Was ist eigentlich so schwer zu verstehen an der Überlegung, dass mehrere unterschiedliche Engines tendenziell mehr erfassen können als nur eine einzige?
Daran ist gar nichts schwer zu verstehen. Es funktioniert nur nicht so, wie Olaf Müller (verzeih, ich konnte nicht widerstehen) sich das vorstellt.
Der einzige "echte" Vorteil ist der höhere Aufwand für den Malwareautor, seine Programme zu befähigen, zwei Engines auszutricksen und zu manipulieren, was aber bei der Rechenleistung heutiger PCs auch kein echtes Problem mehr darstellt.
Du schreibst hier von ungünstigsten und günstigsten Fällen. Schon da ist ein Denkfehler drin, weil man klugerweise immer nur den ungünstigsten Fall betrachten darf.
Ein weiteres Detail (auch wenn mir klar ist, dass deine Zahlenwahl eher willkürlich war): 75% Erkennung wäre hier schon ein extrem günstiger Fall. Realistisch sind unter 40% und das bei täglich über 1 Mio. neuer Varianten.
Richtig lächerlich wird es, wenn man folgendes überlegt:
Natürlich kommt ein normaler PC im Laufe eines Tages nicht mit 1 Mio. Malwarevarianten in Kontakt, nicht mal potenziell oder im ungünstigsten Fall, weil das in 24 Stunden bzw. bei einem Normaluser in 1-3 Stunden nicht zu schaffen ist und ein Großteil der Malware nicht homogen weltweit verteilt wird, sondern durchaus für bestimmte Regionen und Zielgruppen.
Und jetzt kommts.
Obwohl ein hiesiger PC also im Laufe eines Tages vielleicht nur 50 mal mit Webservern und Downloads in Berührung kommt, die Malware enthalten bzw. Drive-by-Infektionen starten, also einem
Zwanzigtausendstel der Gesamtmenge, schafft es die Malware trotzdem zuverlässig in mehr als der Hälfte der Fälle aufs System. Was sagt das über die Wirksamkeit eines AV aus?
IRON67
Olaf19
