Desinfec’t (ehemals RescueDisk)

Desinfec’t ist eine der bekanntesten und langlebigsten Notfall-Lösungen zur Bereinigung von Computern, die von Viren, Trojanern, Ransomware und anderer Schadsoftware befallen sind. Entwickelt und herausgegeben wird das Tool vom deutschen Computermagazin c’t (Heise Verlag). Im Gegensatz zu herkömmlichen Virenscannern, die als Programm unter einem laufenden Betriebssystem (wie Windows) installiert werden, ist Desinfec’t ein eigenständiges Betriebssystem auf Basis von Linux, das von einem USB-Stick oder einer DVD startet. Dieser Ansatz ermöglicht es, Schadsoftware zu finden und zu entfernen, die sich im normalen Windows-Betrieb tief im System eingenistet hat, sich vor Scannern versteckt oder sogar das Starten von Windows verhindert.

Ursprünglich unter dem Namen c’t RescueDisk bekannt, wurde das Tool im Jahr 2019 in Desinfec’t umbenannt, um den Zweck des Mediums – die digitale Desinfektion – klarer zu benennen und sich vom veralteten Image einer reinen „Rettungsdiskette“ zu lösen. Es gilt als „Schweizer Taschenmesser“ für IT-Administratoren und versierte Privatanwender im Kampf gegen hartnäckige Infektionen.

Das Grundprinzip: Warum ein externes System?

Um die Notwendigkeit von Desinfec’t zu verstehen, muss man die Arbeitsweise moderner Schadsoftware betrachten. Viren und Trojaner haben im Laufe der Jahre ausgeklügelte Techniken entwickelt, um ihre Entfernung zu verhindern.

Die Grenzen von On-Board-Scannern

Wenn Sie einen normalen Virenscanner unter Windows starten, geschieht dies innerhalb der Umgebung, die der Virus bereits kontrolliert.

Rootkits und Kernel-Treiber: Viele Viren laden sich als Treiber in den Kernel (den Kern) des Betriebssystems. Sie können sich so tarnen, dass sie dem Betriebssystem und installierten Scannern vorspielen, nicht zu existieren. Wenn der Scanner fragt: „Ist Datei X da?“, antwortet der Virus im Kernel: „Nein, alles sauber“, und der Scanner übersieht die Infektion.
Dateisperren: Da Windows viele Systemdateien während des Betriebs sperrt („File Locking“), kann ein installierter Scanner infizierte DLLs oder EXE-Dateien oft nicht löschen oder ersetzen, da sie gerade „in Verwendung“ sind.
Autostart-Manipulation: Manche Viren starten sich sofort nach dem Löschen aus dem Autostordner oder der Registry neu, bevor der Scanner reagieren kann.

Der Vorteil des „Cold Scan“ (Scan im kalten Zustand)

Desinfec’t umgeht all diese Hindernisse, indem es das infizierte Betriebssystem (Windows) komplett ignoriert.

Unabhängigkeit: Der Computer bootet von dem Desinfec’t-Stick in ein Linux-System. Windows wird dabei nicht gestartet, keine Windows-Treiber werden geladen, und keine Windows-Prozesse laufen.
Keine Tarnung möglich: Da der Virus nicht im Linux-Kernel aktiv ist, kann er sich nicht vor dem Scanner verstecken. Rootkits verlieren ihre Wirkung, da sie auf Windows-Strukturen ausgelegt sind.
Voller Zugriff: Da Windows nicht läuft, sind keine Dateien gesperrt. Desinfec’t hat vollen Lese- und Schreibzugriff auf die Festplatte und kann infizierte Dateien bedenkenlos löschen oder in Quarantäne verschieben, selbst wenn es sich um kritische Systemdateien handelt.

Man nennt dies einen Offline-Scan oder Bare-Metal-Scan. Es ist die radikalste und effektivste Methode, um ein System zu säubern, ohne es neu aufsetzen zu müssen.

Technische Architektur und Funktionsweise

Desinfec’t ist kein einfacher Scanner, sondern ein vollwertiges, maßgeschneidertes Linux-System.

Das Betriebssystem: Linux als Basis

Als Basis dient eine aktuelle Version von Ubuntu Linux (bzw. einer schlanken Variante davon). Linux wurde gewählt, weil es:

Open Source und sicher ist: Es gibt keine Viren, die das Desinfec’t-System selbst infizieren könnten.
Hardware unterstützt: Der moderne Linux-Kernel erkennt fast alle aktuellen Festplattencontroller (SATA, NVMe), Netzwerkkarten und USB-Ports ohne zusätzliche Treiberinstallation.
Flexibel ist: Es lässt sich stark anpassen und auf das Nötigste reduzieren, um schnell zu starten.

Die Scanner-Engine

Das Herzstück von Desinfec’t sind die integrierten Virenscanner. Heise setzt dabei nicht auf eine einzelne Engine, sondern kombiniert in der Regel die besten verfügbaren Technologien:

ESET Scanner: Oft ist die Engine von ESET (bekannt durch NOD32) integriert, die für ihre hohe Erkennungsrate und Geschwindigkeit bekannt ist.
ClamAV: Als open-source Basis-Scanner dient oft ClamAV, der besonders gut Skripte und bekannte Signaturen erkennt.
Weitere Engines: Je nach Ausgabe können auch Engines von Bitdefender oder Sophos enthalten sein. Die Virensignaturen werden bei der Erstellung des Images auf den absolut neuesten Stand gebracht. Da Viren sich täglich ändern, ist die Aktualität der Signaturen entscheidend.

Der Boot-Prozess

Erstellung: Der Nutzer lädt ein ISO-Image von der c’t-Website herunter und schreibt es mit einem Tool (wie Rufus oder Etcher) auf einen USB-Stick (mind. 8 GB empfohlen).
Start: Der PC wird neu gestartet und vom USB-Stick gebootet (oft muss im BIOS/UEFI die Boot-Reihenfolge geändert oder das Boot-Menü aufgerufen werden).
Umgebung: Es lädt eine grafische Benutzeroberfläche (meist basierend auf GNOME oder XFCE), die überraschend modern aussieht und sich ähnlich wie ein normales Desktop-System bedienen lässt.
Scan: Der Nutzer wählt die zu scannenden Laufwerke (meist die interne Windows-Festplatte) und startet den Scan.
Bereinigung: Gefundene Schädlinge werden gemeldet. Der Nutzer kann entscheiden, ob die Datei gelöscht oder unter Quarantäne gestellt wird (d.h., sie wird an einen sicheren Ort verschoben und unbrauchbar gemacht).

Anwendungsbereiche und Szenarien

Desinfec’t ist nicht nur für den „akuten Notfall“ gedacht, sondern deckt ein breites Spektrum an Aufgaben ab.

1. Akutinfektionen und Ransomware

Wenn ein PC so stark infiziert ist, dass Windows nicht mehr startet (Blue Screen of Death) oder eine Ransomware den gesamten Desktop sperrt und Lösegeld fordert, ist Desinfec’t oft die letzte Rettung.

Vorgehen: Da die Verschlüsselungstrojaner selbst (die EXE-Dateien) unter Linux sichtbar sind, können sie entfernt werden.
Wichtig: Desinfec’t kann die Verschlüsselung der Daten meist nicht rückgängig machen (dafür braucht man den Schlüssel der Angreifer), aber es entfernt den Erreger, sodass keine weiteren Dateien verschlüsselt werden und das System danach sicher neu aufgesetzt oder wiederhergestellt werden kann.

2. Entfernung von Rootkits und Botnets

Wie oben erwähnt, ist dies die Paradedisziplin von Desinfec’t. Botnets, die den PC im Hintergrund für Krypto-Mining oder DDoS-Angriffe missbrauchen, werden zuverlässig erkannt und entfernt, da ihre versteckten Prozesse im Linux-Modus sichtbar werden.

3. Datenrettung (Data Rescue)

Ein oft übersehener Aspekt: Da Desinfec’t ein funktionierendes Linux-System mit Netzwerkzugang und Browser ist, kann es zur Datenrettung genutzt werden, wenn Windows defekt ist.

Szenario: Windows startet nicht mehr aufgrund eines Treiberfehlers oder eines korrupten Updates, aber die Festplatte ist physikalisch in Ordnung.
Lösung: Mit Desinfec’t booten, die Festplatte einbinden, wichtige Dokumente/Fotos auf eine externe USB-Festplatte kopieren oder über das Netzwerk/Cloud speichern. Danach kann Windows bedenkenlos neu installiert werden.

4. Forensik und Analyse

IT-Profis nutzen Desinfec’t, um den Zustand eines Systems zu analysieren, ohne es zu verändern. Da das Tool schreibgeschützt auf das System zugreifen kann (optional), eignet es sich, um Beweise für einen Hackerangriff zu sichern, ohne Spuren durch das Starten von Windows zu verwischen.

5. Überprüfung von Gebraucht-PCs

Bevor man einen gebrauchten PC ins eigene Netzwerk einbindet, ist ein Scan mit Desinfec’t ratsam, um sicherzugehen, dass das Gerät nicht bereits mit Malware vorbelastet ist.

Der Erstellungsprozess und Aktualisierung

Da Desinfec’t ein statisches Medium (ISO-Image) ist, stellt sich die Frage der Aktualität. Virensignaturen sind nur so gut wie ihr Erstellungsdatum.

Das Download-Modell

Heise Verlag stellt Desinfec’t in der Regel als kostenlosen Download für Abonnenten der c’t oder als kostenpflichtigen Download für Nicht-Abonnenten bereit (oft ca. 5–10 Euro, was als Schutzgebühr für die Entwicklung und Serverkosten dient).

Quarterly Releases: Es erscheint regelmäßig (oft vierteljährlich oder bei großen Virenwellen) eine neue Version mit frischen Signaturen.
Update-Funktion: Moderne Versionen von Desinfec’t bieten eine integrierte Update-Funktion. Wenn der PC über ein Netzwerkkabel (LAN) mit dem Internet verbunden ist, kann Desinfec’t beim Start die neuesten Virensignaturen direkt von den Servern der Scanner-Hersteller nachladen. Das macht den Stick auch zwischen den offiziellen Releases wirksam gegen die allerneuesten Bedrohungen.

Persistenz (Optionale Funktion)

Einige Versionen oder Anleitungen erlauben es, einen persistenten Bereich auf dem USB-Stick einzurichten. Das bedeutet, dass Einstellungen, WLAN-Passwörter oder zusätzliche Tools, die man während der Sitzung installiert, nach einem Neustart des Sticks erhalten bleiben. Der Stick wird so zu einem persönlichen, mobilen Wartungswerkzeug.

Vor- und Nachteile im Vergleich zu anderen Methoden

Vorteile

Maximale Wirksamkeit: Entfernt auch Viren, die unter Windows unantastbar sind (Rootkits, Bootsektoren-Viren).
Unabhängigkeit: Funktioniert auch, wenn Windows komplett zerstört ist oder nicht mehr bootet.
Sicherheit: Das Scanner-System selbst kann nicht infiziert werden.
Zusatznutzen: Bietet volle Netzwerkfunktionalität und Browser zur Datenrettung oder Recherche.
Kosten-Nutzen: Im Vergleich zu teuren Notfalleinsätzen vor Ort oder einer kompletten Neuinstallation (mit Datenverlust) ist es extrem günstig.

Nachteile

Bedienung: Erfordert grundlegendes PC-Verständnis (Boot-Menü, BIOS-Einstellungen, Umgang mit Linux-Oberfläche). Für absolute Laien kann die Bedienung einschüchternd sein.
Keine Heilung von Windows-Fehlern: Desinfec’t entfernt nur Viren. Wenn der Virus bereits Systemdateien von Windows zerstört hat, muss Windows danach eventuell trotzdem repariert oder neu installiert werden. Desinfec’t ist kein „Reparatur-Werkzeug“ für Windows-Updates.
Hardware-Kompatibilität: Obwohl Linux sehr gut ist, kann es bei brandneuer Hardware (z. B. allerneueste WLAN-Karten oder spezielle RAID-Controller) vorkommen, dass Treiber fehlen und die Festplatte oder das Netzwerk nicht erkannt werden.
Geschwindigkeit: Ein Scan über USB 2.0 oder bei sehr großen Festplatten (mehrere TB) kann mehrere Stunden dauern.

Rechtliche und ethische Aspekte

Die Nutzung von Desinfec’t ist legal und dient der Selbsthilfe.

Lizenzierung: Die enthaltenen Virenscanner sind für die Nutzung innerhalb von Desinfec’t von den Herstellern lizenziert. Eine Weiterverwendung der Scanner-Engine außerhalb des c’t-Images wäre jedoch eine Urheberrechtsverletzung.
Datenschutz: Da der Scan lokal auf dem Rechner stattfindet und keine Daten an Heise oder die Scanner-Hersteller gesendet werden (außer optional beim Update der Signaturen), ist Desinfec’t extrem datenschutzfreundlich. Es gibt keine Cloud-Anbindung der gescannten Dateien.
Haftung: Wie bei allen Tools gilt: Die Nutzung erfolgt auf eigene Gefahr. Heise übernimmt keine Garantie dafür, dass alle Viren entfernt werden oder das System danach wieder perfekt läuft, obwohl die Erfolgsquote sehr hoch ist.

Entwicklungsgeschichte und Meilensteine

1990er: Die Ursprünge liegen in den frühen Virenwellen (CIH, Melissa). c’t begann, Rettungsdisketten auf Floppy-Basis beizulegen.
2000er: Mit dem Verschwinden der Floppy-Laufwerke umstieg auf CD/DVD („RescueDisk“). Integration von Linux als Basis wurde zum Standard.
2010er: Umstellung auf USB-Sticks aufgrund größerer Kapazitäten und schnellerer Lesezeiten. Integration von 64-Bit-Unterstützung und UEFI-Bootfähigkeit (wichtig für moderne PCs mit Secure Boot).
2019: Rebranding zu Desinfec’t. Optische Überarbeitung der Oberfläche, Integration moderner Hardware-Treiber und Verbesserung der Update-Mechanismen.
Heute: Desinfec’t ist fester Bestandteil im Werkzeugkoffer von IT-Dienstleistern und wird bei großen Sicherheitslücken (wie Log4Shell oder WannaCry) oft als erste Maßnahme empfohlen.

Tipps für die praktische Anwendung

Wer Desinfec’t erfolgreich einsetzen will, sollte folgende Punkte beachten:

Vorbereitung ist alles: Erstellen Sie den Stick bevor der Notfall eintritt. Wenn der PC schon infiziert ist, kann es sein, dass der Download des Images oder das Schreiben auf den Stick durch den Virus blockiert wird. Legen Sie den Stick griffbereit ins „Notfall-Kit“.
BIOS/UEFI Einstellungen: Moderne PCs haben oft „Secure Boot“ aktiviert, das das Booten von nicht-signierten Linux-Systemen verhindert. Desinfec’t ist zwar signiert, aber falls es Probleme gibt, muss Secure Boot im BIOS temporär deaktiviert werden. Auch die Boot-Reihenfolge (USB vor HDD) muss oft eingestellt werden.
Netzwerk nutzen: Schließen Sie für den Scan idealerweise ein LAN-Kabel an. Das ermöglicht das Update der Virensignaturen auf den allerneuesten Stand, was die Erkennungsrate massiv erhöht. WLAN wird unterstützt, ist aber in der Konfiguration unter Linux manchmal fummeliger.
Geduld: Ein gründlicher Scan einer 2-TB-Festplatte kann 3–5 Stunden dauern. Brechen Sie den Scan nicht ab.
Nachbereitung: Nach der Bereinigung sollte Windows normal gestartet werden. Es ist ratsam, danach noch einmal einen Scan mit dem installierten Windows-Virenscanner durchzuführen, um sicherzugehen, dass keine Reste verblieben sind. Zudem sollten alle Passwörter geändert werden, die während der Infektion eingegeben wurden.

Fazit

Desinfec’t ist ein Paradebeispiel für gelungene IT-Journalistik, die praktischen Nutzen stiftet. Es schließt die Lücke, die kommerzielle Antiviren-Hersteller oft lassen: Die Fähigkeit, ein System zu säubern, wenn das Betriebssystem selbst nicht mehr vertrauenswürdig ist. In einer Zeit, in der Schadsoftware immer tiefer in Systeme eindringt und sich immer aggressiver wehrt, bleibt das Prinzip des „Cold Scan“ unter Linux eine der effektivsten Waffen im Arsenal der Cybersicherheit.

Für jeden PC-Nutzer, der seine Daten selbst verwaltet, ist ein Desinfec’t-Stick eine ebenso wichtige Versicherung wie ein Feuerlöscher im Haus. Man hofft, ihn nie zu brauchen, aber wenn es brennt, ist er unbezahlbar. Die Kombination aus hoher Erkennungsrate, Unabhängigkeit von Windows und den zusätzlichen Datenrettungsfunktionen macht Desinfec’t zum Goldstandard unter den kostenlosen (bzw. kostengünstigen) Notfall-Tools. Es beweist, dass manchmal der beste Weg, ein Problem zu lösen, darin besteht, das betroffene System kurzzeitig komplett zu verlassen und von außen mit klarem Blick darauf zu schauen.