Virenschutz und Endpoint-Schutz
Virenschutz und Endpoint Security für kleine Betriebe: was klassische Scanner leisten, wann EDR sinnvoll ist und warum jemand die Warnungen lesen muss.
Endpoint Security bezeichnet den Schutz der Geräte, an denen gearbeitet wird: Arbeitsplatzrechner, Laptops, Server und Smartphones. Klassischer Virenschutz ist ein Teil davon. Moderne Lösungen erkennen nicht nur bekannte Schadsoftware, sondern auch verdächtiges Verhalten, etwa wenn ein Programm plötzlich massenhaft Dateien verschlüsselt.
Reicht der eingebaute Schutz?
Aktuelle Betriebssysteme bringen bereits einen Virenschutz mit. Für viele kleine Betriebe ist er eine brauchbare Grundlage, wenn er aktiv, aktuell und zentral überwacht ist. Der Haken liegt meist nicht im Produkt, sondern darin, dass niemand die Warnungen sieht oder dass einzelne Geräte gar nicht geschützt sind, ohne dass es auffällt.
Was wirklich zählt
- Auf allen Geräten ist ein Schutz aktiv, auch auf Servern und Laptops außer Haus.
- Die Erkennung von verdächtigem Verhalten und die Cloud-Funktionen sind eingeschaltet.
- Warnungen laufen an einer Stelle zusammen, und eine benannte Person reagiert darauf.
- Mitarbeitende können den Schutz nicht abschalten.
Der nächste Schritt
Fragen Sie Ihre IT, ob es eine zentrale Übersicht gibt, auf welchen Geräten der Schutz aktiv ist, und wer die Warnungen liest, auch abends und am Wochenende. Wenn die Antwort unklar ist, ist das wichtiger als die Frage nach dem besten Produkt.
Begriffe
- Virenschutz (Antivirus): erkennt Schadprogramme anhand von Signaturen und Heuristiken und blockiert oder entfernt sie.
- Endpoint Protection Platform (EPP): erweitert den Virenschutz um Funktionen wie Exploit-Schutz, Web-Schutz, Gerätekontrolle und zentrale Verwaltung.
- Endpoint Detection and Response (EDR): zeichnet Ereignisse auf den Geräten auf, erkennt verdächtige Abläufe und erlaubt Gegenmaßnahmen wie das Isolieren eines Geräts aus der Ferne.
- Managed Detection and Response (MDR): ein Dienstleister überwacht die Meldungen rund um die Uhr und reagiert.
Im IT-Grundschutz-Kompendium beschreibt der Baustein OPS.1.1.4 «Schutz vor Schadprogrammen» die Anforderungen. In der DIN SPEC 27076 bildet der Schutz vor Schadprogrammen einen eigenen Themenbereich.
Was Endpoint Security leisten muss
Erkennung jenseits von Signaturen
Neue Varianten von Schadsoftware, insbesondere Ransomware, werden häufig nicht über lokale Signaturen erkannt. Das BSI empfiehlt deshalb in seinen Top-10-Maßnahmen gegen Ransomware, die verhaltensbasierten Module und die Cloud-Dienste der Schutzsoftware zu aktivieren. Diese Funktionen sind bei manchen Produkten standardmäßig ausgeschaltet oder werden aus Leistungsgründen deaktiviert.
Schutz vor Manipulation
Angreifer versuchen gezielt, Schutzsoftware abzuschalten, bevor sie verschlüsseln. Ein Manipulationsschutz verhindert, dass lokale Benutzer oder Schadprogramme den Schutz deaktivieren oder Ausnahmen setzen. Änderungen sollten nur über die zentrale Verwaltung möglich sein.
Zentrale Verwaltung und Überwachung
Bei mehr als einer Handvoll Geräte ist eine zentrale Konsole unverzichtbar. Sie zeigt, welche Geräte geschützt sind, welche veraltete Signaturen haben und wo Funde gemeldet wurden. Ein Gerät, das sich seit Tagen nicht gemeldet hat, ist ein Warnsignal.
Reaktion
Eine Meldung nützt nur, wenn jemand reagiert. Legen Sie fest, wer Warnungen erhält, in welcher Zeit reagiert wird und was bei einem bestätigten Fund passiert: Gerät isolieren, Ursache klären, Passwörter ändern, bei Bedarf neu aufsetzen.
Eingebauter Schutz, Zusatzprodukt oder EDR?
Eingebauter Schutz
Moderne Betriebssysteme bringen einen Virenschutz mit, der regelmäßig aktualisiert wird. Für kleine Betriebe mit wenigen Geräten kann das genügen, wenn er zentral verwaltet und überwacht wird, etwa über die Geräteverwaltung eines Cloud-Dienstes.
Business-Produkte mit EPP-Funktionen
Sinnvoll, wenn eine einheitliche Verwaltung über verschiedene Betriebssysteme gebraucht wird, zusätzliche Funktionen wie Gerätekontrolle oder Web-Filter gewünscht sind oder der eingebaute Schutz nicht zentral verwaltet werden kann.
EDR und MDR
EDR erhöht die Chance, einen Angriff zu erkennen, bevor verschlüsselt wird, setzt aber voraus, dass jemand die Meldungen auswertet. Ohne eigenes Personal ist ein Managed-Dienst oft die realistische Variante. Für Betriebe mit sensiblen Daten oder hoher Abhängigkeit von der IT lohnt sich die Prüfung.
Ergänzende Maßnahmen
Endpoint Security ist eine von mehreren Schutzschichten und ersetzt keine anderen Maßnahmen:
- Updates: Schutzsoftware hilft wenig gegen Angriffe über ungepatchte Lücken.
- Keine Administratorrechte im Alltag: begrenzt, was Schadsoftware anrichten kann.
- Makros blockieren und ausführbare Programme einschränken: Das BSI empfiehlt, das Ausführen unerwünschter Software zu verhindern, etwa durch Application Whitelisting oder zumindest durch Beschränkung auf Verzeichnisse, in die Benutzer nicht schreiben dürfen.
- E-Mail-Filter: viele Schadprogramme kommen über Anhänge.
- Backups: falls doch etwas durchkommt.
Server und Sonderfälle
Auch Server brauchen Schutz, wobei Ausnahmen für Datenbanken oder Backup-Verzeichnisse nach Herstellerangaben gesetzt werden. Ausnahmen sollten so eng wie möglich sein und dokumentiert werden, denn Angreifer nutzen bekannte Ausnahmeverzeichnisse gezielt. Für Smartphones und Tablets übernimmt in der Regel das Mobile Device Management die Sicherheitskonfiguration; zusätzliche Schutz-Apps sind je nach Plattform und Einsatz abzuwägen.
Auswahl und Einführung
Anforderungen klären
Bevor Sie ein Produkt wählen, klären Sie: Welche Betriebssysteme sind im Einsatz? Wie viele Geräte arbeiten außerhalb des Firmennetzes? Wer soll die Meldungen auswerten, intern oder ein Dienstleister? Welche Daten überträgt die Lösung in die Cloud des Herstellers, und ist das mit Ihren Datenschutzanforderungen vereinbar?
Einführung
Neue Schutzsoftware wird zunächst auf wenigen Geräten getestet, damit Konflikte mit Branchensoftware früh auffallen. Danach wird sie zentral verteilt, die alte Lösung vollständig entfernt und der Manipulationsschutz aktiviert. Zum Abschluss wird geprüft, ob wirklich alle Geräte in der Konsole erscheinen, einschließlich Servern und selten genutzter Laptops.
Laufender Betrieb
Einmal im Monat lohnt ein kurzer Blick auf drei Werte: Geräte ohne aktuelle Meldung, Geräte mit abgeschaltetem Schutz und offene Funde. Ein Gerät, das in keiner Liste auftaucht, ist meist das eigentliche Risiko.
Typische Fehler
- Mehrere Virenschutzprodukte gleichzeitig, die sich gegenseitig stören.
- Großzügige Ausnahmen, etwa ganze Laufwerke, um Performance-Probleme zu lösen.
- Warnmeldungen gehen an ein Postfach, das niemand liest.
- Laptops, die selten im Firmennetz sind, erhalten keine Aktualisierungen, weil die Verwaltung nur intern erreichbar ist.
- Nach einem Fund wird nur die Datei gelöscht, ohne zu klären, wie sie auf das Gerät kam.
Häufige Fragen
Reicht Microsoft Defender für ein kleines Unternehmen?
Der in Windows eingebaute Schutz kann für kleine Betriebe eine brauchbare Grundlage sein, wenn er aktiv, aktuell, gegen Manipulation geschützt und zentral überwacht ist. Entscheidend ist, dass jemand auf Warnungen reagiert.
Was ist der Unterschied zwischen Virenschutz und EDR?
Virenschutz erkennt und blockiert Schadprogramme. EDR zeichnet zusätzlich Abläufe auf den Geräten auf, erkennt verdächtiges Verhalten und erlaubt Gegenmaßnahmen, setzt aber voraus, dass jemand die Meldungen auswertet.
Brauchen Server einen Virenschutz?
Ja. Auch Server können über Freigaben, Fernzugänge oder kompromittierte Konten befallen werden. Ausnahmen für Datenbanken oder Backups sollten eng gefasst und dokumentiert sein.