Die besten Rescue-CDs: Diese Live-Systeme beseitigen Malware

Weil Sie bei einer Rescue-CD "von außen" arbeiten, hat hier Malware, die sich unter Windows eingeschlichen hat, keine Chance, sich gegen eine Entfernung zu wehren. Sie wird mangels passender funktionsfähiger Autostart-Routinen in diesem Kontext gar nicht ins RAM (Random Access Memory, Arbeitsspeicher) geladen und somit nicht von selbst aktiv.

Der Begriff "Rescue-CD" ist plakativ und vereinfacht: Darunter fallen nicht nur Rettungs-Datenträger auf der Basis einer CD, sondern auch auf der Grundlage einer DVD und eines USB-Sticks. Es lässt sich hierzu passend von Rescue-DVD oder von Rescue-(USB-)Stick sprechen. Die modernste Form von Rescue-CDs oder auch Rescue-Systemen ist ein USB-Stick. Hier fällt das Boot- und das Arbeits-Tempo am höchsten aus.

Eine Rescue-CD darf zu ihrer Laufzeit gerne viele Ressourcen vereinnahmen, denn Sie führen damit ohne laufendes Windows einen Scan auf Malware aus. Ein paralleles Arbeiten am genutzten PC ist nicht oder nur eingeschränkt möglich und damit so eine Scan-Prozedur möglichst schnell abgeschlossen ist, ist ein exorbitantes Ausschöpfen der vorhandenen Ressourcen sogar von Vorteil.

In den letzten 20 Jahren gab es verschiedene Rescue-CDs namhafter Antiviren-Anbieter, die allerdings zu einem Großteil eingestellt wurden. Die Pflege solcher Produkte scheint den Anbietern größtenteils nicht mehr wichtig zu sein. Eine veraltete Rescue-CD brauchen Sie nicht oder kaum: Sie erkennt aufgrund von veralteten Signaturen oder wegen einer weggefallenen funktionierenden Signaturen-Update-Fähigkeit keine aktuelle Malware mehr. Allenfalls eine Heuristik als eine proaktive Malware-Identifikations-Methode mag eine entsprechende Erkennung noch leisten; eine solche weist aber deutlich eher als Signaturen Fehlalarme (False-Positives) auf. Eine Verhaltensanalyse, analog zu einer Heuristik proaktiv, gibt es bei Rescue-CDs indes nicht.

Ferner ist bei einer veralteten Rescue-CD nicht unbedingt eine Boot-Fähigkeit bei einem aktivierten UEFI-Modus von Hautplatinen gegeben. Im Secure-Boot-Modus – der auf einem UEFI-Modus basiert respektive hierzu einen Zusatz darstellt – ist sie das schon gar nicht. Bei einer veralteten Rescue-CD kommt mitunter überdies eine CLI-/ASCII-Bedienung hinzu: Eine grafische Benutzeroberfläche (GUI) bekommen Sie nicht geboten, was einer komfortablen mausgetriebenen Bedienung entgegensteht.

Veraltete Rescue-CDs lassen sich in der Regel nicht mehr von den Websites ihrer Hersteller herunterladen, sondern sind bei Bedarf über Drittanbieter-Quellen zu beziehen. Die Arbeit mit solchen Angeboten lohnt sich praktisch nur dann, wenn man in die "gute alte Zeit" eintauchen und in Erinnerungen schwelgen will. Aus technischer Sicht finden sich hier praktisch keine Vorteile.

Wir stellen im Folgenden einige Rescue-CDs vor, die wir auf ihre Usability, Aktualität und Funktionalität getestet haben. Mitunter lässt sich nicht direkt eine ISO-Datei herunterladen, die sich für die Inbetriebnahme etwa mit der Image-Brenn-Funktion von Windows 7+ oder mit dem Active ISO Burner bootfähig eine CD/DVD brennen lässt – oder die Sie mit Rufus bootfähig auf einen USB-Stick entpacken oder auf einen von Ventoy präparierten Multi-Boot-Stick kopieren können. In dem Fall ist eine ISO-Datei-Erstellung aus einem bestimmten Antiviren-Programm heraus erforderlich. Eine solche Generierung über ein Antiviren-Programm ist nicht ganz "sauber", wenn Sie eine solche Software im Vorfeld erst noch installieren müssen, sofern Sie sie nicht bereits nutzen.

Ein bekannter Vertreter unter den Rescue-CDs ist die Kaspersky Rescue Disk (KRD). Diese stammt von einem russischen Anbieter, was in Anbetracht des Russland-Ukraine-Kriegs für manchen problematisch ist; es könnte sich eine Backdoor in der Software verbergen, wofür es aber keine Beweise gibt – aus technischer Sicht können wir die Lösung durchaus loben.

Die Kaspersky Rescue Disk, die auf Linux Debian basiert und die einst das Profi-Linux "Gentoo Linux" als Grundlage hernahm, verfügt über eine englischsprachige Bedienerführung.

Sie finden sich hier in einer GUI und auf einem Desktop wieder, wo Sie der Maus einen Scan auf Malware durchführen. Eine Quarantäne für Bedrohungen sowie ein Signaturen-Updater sind an Bord.

Unter "Tools" sind einige schöne Extras zu finden: ein "Registry-Editor" (um manuell Malware aus der Registry von Windows zu entfernen), ein "Windows Unlocker" (entfernt Software, die Windows gesperrt hat) und "USB Recovery" (stellt die Funktionsfähigkeit von Maus, Tastatur und USB-Geräten unter Windows wieder her, die mitunter wegen einer Entfernung von Kaspersky-Anwendungen unter ebenjenem OS strauchelt).

Die Kaspersky Rescue Disk hat den Firefox-Browser mit einem ESR-Versionsstand in petto, ferner greifen Sie auf ein Linux-Terminal zu. Der besagte Firefox erlaubt es Ihnen, online Informationen zu Malware zu recherchieren; auch ist damit ziemlich sicher ein Malware-freies Surfen auf zwielichtigen Websites möglich. Die Web-Navigation geschieht hier eben nicht unter Windows.

Früher gab es das Tool "Kaspersky USB Rescue Disk Maker", um die ISO-Datei der Kaspersky Rescue Disk bootfähig auf einen USB-Stick zu übertragen. Dieses wurde eingestellt. Doch können Sie einen ISO-USB-Stick-Transfer mit alternativer Drittanbieter-Software abwickeln (siehe den obigen Artikel-Absatz).

Wie erwähnt, basiert die Kaspersky Rescue Disk auf Linux Debian. Hierzu finden sich online praktisch keine Quellen. Kaspersky selbst gibt auf einer Webseite aus dem Jahr 2023 noch an, dass eine Gentoo-Linux-Grundlage vorliegt. Doch recherchierten wir in unserem Test mithilfe des Linux-Terminal-Befehls cat /etc/os-release ein Linux-Debian-Grundgerüst.

Die Avast Rescue Disk können Sie nicht offiziell beim Anbieter in Form von einer ISO-Datei herunterladen, sondern müssen eine solche aus Avast Free Antivirus oder aus Avast One Essential heraus erstellen. Das gelingt im Falle von Avast Free Antivirus im Bereich "Schutz > Virenscans > Rettungsmedium": Dort finden sich die Optionen "ISO-Datei erstellen" und "Auf einem USB-Laufwerk anlegen", hinzu kommt ein Schalter für "UEFI-Boot-Datei für neueste PCs verwenden". Bei Avast One Essential gehen Sie auf "Free Antivirus > Virenscans > Rettungsmedium" und finden hier einen identischen Funktionsumfang vor.

Auch mit der Avast Rescue Disk – auch "Avast Rettungsmedium" genannt – scannen Sie auf Malware. Die technische Basis bildet hier nicht Linux oder ein Linux-Kernel, sondern Windows PE. Einen Desktop wie bei der Kaspersky Rescue Disk finden Sie bei der Rescue-CD nicht vor, dafür aber dennoch eine GUI sowie einige in einem Launcher-Fenster untergebrachte Module: "AvastPE Antivirus", "AvastPE Browser" (auf der Basis von Chromium – zum Navigieren durch das Internet), "AvastPE Commander" (ein Zwei-Fenster-Dateimanager), "Registry-Editor" (für Eingriffe in die Registry von Windows) und "Befehlszeilen-Tool" (cmd.exe).

Der AvastPEBrowser zeigt nur dann Webseiten an, wenn Sie mit einem LAN verbunden sind; im WLAN-Kontext ist hier keine entsprechende Funktionsfähigkeit gegeben.

Wie bei einem Windows-Setup-Medium müssen Sie, wenn Sie mit der Avast Rescue Disk einen Boot-Vorgang ausführen wollen, in einem ersten Schritt eine beliebige Taste auf Ihrer Tastatur drücken.

Ein Signaturen-Updater ist inbegriffen, doch erschien er in unserem Test nicht in Form eines Buttons – trotz bestehender Ethernet-Verbindung. So eine Schaltfläche sollte es laut einer Online-Dokumentation aber geben. Die Funktion dient dazu, die Malware-Erkennungs-Datenbank – von Avast "VPS" genannt – aufzufrischen.

Die AVG Rescue Disk stammt von AVG, so wie die Avast Rescue Disk von Avast herrührt. Die beiden Antiviren-Firmen gehören zusammen; vor einigen Jahren hat Avast AVG übernommen, mittlerweile versammeln sich die beiden samt Avira und Norton unter dem Unternehmens-Namen "Gen Digital" (ehemals NortonLifeLock genannt). Eine ISO-Datei der AVG Rescue Disk müssen Sie bei Interesse aus AVG Free AntiVirus heraus erstellen: Das gelingt über die In-GUI-Klickfolge "Menü > Rettungsmedium".

Das im obigen Artikel-Absatz Geschriebene gilt im Wesentlichen auch für die AVG Rescue Disk. Deswegen ersparen wir uns an dieser Stelle eine nähere Beschreibung.

Das Norton Bootable Recovery Tool (NBRT) ist eine Rescue-CD, die Norton Antivirus nahekommt. Es findet sich hier eine Linux-Basis als Antrieb – die Aspekte "GUI" und "Linux-Desktop" kommen zusammen.

Der von dem Produkt gebotene Signaturen-Updater lud in unserem Test keine aktuellen Malware-Erkennungs-Informationen herunter, sie verharrten auf dem Stand aus dem Jahr 2022.

Im Vordergrund steht das Scannen auf Malware, es stehen aber auch ein Linux-Terminal und der Opera-Browser zur Verfügung. Die letztere Software liegt jedoch noch in der Version 12 (!) mit der eingestellten Presto-Engine vor; das ist nicht mehr zeitgemäß.

Bei der Nutzung ist ein wenig Vorsicht angebracht: Der Button unten links, ganz links in der Taskleiste, öffnet nicht etwa ein Startmenü. Er bewirkt ein Herunterfahren. Bevor es zu einem Shutdown kommt, ist aber eine Hinweismeldung zu bestätigen.

Das Avira Rescue System scheint sich von dem Anbieter nicht mehr herunterladen zu lassen. Er verlinkt nur eine PDF-Datei mit weiteren Informationen zu dieser Rescue-CD zum Download, wobei das Überspielen dieser Dokumentation in unserem Test nicht funktionierte. Bei Drittanbieter-Quellen wie Majorgeeks werden Sie im Hinblick auf eine ISO-Datei fündig.

Der Rescue-CD liegt ein technisches Linux-Ubuntu-Grundgerüst zugrunde und auch sie scannt auf Malware. Als Browser ist in dieser Umgebung, die über GUI und (Linux-)Desktop verfügt, GNOME Web (früher Epiphany genannt) gesetzt; die Software fällt sehr rudimentär aus.

Die enthaltene Signaturen-Update-Funktion werkelte auch bei diesem Rescue-CD-Probanden bei uns nicht. Das konterkariert auch hier die Wirkungsweise der Lösung insgesamt; die Avira-Umgebung bietet Scan-Modi namens "Schnell-Scan", "Benutzerdefinierter Scan" und "Komplett-Scan" an. Hinzu kommt die formal vorhandene Fähigkeit eines "Cloud-Scans". Unter "Tools" versammelt sich mit "GNOME Deja Dup Backups" ein einfaches Backup-Tool mit Linux-Software-/-GUI-Anleihen.

Der Anbieter weist darauf hin, dass das Avira Rescue System keine Multi-Boot-Szenarien unterstützt.

Die Dr.Web LiveDisk ist eine Rescue-CD auf Linux-Basis, die mit einem Linux-(Mate-)Desktop ausgestattet ist. Hier gehen Sie in einer GUI-Umgebung mithilfe der Software "Dr.Web CureIt" auf Malware-Jagd. Es gibt die letztere Anwendung übrigens auch als einen separaten Download für Windows, nutzbar unter ebenjenem OS, statt eingebettet in die Dr. Web LiveDisk. Während man für den Bezug von Dr. Web CureIt seine E-Mail-Adresse angeben muss, erfolgt das Überspielen der Dr. Web LiveDisk ohne die Eingabe eigener Daten.

Der Signaturen-Updater der Dr.Web LiveDisk funktionierte in unserem Test, analog zu dem Pendant der Kaspersky Rescue Disk – was sehr positiv ist. In Dr.Web CureIt dürfen Sie einstellen, wie mit gefundenen Schädlingen, abhängig von ihrer Art, zu verfahren ist: Sie geben dediziert für Adware, Dialer, Jokes, Riskware, Hacktools, Container, Archive und E-Mail-Files an, ob ein Verschieben in eine Quarantäne oder eine Löschung anhängig sein soll.

Das Scannen auf Malware lässt sich, wenn ein Notebook zum Einsatz kommt und dieses in den Akkubetrieb wechselt, über eine aktivierbare Einstellung unterbrechen. Das hilft bei einer Verbesserung der Akkulaufzeit.

Der Anbieter der Dr.Web LiveDisk hat seinen Sitz in Russland, was für manchen einen ideologischen Nachteil darstellen könnte.

An Bord sind einige Bonus-Funktionen: "Dr.Web Registry Editor", "File Manager", "MATE Terminal", "Midnight Commander" und "GNOME Web". Bei dem File Manager und dem Midnight Commander handelt es sich um einen Dateimanager, einmal in einer GUI- und ein anderes Mal in einer Kommandozeilen-/CLI-Auslegung.

Der enthaltene Registry-Editor ist ein bisschen weniger gefällig als bei anderen GUI-Rescue-CDs. Dafür ist in der Dr.Web LiveDisk "Wine" vorinstalliert, das es erlaubt, für Windows kompilierte EXE-Dateien auszuführen.

Manche Rescue-CD sind eingestellt worden: ein Non-GUI-Pendant von AVG, ferner die Bitdefender Rescue CD (die 2019 ihr EOL, also ihr End of Life, erreichte). Bitdefender schreibt in einem Support-Bereich-Artikel in diesem Zusammenhang: "Bitdefender hat in den letzten 14 Jahren 'Rescue CD' unterstützt. Es war jedoch an der Zeit, unsere Ressourcen in die Unterstützung neuerer Technologien zu investieren, damit wir unseren Kunden weiterhin innovative und effektive Sicherheitslösungen liefern können". Der Anbieter lässt verlauten: "Um einen PC außerhalb des Betriebssystems zu scannen, empfehlen wir stattdessen den Bitdefender-Rettungsmodus (Umgebung)".

Auch die F-Secure Rescue CD – analog zu der AVG Rescue CD kein Augenschmeichler – hat das Zeitliche gesegnet. Der verschwundene Antiviren-Anbieter "Norman" wartet auch nicht mehr mit seiner Norman Rescue Disk auf. Die Panda SafeCD weist zwar noch eine offizielle Webseite wohl aus dem Jahr 2010 vor, doch der dortige Download-Link für sie ist defekt. Des Weiteren ist die AntiBot-CD mit einer Avira-Scan-Engine in der Versenkung verschwunden.

Malwarebytes und Emsisoft etwa bieten keine Rescue-CD an und hatten unseres Wissens auch nie welche in ihrem Portfolio.