Psychische Beeinflussung des Empfängers

Das Interesse des Empfängers am Anhang wird geweckt, wenn der Inhalt der dazugehörigen E-Mail auf eine besondere Schockwirkung abzielt, indem beispielsweise mit Rechtsmitteln bis hin zur Strafverfolgung gedroht wird. Andere Begleittexte versuchen Neugier oder Begierden zu erwecken, indem hohe Geldbeträge versprochen oder vermeintlich private Bilddateien mit oder ohne pornographischem Inhalt angeboten werden.

In jedem Fall wird der Empfänger auf den Anhang der E-Mail verwiesen, welcher ausführliche Informationen enthalten soll. Das so geweckte Interesse am Dateianhang dämpft naturgemäß auch eventuelle Sicherheitsbedenken.

Doppelte Dateinamenserweiterung

Einige (vor allem ältere) E-Mail-Programme für das Betriebssystem Windows halten sich an die Standardeinstellung des Betriebssystems und blenden die Dateiendung bekannter ausführbarer Dateien aus. Dadurch kann ein Wurm als Datei beliebiger Art maskiert sein, sodass eine schädigende Datei „Musik.mp3.exe“ dem Benutzer namentlich nur als „Musik.mp3“ angezeigt wird und somit auf den ersten Blick nicht von einer ungefährlichen MP3-Musikwiedergabedatei zu unterscheiden ist.

Der Anwender könnte den wahren Dateityp jedoch erkennen, wenn das angezeigte Dateisymbol (Icon) dem Standardsymbol einer Anwendung entspricht. Ob allerdings dieses Standardsymbol oder das in der Anwendung eingebettete Icon angezeigt wird, hängt von dem verwendeten E-Mail-Programm ab. Besser ist es, die Einstellung des Programms dahingehend zu ändern, dass Endungen bekannter Dateitypen nicht mehr ausgeblendet werden, damit der gesamte Dateiname angezeigt wird.

Grundsätzlich sollte man unverlangte Dateien aus externen Quellen nicht öffnen. E-Mail-Anhänge, die man öffnen möchte, sollten nicht einfach über die Option „öffnen“, sondern über die Option „öffnen mit“ geöffnet werden. Das bietet die Möglichkeit, ein Programm auszuwählen, das die entsprechende Datei wiedergeben soll. Eine Anwendung zum Abspielen von Musikdateien kann eine derartig getarnte ausführbare Datei nicht abspielen und reagiert mit einer Fehlermeldung, während die Option „öffnen“ die Datei einfach ausgeführt und den Wurm dadurch gestartet hätte.

Vermeintlich ungefährliche Dateitypen mit typfremdem Inhalt

Eine weitere Möglichkeit, ausführbaren Code unter einer „harmlosen“ Dateiendung zu verstecken, bieten Programme, die den Dateityp unabhängig von seiner Endung selbst analysieren und sie entsprechend ihrem tatsächlichen Typ behandeln. Als Beispiel ist es zwar theoretisch nicht möglich, in einer RTF-Datei ausführbaren Makrocode zu hinterlegen, da dieses Dateiformat keine Makros unterstützt. Jedoch wird eine Datei namens „gefährlich.doc“, die man in „harmlos.rtf“ umbenennt, von Office anhand des Dateiinhalts als DOC-Datei erkannt, woraufhin der darin hinterlegte Makrocode trotz der Dateiendung .rtf ausgeführt wird.

Auch hierfür lässt sich über die Option „öffnen mit“ aus den meisten E-Mail-Programmen heraus ein Programm auswählen, mit dem die Datei geöffnet wird. Um eine Ausführung des Wurms zu verhindern, ist es sinnvoll, statt der installierten Bearbeitungssoftware (Office) besser ein Programm auszuwählen, welches die Datei anzeigen und ausdrucken kann, ohne jedoch die Möglichkeit zu unterstützen, dabei auch Makrocode auszuführen. Der Softwarehersteller Microsoft bietet dafür kostenlose Windows-Anwendungen wie Word-Viewer, Excel-Viewer und PowerPoint-Viewer an.

Nicht ausführbare Dateitypen, die über einen Exploit doch ausführbar werden

Ein Command-Execution-Exploit nutzt Programmierfehler eines Programms aus, um seinen Code zur Ausführung zu bringen. Der Code kann jedoch nur dann gestartet werden, wenn die belastete Datei tatsächlich mit dem Programm geöffnet wird, für das der Exploit bestimmt ist.

Abhängig von dem Programm, auf dessen Schwachstelle der Exploit basiert, kann sich der ausführbare Code in jedem Dateityp verbergen, also auch in Dateien, die normalerweise nicht ausführbar sind. So gibt es beispielsweise Möglichkeiten, ausführbaren Code in einer Grafikdatei zu hinterlegen.

Da Programme vorgefertigte Mechanismen (gemeinsam benutzte Bibliotheken) des Betriebssystemherstellers nutzen können, um beispielsweise bestimmte Dateitypen anzuzeigen, sind Fehler in diesen Mechanismen auch für Anwendungen von Fremdherstellern relevant. Das gilt insbesondere für Sicherheitslücken, die für den Internet Explorer bekannt werden. Eine Sicherheits-Aktualisierung des Internet Explorers schließt dann auch gleichzeitig die Sicherheitslücke für diese Programme.

Lange Dateinamen

Die Verwendung eines unverdächtigen, aber äußerst langen Dateinamens (etwa „private_bilder_meiner_familie_aus_dem_sommercamp_nordsee_2003.exe“) soll über die Dateinamenerweiterung hinwegtäuschen. Sobald der Dateiname in einem relativ kleinen Fenster angezeigt wird, bleibt der letzte Teil des Dateinamens und somit die Erweiterung verborgen (angezeigt etwa als „private_bilder_meiner_familie_aus_dem_sommercamp_nor…“).

Diese Taktik ist ausbaufähig, beispielsweise indem als Dateiname zunächst ein kurzer, unverdächtiger Name mit falscher Dateinamenerweiterung verwendet wird, an den eine Vielzahl von Leerzeichen vor der echten Erweiterung eingefügt sind (etwa „lustiger_Elch.jpg            <noch zahlreiche weitere Leerzeichen…>         Checked by Antivirus.exe“). Hierbei kommen zwei Methoden der Verschleierung kombiniert zum Einsatz: Zum einen ist die Wahrscheinlichkeit groß, dass die tatsächliche Dateiendung aufgrund der Länge des Namens dem Benutzer nicht angezeigt wird und er durch die verwendeten Leerzeichen auch keinen Hinweis auf den erheblich längeren Dateinamen erhält. Wird (abhängig vom E-Mail-Programm) der Dateiname doch vollständig angezeigt, kann der Benutzer zum anderen den weit von dem scheinbar vollständigen Dateinamen entfernten Text „Checked by Antivirus.exe“ auch lediglich als Hinweis deuten, ohne ihn in den direkten Zusammenhang mit dem Dateityp des Anhangs zu bringen.

Nutzung wenig verbreiteter Typen von ausführbaren Dateien

Da Anwendungen des Typs .exe als ausführbare Dateien relativ bekannt sind, wird mitunter auch auf weniger verbreitete Dateitypen (Dateiformate) zurückgegriffen, wie beispielsweise .com, .bat, .cmd, .vbs, .scr, .scf, .wfs, .jse, .shs, .shb, .lnk oder .pif. Die Dateiendung .com ist zudem geeignet, einen Link auf eine Webseite vorzutäuschen (beispielsweise „www.example.com“).

Komprimierung und Verschlüsselung

Durch die Verwendung von Komprimierungsformaten, wie beispielsweise das ZIP-Format, wird der Dateityp des darin eingebetteten Wurms so lange verschleiert, bis er ausgepackt wird, was die Anwendung automatischer Schutzvorkehrungen grundsätzlich erschwert. Fehler in der Implementierung von Komprimierungsverfahren können eine Untersuchung der Datei auf Malware sogar verhindern. Zusätzlich kann die Datei verschlüsselt übertragen werden, was eine automatisierte Untersuchung einer solchen Datei zu einem Zeitpunkt, noch bevor der Benutzer sie öffnet, ausschließt.

Was für den Einsatz eines Virenscanners spricht

Wird eine Schadsoftware von dem Virenscanner erkannt, noch bevor die belastete Datei erstmals auf dem eigenen Computersystem ausgeführt wird, ist der Schutzmechanismus voll wirkungsvoll. Bevor eine auf dem Computer neu hinzugekommene Datei ausgeführt oder in einer Anwendungssoftware eingelesen wird, die aus einer externen Quelle stammt (beispielsweise von einem Wechselmedium, von einer Webseite oder aus einer E-Mail), ist es daher ratsam, sie einer Überprüfung durch eine aktualisierte Antivirensoftware zu unterziehen.

Um darüber hinaus weitere Infektionswege auszuschließen, gilt gleiches auch für Dateien, die auf einem gemeinsam genutzten Netzlaufwerk liegen, wenn eine zwischenzeitliche Infektion einer solchen Datei durch eines der anderen Systeme nicht ausgeschlossen werden kann (Mischformen zwischen Wurm und Virus).

Speziell zur Abwehr von Computerwürmern, die sich nicht Datei-basiert, sondern über Sicherheitslücken verbreiten, sind verhaltenserkennende Komponenten der Antivirensoftware zwingend notwendig, die sich entsprechend in das Betriebssystem einbetten.

Grenzen

Ein Virenscanner erkennt mit der Suchmethode „Signaturvergleich“ ausschließlich Schadsoftware, die ihm bekannt ist; ihm (noch) nicht bekannte Schadsoftware kann er so nicht erkennen. Er kann daher auf diese Weise nur feststellen, dass eine Datei, ein Datenträger oder gar das Computersystem frei von ihm bekannter Schadsoftware ist. Der Programmierer eines Computerwurms versucht, den Wurm möglichst versteckt zu halten oder eine bekannte Variante so stark zu verändern, dass sie nicht mehr erkannt wird; der Virenscanner-Hersteller versucht, die Signaturdatenbank möglichst aktuell zu halten – ein „Wettlauf“.

Aufgrund dieses prinzipiellen „Hinterherlaufens“ der Antivirensoftware enthält diese auch Komponenten, die laufende Prozesse im Computersystem auf verdächtige Aktivitäten hin überwachen, um eine Schadsoftware selbst dann zu erkennen, wenn sie dem Virenscanner nicht bekannt ist. Auch hier besteht ein Wettlauf mit der Schadsoftware – zwar nicht bzgl. der Bekanntheit der Schadsoftware selbst, dafür bzgl. der verwendeten Methoden und Vorgehensweisen der Schadprogramme.

Einmal ausgeführten Schadprogrammen kann es gelingen, die Antivirensoftware zu deaktivieren oder das System derart zu manipulieren, dass die Schadprogramme vom Virenscanner nicht mehr entdeckt werden (siehe Rootkit). Bzgl. Datei-basierter Schadsoftware lässt sich das gesamte Computersystem besser über ein separates Bootmedium auf einen möglichen Befall einer Schadsoftware hin untersuchen, wie sie etwa auf bootfähigen Live-CDs (beispielsweise Desinfec’t, ehemals Knoppicillin) zum Einsatz kommen. Hierbei wird verhindert, dass die eigene Softwareumgebung des Scanners entsprechend belastet ist.

Eine bereits ausgeführte (also auf dem System installierte) Schadsoftware lässt sich nur bedingt zuverlässig durch eine Antivirensoftware aus dem System entfernen. Denn der Schädling wird meist anhand einer Signatur erkannt, die manchmal keine genaue Aussage über die Variante des Schädlings und seiner Schadroutine trifft. Manche Schädlinge können auch Komponenten nachladen, meist über das Internet. Bei ihnen ist dann unbekannt, welche andere Schadsoftware sie ggf. nachgeladen haben und welche Änderungen diese am System vorgenommen hat. Diese Änderungen bleiben dann nach der Entfernung des Schädlings erhalten. Im günstigsten Fall kann die AV-Software die Schadsoftware jedoch komplett entfernen und die getätigten Änderungen am System korrigieren. Unter „Alternative Lösungen“ wird ein zuverlässiger Weg gezeigt, wie sich der Schädling ganz entfernen lässt.

Was gegen den Einsatz eines Virenscanners spricht

Bei einem Virenscanner handelt es sich um eine komplexe Software, die sich mitunter sehr tief in das Computersystem einbettet, um bestimmte Abläufe kontrollieren zu können. Je komplexer eine Software ist, desto eher enthält sie Fehler, die sich auf die Performance, Stabilität und Sicherheit des Computersystems auswirken können.

Speziell zur Abwehr von Computerwürmern, die sich nicht Datei-basiert, sondern über Sicherheitslücken verbreiten, sind jedoch verhaltenserkennende Komponenten der Antivirensoftware zwingend notwendig, die sich in das eigene System einbetten.

Virenscanner bieten keinen absolut zuverlässigen Schutz vor Schadsoftware, werden jedoch mitunter vollmundig entsprechend beworben. Benutzer könnten nachlässig werden und dann unbedarft handeln.

Siehe auch: Überprüfbarkeit des Quelltextes

Alternative Lösungen, um eine Schadsoftware aus dem System zu entfernen

Die Bereinigung des Systems über die Einspielung des letzten „sauberen“ Abbildes der Festplatte (Image) ist ein zuverlässiger Weg, um eine Schadsoftware recht sicher aus dem Computersystem zu entfernen. Man installiert also das Betriebssystem, richtet seine Software ein, passt das System derart an, dass alle persönlichen Dateien auf ein anderes Laufwerk abgelegt werden (sie dürfen also nicht auf demselben Laufwerk liegen, auf dem das Betriebssystem installiert wurde). Dann legt man eine Kopie des Laufwerks (genauer der Systempartition) an, auf dem das Betriebssystem installiert wurde, und speichert es in eine Imagedatei. Wird das System später mit einer Schadsoftware infiziert, kann man den gespeicherten Softwarestand mithilfe der Imagedatei wiederherstellen und entfernt so üblicherweise die Schadsoftware und alle zwischenzeitlichen Änderungen aus seinem System.

Probleme:

• Um Sicherheitslücken zu schließen, sollten Betriebssystem und Anwendungen mit den aktuellen Updates aufgefrischt sein. Diese sollten nicht über ein Netzwerk bezogen werden, da das System dann mit noch bestehenden Lücken an dieses angeschlossen wird. Das Vorgehen ist deutlich aufwendiger als die üblichen Online-Update-Wege zu verwenden.
• Manche Anwendungssoftware muss bei der Installation beim Hersteller registriert werden – auch hierzu muss der Computer meist mit dem Internet verbunden werden. Ansonsten kann die Software vor der Imagedatei-Erstellung nicht installiert werden und ist dann nicht in dieser enthalten.
• Soll der Updatestand in der Imagedatei aktuell gehalten werden, so muss diese regelmäßig neu erstellt werden, was erheblichen Arbeitsaufwand bedeuten kann.
• Das Behalten der persönlichen Dateien stellt ein Risiko dar, da die Schadsoftware auch in diesen gespeichert sein kann. Eine „sichere Entfernung“ ist so nicht zu garantieren. Eine Antivirensoftware mit aktualisierter Signaturdatenbank sollte dort suchen, bevor mit den persönlichen Dokumenten weitergearbeitet wird.
• Alle Änderungen und Einstellungen seit Image-Erzeugung, die auf der Systempartition vermerkt wurden, gehen verloren.

Siehe auch: Die Systempartition schreibschützen

Was für den Einsatz einer Personal Firewall spricht

Würmer, die einen Sicherheitsfehler in einem Netzwerkdienst ausnutzen, um sich zu verbreiten, können den Computer nur dann infizieren, wenn der entsprechende Netzwerkdienst für den Wurm erreichbar ist. Hier kann eine Personal Firewall den Fernzugriff auf den Netzwerkdienst einschränken und somit eine Infektion erschweren oder sogar verhindern.

Benötigt wird eine solche Filterung jedoch nur, wenn ein erforderlicher Netzwerkdienst auf dem Computer betrieben wird und der Zugriff darauf auf einige wenige Computer beschränkt werden soll. Manchmal soll auch lediglich das lokale System (localhost, die sogenannte Loopback-Schnittstelle 127.0.0.1) den Dienst nutzen können, ohne dass sich die Software dahingehend konfigurieren lässt. In allen anderen Fällen ist die Deaktivierung der Netzwerkdienste einer Blockade durch eine Personal Firewall vorzuziehen.

Darüber hinaus können die Regeln der Personal Firewall im günstigsten Fall unterbinden, dass ein heimlich reaktivierter oder installierter Dienst ungehindert vom Netzwerk aus ansprechbar ist, falls trotz aller Vorsicht eine Schadsoftware beispielsweise per E-Mail-Anhang auf dem System aktiviert wird. Ein solcher Erfolg der Firewall-Software ist allerdings stark von dem Geschick der jeweiligen Schadsoftware abhängig (in Fachartikeln aus Microsofts TechNet Magazine und der c’t wird davor gewarnt, dass die Personal Firewall unerwünschte Netzwerkzugriffe nur unterbinden kann, wenn sich die Schadsoftware keine große Mühe gibt, ihre Aktivitäten zu verbergen). Wenn man die (mögliche) Meldung der Firewall-Software nutzt, um reaktivierte Dienste nebst Schadsoftware gleich wieder zu entfernen, kann der Einsatz der Personal Firewall doch lohnend gewesen sein.

Grenzen

Personal Firewalls oder andere Programme zur Netzwerküberwachung bieten keinen Schutz vor der Installation einer Schadsoftware, die darauf basiert, dass der Anwender eine belastete Datei öffnet. Sie können unter Umständen aber auf unautorisierte Netzwerkkommunikation und dadurch auf den Wurm aufmerksam machen. Einige Personal-Firewall-Produkte bieten als zusätzliche Maßnahme auch eine Überwachung der Autostarteinträge des Systems an, was dem Anwender unter Umständen einen Hinweis auf eine Installation des Wurms liefert, wenngleich auch die Firewall-Software von zahlreichen Schadprogrammen deaktiviert und überlistet werden kann.

Was gegen den Einsatz einer Personal Firewall spricht

Es gibt Situationen, die zum Absturz oder sogar zur dauerhaften Deaktivierung der Firewall-Software führen können, wodurch ein uneingeschränkter Zugriff auf die zuvor gefilterten Netzwerkdienste möglich wird, ohne dass der Anwender dies bemerkt.

Es ist zudem ein Problem des Konzepts, dass sich die Firewall-Software zwischen die normale Netzwerkimplementierung des Betriebssystems und die Außenwelt stellt, wodurch zwar nicht mehr die ursprüngliche Netzwerkimplementierung, dafür aber die wesentlich komplexere Firewall-Software direkt angreifbar wird. Die Erfahrung zeigt, dass eine Software desto mehr Fehler und Angriffspunkte enthält, je komplexer sie ist. Da ihre Komponenten (zumindest teilweise) mit erweiterten Rechten laufen und in der Regel sogar Kernelkomponenten installiert werden, wirken sich Programmier- und Designfehler hier besonders verheerend auf die Leistung, Sicherheit und Stabilität des Systems aus. Auf diese Weise können Angriffs- und Spionagemöglichkeiten geschaffen werden, die es ohne die installierte Firewall-Software nicht gibt. So können Personal Firewalls selbst Sicherheitslücken enthalten, die einem Wurm erst Ansätze für einen Fernzugriff bieten.

Während eine externe Firewall lediglich eine Auswirkung auf den Netzwerk-Datendurchsatz bei der Kommunikation mit dem externen Netz (Internet) hat, beeinflusst eine Personal Firewall die gesamte Netzwerkperformance negativ und verlangsamt zudem die allgemeine Arbeitsgeschwindigkeit des PCs, auf dem sie installiert wurde.

Alternative Lösungen, um einen Fernzugriff des Wurms auf Netzwerkdienste zu unterbinden

Die Deaktivierung aller nicht benötigten Netzwerkdienste bietet den besten Schutz gegen ungewollte Fernzugriffe.

Um einen Zugriff auf verbleibende Netzwerkdienste aus dem Internet heraus zu verhindern, sollten sie nicht an den Netzwerkadapter gebunden sein, der an dem Internet angeschlossen ist. Diese Aufgabe ist für einen Laien nicht ganz trivial, weshalb sich der Einsatz eines vermittelnden Gerätes, wie beispielsweise eines DSL-Routers, anbietet. Dieses Gerät sorgt automatisch dafür, dass kein Netzwerkdienst aus dem internen (privaten) Netz direkt aus dem Internet heraus zugreifbar ist.

Statt des eigenen Computers wird in diesem Fall also der DSL-Router an das Internet angeschlossen, wobei die eigenen PCs wiederum mit diesem Gerät vernetzt werden. Das Gerät bildet die einzige Schnittstelle zwischen dem externen Netz (Internet) und dem eigenen (privaten) internen Netz. Die privaten PCs übermitteln ihre Anfragen an das Internet nun an den DSL-Router, welcher stellvertretend für die PCs auf das Internet zugreift. Das Zielsystem sieht daher als Absender nur den DSL-Router, der wiederum die Antwortpakete des Zielsystems an den entsprechenden PC im internen Netz weiterleitet.

Mögliche Angriffe aus dem Internet sind nun an den dafür prädestinierten DSL-Router gerichtet und treffen nicht direkt den internen PC. Jemand aus dem Internet, der auf der Netzwerkadresse des DSL-Routers nach einem Netzwerkdienst (wie z. B. die Datei- und Druckerfreigabe) sucht, wird nicht fündig, da der Dienst auf dem PC und nicht auf dem DSL-Router läuft. Auf diesem Level ist der DSL-Router also nicht angreifbar, und die Netzwerkdienste der internen PCs sind aus dem Internet heraus nicht erreichbar.

Auch eine Schadsoftware, die womöglich auf dem PC heimlich einen Netzwerkdienst installiert, kann an diesem Zustand nichts ändern. Der Netzwerkdienst ist nur aus dem privaten Netz heraus ansprechbar, nicht jedoch aus dem Internet heraus (die Schadsoftware kann schließlich keinen Dienst auf dem DSL-Router installieren, sondern nur auf dem PC).

Allerdings hat dieser Mechanismus auch seine Grenzen: Damit ein DSL-Router ohne permanenten manuellen Konfigurationsaufwand funktioniert, muss er in der Lage sein, dynamische Regeln zu erstellen. Diese Regeln erlauben automatisch alle Kommunikationsverbindungen, die von dem internen Netz (also von den privaten PCs) angefordert wurden. Wenn also die Schadsoftware lediglich einen Netzwerkdienst installiert, der auf eine externe Verbindung wartet, so funktioniert der Schutzmechanismus recht gut. Baut sie jedoch selbst eine Verbindung zum Internet auf, so wird der DSL-Router die Verbindung zulassen, da sie vom internen Netz heraus angefordert wurde. Ein solch konfiguriertes Gerät kann also lediglich externe Verbindungsanfragen effektiv unterbinden. Hier bietet eine Personal Firewall mitunter mehr Möglichkeiten, ist dafür aber auch leichter zu umgehen und beinhaltet die oben genannten Risiken. Eine Personal Firewall ist also kein ebenbürtiger Ersatz für solche Geräte, sie kann aber unter bestimmten Bedingungen als eine entsprechende Ergänzung dienen.

Beschränkung per Sandbox und Benutzerrechte

Auch für Betriebssysteme, die über keine eigene Rechteverwaltung verfügen, gibt es die Möglichkeit, den Systemzugriff einer Anwendung über eine Sandbox einzuschränken. Ein Programm, das aus dieser Sandbox heraus gestartet wird, kann dann zum Beispiel nicht mehr in wichtige Systemverzeichnisse hineinschreiben, zumindest solange es dem Programm nicht gelingt, aus der Sandbox auszubrechen.

Betriebssysteme wie Mac OS, Linux, Windows (ab NT, XP – jedoch nicht die Home-Version – und Nachfolgende) bieten von Haus aus eine Umgebung, die eine Zugriffsberechtigung auf sensible Bereiche abhängig von der Benutzerkennung und den dazugehörenden Gruppen verwaltet. Arbeitet also ein Benutzer unter einer Kennung, die nicht über die Zugriffsberechtigung verfügt, Änderungen in wichtigen Systembereichen vorzunehmen, dann hat dies eine ähnliche Auswirkung wie bei der Verwendung einer Sandbox: Eine Schadsoftware, die beispielsweise über einen E-Mail-Anhang geöffnet wird, ist dann in seiner Aktionsfreiheit eingeschränkt, was eine Verbreitung eines Wurms verhindern kann.

Arbeiten Benutzer jedoch mit Administratorrechten, setzen sie damit viele Sicherheitsschranken des Betriebssystems außer Kraft. Ein versehentlich oder automatisch gestartetes Wurmprogramm (das Gleiche gilt für Viren) kann sich ungehindert die Kontrolle über viele Systemfunktionen aneignen. Sinnvoller ist der Gebrauch von zwei unterschiedlich konfigurierten Benutzerkonten, eines für die routinemäßige Arbeit mit stark eingeschränkten Benutzerrechten (insbesondere mit eingeschränkten Rechten zur Softwareinstallation), das andere Konto mit Administratorrechten allein für Installations- und Konfigurationsarbeiten.

Die Systempartition schreibschützen

Frühe Betriebssysteme konnten auch von einer schreibgeschützten Diskette gestartet werden, dagegen mussten nachfolgende Versionen bald auf ein beschreibbares Medium, die Festplatte, installiert werden. Unter anderen war Windows 95 eines dieser Systeme, da es nach dem Start des Betriebssystems permanent versuchte, in eine Registry hineinzuschreiben, was bei einem schreibgeschützten Medium nicht möglich wäre.

Dennoch gab es auch für solche Systeme Konzepte, um Veränderungen am Systemlaufwerk zu unterbinden. Das geht jedoch nur über einen Umweg. Der Umweg sah vor, dass das Computersystem von einem schreibgeschützten Medium, wie einem CD-ROM-Laufwerk, bootet. Die Software auf der CD-ROM legt nun eine RAM-Disk an, kopiert sämtliche für den Betrieb notwendigen Dateien dort hinein und startet das Betriebssystem von dort. Die Ramdisk existiert lediglich im Arbeitsspeicher, verhält sich aber wie ein normales Laufwerk. Die Anwendungen können dort hineinschreiben. Auch einer Schadsoftware ist es möglich, sich dort zu installieren. Wird der Computer allerdings neu gestartet, so verschwindet diese Ramdisk und mit ihr sämtliche zwischenzeitlich vorgenommene Anpassungen. Die neue Ramdisk erhält wieder alle ursprünglichen Dateien und Einstellungen von der CD-ROM. Das System wird so bei jedem Start des Computers automatisch auf den vorherigen Stand zurückgesetzt. Einer Schadsoftware, wie beispielsweise einem Wurm, fehlt die Möglichkeit, sich in dieses System dauerhaft einzubetten.

Sogenannte „Live-Systeme“, die sich von einem schreibgeschützten Medium booten lassen, funktionieren ähnlich dem zuvor beschriebenen Konzept auch für zahlreiche andere Betriebssysteme.