Software sicher herunterladen: Quelle, Prüfsumme, Installation

Die meisten Infektionen beginnen nicht mit einer Sicherheitslücke, sondern mit einem Doppelklick auf eine Datei, die freiwillig heruntergeladen wurde. Das Programm selbst ist dabei oft harmlos, der Weg dorthin nicht. Wer drei Gewohnheiten übernimmt, schließt den größten Teil dieses Risikos.

Die Quelle entscheidet, nicht das Programm

Ein bekanntes Werkzeug wird nicht dadurch unsicher, dass es alt ist, sondern dadurch, dass es von einem Portal stammt, das einen eigenen Installer darum herumbaut. Diese Zusatzinstaller finanzieren sich über Beigaben: Browser-Erweiterungen, geänderte Suchmaschinen, Testversionen fremder Software. Rangfolge der Bezugsquellen:

1. Herstellerseite: immer die erste Wahl, erreichbar über die offizielle Domain, nicht über eine Anzeige in den Suchergebnissen.
2. Paketverwaltung des Systems: unter Windows winget, unter macOS Homebrew, unter Linux die Distributionsquellen. Signiert, aktualisierbar, ohne Beigaben.
3. Projektseite bei einem Code-Hoster: bei Open-Source-Software der offizielle Veröffentlichungsbereich mit Prüfsummen.
4. Redaktionell gepflegte Archive: vertretbar, wenn sie die Originaldatei ohne eigenen Installer ausliefern.
5. Sammelportale mit eigenem Downloader: vermeiden.

Achtung bei bezahlten Suchtreffern: Gefälschte Anzeigen für bekannte Programme sind ein verbreiteter Verbreitungsweg. Die Domain vor dem Klick lesen, nicht nur den Anzeigentitel.

Prüfsumme und Signatur

Viele Projekte veröffentlichen neben der Datei eine Prüfsumme, meist als SHA-256. Sie beantwortet die Frage, ob die heruntergeladene Datei identisch mit der veröffentlichten ist. Unter Windows genügt dafür ein Befehl in der PowerShell:

Get-FileHash .\setup.exe -Algorithm SHA256

Unter macOS und Linux leistet shasum -a 256 setup.exe dasselbe. Stimmt der Wert nicht mit der Angabe auf der Herstellerseite überein, wird die Datei gelöscht und nicht ausgeführt.

Noch aussagekräftiger ist eine gültige digitale Signatur, sichtbar in den Dateieigenschaften. Sie belegt zusätzlich, wer die Datei herausgegeben hat. Eine fehlende Signatur ist bei kleinen Projekten normal, bei einem großen Hersteller dagegen ein Warnzeichen.

Die Installation selbst

• Benutzerdefinierte Installation wählen. In der Standardvariante sind Zusatzangebote häufig vorausgewählt.
• Jeden Haken lesen. Formulierungen wie „Empfohlene Einstellungen übernehmen" verbergen Änderungen an Startseite und Suchmaschine.
• Portable Version bevorzugen, wenn es sie gibt. Sie schreibt nicht in die Registry und lässt sich rückstandslos entfernen.
• Vor Systemeingriffen einen Wiederherstellungspunkt anlegen. Kostet eine Minute und spart im Zweifel Stunden.
• Unbekanntes zuerst in einer virtuellen Maschine testen, wenn der Rechner produktiv genutzt wird.

Alte Programme aus dem Archiv

Bei Software, die seit Jahren nicht mehr gepflegt wird, hilft die Prüfsummenkontrolle oft nicht weiter, weil die Herstellerseite verschwunden ist. Dann gilt: Solche Programme gehören nicht auf ein System, auf dem persönliche Daten oder Zugangsdaten liegen. Eine virtuelle Maschine ohne Netzwerkzugang ist der richtige Ort dafür. Das betrifft besonders Werkzeuge, die tief eingreifen, wie die im Beitrag PC per USB-Stick sperren beschriebenen Sperrdienste.

Nach dem Download

Ein einzelner Virenscanner ist keine abschließende Antwort, aber ein sinnvoller zweiter Blick. Nützlicher ist die Beobachtung nach der Installation: Kommt ein neuer Autostart-Eintrag hinzu? Baut das Programm Verbindungen auf, die es für seine Aufgabe nicht braucht? Werkzeuge, mit denen sich das prüfen lässt, stehen in der Übersicht Windows-Freeware-Tools.

Im Unternehmen gelten andere Regeln

Was privat eine Abwägung ist, ist betrieblich eine Freigabefrage. Software auf Firmenrechnern braucht eine geklärte Lizenzlage, einen benannten Verantwortlichen und im Zweifel eine Prüfung der Datenverarbeitung. Wie ein sauberer Auswahlprozess aussieht, steht im Bereich Software fürs Business.