Antivirenprogramme können infizierte Dateien im Ordner "_Restore" nicht bereinigen

Wenn Sie ein Antivirenprogramm ausführen, erhalten Sie eventuell einen Bericht, der anzeigt, dass eine oder mehrere Dateien in den Ordnern "_Restore\Temp" oder "_Restore\Archive" einen Virus enthalten oder mit einem Virus infiziert sind. Außerdem kann Ihr Antivirenprogramm melden, dass es nicht möglich ist, den Virus aus der Datei oder den Dateien zu entfernen.

Dieses Verhalten ist darauf zurückzuführen, dass die Systemwiederherstellungsfunktion in Windows Millennium Edition (Me) alle Ordner und Dateien im Ordner "_Restore" auf der Windows Me-Systempartition schützt. Dieser Ordner und all seine Unterordner sind der Datenspeicher, den die Systemwiederherstellung dazu nutzt, das Betriebssystem Ihres Computers auf einen früheren Stand zurückzusetzen.

Zwar können manche Antivirenprogramme mit Dateien arbeiten, die komprimiert oder im .zip- oder .cab-Dateiformat gespeichert wurden, jedoch lässt die Systemwiederherstellungsfunktion nicht zu, dass diese Programme die Dateien im Datenspeicher ändern. Der Datenspeicher ist aus Gründen der Datenintegrität geschützt, und die Systemwiederherstellungsfunktion ist die einzige Möglichkeit, Zugriff auf den Datenspeicher zu erhalten. Deshalb kann das Antivirenprogramm den Virus nicht aus der Datei oder den Dateien im Datenspeicher entfernen. Die Dateien im Datenspeicher sind inaktiv und können nur von der Systemwiederherstellung verwendet werden.

Wenden Sie das geeignete Verfahren an, um dieses Problem zu umgehen:

Verwenden der FIFO-Funktion (First In First Out)

Die FIFO-Routine löscht die ältesten Wiederherstellungspunkte, damit neuere, aktuellere Wiederherstellungspunkte im Datenspeicher hinzugefügt werden können. FIFO wird automatisch gestartet, wenn die Gesamtgröße der Dateien im Datenspeicher 90 Prozent der Maximalgröße des Datenspeichers erreicht. Die Systemwiederherstellung löscht zuerst die ältesten Dateien, bis die Dateien im Datenspeicher nicht mehr als 50 Prozent der Maximalgröße des Datenspeichers in Anspruch nehmen.

Wenn die Maximalgröße des Datenspeichers z.B. 400 MB beträgt, sind 90 Prozent davon 360 MB, und 50 Prozent entsprechen 200 MB. Wenn die Größe des Datenspeichers beim Anzeigen der Eigenschaften des Ordners "_Restore" 200 MB beträgt, so sind dies 50 Prozent der Maximalgröße. Bei Änderung der Größe des Datenspeichers auf die Mindestgröße von 200 MB wird die FIFO-Routine aktiv, wenn Sie auf Übernehmen klicken.

Hinweis: Wenn die Größe des Datenspeichers weniger als 90 Prozent (180 MB) des Mindestwertes (200 MB) beträgt, hat das Ändern der Größe keinen Einfluss auf die Löschung von Wiederherstellungspunkten. Bei diesem Szenario muss die Anwendung der in diesem Artikel beschriebenen Methoden gut überlegt sein.

Über einen bestimten Zeitraum löscht der Datenspeicher Wiederherstellungspunkte auf FIFO-Basis, wenn seine Maximalgröße erreicht wird. Es gibt ein paar Szenarien, in denen FIFO dazu verwendet werden kann, ältere Wiederherstellungspunkte zu löschen, um neuere Wiederherstellungspunkte auf dem Computer zu behalten.

FIFO-Methode 1

Es sind keine Maßnahmen erforderlich, wenn das System bereinigt wurde und das Antivirenprogramm nur für den Datenspeicher verdächtige Dateien meldet. Bis alle infizierten Daten durch die FIFO-Routine gelöscht sind, kann das Antivirenprogramm weiterhin melden, dass es infizierte Dateien im Datenspeicher gibt, auf die es keinen Zugriff hat.

FIFO-Methode 2

Sie können das Löschen älterer Wiederherstellungspunkte durch die FIFO-Funktion auslösen, indem Sie die Größe des Datenspeichers ändern. Gehen Sie folgendermaßen vor, um die Größe des Datenspeichers über die Systemwiederherstellungsfunktion zu ändern:

1. Zeigen Sie die Eigenschaften des Ordners "_Restore" an, um das Volumen der Daten im Datenspeicher zu ermitteln. So können Sie herausfinden, ob eine Änderung der Größe eine Auswirkung auf den Datenspeicher hat. Wenn der Datenspeicher weniger als 90 Prozent (180 MB) des Mindestwerts (200 MB) in Anspruch nimmt, hat diese Methode keinen Einfluss auf die Löschung von Wiederherstellungspunkten. Wenn selbst bei Minimaleinstellungen weniger als 90 Prozent des Datenspeichers genutzt wird, sollten Sie in Erwägung ziehen, FIFO-Methode 1 anzuwenden oder die Methode zum manuellen Bereinigen des Datenspeichers, die weiter unten in diesem Artikel beschrieben wird.
2. Klicken Sie auf Start, zeigen Sie auf Einstellungen, und klicken Sie auf Systemsteuerung.
3. Doppelklicken Sie auf System und anschließend auf die Registerkarte Leistung.
4. Klicken Sie auf Dateisystem.
5. Ändern Sie die Position des Schiebereglers Speicherplatzverwendung für Systemwiederherstellung auf den niedrigeren Wert, und klicken Sie auf Übernehmen.
   
   Sie können den Schieberegler Speicherplatzverwendung für Systemwiederherstellung dazu verwenden, einen Mindestwert, einen maximalen Wert oder einen Wert dazwischen als Speicherplatz für den Datenspeicher zuzuweisen. Durch das Ändern des Schiebereglers auf einen niedrigeren Wert wird der Wert geändert, der die FIFO-Routine auslöst. Sie müssen den Computer eventuell neu starten, damit Änderungen wirksam werden.
6. Klicken Sie auf OK und dann nochmals auf OK, um das Dialogfeld Systemeigenschaften zu schließen.
7. Durchsuchen Sie den Computer mit dem Antivirenprogramm, um sich zu vergewissern, dass die durch einen Virus infizierten Dateien aus dem Datenspeicher gelöscht wurden. Wenn es weiterhin infizierte Dateien im Datenspeicher gibt, wiederholen Sie die oben beschriebenen Schritte und verringern Sie die Größe des Datenspeichers, bis er keine infizierten Dateien mehr enthält.
   
   Sie können auch über die Kalenderseite in der Systemwiederherstellung anzeigen, wie weit zurück die Wiederherstellungspunkte gelöscht wurden.
8. Nachdem die infizierten Dateien mit diesem Verfahren aus dem Datenspeicher gelöscht worden sind, setzen Sie den Schieberegler auf die ursprüngliche Größe bzw. die geeignete Größe zurück, klicken Sie auf OK, um alle offenen Fenster zu schließen, und starten Sie Ihren Computer neu.

Wenn der Datenspeicher weiterhin eine infizierte Datei enthält, nachdem Sie seine Größe auf die Minimalgröße geändert haben, können Sie entweder warten, bis die FIFO-Routine die Dateien entfernt hat (FIFO-Methode 1), oder Sie können das Verfahren zum manuellen Bereinigen des Datenspeichers anwenden, das im Folgenden beschrieben wird.

Manuelles Bereinigen des Datenspeichers

Wenn Sie die infizierte Datei bzw. die infizierten Dateien vollständig und sofort aus dem Datenspeicher entfernen möchten, deaktivieren Sie die Systemwiederherstellungsfunktion und aktivieren Sie sie anschließend wieder.

Warnung: Durch die folgende Vorgehensweise werden alle Wiederherstellungspunkte vollständig aus dem Datenspeicher entfernt. Verwenden Sie diese Methode nicht, wenn das Probleme zur Folge hat. Wenn Sie die Systemwiederherstellungsfunktion wieder aktivieren, erstellt sie einen neuen Wiederherstellungspunkt und nimmt die Überwachung Ihres Computers wieder auf.

1. Klicken Sie auf Start, zeigen Sie auf Einstellungen, und klicken Sie auf Systemsteuerung.
2. Doppelklicken Sie auf System und anschließend auf die Registerkarte Leistung.
3. Klicken Sie auf Dateisystem und anschließend auf die Registerkarte Problembehandlung.
4. Aktivieren Sie das Kontrollkästchen Systemwiederherstellung deaktivieren, klicken Sie auf Übernehmen, deaktivieren Sie das Kontrollkästchen Systemwiederherstellung deaktivieren, klicken Sie auf Übernehmen und anschließend auf OK.
5. Starten Sie den Computer neu, wenn Sie dazu aufgefordert werden. Beim Neustart des Computers wird der Inhalt des Datenspeichers gelöscht, und die Systemwiederherstellungsfunktion nimmt die Überwachung des Systems wieder auf.

Es handelt sich hierbei um ein beabsichtigtes Verhalten.

Der Ordner "_Restore" ist standardmäßig geschützt und verhindert, dass Programme die Dateien in diesem Ordner verwenden oder ändern. Die Dateien im Datenspeicher sind inaktiv und werden ausschließlich von der Systemwiederherstellung genutzt.

Die Systemwiederherstellungsfunktion ist nicht darauf ausgelegt, Virusinfektionen oder Virusaktivitäten zu erkennen oder danach zu suchen. Die meisten Viren greifen Dateien mit Erweiterungen wie z.B. .exe oder .com an. Diese Dateitypen werden von der Systemwiederherstellung überwacht.

Hinweis: Wenn Sie Ihren Computer auf einen älteren Stand zurücksetzen, an dem Sie kein Antivirenprogramm installiert hatten, müssen Sie ein Antivirenprogramm installieren und alle Dateien bereinigen, die wiederherstellt wurden und infiziert sind.