Um schädliche Software zu erkennen, hat jeder Virenscanner eine Liste mit Mustern aller ihm bekannten Viren und anderer schädlicher Software (Virensignaturen oder auch Pattern genannt), mit der er die zu überprüfende Software vergleicht. Stimmt eine Datei oder der Teil einer Datei mit einem Muster aus der Liste überein, werden Schritte zur Neutralisierung und gegebenenfalls zur Reparatur der infizierten Datei sowie zur Beseitigung der schädlichen Software unternommen. Da ständig neue Viren und Würmer im Umlauf sind, müssen die entsprechenden Listen ständig aktualisiert werden. Diese Art der Erkennung wird daher auch als reaktiv bezeichnet. Erwirbt man ein Antivirenprogramm, so beinhaltet dies meist Aktualisierungen für Virensignaturen für einen bestimmten Zeitraum (ein, zwei oder drei Jahre). Wird ein Virensignatur-basiertes Antivirenprogramm über mehrere Wochen oder gar Monate nicht aktualisiert, ist es faktisch wertlos und kann allenfalls noch einen Grundschutz bieten. Um dies zu verhindern, bieten viele Programme automatische Update-Routinen und entsprechende Hinweise auf zu alte Signaturen oder darauf, dass die Lizenz in Kürze abläuft.

Unter einer Scanengine versteht man den Programmteil eines Virenscanners, der für die Untersuchung eines Computer oder Netzwerkes auf schadhafte Software Malware verantwortlich ist. Eine Scanengine ist somit unmittelbar für die Effizienz von Antivirensoftware verantwortlich. Für gewöhnlich sind Scanengines Softwaremodule, die unabhängig vom Rest eines Virescanners aktualisiert und eingesetzt werden können.

Es gibt Antivirensoftware, welche neben der eigenen Scanengine auch lizenzierte Scanengines anderer AV-Unternehmen einsetzt. Durch den Einsatz mehrerer Scanengines kann zwar die Erkennungsrate theoretisch gesteigert werden, jedoch führt dies immer zu drastischen Performance-Verlusten. Es bleibt daher fragwürdig, ob sich Virenscanner mit mehreren Scanengines als sinnvoll erweisen. Das hängt vom Sicherheitsanspruch bzw. dem Anspruch an System-Performance ab und muss von Fall zu Fall entschieden werden.

Die Leistungsfähigkeit eines signaturbasierten Antivirenscanners bei der Erkennung von schädlichen Dateien hängt nicht nur von den verwendeten Virensignaturen ab. Oftmals werden die ausführbaren Dateien vor ihrer Verbreitung so gepackt, dass sie sich später selbst entpacken können --> Laufzeitkomprimierung. So kann ein eigentlich bekannter Virus der Erkennung durch manche Scanner entgehen, weil sie nicht in der Lage sind, den Inhalt des laufzeitkomprimierten Archives zu untersuchen.

Bei diesen Scannern kann nur das Archiv als solches in die Signaturen aufgenommen werden. Wird das Archiv neu gepackt (ohne den Inhalt zu ändern), müsste dieses Archiv ebenfalls in die Signaturen aufgenommen werden. Ein Scanner mit der Fähigkeit möglichst viele Formate zu entpacken zu können ist hier im Vorteil, weil er den Inhalt der Archive untersucht. Somit sagt auch die Anzahl der verwendeten Signaturen noch nichts über die Erkennungsleistung aus