So, dann fasse ich das Ergebnis der Diskussion mal zusammen:

1.) Es gibt außer Choco kein vertrauenswürdiges Tool, das mir beim Updaten bzw. beim finden der veralteten SW hilft
2.) Hashes von Downloads zu erzeugen und zu vergleichen setzt auch voraus, dass man u.U. die richtige Herstellerseite findet und dort auch die passenden Original Hashes. Das ist aufwändig.
3.) Die Herstellerseite kann man über Heise.de finden, ohne von dort herunterzuladen. Das ist aber auch umständlich.
4.) Ausgehend von der Ausgangsfrage nach Tool-Unterstützung: Nach etwas Anfangsaufwand mit der Einrichtung ist Chocolatey das aktuelle Mittel der Wahl. Sowohl aus Vertrauens- als auch aus Aufwandsgründen. Spätestens wenn man das dritte Mal seine diversen Programme geupdated hat. Voraussetzung: Choco stellt das gewünschte Programm zur Verfügung.

Danke bis hierhin

Hier hätten wir noch eine kommerzielle Variante SUMo
Ich hab das mal probiert aber für mich würde sich nur die pro Variante lohnen und das ist mir das Tool nicht wert. Choco macht das besser und schlanker.

Ja, SUMo hatte ich beim Opening schon mal in den Ring geworfen:

Zitat von LordSoth

Welche Tools (neben Chocolatey) sind denn empfehlenswert (falls es noch was gibt) ?
Secunia PSI --> eingestellt bzw. nicht mehr gepflegt. K.A. wie gut das war.
SUMo Software Update Monitor --> Die .exe ist wohl umstritten wegen Spyware.

Das Zip (portable) habe ich mir die Tage mal besorgt. Allerdings muss man bei der Freeware jede SW einzeln updaten. Außerdem - und das ist vielleicht der größte Nachteil - kann man sich bei den erkannten alten Versionen von Programmen nur auf die Seite von SUMo verlinken lassen. Der Link auf die Herstellerseite funktioniert nur in der Vollversion.

Leider kann ich das gerade nicht belegen, aber bei Tests mit SW auf meinem Rechner bin ich über SUMo auch auf einer gefälschten Seite gelandet und nicht beim Hersteller selbst. Das wäre dann wahrhaft kontra. Vielleicht kann ich das nochmals nachstellen...

Zitat von LordSoth

1.) Es gibt außer Choco kein vertrauenswürdiges Tool, das mir beim Updaten bzw. beim finden der veralteten SW hilft

Ja und? Microsoft ist ja warum auch immer nicht in der Lage eine Paketverwaltung in Windows einzubauen. Jetzt sagen einige, dass es ja den Store gäbe - ein Store ist aber keine Paketverwaltung.

Zitat von LordSoth

2.) Hashes von Downloads zu erzeugen und zu vergleichen setzt auch voraus, dass man u.U. die richtige Herstellerseite findet und dort auch die passenden Original Hashes. Das ist aufwändig.

Das braucht man doch garnicht wenn man choco verwendet.
Um den Hash zu erzeugen kann man bei kleineren Dateien auch diese einfach bei Virustotal hochladen. Oder man verwendet sowas wie HashCheck, dann man man ohne großen Aufwand verschiedene Prüfsummen und muss dann nur noch danach googlen.

Zitat von LordSoth

3.) Die Herstellerseite kann man über Heise.de finden, ohne von dort herunterzuladen. Das ist aber auch umständlich.

Ja es gibt aber keinen einfacheren Weg wenn man das nicht mit chocolatey machen will, agesehen vllt noch über den Store. Genau das ist ja doch ein riesiger Kritikpunkt an Windows und das beste Beispiel dafür, dass es sehr viel frickliger sein kann als so manche Linux-Distri.

Zitat von LordSoth

4.) Ausgehend von der Ausgangsfrage nach Tool-Unterstützung: Nach etwas Anfangsaufwand mit der Einrichtung ist Chocolatey das aktuelle Mittel der Wahl. Sowohl aus Vertrauens- als auch aus Aufwandsgründen. Spätestens wenn man das dritte Mal seine diversen Programme geupdated hat. Voraussetzung: Choco stellt das gewünschte Programm zur Verfügung.

Man muss übrigens auch nicht verbissen an Windows festhalten!
choco ist doch nur aus Not entstanden, dass Windows eben sehr rückschrittlich ist wegen der fehlenden Paketverwaltung, welche ja auch der Nährboden für chip.de, softonic und anderen Arschlochseiten wie vlc.de oder audacity.de ist

Jetzt mache ich gerade mich Choco Experimente und gleich beim ersten Install habe ich eine Bauchlandung hingelegt

SW dich ich installieren wollte: ImgBurn. Die hatte ich eh schon aktuell auf dem Rechner und hab sie runter geschmissen im Choco zu testen. Offenkundig habe ich mir damit eine Adware "Fusion.Core" installiert. MBAM hat sie in Quarantäne verschoben:

Malwarebytes
www.malwarebytes.com

-Protokolldetails-
Datum des Schutzereignisses: 08.10.20
Uhrzeit des Schutzereignisses: 21:48
Protokolldatei: 3d17f14c-099f-11eb-b31b-0019dbceb1e2.json

-Softwaredaten-
Version: 4.2.1.89
Komponentenversion: 1.0.1045
Version des Aktualisierungspakets: 1.0.30998
Lizenz: Testversion

-Systemdaten-
Betriebssystem: Windows 10 (Build 19041.508)
CPU: x64
Dateisystem: NTFS
Benutzer: System

-Einzelheiten zu blockierter Schadsoftware-
Datei: 1
Adware.FusionCore, C:\Users\LordSoth\AppData\Local\Temp\chocolatey\nsx5A5B.tmp\Fusion.dll, In Quarantäne, 7411, 770512, 1.0.30998, , ame, , D0DF65AB1C0329C8DEF7D508A3D931B9, C45C0A75B482AE7A12EA2DEB21ED4838A463EC89F373AC03B4D988C5C4FB34FC


(end)
         

Erst nach der MBAM-Meldung habe ich auf Cocolatey.org die Virus Scan Results aufgeklappt und genau gelesen. Das Package war vom Moderator geprüft, kommt aber trotzdem mit Funden in 67 AV Engines daher (s. Anhänge).

Fazit für mich: Mit Choco was zu über CMD ungeprüft was zu installieren (und zu updaten?), ohne vorher auf der Seite genau hinzuschauen ist auch riskant!

Das sollte vielleicht Eingang in die Doku finden.

ImgBurn 2.5.8.20170708
Last Update:
10 Jul 2017

ferventcoder Admin • 3 years ago
The software intaller (ImgBurn) flags AntiVirus (AV) on OpenCandy crapware/malware, although the Chocolatey package uses an install argument not to install it. That depends on the installer honoring that flag, and so far it appears it has. If that changes, it means removing this package or looking elsewhere.

Normally we want things coming from the original distribution point. However, In this instance, future versions should probably look to mirrors to get the software as they have removed the crapware/malware.

Da hast du dir nun leider das denkbar schlechteste Test-Package ausgesucht...
Allerdings verstehe ich in diesem Fall wirklich nicht, warum es nicht längst entfernt oder der Mirror geändert wurde.

Das kommt weil der Original-Installer eben auch Adware enthalten kann!!!
Da kann choco doch nichts für!

Zitat von Yatagan

Allerdings verstehe ich in diesem Fall wirklich nicht, warum es nicht längst entfernt oder der Mirror geändert wurde.

Keine Ahnung, ob das was bringt, aber ich hab denen gleich eine "abuse" Meldung mit dem Hinweis auf die Adware hingeschickt.

Über choco hab ich bisher nie Adware reinbekommen.

Angeblich läuft - wenn man "Choco Pro" installiert hat, direkt vor dem Download eine VT-Prüfung. Nur habe ich eben kein Pro.

Was halt schade ist, ist dass das "choco upgrade all" einem auf diesem Weg auch ein Ei ins Nest legen kann.

Also doch alles einzeln beim Hersteller updaten ...

Zitat von LordSoth

Was halt schade ist, ist dass das "choco upgrade all" einem auf diesem Weg auch ein Ei ins Nest legen kann.

Also doch alles einzeln beim Hersteller updaten ...

Du hast immer noch nicht begriffen, dass auch das Original-Setup Adware enthalten kann. Und nun willst du uns erklären, dass man besser das vom Hersteller lädt, obwohl choco NICHTS ANDERES macht...

Zitat von cosinus

Du hast immer noch nicht begriffen, dass auch das Original-Setup Adware enthalten kann. Und nun willst du uns erklären, dass man besser das vom Hersteller lädt, obwohl choco NICHTS ANDERES macht...

@LordSoth Sieht man sogar auf deinem Screenshot. Man beachte die Download-Quelle...

Zitat von Yatagan

@LordSoth Sieht man sogar auf deinem Screenshot. Man beachte die Download-Quelle...

Das zeigt eigentlich genau das was ich immer vermutet habe: Viele können einfach nicht die Unterschiede erkennen zwischen Original-Setups mit Adware und Fake-Setups wie zB von audacity.de. Genau diese Schwäche wird von der Werbe- und Junkware-Industrie gnadenlos ausgenutzt.

Zitat von cosinus

Du hast immer noch nicht begriffen, dass auch das Original-Setup Adware enthalten kann. Und nun willst du uns erklären, dass man besser das vom Hersteller lädt, obwohl choco NICHTS ANDERES macht...

Das bestreite ich nicht. Das kann alles sein. Mir ging es auch um Vertrauenswürdigkeit gegenüber den Updates, die man sich installiert. Mit der Non-Pro Version ist das wie ich feststellen musste nicht gegeben.

Das Choco das grundsätzlich kann schreiben sie selber auf der HP:

Chocolatey Pro provides runtime protection from possible malware.

Szenario etwa wie folgt: Man hat einen SW die bei der ersten Installation nachprüfbar i.O. ist und bei irgendeinem Update kommt eine Adware mit drauf. Die würde Choco die dann ohne langes Federlesen drüber bügeln, oder?

Abgesehen davon war ein Hinweis im Thread ja auch:

Bei Software immer das Original von der Herstellerseite laden.

... die man dann auch mit VT prüfen muss.

Die Lektion: Kein Tool kann unter Win10 die eigene Sorgfalt ersetzen.

Zitat von cosinus

Das zeigt eigentlich genau das was ich immer vermutet habe: Viele können einfach nicht die Unterschiede erkennen zwischen Original-Setups mit Adware und Fake-Setups wie zB von audacity.de. Genau diese Schwäche wird von der Werbe- und Junkware-Industrie gnadenlos ausgenutzt.

Was genau meinst Du? Wenn ich "Choco install imgburn" ausführe, habe ich imho keine Chance an der Stelle einen Unterschied zu erkennen.

Wenn ich Choco gerne weiter nutzen will, welche Vorgehensweise schlägst Du vor, um damit einfach sichere SW zu bekommen?

Zitat von LordSoth

Was genau meinst Du? Wenn ich "Choco install imgburn" ausführe, habe ich imho keine Chance an der Stelle einen Unterschied zu erkennen.

Welchen Unterschied? Es wurde die Originaldatei des Herstellers von der offiziellen Webseite heruntergeladen. Der Mist kommt direkt vom Erzeuger. Abgefüllt und originalverkorkst.

Du hättest manuell die gleiche verseuchte Datei heruntergeladen.