besteht, und es handelt sich dabei um Dateitypen, die in nahezu jedem Unternehmensworkflow vorkommen.
Datei Typ | Durchschnittliche Anzahl der Tage bis zur Erkennung einer Bedrohung durch herkömmliche Antivirenprogramme |
Office-Dokumente | ~6,9 Tage |
PowerShell | ~6,3 Tage |
VBS-Skripte | ~4,9 Tage |
HTA | ca. 3,5 Tage |
PE (ausführbare Dateien) | ~3,1 Tage |
Office-Dokumente und Skriptformate stehen ganz oben auf der Liste, gerade weil ihre Komplexität die Erkennung von Signaturen erschwert. Makros, eingebettete Objekte und mehrstufige Ausführungslogik bieten Angreifern mehr Angriffsflächen und erfordern von Antiviren-Anbietern einen höheren Aufwand, bevor ein zuverlässiges Erkennungsmuster erstellt werden kann.
PE-Dateien (Portable Executable) belegen den letzten Platz in der Verzögerungstabelle, dennoch lagen sie im Durchschnitt mehr als drei Tage lang unentdeckt im System. Für ausführbare Dateien, die in kritische Infrastrukturumgebungen, Patch-Pipelines oder regulierte Dateiflüsse gelangen, sind drei Tage kein akzeptables Zeitfenster.
Warum herkömmliche Erkennungsmethoden hinterherhinken
Bei der musterbasierten Erkennung wird eine Datei mit einer Bibliothek bekannter Malware-Signaturen abgeglichen. Wird eine Übereinstimmung gefunden, wird die Datei blockiert. Liegt keine Übereinstimmung vor, wird die Datei durchgelassen. Das Modell stützt sich vollständig auf frühere Erfahrungen: Eine Bedrohung muss erst beobachtet, analysiert und katalogisiert werden, bevor ein Schutz möglich ist. Bei einer unbekannten Datei ist dieser Ablauf noch nicht durchlaufen worden.
Diese strukturelle Einschränkung gab es schon immer. Was sich geändert hat, ist die Geschwindigkeit, mit der Angreifer neue Varianten generieren können. Angreifer nutzen mittlerweile KI und maschinelles Lernen, um in großem Umfang verschleierte, schwer zu erkennende Malware zu produzieren, wobei sie Dateien erstellen, die speziell darauf ausgelegt sind, keine Übereinstimmung mit bestehenden Signaturen zu zeigen. Jede generierte Variante ist für Antiviren-Datenbanken technisch neu, auch wenn die zugrunde liegende Angriffslogik dies nicht ist.
Ausweichtechniken verschärfen das Problem zusätzlich. Malware-Autoren erstellen regelmäßig Dateien, die darauf ausgelegt sind, beim Eindringen nicht mit einer bekannten Bedrohung abgeglichen zu werden, und nutzen dabei Techniken wie:
- Komprimierung und Verschlüsselung zur Verschleierung des Dateiinhalts
- Polymorphismus zur Erzeugung strukturell einzigartiger Varianten
- Mehrstufige Bereitstellung, um böswilliges Verhalten bis nach dem Zugriff aufzuschieben
- Prüfungen der Ausführungsbedingungen, die die Aktivität unterdrücken, bis ein tatsächlicher Endpunkt erreicht ist
Signaturbasierte Tools verfügen über keinen Mechanismus, um solche Abläufe vorherzusehen. Das Ergebnis ist ein Erkennungsmodell, dessen Wirksamkeit mit zunehmender Raffinesse der Angreifer-Tools abnimmt. Die Lücke zwischen dem ersten Auftreten und der ersten Erkennung schließt sich nicht von selbst schnell. Stattdessen wird sie immer größer.
Wie wir Bedrohungen erkennen, noch bevor ein Musterabgleich vorliegt
MetaDefender ist eine einheitliche Lösung zur Erkennung von Zero-Day-Bedrohungen, die darauf ausgelegt ist, schädliche Dateien zu identifizieren, die durch den reinen Abgleich mit Signaturen allein nicht erkannt werden können. Anstatt zu prüfen, ob eine Datei einem bekannten Muster entspricht, stellt MetaDefender vier zunehmend detailliertere Fragen zu jeder Datei, die das System durchläuft, und fasst die Antworten zu einem einzigen, mit einer Konfidenzbewertung versehenen Ergebnis zusammen.
Ebene 1: Bedrohungsreputation (48,7 % Wirksamkeit)
Jede Datei, die in die Pipeline gelangt, wird anhand der OPSWAT Bedrohungsdatenbanken OPSWAT überprüft. Bekannte schädliche Dateien werden sofort blockiert. Vertrauenswürdige Dateien werden im Schnellverfahren bearbeitet. Nach unserer Analyse wurden allein durch diese Ebene 48,7 % der Bedrohungen abgewehrt, wodurch Pipeline-Kapazität geschont und unnötige Verarbeitungsschritte für Dateien vermieden wurden, die keiner eingehenderen Prüfung bedürfen.
Ebene 2: Adaptive mittels Emulation auf Befehlsebene (83,4 % kumulative Wirksamkeit)
Dateien, die die Reputationsprüfung bestehen, gelangen in die adaptive Sandbox MetaDefender . Anstelle von virtuellen Maschinen emuliert die Sandbox über 120 Dateitypen hinweg auf CPU- und Betriebssystem-Befehlsebene. Dieser Ansatz zwingt Dateien dazu, ihren gesamten Codepfad auszuführen, unabhängig davon, ob sie eine virtualisierte Umgebung erkennen. VM-bewusste Malware, die andernfalls inaktiv bleiben würde, kann ihr Verhalten unter der Emulation auf Befehlsebene nicht unterdrücken. Neu entdeckte IOCs (Indikatoren für Kompromittierung) aus dieser Ebene werden an Ebene 1 zurückgemeldet und stärken die Reputationsdatenbank mit jedem Analysezyklus.
Eine Signatur-Engine erkennt ein verschleiertes Skript und findet keine Übereinstimmung. Durch die Emulation wird die Datei dennoch ausgeführt. Sobald sie ihre versteckte Nutzlast entschlüsselt und in den Speicher lädt, wird die Absicht sichtbar.
Ebene 3: ML-gestützte Bedrohungsbewertung (99,3 % kumulative Wirksamkeit)
Mehrere Machine-Learning-Engines analysieren Verhaltenssignale, Anomaliemuster und IOCs, die aus der Sandbox-Ebene extrahiert wurden. Jede Datei erhält eine strukturierte, vertrauensgradgewichtete Risikobewertung. Rohdaten aus der Telemetrie werden in ein eindeutiges Entscheidungssignal umgewandelt, wodurch Fehlalarme reduziert und der Arbeitsaufwand für die Analysten minimiert wird, der normalerweise durch die fragmentierten Tool-Ausgaben entsteht.
Scannen Sie Ihre Dateien kostenlos mit unseren Erkennungsmodulen unter filescan.io/scan.
Ebene 4: KI-gestützte Ähnlichkeitssuche (99,9 % kumulative Wirksamkeit)
Die letzte Ebene gleicht den Verhaltensfingerabdruck jeder Datei mit einer Datenbank ab, die mehr als 100 Millionen analysierte Malware-Beispiele umfasst. Dateien werden automatisch bekannten Bedrohungsfamilien, Kampagnen und Angriffstoolkits zugeordnet, sofern Übereinstimmungen vorliegen. Dateien, für die keine Übereinstimmung gefunden wird, werden in neue Erkenntnisse umgewandelt, wodurch sowohl globale als auch lokale Erkennungsmodelle angereichert werden. Diese Ebene erhöht die kumulative Erkennungsrate auf 99,9 %.
MetaDefender im Vergleich zu herkömmlichen Sandbox Antiviren-Ansätzen
Herkömmliche AV- und VM-basierte Sandboxen decken jeweils einen Teil des Problems der Zero-Day-Erkennung ab, doch keine der beiden bietet ein einheitliches Ergebnis, das Reputation, Verhalten, Bewertung und Ähnlichkeitssuche umfasst. Die folgende Tabelle vergleicht die Leistung der einzelnen Ansätze hinsichtlich der Funktionen, die am Perimeter am wichtigsten sind.
Fähigkeit | Herkömmliche AV-Engines | VM-basierte Sandbox | MetaDefender Aether |
Erkennungsansatz | Musterbasiert | Verhaltensbezogen (isoliert) | Vierschichtige einheitliche Pipeline |
Ausweichresistenz | Niedrig | Mittel (VM-erkennbar) | Hoch (Emulation auf Befehlsebene) |
Bis zur Urteilsverkündung | Verzögerung von null bis über 26 Tagen | Variabel | Nahezu in Echtzeit |
SIEM/SOAR-Integration | begrenzt | Manuelle Korrelation | Strukturiert, nativ |
Ressourceneffizienz | Niedrig | Hohe Rechenleistung | 100-fach im Vergleich zu einer VM-basierten Sandbox |
Art des Urteils | Übereinstimmung/keine Übereinstimmung | Bericht nach Werkzeug | Ein einziges, auf der Grundlage eines Konfidenzwerts ermitteltes Urteil |
VM-basierte Sandboxen verbessern die Signaturerkennung, indem sie das Dateiverhalten zur Laufzeit beobachten. Die Einschränkung besteht darin, dass Malware-Autoren dies wissen. Durch Umgebungsprüfungen, Zeitverzögerungen und VM-Fingerprinting können raffinierte Bedrohungen Sandbox-Bedingungen erkennen und ihr schädliches Verhalten zurückhalten, bis sie einen echten Endpunkt erreichen. Die Emulation auf Befehlsebene beseitigt diese Umgehungsmöglichkeit vollständig.
Auch auf Perimeter-Ebene ist die Ressourcenlücke erheblich. VM-basiertes Sandboxing erfordert pro Datei erhebliche Rechenleistung. MetaDefender bietet eine 100-mal höhere Ressourceneffizienz als VM-basierte Ansätze, indem es Emulation auf Befehlsebene mit einer mehrschichtigen Pipeline kombiniert, die nur die Dateien weiterleitet, die eine eingehendere Analyse erfordern.
Lesen Sie hier mehr über die wichtigsten Unterschiede zwischen herkömmlichen und adaptiven Sandboxes.
Wann sollte die Zero-Day-Erkennung anstelle der Deep CDR™-Technologie oder zusätzlich dazu eingesetzt werden?
Die Deep CDR™-Technologie und MetaDefender lösen unterschiedliche Probleme. Das Verständnis dieses Unterschieds ist für Sicherheitsarchitekten wichtig, die Workflows zur Dateiprüfung entwerfen, insbesondere in regulierten Umgebungen oder kritischen Infrastrukturen.
Die Deep CDR™-Technologie entschärft dateibasierte Bedrohungen proaktiv, indem sie potenziell schädliche Inhalte – darunter Makros, Skripte und eingebettete Objekte – aus über 200 Dateitypen entfernt und eine saubere, voll funktionsfähige Version erstellt. Diese Technologie stützt sich nicht auf Erkennung. Eine Datei wird bereinigt, unabhängig davon, ob eine Bedrohung letztendlich bestätigt wird oder nicht. Bei dokumentbasierten Arbeitsabläufen, bei denen Dateien sicher rekonstruiert werden können, beseitigt die Deep CDR™-Technologie die Bedrohung, bevor sie ausgeführt werden kann.
Lesen Sie hier unseren vorherigen Artikel, in dem die Funktionsweise genauer beschrieben wird.
MetaDefender ist das richtige Werkzeug, wenn Dateien nicht verändert werden dürfen. Ausführbare Dateien, Patch-Dateien, Firmware, Installationsprogramme und Skripte müssen byteweise unverändert bleiben, um zu funktionieren. Eine Bereinigung dieser Dateien kommt nicht in Frage. Auch regulierte Dokumente im Gesundheitswesen, im Rechtswesen und im Finanzsektor unterliegen unter Umständen rechtlichen oder Compliance-Anforderungen, die eine Änderung verbieten. Für diese Dateitypen ist die dynamische Analyse der einzige gangbare Weg zur Überprüfung.
Bei diesen beiden Technologien handelt es sich nicht um eine Entweder-oder-Entscheidung. In der Praxis werden in den meisten Unternehmens- und kritischen Infrastrukturumgebungen sowohl veränderbare als auch unveränderbare Dateitypen innerhalb derselben Arbeitsabläufe verarbeitet. Die Deep CDR™-Technologie verarbeitet Dokumente und Office-Formate, die sicher rekonstruiert werden können. MetaDefender verarbeitet die Dateien, die nicht verändert werden können. Zusammen decken sie das gesamte Spektrum der Dateitypen ab, die in eine Umgebung gelangen.
Zero-Day-Bedrohungen warten nicht darauf, dass eine Signatur vorliegt – und das sollte auch bei Ihren Abwehrmaßnahmen nicht der Fall sein.
Häufig gestellte Fragen
Was ist der Unterschied zwischen Zero-Day-Erkennung und herkömmlichen Antivirenprogrammen?
Herkömmliche Antivirenprogramme erkennen Bedrohungen, indem sie Dateien mit einer Datenbank bekannter Malware-Signaturen abgleichen. Die Zero-Day-Erkennung identifiziert Bedrohungen, für die noch keine Signatur vorliegt, indem sie das Verhalten, die Reputation und die strukturellen Merkmale der Dateien analysiert. MetaDefender kombiniert vier Analyseebenen, um eine Bewertung von Dateien mit einer Effizienz von 99,9 % zu liefern – Dateien, die herkömmliche Antiviren-Tools ohne Warnung durchlassen würden.
Wie lange brauchen herkömmliche Antiviren-Engines, um eine Zero-Day-Bedrohung zu erkennen?
Laut der Zero-Day-Erkennungsanalyse OPSWAT für das Jahr 2026, die auf über einer Million Dateierkennungen basiert, hinkten herkömmliche Antiviren-Engines bei der Zero-Day-Erkennung um durchschnittlich 3,0 Tage hinterher, wobei der Median bei 2,0 Tagen lag. Im schlimmsten Fall betrug die Expositionsdauer 26,7 Tage. Nur 3,7 % der Zero-Day-Bedrohungen wurden innerhalb von 24 Stunden von einem Antivirenprogramm erkannt. Der Durchschnitt von 3,0 Tagen schließt Dateien mit sehr langen Reaktionszeiten und Dateien ohne Musterabgleich-Historie aus, sodass das gesamte Spektrum der Expositionsdauer größer ist, als diese Zahl allein vermuten lässt.
Welche Dateiformate sind für Antivirenprogramme am schwersten zu erkennen?
Skript- und dokumentbasierte Dateitypen weisen durchweg die längsten Verzögerungen bei der Antiviren-Erkennung auf. In der Analyse OPSWAT aus dem Jahr 2026 lag die Erkennung bei Office-Dokumenten im Durchschnitt 6,9 Tage im Rückstand, bei PowerShell-Dateien 6,3 Tage und bei VBS-Skripten 4,9 Tage. Da diese Dateitypen in nahezu jedem Unternehmensworkflow vorkommen, ist das Zeitfenster, in dem ein Sicherheitsrisiko besteht, von erheblicher operativer Bedeutung.
Wie kann eine Emulation auf Befehlsebene VM-bewusste Malware unschädlich machen?
VM-bewusste Malware nutzt Umgebungsprüfungen, Zeitverzögerungen und Virtualisierungs-Fingerprinting, um zu erkennen, wann sie in einer Sandbox ausgeführt wird, und ihr schädliches Verhalten zu unterdrücken. Die Emulation auf Befehlsebene umgeht diese Techniken, indem sie auf CPU- und Betriebssystemebene emuliert, anstatt eine vollständige virtuelle Maschine auszuführen. Die Datei verfügt über keine zuverlässige Möglichkeit, die emulierte Umgebung von einem echten Endpunkt zu unterscheiden, was die Unterdrückung der Ausführung erheblich erschwert und Verhaltensweisen offenlegt, die andernfalls verborgen blieben.
Ersetzt MetaDefender eine Sandbox?
MetaDefender umfasst adaptives Sandboxing als eine seiner vier Erkennungsschichten, ist jedoch kein eigenständiges Sandbox-Produkt. Es vereint Bedrohungsreputation, Emulation auf Befehlsebene, ML-gestützte Bedrohungsbewertung und KI-gestützte Ähnlichkeitssuche in einer einzigen Pipeline, die für jede Datei ein mit einer Konfidenzbewertung versehenes Ergebnis liefert. Unternehmen, die eine eigenständige VM-basierte Sandbox durch MetaDefender ersetzen, profitieren von einer höheren Widerstandsfähigkeit gegen Umgehungsversuche, einer umfassenderen Erfassungsreichweite und einem deutlich geringeren Ressourcenaufwand.
