Neustart-Linux.de

Warum Linux keinen Virenscanner braucht

August 2026 · Lesezeit ca. 7 Minuten · Thema: Einordnung

Wer von Windows zu Linux wechselt, fragt früher oder später dasselbe: Welchen Virenscanner soll ich installieren? Die ehrliche Antwort lautet: keinen! Nicht weil Linux magisch immun wäre, sondern weil die Sache, vor der ein Virenscanner schützen soll, unter Linux anders gelöst ist – und zwar tiefer im System, als eine nachträglich installierte Software es je könnte.

Kurzfassung:
Die meisten Sicherheitsvorfälle entstehen nicht durch Viren, sondern dadurch, dass jemand auf etwas klickt und dann Daten eingibt, die nicht preiszugeben sind. Dagegen hilft kein Scanner – weder unter Windows noch unter Linux. Was tatsächlich hilft, ist tief im System eingebaut: strenge Benutzerrechte und, bei Bedarf, ein Wächter, der Programmen von vornherein nur das erlaubt, was sie wirklich brauchen.

Zuerst das Naheliegende: Es gibt kaum welche

Fangen wir mit der einfachen Wahrheit an, bevor es technischer wird. Auf dem Desktop-Markt hat Linux weltweit einen Anteil von rund 4 bis 5 Prozent[1] – Windows kommt auf über die Hälfte. Schadsoftware wird dort geschrieben, wo die meisten Opfer sitzen. Ein Erpressungstrojaner, der zehn Windows-Rechner erwischt, lohnt sich für seinen Programmierer eher als einer, der einen einzigen Linux-Desktop trifft.

Erkannte Schadsoftware nach Betriebssystem im Jahr 2025, absolute Zahl der Vorfälle. Zahlen nach Surfshark, ausgewertet von CommandLinux.
Windows 419.000
macOS 60.000
Linux ?

Für Linux auf dem Desktop gibt es in dieser Erhebung keinen eigenen Balken – die Zahl ist zu klein, um sie sauber auszuweisen.[2] Das heißt nicht null. Es gibt Linux-Schadsoftware, und sie nimmt zu – allerdings fast ausschließlich auf Servern, Routern und in Firmennetzen, nicht auf Heim-Desktops.[3] Dein Linux-Rechner am Küchentisch ist für Kriminelle grundsätzlich kein lohnendes Ziel.

Ein Virenscanner sucht nach Schädlingen, die geschrieben wurden, um dein System zu treffen. Für Linux-Desktops werden kaum welche geschrieben. Der Scanner hätte also schlicht nichts zu tun.

Der eigentliche Grund liegt woanders

Trotzdem wäre es zu einfach, hier aufzuhören – denn die Marktanteil-Erklärung sagt nichts darüber, was passiert, wenn Linux irgendwann doch mal ins Visier gerät. Der wichtigere Punkt ist ein anderer, und er gilt unabhängig vom Marktanteil: Die meisten Sicherheitsvorfälle haben mit Viren im klassischen Sinn gar nichts zu tun.

Studien zur Ursache von Sicherheitsvorfällen kommen je nach Methode auf unterschiedliche Werte, liegen aber alle in derselben Größenordnung: Der Data Breach Investigations Report von Verizon, die meistzitierte Erhebung der Branche, findet in rund 60 bis 68 Prozent der untersuchten Fälle einen menschlichen Faktor.[4] Andere Auswertungen kommen auf 90 Prozent oder mehr.[5] Gemeint ist immer dasselbe: ein Klick auf einen Phishing-Link, ein wiederverwendetes Passwort, eine Datei aus einer Mail, der man vertraut hat, obwohl man es nicht hätte tun sollen.

Gegen all das hilft ein Virenscanner nicht oder nur am Rand. Er prüft Dateien gegen eine Liste zuletzt bekannter Schädlinge – bei einem Phishing-Link, der zur Eingabe eines Passworts auffordert, gibt es aber keine Datei zu prüfen. Das Problem sitzt nicht im System, sondern eher in fehlender Präventionsarbeit. Das gilt unter Windows genauso wie unter Linux. Der Unterschied ist nur: Windows braucht trotzdem einen Scanner, weil es dort zusätzlich noch die klassischen Schädlinge gibt. Linux hat dieses zweite Problem kaum, aber am ersten ändert das nichts – auch unter Linux kann sich der Mensch täuschen lassen.

Was Linux stattdessen mitbringt

Jetzt zum eigentlich interessanten Teil. Ein Virenscanner arbeitet nachträglich: Er läuft eine Datei durch, die schon auf der Platte liegt, und vergleicht sie mit dem, was gestern als gefährlich bekannt war. Linux setzt an einer anderen Stelle an – vorher, nicht nachher. Zwei Ebenen greifen dabei ineinander:

Ebene 1 – Benutzerrechte Seit den Anfängen von Linux fest eingebaut, auf jedem System aktiv. Ein normales Benutzerkonto darf keine Systemdateien verändern und keine anderen Konten anfassen – nur der eigene Ordner steht offen. Ein Programm, das du aus Versehen startest, kann also von sich aus nicht das ganze System übernehmen. Es müsste dich erst dazu bringen, ihm mit einem Passwort ausdrücklich mehr Rechte zu geben. Genau da liegt der nächste Klick, vor dem man sich hüten muss.
Ebene 2 – Die Wächter Bei vielen Distributionen serienmäßig aktiv, etwa Ubuntu (AppArmor) oder Fedora (SELinux). Diese Wächter gehen noch einen Schritt weiter: Sie legen für einzelne Programme fest, was diese überhaupt dürfen – unabhängig davon, mit welchen Rechten sie laufen. Ein Browser bekommt ein Profil, das ihm erlaubt, seinen eigenen Einstellungsordner zu lesen und zu schreiben, aber nicht dein Dokumente-Verzeichnis. Selbst wenn im Browser eine Sicherheitslücke ausgenutzt wird, bleibt der Schaden auf das beschränkt, was im Profil erlaubt ist. Das Programm merkt davon nichts – es stößt einfach an eine Wand, die vorher schon stand.
Kurz erklärt – Mandatory Access Control:
So heißt dieses Prinzip fachlich. Bei den gewöhnlichen Benutzerrechten entscheidet der Besitzer einer Datei, wer sie lesen darf – man kann diese Freigabe also selbst lockern, aus Versehen oder mit einem Klick zu viel. Bei AppArmor und SELinux legt stattdessen ein Regelwerk fest, was ein Programm darf, und daran kommt auch der Besitzer nicht vorbei. Die Regel gilt, ob man will oder nicht – daher der Name: verpflichtende Zugriffskontrolle.

Der Unterschied zwischen beiden liegt im Aufwand: AppArmor arbeitet mit Programm-Profilen, die an Dateipfaden hängen, und ist leichter zu lesen und anzupassen – die typische Wahl auf dem Desktop, etwa bei Ubuntu. SELinux ist strenger und feinkörniger, dafür auch komplexer in der Pflege, und wird häufiger auf Servern eingesetzt, etwa bei Fedora und RHEL.[6] Für den Alltag am Desktop merkst du von beiden meistens gar nichts – solange nichts schiefgeht, arbeiten sie im Hintergrund und melden sich nicht.

Eine ehrliche Einschränkung

Hier will ich nicht übertreiben, auch wenn es verlockend wäre: „Absolute Sicherheit“ gibt es nicht, auch mit AppArmor und SELinux nicht. Was sie leisten, ist etwas anderes und in der Praxis fast Wichtigeres: Sie sorgen dafür, dass ein einzelner Fehler nicht automatisch zur Katastrophe wird. Eine Sicherheitslücke im Browser bleibt eine Lücke im Browser, statt zum Zugriff auf den ganzen Rechner zu werden. Das ist der eigentliche Gewinn – nicht Unverwundbarkeit, sondern eingedämmter Schaden.

Und es gibt einen Fall, in dem all das nichts nützt: wenn du selbst dein Passwort eingibst, weil eine gefälschte Seite danach gefragt hat. Kein Zugriffskontrollsystem der Welt unterscheidet zwischen dir und jemandem, der dein Passwort kennt. Genau deshalb saß der Schwerpunkt dieses Artikels vorhin beim Menschen, nicht bei der Technik – die Technik kann das nicht komplett auffangen, und das sollte niemand versprechen.

Was ich an deiner Stelle täte

  1. Kein Virenscanner nötig, aber Updates trotzdem regelmäßig einspielen – die meisten Distributionen erledigen das automatisch im Hintergrund.
  2. Software nur aus den offiziellen Paketquellen deiner Distribution installieren, nicht von irgendwelchen Webseiten herunterladen. Das ist der Linux-Ersatz für „nur aus dem Store installieren“.
  3. Bei Ubuntu, Mint und den meisten großen Distributionen ist AppArmor bereits aktiv – prüfen musst du dafür nichts, nur nicht ausschalten, was du nicht verstehst.
  4. Und der wichtigste Punkt bleibt der Mensch: bei E-Mails mit Anhang, bei Aufforderungen zur Passworteingabe und bei allem, was zu gut klingt, um wahr zu sein, hilft Skepsis mehr als jede Software – auf jedem Betriebssystem.
Brauche ich unter Linux wirklich absolut nichts zusätzlich?
Für den privaten Desktop reicht das eingebaute Fundament in aller Regel aus. Anders sieht es aus, wenn du Dateien mit Windows-Nutzern austauschst – dann lohnt sich ein Scanner, der Windows-Schädlinge in weitergereichten Dateien erkennt, bevor sie bei jemand anderem landen. Nicht zum Schutz deines eigenen Systems also, sondern als Gefallen an die Gegenseite. Software dazu: clamAV

Zum Schluss

Der Unterschied zwischen anderen Betriebssystemen und Linux ist an dieser Stelle kein Unterschied in der Bedrohungslage, sondern einer in der Bauweise. Windows beispielsweise setzt historisch stärker auf nachträgliches Erkennen: etwas läuft, ein Scanner prüft es, im Zweifel wird es gestoppt. Linux setzt von vornherein auf enge Leitplanken: ein Programm bekommt gar nicht erst die Möglichkeit, mehr zu tun, als es soll. Kein System davon ist perfekt, und keines ersetzt einen wachen Blick beim Klicken. Aber wer fragt, welchen Virenscanner er unter Linux installieren soll, fragt eigentlich nach der Lösung für ein Problem, das dort schon vorher gelöst wurde – nur eben anders, als man es von Windows gewohnt ist.

Quellen

Stand dieses Artikels ist August 2026. Wer das später liest, prüft besser nach:

  1. Weltweiter Desktop-Marktanteil von Linux (Juni 2026, StatCounter): Winfuture.
  2. Schadsoftware-Erkennungen 2025 nach Betriebssystem (Windows 419.000, macOS 60.000), Datengrundlage Surfshark: CommandLinux.
  3. Zunahme von Linux-Malware, überwiegend auf Server- und Netzwerkgeräten: PSW Group, mit Bezug auf CrowdStrike.
  4. Anteil menschlichen Fehlverhaltens an Sicherheitsvorfällen laut Verizon Data Breach Investigations Report: Security-Insider.
  5. Höhere Schätzungen (bis über 90 Prozent) in weiteren Auswertungen: heyData.
  6. Funktionsweise und Einsatzgebiete von AppArmor und SELinux im Vergleich: Computer Weekly und TuxCare.

Fragen oder Widerspruch? Schreib mir.