Antivirus
und EPP.
Antivirus und Endpoint Protection schützen Endgeräte und Server vor Schadsoftware. Aktuelle Produkte verbinden Signaturen mit Verhaltens- und ML-Erkennung, Exploit-Schutz, Ransomware-Wiederherstellung und Gerätekontrolle und werden zentral über eine Konsole betrieben.
Basisschutz für Endpunkte.
Klassischer Antivirus war Signaturabgleich. Moderne Plattformen blockieren bekannte Malware, verdächtiges Verhalten, Exploit-Techniken und Angriffe, bevor aus einem Endpunkt ein Incident wird.
Die Grenze zu EDR und XDR ist fliessend. Für diese Seite zählt der präventive Anteil: Schutz am Endpunkt, zentrale Verwaltung, Policies, Updatefähigkeit, Offline-Schutz und Integration in den Sicherheitsbetrieb.
EPP und Antivirus verhindern und blockieren. EDR untersucht, rekonstruiert und jagt. XDR verbindet zusätzliche Quellen. Ein Produkt kann mehrere Rollen abdecken, der Vergleich hier bewertet aber den Antivirus- und EPP-Kern.
In der Praxis entscheidet nicht nur Erkennungsrate. Entscheidend sind Fehlalarme, Performance, Plattformabdeckung, zentrale Steuerung, Mandantenfähigkeit und die Frage, ob der Betrieb die Meldungen sinnvoll verarbeitet.
Erkennen, bevor es läuft.
Klassisches Antivirus vergleicht Dateien mit Signaturen, also mit Mustern bekannter Schadprogramme. Das ist schnell und genau, erkennt aber nur, was schon bekannt ist. Quelloffene Engines wie ClamAV arbeiten bis heute so und schützen die Signaturdatenbanken mit digitalen Signaturen, damit nur vertrauenswürdige Definitionen geladen werden[1].
Eine Endpoint Protection Platform (EPP) legt weitere Schichten darüber. Vor der Ausführung bewerten statische ML-Modelle unbekannte Dateien anhand ihrer Merkmale; manche Hersteller ersetzen Signaturen auf dem Agent ganz durch solche Modelle[2]. Zur Laufzeit beobachtet die Verhaltensüberwachung Prozesse, Dateien, Dienste und Registry und greift ein, wenn ein Programm zum Beispiel Autostart-Schlüssel verändert oder Systemdateien manipuliert[3]. Exploit-Schutz richtet sich nicht gegen eine Datei, sondern gegen Angriffstechniken in laufenden Prozessen, etwa in Browser, PDF-Reader oder Office[4]. Ransomware-Schutz erkennt massenhaftes Verschlüsseln, stoppt den Prozess und stellt Dateien aus vorher angelegten Kopien wieder her[5,6]. Gerätekontrolle regelt, welche USB-Speicher, Bluetooth-Geräte oder Drucker überhaupt genutzt werden dürfen[7].
Technisch läuft der Schutz als Agent mit Treibern tief im Betriebssystem. Das gibt Sicht auf jeden Dateizugriff, macht den Agent aber auch zu einer Komponente, deren Fehler das ganze System anhalten kann. Microsoft hat deshalb 2025 angekündigt, dass Antivirus- und Endpoint-Produkte unter Windows künftig im User Mode statt im Kernel laufen können[8]. Abgrenzung: EPP verhindert und blockiert; EDR sammelt Telemetrie für Untersuchung und Reaktion und ist eine eigene Klasse.
| Stufe | Schicht | Satz |
|---|---|---|
| 1 | Signatur | Bekannte Schadprogramme werden anhand von Mustern erkannt, unbekannte bleiben unsichtbar. |
| 2 | ML vor Ausführung | Ein Modell bewertet unbekannte Dateien anhand ihrer Merkmale, bevor sie starten. |
| 3 | Verhalten | Prozess-, Datei- und Registry-Aktivität wird zur Laufzeit überwacht und bei Auffälligkeit gestoppt. |
| 4 | Exploit-Schutz | Mitigationen blockieren Angriffstechniken in legitimen Programmen wie Browser oder Office. |
| 5 | Rollback | Nach gestoppter Verschlüsselung werden Dateien oder Systemänderungen aus Kopien zurückgesetzt. |
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Ausnahmen ohne Owner | Jede Ausnahme senkt den Schutz; breite Ausnahmen für Ordner wie C:\Temp, Dateitypen wie .ps1 oder Prozesse wie powershell.exe öffnen Angreifern einen Weg. Lösung: nur vollständige Pfade, je Ausnahme Owner, Begründung und Ablaufdatum, regelmässige Prüfung[9]. |
| Kernel-Abhängigkeit | Am 19.07.2024 (UTC; Microsoft datiert das Update nach US-Zeit auf den 18.07.) legte ein fehlerhaftes CrowdStrike-Update geschätzt 8,5 Millionen Windows-Geräte lahm[10,11]. Lösung: gestaffelte Verteilung von Agent- und Inhaltsupdates, Wiederanlaufplan für Geräte, die nicht mehr starten. |
| Zwei aktive Agenten | Parallel laufende Schutzprodukte stören sich gegenseitig. Lösung: ein Produkt aktiv, das zweite im vorgesehenen passiven Modus[12]. |
| Ungleiche Plattformabdeckung | Funktionen unterscheiden sich je Betriebssystem, etwa Gerätekontrolle ohne Serverunterstützung oder Verhaltensüberwachung nicht für macOS[7,13]. Lösung: Funktionsmatrix je Plattform prüfen und Lücken dokumentieren. |
| Kompatibilität | Exploit-Mitigationen können Anwendungen stören. Lösung: zuerst im Audit-Modus messen, dann schrittweise erzwingen[14]. |
| Abhängigkeit von Cloud-Diensten | Einzelne Schutzfunktionen setzen den Reputationsdienst des Herstellers voraus[4]. Lösung: Schutz offline testen. |
Betrieb und Verantwortung
Den Agent und die Richtlinien betreibt meist das Client- oder Plattformteam, Alarme bearbeitet das SOC oder ein beauftragter Dienstleister. Security verantwortet Ausnahmen und Schutzstufen und gibt sie frei. Sinnvolle Kennzahlen sind Abdeckung (Anteil der Geräte mit aktivem, aktuellem Agent), Anzahl und Alter der Ausnahmen, Zeit bis zur Bereinigung und Fehlalarmquote.
Regulatorischer Bezug
ISO/IEC 27001:2022 verlangt mit Annex A 8.7 «Protection against malware» Schutz vor Schadsoftware[15]. Der IKT-Minimalstandard des Bundes fordert unter DE.CM-4, dass Schadsoftware entdeckt werden kann, und unter DE.CM-5 dasselbe für Mobilgeräte[16]. Im BSI IT-Grundschutz behandelt der Baustein OPS.1.1.4 «Schutz vor Schadprogrammen» das Thema[17]. Zu Kaspersky warnt das BSI seit 15.03.2022 nach § 7 BSIG[18].
Quellen: [1] docs.clamav.net · [2] sentinelone.com · [3] learn.microsoft.com · [4] help.eset.com · [5] sophos.com · [6] help.eset.com · [7] learn.microsoft.com · [8] blogs.windows.com · [9] learn.microsoft.com · [10] blogs.microsoft.com · [11] cisa.gov · [12] learn.microsoft.com · [13] docs.trendmicro.com · [14] learn.microsoft.com · [15] isms.online · [16] ncsc.admin.ch · [17] bsi.bund.de · [18] bsi.bund.de
Vierzehn Werkzeuge im Vergleich.
Antivirus und EPP sind heute meist Teil grösserer Endpoint-Plattformen mit EDR- und XDR-Funktionen (Microsoft, CrowdStrike, SentinelOne, TrendAI, Trellix, Broadcom/Symantec, Sophos); daneben stehen europäische Hersteller (Bitdefender, ESET, G DATA, WithSecure) und mit ClamAV eine quelloffene, signaturbasierte Engine. Alle geprüften kommerziellen Produkte ergänzen Signaturen um Verhaltens- oder ML-Erkennung; eine Wiederherstellung verschlüsselter Dateien ist bei Sophos, SentinelOne, Bitdefender, ESET und Kaspersky belegt. Eigentum und Marken haben sich 2025–2026 mehrfach verändert: Arctic Wolf hat die Cylance-Assets von BlackBerry übernommen (Abschluss 03.02.2025), WithSecure gehört seit 26.03.2026 vollständig einem Konsortium unter Führung eines CVC-Fonds mit Gründer Risto Siilasmaa (Angebot 2025, Zwangsabfindung und Delisting im März 2026), Trend Micro führt das Enterprise-Geschäft seit 23.03.2026 als TrendAI, und Sophos Central geht seit Juli 2026 in Sophos Fusion über. Microsoft hat im Juni 2025 eine Windows-Plattform angekündigt, mit der Antivirus- und Endpoint-Produkte ausserhalb des Kernels laufen können.
Verhalten/ML: Verhaltens- oder ML-Erkennung · Exploit-Schutz: Exploit-Schutz · Rollback: Ransomware-Rollback oder Wiederherstellung · Gerätekontrolle: Gerätekontrolle (USB/Peripherie) · Linux: Linux-Agent · Cloud-Konsole: Verwaltung als Cloud-Konsole · On-Prem: On-Premises-Konsole. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Microsoft Defender Antivirus / Defender for Endpoint
Microsoft
Unterstützt Windows, macOS, Linux, Android und iOS; lizenziert als Plan 1, Plan 2 oder Defender for Business.
Die Verhaltensüberwachung beobachtet Prozess-, Datei- und Dienstaktivität in Echtzeit, ist standardmässig aktiv und durch Tamper Protection geschützt; Exploit Protection wendet Mitigationen auf Prozesse und Apps an und kann im Audit-Modus getestet werden.
Endpunktsignale fliessen in das Defender-Portal und werden dort mit Alarmen aus Identität, E-Mail und Cloud-Workloads zu Vorfällen korreliert.
Configuration Manager kann Antimalware-Richtlinien an Clients der eigenen Hierarchie verteilen und Defender for Endpoint verwalten und überwachen.
Im Betriebssystem verankerter Schutz mit gemeinsamer Konsole für Endpunkt-, Identitäts- und E-Mail-Signale.
Die Gerätekontrolle gilt laut Dokumentation für Windows-10/11-Clients (macOS separat), Server werden nicht unterstützt; eine Wiederherstellung verschlüsselter Dateien ist in den geprüften Seiten nicht beschrieben.
CrowdStrike Falcon Prevent (NGAV)
CrowdStrike
Next-Generation-Antivirus für Windows, macOS und Linux.
Kombiniert KI-gestützte Erkennung, Indicators of Attack, Verhaltensanalyse, Speicherscans und Exploit-Mitigation.
Ein Sensor und eine Konsole für Endpunkt, Identität und Cloud; die Gerätekontrolle ist als Modul Falcon Device Control verfügbar.
Cloudbasierte Plattform mit einheitlicher Konsole; ein lokal betriebener Verwaltungsserver ist nicht beschrieben.
Prävention und Erweiterung zu EDR/XDR mit demselben Sensor.
Falcon Device Control ist für Windows und macOS beschrieben, nicht für Linux; eine Wiederherstellung verschlüsselter Dateien ist auf den geprüften Seiten nicht beschrieben.
SentinelOne Singularity Endpoint (Core, Control)
SentinelOne
Agent für Windows, macOS und Linux; für Linux nennt der Hersteller zehn Distributionen ohne Kernel-Erweiterungen.
Statische KI auf dem Agent ersetzt Signaturen, Behavioral AI stoppt dateilose Angriffe; der Schutz arbeitet auch ohne Cloud-Verbindung.
Das Control-Paket ergänzt Gerätekontrolle für USB und Bluetooth (Windows, macOS) und Firewall-Steuerung (Windows, macOS, Linux).
Cloud-SaaS mit Wahl der Hosting-Region in Nordamerika, Europa oder Asien; der Hersteller nennt zudem Self-Hosted-Bereitstellungen und für abgeschottete Netze einen Betrieb, bei dem Telemetrie und Verarbeitung in der Kundenumgebung bleiben; eine lokal betriebene Verwaltungskonsole ist dort nicht ausdrücklich benannt.
One-Click-Remediation mit Rollback von Dateien, Registry-Schlüsseln und Systemeinstellungen.
Das Rollback stützt sich auf Windows-Volume-Shadow-Copy-Snapshots (laut Hersteller alle vier Stunden) und ist damit an Windows und den Snapshot-Takt gebunden.
Sophos Endpoint
Sophos
Ein Agent für Windows-, macOS- und Linux-Endpunkte und -Server, auch für ältere Windows- und Linux-Systeme.
Deep-Learning-Modelle prüfen Dateien vor der Ausführung, die Verhaltensanalyse beobachtet Prozesse, Dateien und Registry; über 60 Exploit-Mitigationen sind standardmässig aktiv; CryptoGuard stellt verschlüsselte Dateien wieder her.
Peripheriekontrolle für Wechselmedien, Bluetooth und Mobilgeräte; Verwaltung zusammen mit dem übrigen Sophos-Portfolio.
Cloudbasierte Konsole Sophos Fusion (ehemals Sophos Central) mit wählbarer Datenregion; die Umstellung läuft seit Juli 2026 schrittweise.
Exploit-Mitigationen und Ransomware-Wiederherstellung sind ohne anwendungsbezogene Konfiguration aktiv.
Eine lokal betriebene Verwaltungskonsole ist auf den geprüften Seiten nicht beschrieben.
TrendAI Vision One Endpoint Security (inkl. Apex One)
Trend Micro (Marke TrendAI)
Standard Endpoint Protection für Windows und macOS, Server & Workload Protection für Windows und Linux.
Behavior Monitoring und Predictive Machine Learning; Intrusion Prevention/Vulnerability Protection (virtuelles Patchen) ist für Windows (Standard Endpoint Protection) und Server & Workload Protection aufgeführt, nicht für macOS. Der Exploit-Schutz in der Matrix stützt sich hier auf dieses virtuelle Patchen per IPS-Regeln.
Endpunktschutz ist Teil der Plattform Vision One mit gemeinsamer Konsole.
Apex One as a Service wird in der Cloud gehostet und verwaltet; Apex One ist auch als lokal betriebener Server dokumentiert.
Breites Agentenportfolio für Clients und Server unter einer Plattform.
Der Funktionsumfang unterscheidet sich je Betriebssystem: Behavior Monitoring und Intrusion Prevention/Vulnerability Protection sind für macOS nicht aufgeführt.
Trellix Endpoint Security (ENS)
Trellix
Endpoint Security wird für Windows, macOS und Linux in eigenen Versionsreihen gepflegt.
Maschinelles Lernen, Exploit-Prävention und Heuristiken, ergänzt um Verhaltenserkennung.
Härtung mit Gerätekontrolle, Application Control, Allow-/Deny-Listen und Host-Firewall.
Ein Agent für On-Premises-, Cloud- und abgeschottete Umgebungen; ePolicy Orchestrator dient als zentrale Konsole und ist FedRAMP-zertifiziert.
Zentrale Richtliniensteuerung über ePO auch in getrennten Netzen.
Die Lifecycle-Seite führt zahlreiche Versionen mit End-of-Life-Daten je Plattform; der Versionsstand ist vor Migrationen zu prüfen.
Symantec Endpoint Security
Broadcom
Schutz für alle gängigen Betriebssysteme einschliesslich Linux und mobiler Geräte.
Verhaltensbasierte Prävention, Advanced Machine Learning und Memory Exploit Mitigation als Schutzschichten.
Steuert die Nutzung von USB-Wechseldatenträgern gegen Code-Einschleusung und Datenabfluss.
Verwaltung on-premises, aus der Cloud oder hybrid; ein Agent und eine Konsole.
Wahl zwischen lokaler, cloudbasierter und hybrider Verwaltung.
Eine Wiederherstellung nach Ransomware ist im geprüften Datenblatt nicht beschrieben.
Bitdefender GravityZone (Business Security, Endpoint Protection)
Bitdefender
Agent für Windows, macOS und Linux, für Arbeitsplätze und Server.
Maschinelles Lernen, Verhaltensanalyse und laufende Prozessüberwachung; Speicherschutz gegen bekannte und unbekannte Exploits; nach blockierter Verschlüsselung werden Dateien aus Sicherungskopien wiederhergestellt.
Zusatzmodule für Anwendungs- und Gerätesteuerung, Patch-Management, Festplattenverschlüsselung und Firewall.
Verwaltung wahlweise aus der Cloud oder on-premises; das GravityZone Control Center wird als virtuelle Appliance (OVA, XVA, VHD) für VMware, Citrix und Hyper-V geliefert.
Gleicher Funktionsrahmen in Cloud- und On-Premises-Verwaltung.
Gerätekontrolle und weitere Funktionen sind als Zusatzmodule geführt; der Umfang ist je Paket zu prüfen.
ESET PROTECT (ESET Endpoint Security, ESET Server Security)
ESET
Endpunktschutz für Windows; Linux-Server über ESET Server Security for Linux, zentral verwaltet.
HIPS überwacht Ereignisse im Betriebssystem regelbasiert; Exploit Blocker härtet Browser, PDF-Reader, Mail-Clients und Office; Advanced Memory Scanner und Ransomware Shield ergänzen.
Ransomware Remediation sichert Dateien verdächtiger Prozesse laufend und stellt beschädigte Dateien am Ursprungsort wieder her.
ESET PROTECT On-Prem läuft auf eigenem Server; ESET PROTECT in der Cloud kommt ohne physischen oder virtuellen Server aus.
Gleiche Schutzmodule mit Cloud- oder lokaler Verwaltung, inklusive Dateiwiederherstellung.
Ransomware Shield setzt ein aktiviertes Reputationssystem ESET LiveGrid voraus und hängt damit von der Cloud-Anbindung ab.
G DATA Endpoint Protection Business
G DATA CyberDefense
Windows-Clients sowie Linux-Clients (unter anderem Debian, RHEL, SLES, Ubuntu, openSUSE).
BEAST zeichnet das Systemverhalten auf und blockiert schädliche Prozesse, DeepRay erkennt getarnte Malware mit maschinellem Lernen; dazu Exploit-Schutz und ein Anti-Ransomware-Modul.
Gerätekontrolle über den PolicyManager für USB-Sticks, CD/DVD-Laufwerke, Kameras und Windows-Mobilgeräte (sperren, nur lesen, voller Zugriff); USB Keyboard Guard sperrt neu erkannte Tastaturen, bis sie freigegeben sind («Bad USB»).
Management Server auf Windows Server mit Microsoft-SQL-Datenbank; Fernverwaltung über eine Webschnittstelle laut Factsheet (Version 14.1).
Lokal betriebener Verwaltungsserver für Organisationen ohne Cloud-Konsole.
Die Systemanforderungen beschreiben nur den lokalen Management Server; eine Cloud-Konsole ist dort nicht genannt, eine Dateiwiederherstellung nach Ransomware ebenfalls nicht.
WithSecure Elements Endpoint Protection / Business Suite
WithSecure
Arbeitsplatzschutz für Windows, Mac und Linux; Server unter Windows, Citrix und Linux.
DeepGuard richtet die Erkennung auf Verhaltensmuster statt Signaturen aus und fängt Exploits ab; DataGuard verhindert, dass unbekannte Anwendungen Daten manipulieren.
Device Control blockiert Bedrohungen über Hardware wie USB-Sticks; BitLocker-Wiederherstellungsschlüssel sind im Elements Security Center einsehbar.
Elements ist cloud-nativ; die Business Suite bietet mit Policy Manager eine lokal betriebene Verwaltung.
Wahl zwischen cloud-nativer Elements-Konsole und lokaler Business Suite.
Eine Wiederherstellung verschlüsselter Dateien ist auf den geprüften Seiten nicht beschrieben; DataGuard wirkt präventiv.
Aurora Endpoint Security (ehemals Cylance)
Arctic Wolf
Richtlinien und Zonen für Windows- und Linux-Geräte; Gerätekontrolle auch für Android, iOS und USB-Laufwerke.
KI und maschinelles Lernen gegen Malware; Memory Protection gegen Exploit-Techniken wie Stack Pivot; Script Control für Active Script, PowerShell und Makros.
Tenants werden im Arctic Wolf Unified Portal angelegt.
Standardrichtlinien in drei Stufen, die Schutzfunktionen schrittweise aktivieren.
Vorkonfigurierte Stufenrichtlinien erleichtern die schrittweise Einführung.
In der Standardstufe 1 sind Memory Protection und Script Control ausgeschaltet; der volle Schutz verlangt den bewussten Wechsel auf höhere Stufen.
Kaspersky Next (EDR Foundations/Optimum; Agent Kaspersky Endpoint Security)
Kaspersky
Schutz für Windows- und Linux-Server, Mac-Laptops und Android-Geräte.
Behavior Detection wertet Anwendungsaktionen aus, Exploit Prevention erkennt Code, der Schwachstellen ausnutzt; die Remediation Engine macht Aktionen von Malware im Betriebssystem rückgängig.
Device Control regelt den Zugriff auf installierte oder angeschlossene Geräte, zum Beispiel Festplatten, Kameras und WLAN-Module.
Verwaltung über eine cloudbasierte Konsole oder lokal.
Die Business-Produkte laufen unter Kaspersky Next (Stufen EDR Foundations, EDR Optimum, Expert); laut Fachhandel haben die Next-Pakete die bisherigen Pakete auf den 01.01.2025 abgelöst, Kaspersky selbst schreibt, Endpoint Security for Business Select sei zu Next EDR Foundations weiterentwickelt. Auf den Geräten arbeitet weiterhin die Anwendung Kaspersky Endpoint Security.
Das US-Handelsministerium hat am 20.06.2024 den Verkauf in den USA untersagt; Signatur-Updates waren bis 29.09.2024 erlaubt.
Remediation Engine mit Rücknahme von Malware-Änderungen im Betriebssystem.
Das BSI warnt seit 15.03.2022 nach § 7 BSIG vor dem Einsatz von Kaspersky-Virenschutzprodukten und empfiehlt den Ersatz durch alternative Produkte.
ClamAV
Cisco (Open-Source-Projekt)
Regelmässig getestet auf Linux, UNIX (FreeBSD, macOS) und Windows 10/11.
Signaturbasierte Erkennung mit signierten Signaturdatenbanken; On-Access-Scans über ClamOnAcc nur unter Linux.
Ausgelegt für das Scannen auf Mail-Gateways; die Engine steht als Shared Library für eigene Anwendungen bereit.
Daemon, Kommandozeilenscanner und Update-Werkzeug im Eigenbetrieb; eine zentrale Verwaltungskonsole ist nicht beschrieben.
Quelloffene Engine für Gateway-, Mail- und Dateiscans ohne Lizenzkosten.
Verhaltenserkennung, Exploit-Schutz, Gerätekontrolle und Wiederherstellung sind in der Dokumentation nicht beschrieben; Echtzeitschutz nur unter Linux.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Palo Alto Networks Cortex XDR Prevent: Präventionsstufe von Cortex XDR; Schwerpunkt in der Klasse EDR und XDR
- Check Point Harmony Endpoint: EPP und EDR im Harmony-Portfolio
- Fortinet FortiEDR / FortiClient: Schwerpunkt Erkennung und Reaktion; gehört eher zur Klasse EDR und XDR
- Cisco Secure Endpoint: Schwerpunkt EDR; gehört eher zur Klasse EDR und XDR
- ThreatDown (Malwarebytes): Business-Linie von Malwarebytes mit Fokus auf Bereinigung
- Avast Business Antivirus, Avira (Gen Digital): KMU-orientierte Produkte von Gen Digital
- Broadcom Carbon Black Cloud: Schwerpunkt EDR und Application Control
- Xcitium (ehemals Comodo): Client Security mit Containment-Ansatz
Was die Lösungen abdecken.
Microsoft Corporation
Microsoft Defender Antivirus (inkl. Defender for Endpoint)
Frühere Namen / Kontext: Windows Defender / Forefront Client Security
Signatur, KI/ML (Cloud-Protection), Verhaltensanalyse, Heuristik
Ransomware, Zero-Day, Fileless Attacks, Exploits, PUP/PUA
On-Access, On-Demand, Memory & Kernel-level Inspection
Hohe Offline-Schutzfunktion durch lokale Signaturen; minimale Agentenlast
Personal Firewall Control, Network Protection, Device/USB Control
Native Betriebssystem-Integration ohne zusätzliche Agenteninstallation
Tiefere Verwaltung auf Nicht-Windows-Plattformen erfordert Zusatzlizenzen/Intune
Sophos Ltd.
Sophos Intercept X Endpoint
Frühere Namen / Kontext: Sophos Anti-Virus / Astaro
Deep-Learning AI, Verhaltensanalyse, Exploit-Prävention, Signaturen
CryptoGuard Anti-Ransomware, Zero-Day, Exploit Mitigation, PUP
Echtzeit-Verhaltensüberwachung, Memory Inspection, Automated Rollback
Lokaler KI-Schutz ohne Dauer-Cloud-Zwang; ressourcenoptimierter Agent
Integrierte Host Firewall, Application Control, Web Control, Peripheral Control
Hervorragender automatisierter Anti-Ransomware-Schutz mit CryptoGuard-Rollback
Verwaltung rein cloudbasiert; erfordert für reine On-Premises-Umgebungen Anpassungen
CrowdStrike Inc.
CrowdStrike Falcon Prevent
Frühere Namen / Kontext: CrowdStrike Falcon EPP
KI/ML (Cloud & On-Sensor), Indikatoren für Angriffe (IoAs), Verhaltensanalyse
Ransomware, skriptbasierte Angriffe, Zero-Day, dateilose Malware
Continuous Real-time Behavioral Inspection & Process Suppression
Lokale ML-Modelle schützen offline; extrem leichtgewichtiger Agent (<20MB)
Device Control (USB/Bluetooth), Firewall Management, Web Threat Shield
Branchenführender Schutz gegen fileless Attacks bei minimalem System-Footprint
Reines Cloud-SaaS-Management; setzt stetige Cloud-Konnektivität für volle KI voraus
SentinelOne Inc.
SentinelOne Singularity Endpoint (Core / Control)
Frühere Namen / Kontext: SentinelOne EPP / Autonomous Endpoint Protection
Statische & Dynamische KI-Engines (Behavioral AI), Multi-Skript-Analyse
Anti-Ransomware, Zero-Day, Fileless Attacks, Browser Exploits
Kontinuierliche On-Access Prozessüberwachung & Rollback Engine
Autonomer On-Device-Schutz funktioniert vollständig ohne Cloud-Verbindung
Device Control (USB, Bluetooth), Location-aware Firewall Control
"VSS Ransomware Rollback": stellt verschlüsselte Dateien lokal per Klick wieder her
Höherer Schulungsaufwand bei der Erstellung feingranularer Ausschlüsse
Bitdefender
Bitdefender GravityZone Business Security / Enterprise
Frühere Namen / Kontext: Bitdefender Endpoint Security
Multi-layered Machine Learning, Signatur, Process Inspector (Verhalten)
Ransomware Mitigation, Zero-Day, Exploits, Phishing, PUP/PUA
Advanced Threat Control (Echtzeit), In-Memory Scan, Live Mitigation
Starke lokale Engines garantieren vollen Schutz auch ohne Internetverbindung
Network Attack Defense, Host Firewall, Device Control, Web Filtering
Exzellente Erkennungsraten in unabhängigen Tests bei sehr geringem Performance-Impact
Umfangreiches Menügefüge in der GravityZone-Konsole erfordert Einarbeitung
Kaspersky
Kaspersky Endpoint Security for Business
Frühere Namen / Kontext: Kaspersky Anti-Virus / Open Space Security
Signatur, Verhaltensanalyse (System Watcher), ML, Heuristik
Ransomware, Zero-Day, Exploits, Rootkits, PUP/PUA
Real-Time Protection, Memory Scan, Automated Remediation Rollback
Lokale Datenbanken gewährleisten vollständigen Offline-Betrieb
Host Intrusion Prevention (HIPS), Firewall, Web Control, Device Control
Traditionell extrem hohe Erkennungsraten und tiefgreifende Malware-Analyse
Geopolitische Compliance- & Einschränkungen in behördlichen Umgebungen mancher westlicher Staaten
Trend Micro Inc.
Trend Vision One Endpoint Security (Apex One)
Frühere Namen / Kontext: Trend Micro OfficeScan / Apex One
Machine Learning (Pre-Execution & Runtime), Signatur, Verhalten
Ransomware, Zero-Day, Exploit Shields, Malicious Scripts, PUP
Real-Time File Scan, Process Monitoring, Ransomware Rollback
Leistungsfähiges Offline-Scanning dank lokaler Verhaltens-Engines
Integrated Vulnerability Protection (Virtual Patching), Device & Web Control
Starker integrierter Schutz gegen Schwachstellen-Exploits (Virtual Patching)
On-Premises-Management-Komponenten erfordern regelmässige Wartung
ESET SP. z o.o.
ESET PROTECT Entry / Complete (ESET Endpoint Security)
Frühere Namen / Kontext: ESET NOD32 Business Edition / ESET Endpoint Antivirus
Mehrschichtige DNA-Signaturen, Machine Learning, Heuristik, Sandboxing
Ransomware Shield, Zero-Day, Botnet Protection, Exploits, PUP
LiveGrid® Telemetrie, Memory Scanner, Exploit Blocker
Sehr hohe Performance; volle Schutzfunktion auch ohne Cloud-Anbindung
Host-based Intrusion Prevention (HIPS), Firewall, Web & Device Control
Extrem ressourcenschonender Agent mit hoher Erkennungsleistung (Made in EU)
Cloud-Sandboxing-Analyse benötigt bei unbekannten Dateien kurze Verzögerung
G DATA CyberDefense AG
G DATA Endpoint Security / EndpointProtection
Frühere Namen / Kontext: G DATA AntiVirus Business / ClientSecurity
DeepRay® (KI-Analyse), BEAST (Verhaltensanalyse), DoubleScan Engine
Ransomware, Zero-Day, Phishing, Exploits, Botnets, PUP/PUA
Prozessüberwachung in Echtzeit, Exploit Protection, Anti-Ransomware
Lokale Dual-Engine sichert lückenlose Offline-Erkennung
Integrierte Firewall, PolicyManager (Geräte- & Anwendungssteuerung)
Hohe DSGVO-Konformität, 100% verlässlicher DACH-Support & KI-Verhaltensschutz
Der Einsatz von zwei Antivirus-Engines benötigt etwas mehr Arbeitsspeicher
Trellix
Trellix Endpoint Security (ENS)
Frühere Namen / Kontext: McAfee Endpoint Security (ENS) / ePO
Machine Learning, Signatur, Exploit Prevention, Verhaltensüberwachung
Ransomware, Zero-Day, Malware, Fileless Threats, PUP
Continuous On-Access Scanning, Memory Protection, Dynamic Application Containment
Umfangreiche lokale Signaturdatenbanken sichern Offline-Betrieb
Host Intrusion Prevention, Personal Firewall, Web & Peripheral Control
Extrem skaliert für weltweite Grosskonzerne mit komplexen Richtlinienstrukturen
Hoher Administrations- & Konfigurationsaufwand der ePO-Infrastruktur
Broadcom Inc.
Symantec Endpoint Security (SES Complete)
Frühere Namen / Kontext: Symantec Endpoint Protection (SEP)
Advanced Machine Learning, Behavioral Analysis (SONAR), Signaturen
Ransomware, Zero-Day, Targeted Attacks, Exploits, PUP
Real-Time Memory Inspection, Emulator-Scans, Threat Containment
Lokale SONAR-Engine schützt autonom bei unterbrochener Internetverbindung
Host Integrity, Intrusion Prevention (IPS), Device & Firewall Control
Hohe Schutzwirkung gegen gezielte Enterprise-Angriffe und Kernel-Exploits
Komplexes Lizenzierungsmodell im Rahmen der Broadcom Enterprise-Verträge
Malwarebytes Inc.
Malwarebytes Endpoint Protection
Frühere Namen / Kontext: Malwarebytes Anti-Malware (MBAM)
Anomaly Detection, Machine Learning, Heuristik, Verhaltensanalyse
Anti-Ransomware, Zero-Day, PUP/PUA, Exploits, Drive-by Downloads
Real-Time Protection Layer (Web, Exploit, Ransomware, Malware)
Lokaler Schutzaktivismus; automatischer Re-Connect zur Cloud
Web Protection, Application Block, Ransomware Rollback (7 Tage)
Herausragend starke und schnelle Säuberungs- & Remediation-Engine
Für komplexe Grosskonzerne mit On-Premises-Zwang weniger fokussiert
Gen Digital Inc.
Avast Business Antivirus Pro
Frühere Namen / Kontext: AVG Business / Avast Endpoint Protection
CyberCapture (Cloud-Analyse), Verhaltens-Engine, Signaturen
Ransomware, Phishing, Zero-Day, Spyware, PUP/PUA
Echtzeit-Dateischutz, E-Mail-Schmiede, Web-Shield, Behavior Shield
Lokaler Basisschutz voll funktionsfähig ohne dauerhaften Datenstream
Integrierte Software-Patch-Unterstützung, Firewall, USB Protection
Sehr intuitive Bedienbarkeit & integrierter Schutz für KMU-Umgebungen
Weniger Tiefenanalyse für hochgradig spezialisierte Enterprise-Attaken
ClamAV / Cisco
ClamAV
Frühere Namen / Kontext: Clam AntiVirus
Signaturbasierte Erkennung, Heuristik, Bytecode-Rulesets
Viren, Trojaner, E-Mail-Malware, Makro-Exporte, Phishing-Dateien
On-Access Scanning (via ClamONACC / Fanotify) & Scheduled On-Demand Scans
Reiner On-Premises/Offline-Betrieb durch lokale Signaturspiegel
Keine nativen System-/Device-Control-Module im Core enthalten
Transparente, kostenfreie Open-Source Antivirus Engine für Gateway- & Mail-Scanning
Keine Verhaltens-KI oder automatisches Anti-Ransomware Rollback enthalten
Kandidaten für später.
Einige Lösungen sind relevant, aber in der aktuellen Quelle noch nicht sauber genug für eine Hauptklassifizierung belegt.
- Avira Antivirus for Business (Gen Digital)Ursprünglich eigenständige DACH-Lösung, heute grösstenteils im Gen-Digital-Portfolio konsolidiert.
- F-Secure Elements Endpoint Protection (WithSecure)Nun unter dem Markennamen **WithSecure Elements Endpoint Protection** geführt.
- Comodo / Xcitium Client SecurityEndpoint-Protection-Lösung mit automatisierter Containment-Technologie.
Mit echten Endpunkten testen.
- Windows, macOS, Linux und Server getrennt bewerten.
- Offline-Schutz, Policy-Verteilung und Update-Latenz prüfen.
- False Positives und Performance auf Entwickler- und Fachbereichsgeräten testen.
- Integration in EDR, SIEM, SOAR und Vulnerability Management kontrollieren.
- Ausnahmen, Tamper Protection und Admin-Rechte im Betrieb simulieren.
Security Tool Navigator · Gebiet 04
Im Gebiet Endpoint und Workspace Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Endpoint und Workspace Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.