Wie wir Antivirenprogramme testen: Unsere Testmethodik

Ein Antivirenprogramm schützt dich und deine Geräte vor Malware. Bei der riesigen Auswahl an Antivirenprogrammen auf dem Markt lohnt es sich jedoch, genau hinzuschauen.

Wie effektiv wehren sie Malware und moderne Bedrohungen tatsächlich ab und wie stark wirkt sich das auf die Leistung deines Geräts aus? Zusammen mit dem Cybernews-Team habe ich zahlreiche interne Tests mit unterschiedlichen Geräten durchgeführt, um diese Fragen zu beantworten.

Der Testablauf war nicht identisch, da sich Antivirensoftware von Anbieter zu Anbieter teils deutlich unterscheidet. Ein Kriterium haben wir jedoch bei jedem Programm geprüft: die Zuverlässigkeit bei der Malware-Erkennung.

• Ergebnisse unserer Tests
  • Echtzeitschutz
  • Virenscans
  • Webschutz
  • Ransomware-Schutz
  • Phishing-Schutz
  • Firewall
• Ergebnisse unabhängiger Audits
• Fortschrittliche Erkennungstechniken
• Bewertung weiterer Funktionen
• Benutzerfreundlichkeit
• Preisgestaltung

Im Folgenden erklären wir dir Schritt für Schritt, wie wir dabei vorgehen: welche Daten wir sammeln und wie wir die einzelnen Bereiche testen.

Warum du Cybernews vertrauen kannst

Bei der Vielzahl an Antivirenschutz-Guides im Netz ist es gar nicht so einfach, eine wirklich verlässliche Quelle für aktuelle Informationen zu finden. Deshalb steht Transparenz in unseren Artikeln an erster Stelle. Unsere Partnerschaften kommunizieren wir klar, damit du eine unabhängige Entscheidung treffen kannst. Hinter Cybernews steht ein Team erfahrener Experten mit langjähriger Praxis in Cybersicherheit, Softwaretests und Informationstechnologie.

Wir folgen strengen Testprotokollen, die Leistung, Sicherheit, Benutzerfreundlichkeit und Preis-Leistungs-Verhältnis abdecken. So erhältst du eine umfassende Einschätzung aller Fähigkeiten eines Produkts.

So testen wir Antivirensoftware mit echter Malware

Unser Cybernews-Forschungsteam sammelt und analysiert echte Malware-Proben aus vertrauenswürdigen Quellen, um Antivirenprogramme unter realistischen Bedingungen zu testen. Sämtliche Proben stammen von bazaar.abuse.ch, einer angesehenen Austauschplattform, die auch von der Infosec-Community und Antivirenherstellern genutzt wird. Jede Probe in der Datenbank wird vor der Veröffentlichung als schädlich verifiziert.

Wir setzen bewusst auf eine breite Palette an Schadsoftware, darunter Ransomware, Spyware, Keylogger und Miner, um den Test möglichst vielseitig zu gestalten. Getestet wird in einer isolierten virtuellen Maschine, damit die Malware keinen Schaden an echten Systemen anrichten kann.

Für jedes Antivirenprogramm nutzen unsere Tester 100 bis 150 unterschiedliche, real existierende Malware-Proben. Dabei prüfen wir zwei Dinge: Erstens, ob der Echtzeitschutz Bedrohungen sofort erkennt und blockiert oder in Quarantäne verschiebt. Zweitens, wie zuverlässig ein vollständiger Systemscan dieselben Proben aufspürt. Zusätzlich achten wir auf Fehlalarme – Fälle, in denen harmlose Dateien fälschlicherweise als Bedrohung eingestuft werden, da dies die Zuverlässigkeit eines Programms im Alltag ebenso beeinflusst.

So testen wir gegen echte Phishing-Websites

Wir prüfen, wie zuverlässig Antivirensoftware Phishing-Websites erkennt und blockiert: betrügerische Seiten, die gezielt darauf ausgelegt sind, Zugangsdaten und persönliche Informationen zu sammeln. Die Phishing-URLs beziehen wir von phishtank.org, einer weit verbreiteten Phishing-Datenbank, die von der Cybersicherheits-Community gepflegt wird. Für jeden Testdurchlauf verwenden wir bis zu 30 aktive Phishing-Links.

Diese Tests führen wir in den Browsern Chrome und Firefox durch, mit Sicherheitsfunktionen deaktiviert. Moderne Browser blockieren viele Phishing-Seiten automatisch, darunter Google Safe Browsing oder ähnliche Schutzsysteme. Wir schalten diese Funktionen bewusst aus, um die eigenständige Webschutz-Leistung der jeweiligen Antivirensoftware zu bewerten.

Malware-Schutz auf Webseiten-Ebene im Test

Außerdem testen wir, wie zuverlässig eine Antivirensoftware den Zugriff auf bekannte Malware-Verbreitungs-URLs blockiert. Diese URLs stammen von urlhaus.abuse.ch, einem Threat-Intelligence-Projekt, das aktive Infrastrukturen zur Verbreitung und zum Hosting von Malware aufspürt.

Wie schon beim Phishing-Test schalten wir auch hier die Sicherheitsfunktionen des Browsers ab. So können wir feststellen, ob die Antivirensoftware selbst schädliche Websites blockiert, falls der Browserschutz versagt oder umgangen wird.

So testen wir Kindersicherungsfunktionen in Antivirensoftware

Viele Antiviren-Pakete bieten eine Kindersicherung, weshalb wir diese integrierten Tools im Rahmen unserer Gesamtbewertung ebenfalls prüfen.

Dafür richten wir ein „Eltern“-Gerät mit Zugriff auf das Antiviren-Dashboard sowie ein „Kind“-Gerät mit aktivierter Kindersicherung ein. Anschließend prüfen wir, ob die Software Folgendes leistet:

• Unangemessene Inhalte filtern (z. B. Erwachseneninhalte, Glücksspiel, Drogenbezug, unsichere Chat-Seiten)
• Browsing- und App-Aktivitäten überwachen
• Bildschirmzeit begrenzen oder den Internetzugang sperren
• Den Standort des Geräts verfolgen, sofern diese Funktion angeboten wird

Zusätzlich probieren wir gängige Umgehungsmethoden aus, die ein Kind anwenden könnte, etwa das Deinstallieren oder Deaktivieren der App, die Nutzung eines VPNs, das Wechseln des Browsers, das Ändern der DNS-Einstellungen oder einen Geräte-Neustart. So lässt sich feststellen, ob die Kindersicherung nicht nur funktioniert, sondern auch einigermaßen schwer zu umgehen ist.

Unsere Erkenntnisse zur Kindersicherung fließen in die Gesamtbewertung der Antivirensoftware ein, statt als eigenständige Kategorie separat bewertet zu werden.

Unsere hauseigenen Tests und unsere Methodik

Unser Cybernews-Team führt praxisnahe Tests und Analysen durch, um die Leistung von Antivirensoftware zu bewerten. Dabei untersuchen wir zahlreiche Bereiche, darunter Echtzeitschutz, Scan-Optionen, Systemressourcenverbrauch, Webschutz, Erkennung und Entfernung von Ransomware, Phishing-Schutz, Firewalls sowie zusätzliche Funktionen.

So sieht unsere Testumgebung aus

Je nach Produkt und Kompatibilität testen wir die Software auf unterschiedlichen Geräten. Das kommt bei uns zum Einsatz:

• Windows – wir testen auf einer VirtualBox-VM mit Windows 11 (10 GB RAM, 120 GB dynamische Festplatte und 2 CPU-Kerne), installiert auf einem Lenovo ThinkPad T14s Gen2 (AMD Ryzen 5 PRO 5650U-Prozessor, 16 GB RAM, 256 GB SSD, Windows 11 Pro). Alternativ auf einer VirtualBox-VM mit Windows 11 (20 GB RAM und 4 CPU-Kerne) auf einer Lenovo ThinkStation (AMD Ryzen Threadripper PRO 3945WX 12-Kern-Prozessor, 3,99 GHz, 64 GB RAM, 3 TB SSD, Windows 11).
• macOS – wir testen auf einem MacBook Pro M2 (16 GB RAM, 500 GB Speicher, macOS Tahoe 26.2), auf dem eine virtuelle Maschine mit 4 GB zugewiesenem RAM und 64 GB Speicher läuft.
• Android – wir testen auf einem Google Pixel 9 (128 GB Speicher, 12 GB RAM, Google Tensor G4-Chip) mit Android 16.

Echtzeitschutz

Die vorbereiteten Proben lädt unser Forschungsteam aus Online-Malware-Bibliotheken auf eine virtuelle Maschine herunter. Mit dem XAMPP-Tool betreiben wir einen lokalen Webserver, der einen Malware-Download aus dem Netz simuliert.

Die Live-Proben (in freier Wildbahn) stammen von bösartigen URLs, die den Malware-Download auslösen, sobald du den Link öffnest.

Die im Voraus vorbereiteten Proben lädt unser Recherche-Team aus Online-Malware-Bibliotheken herunter und richtet sie in einer kontrollierten Umgebung ein, die das World Wide Web nachahmt (dafür nutzen wir das XAMPP-Tool, um einen virtuellen Host zu konfigurieren).

Wichtig zu erwähnen: Bevor wir unsere Tests starten, schalten wir alle lokalen Malware-Erkennungstools wie Windows Security aus. Verfügt die Antivirensoftware über eine Funktion, die bösartige Websites blockieren soll, wird auch diese deaktiviert.

Der Ablauf ist einfach: Wir laden die bösartigen Dateien herunter (in der Regel 100 bis 150) und erfassen, wie viele dieser Proben das jeweilige Antivirenprogramm erkennen und entfernen kann.

Bietet das Antivirenprogramm unterschiedliche Stufen des Echtzeitschutzes (in unserem Fall trifft das nur auf den NordVPN Threat Protection zu mit einer Basis- und einer Cloud-basierten Option), untersuchen, vergleichen und bewerten wir diese separat.

Der Testwert entspricht dem Prozentsatz der Malware, den das Antivirenprogramm erkannt und am Eindringen ins System (Gerät) gehindert hat. Wurden beispielsweise 120 von 150 bösartigen Dateien erfasst, liegt die Malware-Erkennungsrate bei 80 %. Erwähnenswert ist, dass es kein perfektes Antivirenprogramm gibt und ein Wert von 100 % eher selten vorkommt.

Erkennt die Software mindestens 80 % der Bedrohungen, stufen wir dieses Antivirenprogramm als gut und effizient bei der Malware-Erkennung ein.

Wichtig zu erwähnen ist außerdem, dass wir keine bösartigen Dateien ausführen (wir klicken sie also nicht an), wie du es normalerweise tun würdest, sondern eine sichere virtuelle Maschinenumgebung nutzen.

Virenscans

On-Demand-Systemscanner sind ein weiteres wichtiges Merkmal, das wir bei jedem Antivirenprogramm genau unter die Lupe nehmen. Dabei testen wir sämtliche verfügbaren Scanoptionen. Vom Schnell- oder Smart-Scan über den Vollscan bis zum benutzerdefinierten Scan.

Vor dem Test wird der Echtzeitschutz sowohl im Antivirenprogramm als auch im lokalen System deaktiviert. Anschließend werden die Malware-Proben in einem Testordner auf dem System abgelegt, und es werden separate Antivirenscans durchgeführt.

Anschließend bewerten wir jede Scanoption anhand folgender Kriterien:

• Wie lange der Scan gedauert hat
• Wie viele Dateien insgesamt gescannt wurden
• Wie viele schädliche Dateien entdeckt wurden
• Wie sich der Virenscan auf die Leistung und CPU-Auslastung des Geräts ausgewirkt hat

Schnellscans sind so konzipiert, dass sie gezielt die Systemverzeichnisse durchsuchen, in denen Schadsoftware am wahrscheinlichsten zu finden ist. Deshalb wiederholen wir sie mehrmals und platzieren die schädlichen Dateien entsprechend, etwa auf dem Desktop oder im Download-Ordner.

Bei vollständigen Systemscans werden die Testdateien in der Regel tiefer im System platziert (zum Beispiel irgendwo auf einer lokalen Festplatte C:). Wir berücksichtigen außerdem, ob das Antivirenprogramm die erkannte Malware sofort entfernt oder unter Quarantäne stellt oder ob es diese Entscheidung dem Nutzer überlässt. Das Problem bei der zweiten Option besteht darin, dass sie der Malware zusätzliche Zeit verschafft, um aktiv zu werden und dem System möglicherweise noch größeren Schaden zuzufügen.

Die Bewertung erfolgt auf die gleiche Weise wie beim Echtzeitschutz – anhand des Prozentsatzes der erkannten schädlichen Dateien.

Webschutz

Die meisten Antivirenprogramme verfügen über Webschutzfunktionen oder zusätzliche Browser-Erweiterungen, die vor dem Zugriff auf gefährliche oder potenziell schädliche Websites schützen.

Für die Analyse der Webschutzfunktionen verwenden wir erneut die bereits erwähnten schädlichen URLs. In diesem Fall untersuchen wir jedoch zwei Arten von Links: URLs mit Domainnamen und URLs auf IPv4-Basis. Wir klicken auf diese Links, um zu sehen, wie effektiv die Antivirensoftware reagiert.

Anschließend bewerten wir, wie viele dieser Websites vom Antivirenprogramm erkannt und blockiert wurden. Wie bei den anderen Tests wird die Bewertung in Prozent angegeben.

Ransomware-Schutz

Ein zuverlässiger Ransomware-Schutz gehört zu den wichtigsten Bausteinen einer starken Antivirensoftware. Um das zu überprüfen, führen wir einen gezielten Erkennungstest durch: Wir laden Ransomware-Dateien herunter und beobachten, wie zuverlässig der Virenscan diese Bedrohungen erkennt.

Die Leistung der Antivirensoftware bewerten wir anhand des Prozentsatzes erkannter und entfernter Ransomware-Dateien sowie der zusätzlichen Schutzfunktionen, die im jeweiligen Paket enthalten sind. Bitdefender bietet beispielsweise eine Funktion namens Ransomware Remediation, die deine Dateien sichert und Schäden durch Ransomware rückgängig macht, indem sie verschlüsselte Dateien wiederherstellt.

Phishing-Schutz

Phishing ist eine weitere Online-Bedrohung, vor der du dich unbedingt schützen solltest. Unser hauseigenes Testteam bewertet den Phishing-Schutz, indem es die entsprechenden Funktionen der Antiviren-Suite genau unter die Lupe nimmt. Dabei prüfen wir, wie gut dich die Software vor betrügerischen Phishing-Websites schützt.

Bitdefender bietet beispielsweise eine Phishing-Schutzfunktion, die Webseiten auf verdächtiges Verhalten überprüft – etwa ob eine Seite versucht, sensible Nutzerdaten wie Zugangsdaten oder Kreditkarteninformationen abzugreifen.

Außerdem testen wir E-Mail- und Spamfilter und prüfen, wie zuverlässig sie Bedrohungen aus E-Mails herausfiltern. ESET verfügt zum Beispiel über eine Antispam-Funktion, die Spam- und potenzielle Phishing-Mails erkennt und entfernt.

Firewall

Bei der Firewall prüfen wir, wie flexibel sie sich anpassen lässt, wie zuverlässig sie den Netzwerkverkehr überwacht, um unerwünschte Zugriffe von außen zu verhindern, und ob sie auch den ausgehenden Datenverkehr absichert. Ein gutes Beispiel dafür ist die Smart-Firewall-Funktion von Norton.

Wir überprüfen außerdem, ob lokale Anwendungen überwacht werden, um einen Missbrauch von Netzwerkressourcen zu verhindern. Ebenso testen wir, ob die Firewall Port-Scans abwehrt, mit denen Cyberkriminelle häufig gezielt nach Schwachstellen im Netzwerk suchen.

Unabhängige Audits

Neben unseren eigenen Tests werten wir auch die Ergebnisse unabhängiger Tests aus, die regelmäßig verschiedene Antivirenprogramme auf unterschiedlichen Plattformen prüfen.

Für die Bewertung von Antivirenprodukten verlassen wir uns auf drei vertrauenswürdige, unabhängige Audits:

• AV-TEST – eine unabhängige Organisation, die Sicherheitssoftware für Microsoft Windows, macOS und Android testet und bewertet
• AV-Comparatives – ein unabhängiges österreichisches Unternehmen, das Antivirensoftware bewertet und regelmäßig frei zugängliche Berichte veröffentlicht
• SE Labs – ein privates, unabhängig arbeitendes Testunternehmen, das Sicherheitsdienste und -produkte bewertet

Da jedes dieser Audits ein eigenes Bewertungssystem verwendet und nicht immer dieselben Antivirenprogramme testet, gleichen wir die Ergebnisse an und bilden Durchschnittswerte, bevor wir sie mit unseren eigenen Bewertungen kombinieren. Aus den Berichten der unabhängigen Tests konzentrieren wir uns dabei auf zentrale Kategorien wie Schutz unter realen Bedingungen, Malware-Schutz, Systembelastung, Benutzerfreundlichkeit und Sicherheit für Heimnetzwerke.

Anschließend fassen wir all diese Daten in einer einzigen, leicht verständlichen Bewertung zusammen. Dafür bilden wir den Durchschnitt aus den Ergebnissen der drei besten unabhängigen Testlabore und unserem eigenen Testergebnis. So spiegeln unsere Antiviren-Bewertungen sowohl unabhängige, branchenübliche Benchmarks als auch unsere eigene praktische Testerfahrung wider und du erhältst einen ausgewogenen, verlässlichen Überblick darüber, wie sicher die Software ist und wie stark sie die Leistung deines Geräts beeinflusst.

Fortschrittliche Erkennungstechniken

Wir bewerten Antivirenlösungen, die auf fortschrittliche Erkennungstechniken wie signaturbasiertes Scannen, heuristische Analyse und Verhaltensüberwachung setzen. Beim signaturbasierten Scannen werden Dateien mit einer Datenbank bekannter Malware-Signaturen abgeglichen, um Bedrohungen zu erkennen. Die heuristische Analyse identifiziert proaktiv verdächtiges Verhalten in Dateien, etwa auffällige Codemuster oder Aktionen, selbst wenn keine bekannte Signatur vorliegt. Die Verhaltensüberwachung beobachtet Aktivitäten auf dem System in Echtzeit, um ungewöhnliches Verhalten wie unautorisierte Dateiänderungen oder verdächtige Netzwerkverbindungen aufzudecken, das auf Malware hindeutet.

Diese Methoden ergänzen sich gegenseitig und sorgen so für einen umfassenden Schutz vor bekannten und neu auftretenden Bedrohungen. Deshalb prüfen wir, ob ein Antivirenprogramm alle diese Methoden einsetzt oder nur einen Teil davon.

Bewertung weiterer Funktionen

Viele Antiviren-Dienste bieten zusätzliche nützliche Funktionen, die wir ebenfalls testen. Manche verfügen beispielsweise über Systemoptimierungs-Tools, wie den OneClick-Optimizer von Bitdefender.

Wir haben geprüft, wie effektiv das Tool überflüssige Dateien vom Gerät entfernt, um die Leistung zu verbessern, wie lange der Vorgang dauert und wie viel Speicherplatz dabei freigegeben wird. Das ist nur ein Beispiel dafür, wie wir zusätzliche Antivirenfunktionen testen.

Ein weiteres gutes Beispiel ist McAfee mit seiner Funktion Secure Apps, die Updates für Windows und lokal installierte Anwendungen findet und installiert. Wir bewerten die Leistung, indem wir prüfen, ob Anwendungen mit ausstehenden Updates erkannt und tatsächlich aktualisiert werden.

Außerdem prüfen und bewerten wir weitere Zusatzfunktionen wie VPNs, Passwortmanager oder Werbeblocker. Alle werden genauso getestet, als wären sie eigenständige Dienste. VPNs testen wir hinsichtlich Verschlüsselung, Entsperrfunktionen, Serveranzahl und vieler weiterer Eigenschaften. Passwortmanager bewerten wir anhand ihres Verschlüsselungsniveaus, ihrer Optionen für die Multi-Faktor-Authentifizierung, ihrer Protokollierungsrichtlinien und weiterer Kriterien.

Benutzerfreundlichkeit

Beim Testen von Sicherheitsprodukten berücksichtigen wir stets die gesamte Nutzererfahrung und beurteilen, ob sich das jeweilige Tool beispielsweise auch für Einsteiger oder technisch weniger versierte Nutzer eignet.

Wir bewerten die Anordnung und Zugänglichkeit von Tools und Funktionen in der Benutzeroberfläche. So prüfen wir zum Beispiel, ob sich alle Funktionen in derselben Anwendung befinden oder ob du für manche davon die Website des Anbieters besuchen musst. Außerdem schauen wir, ob Beschreibungen oder Anleitungen zur Nutzung der Funktionen vorhanden sind und wie kompliziert die Konfiguration der Einstellungen ist.

Wir analysieren die Anwendungen darauf, ob die Benutzeroberfläche übersichtlich und nicht zu überladen oder kompliziert gestaltet ist. Und umgekehrt gilt: Richtet sich der Dienst eher an technisch versierte Nutzer, achten wir auf umfangreichere Konfigurationsmöglichkeiten und Einstellungsoptionen.

Preisgestaltung

Bei Cybernews ist es uns wichtig, die Preisstruktur und die Transparenz der Nutzungsbedingungen genau zu berücksichtigen. Nachdem wir die Funktionen und die Gesamtleistung eines Dienstes getestet haben, bewerten wir, ob der Antivirus-Anbieter ein gutes Preis-Leistungs-Verhältnis bietet, basierend auf Funktionsumfang, Performance und Schutzniveau.

Außerdem prüfen wir, wie flexibel die Abo-Optionen sind, ob es Jahrespläne gibt und wie viele Geräte du gleichzeitig schützen kannst. Wir schauen auch, ob es Rabatte gibt und ob eine Preiserhöhung nach Ablauf eines Angebots vor dem Abschluss klar kommuniziert wird.

Wir untersuchen stets, ob die Sicherheitssoftware eine kostenlose Testversion oder eine Geld-zurück-Garantie bietet, denn viele Nutzer möchten den Dienst erst ausprobieren, bevor sie sich langfristig binden. Zudem prüfen wir, wie verständlich erklärt wird, wie du die kostenlose Testphase rechtzeitig kündigst, bevor Kosten anfallen, und wie einfach sich eine Rückerstattung beantragen lässt.

Auf Grundlage all dieser Bewertungen zu Preisgestaltung und Abo-Modellen erstellen wir anschließend unser Ranking der Antivirus-Dienste. Schneidet ein Anbieter schwach ab, verlangt dafür aber einen recht hohen Preis, fällt die Bewertung entsprechend niedriger aus. Umgekehrt gilt: Ist ein Dienst günstig und bietet gleichzeitig eine hervorragende Schutzwirkung, zählt er zu den Top-Anbietern unserer Liste.

Unser Recherche-Team

Bei Cybernews führt unser hauseigenes Team aus IT-Sicherheitsexperten und Technik-Enthusiasten die Tests der Antivirus-Software durch. Das Team setzt dabei auf eigens entwickelte Tools sowie branchenübliche Methoden, um die Wirksamkeit verschiedener Antivirus-Programme zu bewerten. Beim Testen gewinnen sie zudem wertvolle Einblicke in die Nutzererfahrung, von denen unsere Leser direkt profitieren.

Unser Recherche-Team und unsere Redaktion arbeiten eng zusammen, damit unsere Artikel umfangreich, aktuell und für jeden Leser verständlich sind. Sollte dir etwas auffallen, das fehlt, lass es uns wissen.