Über Fehlalarme von Sicherheitssoftware

Problembeschreibung

Nach dem Herunterladen der .exe-Installationsdatei oder des .zip-Archivs von WSL Dashboard können Windows Defender oder andere Antivirenprogramme eine Sicherheitswarnung anzeigen, dass die Datei ein Risiko darstellt, oder sie sogar direkt blockieren und löschen.

Warum passiert das?

Dies ist ein Fehlalarm – die Datei enthält nicht wirklich einen Virus.

Die grundlegende Ursache ist: Dieses Projekt hat kein EV-Codesignaturzertifikat (Extended Validation) gekauft.

Was ist ein Codesignaturzertifikat?

Das Codesignaturzertifikat dient zur digitalen Signierung ausführbarer Dateien und beweist, dass die Datei von einem vertrauenswürdigen Herausgeber stammt und nicht manipuliert wurde. Windows wendet strengere Sicherheitsprüfungen auf nicht signierte oder mit normalen Zertifikaten signierte Programme an.

Unterschied zwischen Zertifikatstypen

Zertifikatstyp	Preis	SmartScreen-Richtlinie
Keine Signatur	Kostenlos	Direkte Blockierung, als „Unbekannter Herausgeber" markiert
Normales OV-Zertifikat	Hunderte Euro/Jahr	Zeigt weiterhin eine Warnung; muss Reputation aufbauen
EV-Zertifikat	Tausende Euro/Jahr	Sofortige Freigabe, keine Warnung

Programme, die ohne EV-Zertifikat signiert sind, werden von Windows SmartScreen standardmäßig als unsicher markiert, und Antivirenprogramme identifizieren sie ebenfalls leichter als potenzielle Bedrohung.

Zur Sicherheit der Dateien

Seien Sie beruhigt: Der Build-Prozess dieses Projekts ist vollständig transparent und prüfbar:

1. Open-Source-Code: Der gesamte Quellcode ist auf GitHub gehostet; jeder kann ihn einsehen
2. Automatisierter Build: Die exe-Dateien werden automatisch über GitHub-Actions-Workflows auf den Servern von GitHub erstellt; der gesamte Prozess läuft ohne menschlichen Eingriff
3. Nachvollziehbarer Build: Jeder Build verfügt über ein vollständiges Protokoll, das auf der GitHub-Actions-Seite einsehbar ist
4. Zero-Touch-Veröffentlichung: Entwickler können während des Builds keinen bösartigen Code einfügen; die Datei ist vom Build-Abschluss bis zur Veröffentlichung und zum Download vollständig automatisiert

Kurz gesagt: Die exe-Dateien gehen nie durch die Hände der Entwickler; eine „Vergiftung" ist ausgeschlossen.

Lösungen

Lösung 1: Vertrauensliste (Whitelist) hinzufügen (für normale Benutzer empfohlen)

Wenn Windows Defender blockiert:

1. Öffnen Sie „Windows-Sicherheit" → „Viren- und Bedrohungsschutz"
2. Klicken Sie auf „Schutzverlauf"
3. Suchen Sie das blockierte Element und klicken Sie auf „Aktionen" → „Zulassen"

Oder fügen Sie vor dem Download eine Ausnahme hinzu:

1. Öffnen Sie „Windows-Sicherheit" → „Viren- und Bedrohungsschutz" → „Einstellungen verwalten"
2. Scrollen Sie zu „Ausschlüsse" und klicken Sie auf „Ausschlüsse hinzufügen oder entfernen"
3. Fügen Sie das Download-Verzeichnis als Ausschluss hinzu

Antivirensoftware von Drittanbietern: Fügen Sie die heruntergeladene Datei oder das Verzeichnis in der jeweiligen Software zur Vertrauensliste hinzu.

Lösung 2: Aus dem Quellcode kompilieren (für Entwickler empfohlen)

Wenn Sie weiterhin Bedenken bezüglich der vorkompilierten Binärdateien haben, können Sie den Quellcode klonen und lokal kompilieren:

# Repository klonen
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Release-Version kompilieren
cargo build --release

# Die Build-Artefakte befinden sich im Verzeichnis target/release/

So können Sie den Inhalt des ausgeführten Codes vollständig bestätigen.

Lösung 3: EV-Zertifikat kaufen (Hinweis für Entwickler)

Der Kauf eines EV-Codesignaturzertifikats kann das Fehlalarm-Problem an der Wurzel lösen, steht jedoch vor den folgenden realen Schwierigkeiten:

• Hohe Kosten: Das EV-Zertifikat kostet mehrere tausend Yuan pro Jahr
• Laufende Kosten: Das Zertifikat muss jährlich verlängert werden; eine langfristige Belastung
• Projektnatur: WSL Dashboard ist ein gemeinnütziges Open-Source-Projekt, das diese Ausgabe nur schwer tragen kann

Wenn Sie die Entwicklung dieses Projekts unterstützen möchten, können Sie über die Sponsoring-Kanäle der Projekt-Homepage spenden, damit die Entwickler Betriebskosten wie das Zertifikat decken können.

Zusammenfassung

• Die Blockierung der Datei liegt am fehlenden EV-Codesignaturzertifikat, nicht an einem Virus
• Alle Build-Artefakte werden automatisch von GitHub Actions generiert, Prozess transparent und prüfbar
• Benutzer können das Problem durch Hinzufügen zur Whitelist oder eigene Kompilierung lösen
• Der Kauf eines EV-Zertifikats löst es an der Wurzel, stellt aber für ein gemeinnütziges Projekt eine finanzielle Belastung dar

Vielen Dank für Ihr Verständnis und Ihre Unterstützung!