Bootviren

Ein Bootvirus (auch Bootsektorvirus genannt) ist eine spezielle Art von Computervirus, die nicht infizierte Programmdateien befällt, sondern den Bootsektor von Datenträgern wie Festplatten, Disketten, USB-Sticks oder CD-ROMs. Da der Bootsektor der erste Bereich ist, den ein Computer beim Startvorgang (Booten) liest, wird der Virus automatisch in den Arbeitsspeicher geladen, noch bevor das Betriebssystem (wie Windows oder Linux) überhaupt startet.

Diese Eigenschaft macht Bootviren besonders tückisch und schwer zu entfernen: Sie erlangen die Kontrolle über das System, bevor Virenscanner oder andere Sicherheitssoftware aktiv werden können. In den 1980er und 1990er Jahren, als Disketten das primäre Austauschmedium waren, waren Bootviren die dominierende Bedrohung. Heute sind sie aufgrund veränderter Hardware-Architekturen und Sicherheitsmaßnahmen seltener geworden, stellen aber weiterhin ein Risiko dar, insbesondere bei veralteten Systemen oder über USB-Medien.

Funktionsweise und Infektionsweg

Um einen Bootvirus zu verstehen, muss man den Startprozess eines Computers kennen:

Einschalten: Der PC führt den POST (Power-On Self-Test) durch.
BIOS/UEFI-Aufruf: Das BIOS sucht nach einem bootfähigen Medium (Festplatte, USB-Stick etc.).
Lesevorgang: Das BIOS liest den ersten Sektor des Mediums, den Master Boot Record (MBR) bei Festplatten oder den Boot Sector bei Disketten/USB-Sticks.
Ausführung: Der Code in diesem Sektor wird in den Arbeitsspeicher (RAM) kopiert und ausgeführt. Normalerweise lädt dieser Code das Betriebssystem.

Der Infektionsmechanismus: Ein Bootvirus ersetzt den originalen Bootsektor durch seinen eigenen Code oder verlagert den originalen Sektor an eine andere Stelle und platziert sich selbst an den Start.

Wenn der Computer nun startet, wird zuerst der Virus geladen und aktiviert.
Der Virus nistet sich im Arbeitsspeicher ein (Residenter Virus).
Anschließend übergibt der Virus die Kontrolle an das eigentliche Betriebssystem, damit der Nutzer nichts vom Infektionsvorgang merkt.
Sobald der Virus im Speicher ist, überwacht er alle Lese-/Schreibzugriffe auf Datenträger. Wird ein neuer Datenträger (z. B. ein USB-Stick) angeschlossen, infiziert der Virus sofort dessen Bootsektor.

Bekannte Beispiele aus der Geschichte

Bootviren waren die Plage der Ära vor dem Internet-Boom. Einige wurden berüchtigt:

Brain (1986): Gilt als der erste PC-Bootvirus überhaupt. Er wurde von zwei pakistanischen Brüdern geschrieben, um Urheberrechtsverletzungen ihrer medizinischen Software zu verhindern. Er infizierte Disketten und zeigte eine Nachricht mit den Kontaktdaten der Brüder an, wenn man sie anrief, um den Virus zu entfernen.
Stoned (1987): Einer der verbreitetsten Viren. Er zeigte gelegentlich die Meldung „Your PC is now Stoned!“ an. Er verbreitete sich massenhaft über infizierte Disketten.
Michelangelo (1991): Ein destruktiver Virus, der am 6. März (dem Geburtstag des Künstlers Michelangelo) aktiv wurde und die ersten Sektoren der Festplatte überschrieb, was zum vollständigen Datenverlust führte. Die Medienberichte damals lösten eine große „Michelangelo-Panik“ aus, obwohl der tatsächliche Schaden geringer war als befürchtet.

Warum Bootviren heute seltener sind

Obwohl die Technik dahinter immer noch funktioniert, haben mehrere Faktoren die Verbreitung von Bootviren stark eingedämmt:

Verschwinden der Diskette: Da Disketten kaum noch genutzt werden, fehlt das wichtigste historische Verbreitungsmedium.
Schreibschutz im BIOS/UEFI: Moderne Mainboards bieten Optionen, um den Bootsektor der Festplatte schreibzuschützen („Boot Sector Protection“). Das BIOS verweigert dann jeden Schreibzugriff auf diesen Bereich, was eine Infektion verhindert.
UEFI und Secure Boot: Der Nachfolger des BIOS, das UEFI, nutzt das Secure Boot-Verfahren. Dabei wird vor dem Start geprüft, ob der Bootloader eine gültige digitale Signatur besitzt. Ein Virus, der den Bootsektor manipuliert, hat keine gültige Signatur und wird vom Start blockiert.
Fortschrittliche Antivirensoftware: Moderne Scanner können den Speicher und den Bootsektor auch unter einem laufenden System prüfen und infizierte Sektoren bereinigen, oft durch das Überschreiben mit einem sauberen Standard-Bootsektor.

Aktuelle Risiken und USB-Sticks

Trotz des Rückgangs sind Bootviren nicht ausgestorben. Das Prinzip lebt weiter:

USB-Sticks: Da USB-Sticks vom BIOS/UEFI wie Disketten als bootfähige Medien behandelt werden, können sie weiterhin Bootviren übertragen. Ein infizierter Stick an einem ungeschützten PC kann diesen beim Start infizieren.
Rootkits: Moderne Varianten von Boot-Infektionen werden oft als Bootkits bezeichnet. Diese sind komplexer als die alten Viren, nutzen ähnliche Techniken (Infektion des MBR oder der EFI-Partition), um sich tief im System zu verstecken und sind oft Teil von Rootkits, die sich vor Antivirenprogrammen verbergen sollen.

Erkennung und Entfernung

Die Entfernung eines Bootvirus ist schwieriger als die einer normalen Datei-Viren:

Boot von einem sauberen Medium: Da der Virus im laufenden System aktiv ist, kann er sich oft selbst vor dem Scanner schützen. Daher muss der PC von einem sauberen, schreibgeschützten Medium (z. B. einer speziellen Rettungs-CD oder einem sauberen USB-Stick mit Antiviren-Software) gestartet werden.
Reparatur des Bootsektors: Spezialisierte Tools (wie bootrec /fixmbr unter Windows oder dd unter Linux) können den infizierten Bootsektor überschreiben und durch einen sauberen Standard-Code ersetzen.
Virenscanner: Moderne Antivirenprogramme haben spezielle Routinen, um den MBR und Boot-Sektoren zu scannen und automatisch zu reparieren.

Fazit

Bootviren waren die Pioniere der Malware-Welt und nutzten eine fundamentale Schwachstelle im Startprozess von Computern aus. Durch den technologischen Wandel (Wegfall der Diskette, Einführung von UEFI und Secure Boot) haben sie ihre dominante Rolle verloren. Dennoch bleibt das Prinzip der Infektion vor dem Start des Betriebssystems eine ernste Bedrohung, die in Form moderner Bootkits weiterhin von Cyberkriminellen genutzt wird. Der Schutz davor erfordert heute weniger Vorsicht beim Diskettenwechsel, sondern vielmehr aktuelle Hardware mit Secure Boot und regelmäßige Sicherheitsupdates.