Was ist eigentlich eine Sandbox?

G DATA Ratgeber

Nicht jedes Programm ist vertrauenswürdig und sollte sofort auf dem System ausgeführt werden. Es gibt jedoch Möglichkeiten, ein Programm zwar auszuführen, ihm aber trotzdem den Zugang zum System zu verwehren – die Rede ist von der so genannten Sandbox. Was das ist und wie sie funktioniert, darum geht es in diesem Artikel.

Wenn Sie die Wahl hätten, wo würden Sie die Kinder eines Bekannten oder Ihre Enkel eher unbeaufsichtigt spielen lassen: in einem Raum voll teurer und empfindlicher Technik oder im Sandkasten? Falls Sie sich für letzteres entschieden haben, dann sind Sie in guter Gesellschaft. Im Sandkasten gibt es nur wenig, was kaputtgehen kann, und das wenige, das kaputtgehen kann, ist schnell und mit wenig Kosten ersetzt. Im Internet existieren zahlreiche Videoclips von Kindern, die sich im heimischen Wohnzimmer ihre eigenen Beschäftigungen suchen und dann zum Beispiel großzügig Handcreme oder Fingerfarbe auf den teuren Flachbild-Fernseher, die Möbel oder anwesende Haustiere schmieren, das gerade gefundene Smartphone mit vollem Elan auf den Fliesenboden schmettern - oder auch die eigene Frisur mit der Bastelschere bearbeiten.

Ein idealer Kinderspielplatz sieht anders aus. Wenn es das Wetter erlaubt und ein solcher in der Nähe ist, dann geben manche Eltern sicher eher dem Sandkasten den Vorzug.

Auch Programme können im Computer ein heilloses Chaos anrichten und zu teuren Schäden führen, wenn man es unbeobachtet lässt. Anders jedoch als Eltern, die gerade dann besonders hellhörig sind, wenn es „verdächtig still“ ist, kann man auf dem PC nur schwer nach dem Rechten sehen und nachvollziehen, was eine Software gerade tut. Für genau diese Zwecke gibt es virtuelle Sandkisten, die mit dem englischen Begriff „Sandbox“ bezeichnet werden. Das Prinzip ist dasselbe: Hier können sich Programme in aller Ruhe austoben. Und wenn ein Programm dann doch einmal „Amok läuft“, entstehen keine Schäden. Wer ein Programm kennt und ihm vertraut, kann es auch ohne den Umweg über die virtuelle Sandkiste ins System lassen. Unbekannte Programme sollten jedoch erst einmal in die Sandbox geschickt werden – dort kann man beobachten, ob sich das Programm benimmt.

Wie komme ich an eine Sandbox?

Es gibt mehrere Wege, eine Sandbox auf Ihrem Computer zu installieren. Außerdem kann eine Sandbox auf verschiedenen Ebenen Ihres Betriebssystems einen Schutz vor Schadprogrammen bieten. Es gibt Sandboxes, die innerhalb eines Programms erzeugt werden. Windows 10 und Windows 10 Pro liefern die Windows-Sandbox zum Beispiel gleich mit. Das Prinzip der Sandbox ist eigentlich immer das gleiche: Der zu prüfenden Software wird vorgegaukelt, sie würde auf einem ganz normalen PC ausgeführt. Dabei wird das Programm aber in einem vom Rest des Betriebssystems komplett isolierten Bereich betrieben. Alle Programme, die in der Sandbox ausgeführt werden, erhalten keine Zugriffsberechtigung auf dem echten Computer. So können keine Dateien (zum Beispiel Systemdateien von Windows) verändert, gelöscht oder überschrieben werden. Sie sehen also die vollen Auswirkungen, die die Installation und der Betrieb einer Software auf den PC haben, ohne dabei ein Risiko einzugehen, ihre Hardware oder ihr Betriebssystem ernsthaft zu beschädigen. Hier eine kurze Info zur Windows Sandbox von Microsoft: Jeder der Windows 10 benutzt, kann die Windows Sandbox sofort ausprobieren.

Sandbox auf Windows

Bei Windows 10 ab der Version 1903 und Build 18305 ist die Sandbox direkt in das Betriebssystem integriert. Hier eine Schritt-für-Schritt-Anleitung für die Windows Sandbox bei Windows 10 / Windows 10 Pro. Voraussetzung ist natürlich, dass Ihre Version von Windows aktuell ist.

1. Aktivieren Sie im BIOS die Virtualisierung und starten Sie Windows 10 neu.

2. Wählen Sie in der Systemsteuerung unter „Programme“ den Punkt: „Windows-Features aktivieren oder deaktivieren“. Ein Klick auf die Schaltfläche „Windows Sandbox“ und nochmal neustarten. 

3. Jetzt finden Sie bei der Programmsuche die Möglichkeit Windows Sandbox anzuklicken.

4. Beim starten des Programms öffnet sich ein weiteres Fenster, welches dann einen weiteren Windows 10 Desktop anzeigt

5. Laden Sie ein Programm aus dem Internet in der Windows Sandbox herunter. Installieren Sie nun das Programm in ihrer Windows Sandbox. Starten Sie es und schauen was passiert.]

Was sind die Vorteile einer Sandbox?

Da in einer Sandbox der Zugriff auf die echten Ressourcen ihres Rechners verwehrt bleibt, ergeben sich gleich mehrere Vorteile. Der wichtigste Vorteil ist, dass keine Veränderungen am Betriebssystem möglich sind (etwa in der Registry, also der Systemdatenbank). Damit haben es Schadprogramme deutlich schwerer, sich auf dem PC einzunisten. Verschiedene Programme können sogar gleichzeitig in mehreren Sandboxen getestet werden und beeinflussen sich nicht gegenseitig. Ein weiterer Vorteil in großen Netzwerkumgebungen ist, dass auch der Zugriff auf Daten durch die geschützte Umgebung abgeriegelt ist. Somit kann ein Schadprogramm auch nicht ohne weiteres etwa auf unternehmenskritische Informationen zugreifen. Sogar der gesamte Internetzugriff lässt sich in diesen Umgebungen in eine Sandbox umleiten. Auf diesem Weg haben auch nachträglich aus dem Netz heruntergeladene Schadkomponenten eine wesentlich geringere Chance, das Betriebssystem zu erreichen und werden schon vorher abgeblockt.

Wie sicher ist eine Sandbox?

Da die Windows Sandbox bei Windows 10 / Windows 10 Pro direkt mitgeliefert wird, kann man sich denken, dass die Technik bereits weit verbreitet ist. Sandboxsysteme gibt es tatsächlich schon seit den siebziger Jahren. Auch Cyberkriminelle haben sich natürlich bereits mit dem Thema auseinandergesetzt und können auf verschiedenen Wegen eine Sandbox umgehen. Zum Beispiel kann der Schadcode sein Verhalten ändern und harmlos aussehen lassen, sobald er weiß, dass er gerade in einer Sandbox ausgeführt wird – gewissermaßen wie der „Wolf im Schafspelz“.

Eine virtuelle Maschine bietet die größte Sicherheit, da hier ein komplettes Betriebssystem simuliert wird. Malware hat es hier sehr schwer, echten Schaden anzurichten, auch wenn es nicht absolut unmöglich ist. Der Nachteil ist, dass dies der aufwändigste Weg ist und am meisten Rechenkapazität erfordert. Es gibt zwar Open-Source-Projekte, die hier genutzt werden können, aber die Lernkurve ist vor allem für Laien recht steil. Microsoft hat mit der Windows Sandbox eine für Anwender am leichtesten zugängliche Lösung entwickelt - für Apple und Linux gibt es natürlich ebenfalls solche Lösungen, auf die wir hier jedoch nicht weiter eingehen. Die Prinzipien sind jedoch immer dieselben, vollkommen unabhängig von der Plattform.