ClamShield im Unternehmen konfigurieren: der komplette Leitfaden

ClamShield – was ist das eigentlich?

Sie kennen bestimmt ClamAV, den altehrwürdigen Open-Source-Virenscanner, der auf so ziemlich jedem Mailserver dieses Planeten läuft. Das Problem: Unter Windows ist ClamAV ziemlich spartanisch – Kommandozeile, Konfigurationsdateien und ein freshclam, das man selbst einplanen muss. Nicht gerade das, was man Gisela aus der Buchhaltung auf den Rechner spielt.

Hier kommt ClamShield ins Spiel: eine freie grafische Oberfläche (Lizenz GPL-2.0), entwickelt von Byron Iniotakis, die ClamAV in einen echten Desktop-Virenschutz verwandelt: Echtzeitschutz, geplante Scans, Quarantäne, DNS-Schutz, automatische Signatur-Updates (offizielle ClamAV-Signaturen, SecuriteInfo, SaneSecurity) und optional sogar YARA-Regeln und VirusTotal. Das Projekt ist noch in der öffentlichen Beta, aber schon jetzt richtig gut gemacht.

Der Haken: Überall gibt es Optionen. Deshalb zeige ich Ihnen die Konfiguration, die ich verwende, Bildschirm für Bildschirm, und erkläre, warum ich welches Kästchen angehakt habe (oder nicht). Los geht's!

Systemintegration: Autostart und Koexistenz mit Defender

Automatischer Start und Kontextmenü

Erster Halt: Settings > System Integration. Hier hake ich alles an:

• Run ClamShield on Startup: Ein Virenschutz, der nicht mit der Sitzung startet, ist ein nutzloser Virenschutz. Echtzeitschutz und Planer laufen nur, wenn ClamShield gestartet ist.
• Start Minimized to Tray: ClamShield startet unauffällig im Infobereich. Dem Benutzer springt nicht bei jeder Anmeldung ein Fenster ins Gesicht (und er kommt nicht in Versuchung, es zu schließen).
• Windows Context Menu: fügt „Scannen“ und „Ausnahme hinzufügen“ zum Rechtsklickmenü des Datei-Explorers hinzu. Ideal, um einen USB-Stick oder einen zweifelhaften Anhang mit zwei Klicks zu prüfen.

Microsoft Defender pausieren

ClamShield registriert sich nicht als Antivirus-Anbieter in der Windows-Sicherheit: Standardmäßig läuft es neben Defender. Nur bedeuten zwei Echtzeit-Virenscanner, die dieselben Dateien prüfen, doppelte CPU- und Festplattenlast und manchmal Konflikte (der eine sperrt die Datei, während der andere versucht, sie zu scannen…).

Ich habe deshalb Automatically keep Defender paused angehakt, mit einer erneuten Anwendung alle 5 Minuten, denn Windows hat die lästige Angewohnheit, Defender hinter Ihrem Rücken wieder zu aktivieren, vor allem nach einem Update. Außerdem habe ich Exclude ClamShield YARA and quarantine from Defender angehakt, damit Defender sich nicht an der Quarantäne von ClamShield bedient, falls er eines Tages wieder aufwacht.


Das Ergebnis ist in der Statustabelle zu sehen: Echtzeitschutz von Defender pausiert, Cloud-Schutz deaktiviert, automatische Übermittlung von Beispielen auf „Never send“ und geplante Defender-Scans abgeschaltet. Dieser Punkt ist im Unternehmen alles andere als nebensächlich: Mit der automatischen Übermittlung können Dateien von Ihren Arbeitsplätzen zur Analyse an Microsoft gehen. Wer mit Verträgen, Angeboten oder Kundendaten arbeitet, behält seine Dateien doch lieber im Haus.

Cloud Checks: VirusTotal, nur mit API-Schlüssel

ClamShield kann VirusTotal abfragen, um Dateien anhand ihres Hashwerts zu prüfen, Fehlalarme zu verfeinern oder sogar unbekannte Dateien hochzuladen. Bei mir ist alles abgehakt, aus einem ganz einfachen Grund: Ich habe keinen VirusTotal-API-Schlüssel. Ohne Schlüssel ist die Option ohnehin nicht nutzbar.

Wenn Sie einen haben, fügen Sie ihn in das Feld VirusTotal API key ein und haken Sie VirusTotal Cloud Check an: Eine zweite Meinung schadet nie. False-positive refinement via VirusTotal versieht Erkennungen automatisch mit dem Urteil von VT, was beim Sortieren hilft. Überlegen Sie es sich dagegen zweimal, bevor Sie Upload Results files without a VT report aktivieren: Eine auf VirusTotal hochgeladene Datei kann von den zahlenden Abonnenten der Plattform heruntergeladen werden. Ihre Excel-Datei „Gehälter 2026“ hat dort nichts verloren.

Show VirusTotal limit warnings habe ich angehakt gelassen: Die kostenlose API ist auf eine bestimmte Anzahl Anfragen pro Minute begrenzt, und ClamShield warnt Sie, bevor eine Prüfung von mehr als 4 Dateien startet, die ewig dauern wird.

Scanner Options: Leistung und Verhalten

Speicher und Intensität

Offload ClamShield to memory: angehakt. ClamShield hält Engine und Signaturen im Arbeitsspeicher (etwa 1 GB), statt sie bei jedem Scan neu zu laden. Mehrere Millionen Signaturen neu zu laden kostet Zeit und CPU. Auf einem modernen Rechner mit 16 GB RAM ist 1 GB für den Virenschutz ein guter Deal. Auf einer alten Maschine mit 4 GB: abhaken.

On-demand intensity und Scheduled intensity stehen auf 41/100, also auf dem Profil „Balanced“: Priorität niedriger als normal, 2 Worker, Stapel von 2.000 Dateien und 25 ms Pause. Die Idee: Der Scan kommt voran, ohne dass der Benutzer seinen PC bei der Arbeit kriechen sieht. Laufen Ihre geplanten Scans auf unbenutzten Rechnern, können Sie den Regler „Scheduled“ höher stellen.

Wenn ein Virus gefunden wird

Send scanned items to: Results checklist. Kein automatisches Löschen und keine automatische Quarantäne: Die Erkennungen landen in einer Liste, in der man selbst entscheidet, was damit passiert. Warum? Weil kein Virenschutz vor Fehlalarmen gefeit ist, und ein Fehlalarm, der die DLL einer Fachanwendung verschwinden lässt, bedeutet garantiert einen Anruf beim Support um 8:01 Uhr.

Warn me with a popup at the end of the scan: angehakt, damit eine Erkennung nicht in einem Tab untergeht, den niemand öffnet.

Datei- und Archivgröße

Max File Size: 50 MB. Darüber wird die Datei nicht gescannt. Die allermeisten Schadprogramme sind viel kleiner, und so verbringt man keine Stunden mit ISO-Images oder Videos. Scan Archives und Recursive sind angehakt: Malware versteckt sich liebend gern in ZIP-Dateien, die wiederum ZIP-Dateien enthalten, also muss man jede Matroschka öffnen.


Follow Symlinks: ebenfalls angehakt, damit symbolische Links und Junctions nicht als Versteck dienen.

YARA: deaktiviert, und zwar mit Absicht

ClamShield kann YARA-Regeln nutzen (die Regeln von YARA Forge werden sogar automatisch heruntergeladen). Ich habe Enable YARA scanning aber bewusst nicht angehakt, weil es zu viele Fehlalarme gibt. Öffentliche YARA-Regeln sind oft für die Bedrohungsjagd geschrieben, bei der man lieber ein weites Netz auswirft und hinterher von Hand sortiert. Auf einem Arbeitsplatzrechner im Unternehmen hat eine Lawine unbegründeter Warnungen einen fatalen Effekt: Benutzer (und Admins) ignorieren am Ende alle Warnungen… auch die echte. Die Signaturen von ClamAV, SecuriteInfo und SaneSecurity erledigen den Job sehr gut, ganz ohne dieses Hintergrundrauschen.

Signatur-Updates: das A und O

Ein Virenschutz ist vor allem seine Signaturen. Ein ClamAV nur mit den offiziellen Signaturen ist ein bisschen wie ein Wachmann, der nur die Gesichter der Einbrecher vom letzten Jahr kennt. So habe ich den Reiter Updates eingestellt.

Offizielle ClamAV-Signaturen

Automatic ClamAV updates angehakt, mit einem Intervall von 24 Stunden. Die offiziellen Signaturen sind das Fundament, man braucht sie, aber sie ändern sich langsamer als die Datenbanken von Drittanbietern, und die Update-Server von ClamAV mögen es nicht, wenn man alle fünf Minuten an die Tür klopft.

SecuriteInfo-Signaturen: das Abonnement, das alles ändert

Ja, ich spreche hier ein wenig in eigener Sache, aber genau hier entscheidet sich alles. Die SecuriteInfo-Signaturen ergänzen ClamAV um mehrere Millionen zusätzliche Signaturen, die stündlich veröffentlicht werden. Daher das Intervall von 1 Stunde: Es bringt nichts, stündlich veröffentlichte Signaturen zu haben, wenn man sie nur einmal am Tag abruft. Der Status „Paid - 13/13 databases“ bestätigt, dass das Abonnement aktiv ist und alle Datenbanken aktuell sind.

Warum ein Abonnement abschließen, statt sich mit der kostenlosen Version zu begnügen?

• Aktuelle Malware: Die kostenlose Version deckt nur Malware ab, die mindestens ein Jahr alt ist. Die Abonnements enthalten „0-Stunden“-Malware, die noch am selben Tag erfasst wird. Und was Ihre Arbeitsplätze heute angreift, ist die Malware von heute, nicht die vom letzten Jahr. Genau das ist die Lücke im System der offiziellen Signaturen.
• Gewerbliche Nutzung: Die kostenlose Version ist nicht für den kommerziellen Einsatz gedacht. Im Unternehmen ist das Abonnement auch die Voraussetzung, um auf der sicheren Seite zu sein.
• Komfort: schneller Download, Unterstützung mehrerer IP-Adressen je nach Paket und Support, falls etwas klemmt.

Zum Abonnieren geht es über Settings > Support Us > Subscribe to SecuriteInfo. Der Entwickler von ClamShield sagt es selbst: Die stündlichen Updates von SecuriteInfo verbessern die Abdeckung von Zero-Day-Bedrohungen. Sie können sich auch die Details der Signatur-Pakete für ClamAV ansehen.
Wenn Sie ein Unternehmen mit nur 2 oder 3 Arbeitsplätzen sind, empfehle ich Ihnen das Paket Professional für 29,90 € / Jahr.
Wenn Sie ein KMU mit mehreren Arbeitsplätzen und Servern sind, empfehle ich Ihnen das Paket Gold für 99,00 € / Jahr.

SecuriteInfo PUA: nur im Paranoia-Modus

Ist Ihnen aufgefallen, dass das Kästchen SecuriteInfo PUA signatures nicht angehakt ist? Diese optionale Datenbank, securiteinfo-pua-app-and-vulnerabilities.ndb, erkennt „potenziell unerwünschte Anwendungen“ und verwundbare Software: Adware, Fernwartungstools, Administrationsprogramme, alte Softwareversionen…

Das Problem: Im Unternehmen fallen viele völlig legitime Tools in diese Kategorien – das VNC des Supports, die Diagnosetools des Admins, die nicht mehr ganz taufrische Version der Fachanwendung. Ergebnis: ein hohes Risiko von Fehlalarmen. Nur für den Paranoia-Modus: hochsensibler Arbeitsplatz, Admin-Rechner, einmaliges Audit eines Rechnerbestands.

SaneSecurity-Signaturen

Dritte Quelle, SaneSecurity: Die Datenbanken sind signiert (ClamShield prüft die GPG-Signatur des Herausgebers) und stark auf Phishing, Betrug und präparierte Dokumente ausgerichtet, was die beiden anderen gut ergänzt. Profil „Malware Protection“ mit seinen 9 Datenbanken, Update stündlich, aus demselben Grund wie bei SecuriteInfo. Und wenn Ihnen der Dienst nützt, schadet eine kleine Spende über die Schaltfläche Donate to Sanesecurity nicht.

Direkt darunter werden die YARA-Forge-Regeln weiter aktualisiert, auch wenn der YARA-Scan deaktiviert ist. Sie werden nicht verwendet, sind aber bereit, falls Sie es sich anders überlegen.

Updates der Anwendung und der Engines

Für die ClamShield-Anwendung selbst: Check for ClamShield app updates angehakt, Intervall 168 Stunden (einmal pro Woche) und Silent install ClamShield updates angehakt. Benachrichtigungen sind aus. Die Logik: Wenn man den Benutzer bittet, auf „Installieren“ zu klicken, tut er es nicht. Also besser, es passiert von selbst, ohne ihn zu stören. Eine wöchentliche Prüfung reicht für eine grafische Oberfläche völlig aus.


Bei der ClamAV-Engine wird es ernster: Prüfung alle 24 Stunden und Notify me when update is available angehakt. Die Engine ist es, die potenziell präparierte Dateien öffnet: Wird eine Schwachstelle in einem ihrer Parser behoben, will man es schnell wissen. Außerdem setzen manche neuen Signaturen eine Mindestversion der Engine voraus, um geladen zu werden. Eine veraltete Engine bedeutet Signaturen, die man umsonst herunterlädt.

Real-Time Shield: der Echtzeitschutz

Überwachte Ordner

Der Schutz steht auf ON (natürlich) und überwacht Downloads, Desktop, Dokumente und die Download-Ordner der Browser (hier wird Chrome automatisch erkannt). Das sind die klassischen Einfallstore für Malware: was man herunterlädt, der „mal eben“ auf dem Desktop gespeicherte Anhang, das Dokument eines Partners.

Der ClamShield-Schutz überwacht nicht die ganze Festplatte wie ein im Kernel integrierter Virenschutz, sondern die Ordner, die Sie ihm angeben. Erhalten Ihre Benutzer Dateien woanders (Austauschordner, Ablageordner einer Fachanwendung…), fügen Sie diese mit Add Folder hinzu.

Leistung

• Shield intensity: 41/100, Profil „Balanced“, wie bei den Scans. Der Schutz läuft permanent, er muss unauffällig bleiben.
• Folder depth: 1. Der Schutz überwacht den Ordner und eine Ebene Unterordner. Tiefer heißt mehr Abdeckung, aber auch mehr Last.
• Polling interval: 1.000 ms. ClamShield prüft jede Sekunde, ob eine Datei, die gerade geschrieben wird, stabil ist.
• Stability threshold: 2.000 ms. Eine Datei muss sich 2 Sekunden lang nicht mehr verändern, bevor sie gescannt wird. Ohne das würde ClamShield einen halb geschriebenen Download scannen, für nichts. Wenn Ihre Benutzer viele große Dateien gleichzeitig herunterladen, erhöhen Sie diesen Wert.

Die Schaltfläche Forget leert den Hash-Cache bereits gescannter Dateien (ohne Ergebnisse, Quarantäne oder Ausnahmen anzutasten). Praktisch, um einen neuen Scan zu erzwingen, da der Schutz standardmäßig Dateien ignoriert, die sich seit ihrem letzten Scan nicht verändert haben.

Cloud und Benachrichtigungen

VirusTotal ist im Echtzeitschutz deaktiviert, aus demselben Grund wie oben: kein API-Schlüssel. Bei den Benachrichtigungen ist When Shield finds a threat auf Send to Results and notify me eingestellt: Die Erkennung wird in den Ergebnissen gespeichert und ein Popup warnt den Benutzer. Dieselbe Philosophie wie bei den Scans: Man behält die Kontrolle, kein automatisches Löschen. Der Ton ist aus – Ihre Nachbarn im Großraumbüro werden es Ihnen danken.

DNS Protection: nur bei öffentlichen DNS-Servern

ClamShield kann die DNS-Server von Windows durch öffentliche Resolver ersetzen, die bösartige Domains blockieren. In meiner Konfiguration ist der Schutz nicht aktiv, und das ist normal: Unternehmen verwenden in der Regel ihre eigenen DNS-Server (Active Directory, interner DNS, Filterung auf der Firewall oder dem Proxy). Einen Arbeitsplatz auf einen öffentlichen DNS umzustellen, macht die interne Namensauflösung kaputt: kein Domänencontroller mehr, kein Intranet, keine Netzwerkfreigaben. Viel Spaß.

Wenn Ihr Unternehmen dagegen öffentliche DNS-Server verwendet, zum Beispiel 8.8.8.8 von Google, dann aktivieren Sie den Schutz und wählen Sie CLOUDFLARE Malware Blocking:

IPv4: 1.1.1.2 · 1.0.0.2 IPv6: 2606:4700:4700::1112 · 2606:4700:4700::1002

Domains, die mit Malware und Phishing in Verbindung stehen, werden schlicht nicht mehr aufgelöst. Klickt ein Benutzer auf den Link in einer gefälschten Versandbenachrichtigung, wird die Seite nicht angezeigt. Kostenlos, ohne Konto, ohne Anmeldung. Und mit der Schaltfläche Restore previous DNS kommen Sie wieder zurück.

Scheduled Scanner: der geplante Scan

Letzter Bildschirm, aber nicht der unwichtigste. Der Echtzeitschutz überwacht nur einige Ordner, und eine Datei, die am Tag ihrer Ankunft nicht erkennbar ist, kann es eine Woche später werden, sobald neue Signaturen veröffentlicht sind. Der geplante Scan ist dazu da, all das nachzuholen.

Hier habe ich Enable scheduled scanning aktiviert, im Modus Weekly, sonntags um 03:00 Uhr, mit einem Full disk scan. Dieser Planer lässt sich aber ganz nach Ihrem Bedarf konfigurieren:

• Die Häufigkeit: wöchentlich (an einem oder mehreren Tagen) oder monatlich.
• Die Uhrzeit: nachts, wenn die Rechner eingeschaltet bleiben, sonst zu einem Zeitpunkt, an dem der Rechner läuft, aber wenig beansprucht wird, etwa in der Mittagspause. Ein PC, der sonntags um 3 Uhr morgens ausgeschaltet ist, scannt überhaupt nichts.
• Was gescannt wird: die ganze Festplatte mit Full disk scan oder nur einige Verzeichnisse über Add directory, wenn ein vollständiger Scan auf Ihren Rechnern zu lange dauert. Die Option Running process memory scannt zusätzlich die von laufenden Prozessen geladenen ausführbaren Dateien.

Zusammenfassung

Kurz gesagt, hier ist das Rezept für ein tipptopp eingerichtetes ClamShield im Unternehmen:

• Automatischer Start, unauffällig im Infobereich, Kontextmenü aktiviert.
• Defender pausiert und Übermittlung von Beispielen abgeschaltet, um doppeltes Scannen zu vermeiden und Ihre Dateien im Haus zu behalten.
• Erkennungen landen in den Ergebnissen, mit Popup: Sie entscheiden, nicht der Virenschutz.
• Kein YARA (zu viele Fehlalarme), kein VirusTotal ohne API-Schlüssel.
• ClamAV-Signaturen alle 24 h, SecuriteInfo und SaneSecurity stündlich, mit einem SecuriteInfo-Abonnement für aktuelle Malware. Kein PUA, außer im Paranoia-Modus.
• Echtzeitschutz auf den Ordnern, über die Dateien hereinkommen.
• Cloudflare-DNS-Schutz nur bei öffentlichen DNS-Servern.
• Ein geplanter vollständiger Scan, angepasst an die Betriebszeiten Ihrer Rechner.

Damit muss sich ClamAV vor kommerziellen Virenscannern kaum noch verstecken, und Sie behalten die volle Kontrolle. Viel Spaß!

Weitere Artikel zu ClamShield und ClamAV

Hat Ihnen dieser Artikel gefallen? Hier einige Vorschläge, die Sie interessieren dürften:

• Fügen Sie ClamAV und ClamShield 4.600.000 Antivirensignaturen hinzu
• Welches Risiko birgt eine alte Version des Virenscanners ClamAV? (auf Englisch)
• Problemlösung der häufigsten Fehler mit dem ClamAV-Antivirus
• FAQ ClamAV und die inoffiziellen Signaturen von SecuriteInfo.com