reicht es nur den browser aktuell zu halten?

Nein. Im Grunde muss jede installierte Software aktuell sein. Um unsichere alte Apps zu finden wird dir das hier helfen => http://www.trojaner-board.de/83959-s...ector-psi.html

Und wie lange dauert es ca. So ein schadcode zu schreiben? Entdeckt ein AV überhaupt einen solchen selbtgeschriebenen code?

Kann man nie pauschal sagen. Das kommt auf das Programm und dessen Verbreitung ein Stück weit auch drauf an.
Ob ein Virenscanner neuen Schadcode findet ist reine Glückssache, die Chancen stehen aber gerade bei neuem Schadcode schlecht.

Ja aber woher will der angreifer wissen welche porgramme man installiert hat?