Klassischer Virenschutz vergleicht Dateien mit einer Liste bekannter Schädlinge. Das funktioniert gut — aber erst, wenn ein Schädling bekannt ist. Zwischen dem ersten Auftreten und dem Eintrag in die Liste liegen Stunden.
Genau diese Lücke meint der Begriff. Zero-Hour-Protection versucht, einen unbekannten Schädling an seinem Verhalten zu erkennen statt an einem Listeneintrag: eine Datei, die sich selbst entpackt, ein Anhang, der Makros mitbringt, eine Verbindung zu einem Server, den es erst seit gestern gibt.
Praktisch läuft das oft so, dass verdächtige Dateien in einer abgeschotteten Umgebung geöffnet und beobachtet werden, bevor sie zugestellt werden. Was sich dort unauffällig verhält, geht durch; alles andere bleibt liegen.
Ein Versprechen ist das nicht. Verhaltenserkennung liegt manchmal daneben, und zwar in beide Richtungen — sie hält Harmloses auf und lässt Neues durch. Sie verkürzt die Zeit, in der man ungeschützt ist; sie beseitigt sie nicht.