[Do-it!] Endgeräte gegen Schadsoftware absichern: Anleitung für KMU

Schützen Sie Ihre Endgeräte mit einer modernen Endpoint-Schutzlösung. Ein klassischer Virenscanner allein reicht heute nicht mehr aus – moderne Cyberangriffe erfordern Funktionen zur Erkennung und Reaktion (Endpoint Detection and Response, EDR).

Dieser Artikel zeigt Ihnen, wie Sie eine geeignete Endpoint-Schutzlösung auswählen, korrekt konfigurieren und dauerhaft betreiben – Schritt für Schritt und überprüfbar.

⏱ Zeitaufwand

1-2 Tage

🟢 Schwierigkeit

Mittel

⭐ Sicherheitsgewinn

Sehr hoch

Aktualisiert:

· Geprüft nach BSI, NIST, CISA, Microsoft Learn · Lesezeit:

8 Minuten

Das erreichen Sie am Ende

  1. ✅ alle Endgeräte verfügen über einen aktuellen Malware-Schutz.
  2. ✅ Sicherheitsrichtlinien werden zentral verwaltet.
  3. ✅ automatische Signatur- und Produktupdates funktionieren.
  4. ✅ Sicherheitswarnungen werden zentral überwacht.
  5. ✅ eine Endpoint-Schutzlösung mit EDR ist – sofern möglich – aktiviert.
  6. ✅ regelmäßige Sicherheitsprüfungen sind eingerichtet.

Warum Endpoint-Schutz wichtig ist

Endgeräte wie PCs, Notebooks und mobile Geräte gehören zu den häufigsten Angriffszielen. Phishing, Ransomware oder Schadsoftware gelangen häufig über Benutzergeräte in das Unternehmensnetzwerk. Gleichzeitig nutzen moderne Angriffe zunehmend Techniken, die von klassischen Antivirenprogrammen nur schwer erkannt werden.

Moderne Endpoint-Schutzlösungen kombinieren verschiedene Sicherheitsmechanismen wie Echtzeitschutz, Cloud-Analysen, Verhaltensanalyse, Angriffserkennung und automatisierte Reaktionen. Dadurch können nicht nur bekannte Schadprogramme erkannt werden, sondern auch verdächtige Aktivitäten, die auf einen laufenden Angriff hindeuten.

Empfehlung von PEN·for·SEC: Für Unternehmen sollte heute nach Möglichkeit eine Endpoint-Schutzlösung mit Endpoint Detection and Response (EDR) eingesetzt werden. Ein reiner Virenschutz erkennt viele moderne Angriffe nicht zuverlässig oder erst zu spät.

Was bedeutet EDR?

Endpoint Detection and Response (EDR) erweitert den klassischen Virenschutz um eine kontinuierliche Überwachung der Endgeräte.

Während ein klassischer Virenscanner hauptsächlich bekannte Schadsoftware erkennt, analysiert EDR zusätzlich:

  • ungewöhnliche Prozesse
  • verdächtige Anmeldungen
  • Ransomware-Verhalten
  • Angriffe ohne bekannte Malware
  • seitliche Bewegungen im Netzwerk

Dadurch können auch neuartige oder bislang unbekannte Angriffe deutlich früher erkannt werden.

Voraussetzungen und Vorbereitung

VoraussetzungBeschreibung
GeräteinventarAlle Endgeräte sind bekannt
Aktuelle SystemeBetriebssysteme und Anwendungen wurden aktualisiert
AdministratorzugriffFür die zentrale Verwaltung
Geeignete LizenzAbhängig von der eingesetzten Endpoint-Schutzlösung
InternetzugangFür Cloudschutz und Signaturupdates

Empfohlene Vorbereitung

  • Aktualisieren Sie zunächst Betriebssysteme und Anwendungen.
  • Entfernen Sie vorhandene, nicht mehr benötigte Virenscanner.
  • Dokumentieren Sie alle zu schützenden Endgeräte.

5. Mögliche Risiken der Maßnahme – und wie Sie sie vermeiden

RisikoAuswirkungMitigationsmaßnahme
Mehrere Endpoint-Schutzlösungen gleichzeitig installiertInstabilität und LeistungsproblemeNur eine zentrale Endpoint-Schutzlösung einsetzen
Geräte werden nicht eingebundenSchutzlückenGeräteinventar regelmäßig mit der Verwaltung vergleichen
Sicherheitswarnungen werden ignoriertAngriffe bleiben unentdecktVerantwortlichkeiten definieren
Benutzer deaktivieren den SchutzSicherheitsrisikoManipulationsschutz aktivieren
Neue Geräte werden nicht automatisch geschütztUngeschützte EndgeräteAutomatisches Onboarding definieren

Endpoint-Schutz in 6 Schritten einrichten

Folgen Sie diesen Schritten, um Endpoint-Schutzlösung in Ihrem Unternehmen einzuführen.

1. Geeignete Endpoint-Schutzlösung auswählen

Ziel

Eine zentral verwaltbare Endpoint-Schutzlösung auswählen.

Durchführung

Achten Sie mindestens auf folgende Funktionen:

  • Echtzeitschutz
  • Cloudbasierte Erkennung
  • Verhaltensanalyse
  • Ransomware-Schutz
  • Webschutz
  • Gerätekontrolle
  • automatische Updates
  • zentrale Verwaltung
  • Endpoint Detection and Response (EDR)
Entscheidungshilfe
SituationEmpfehlung
Microsoft 365 bereits im EinsatzMicrosoft Defender for Business oder Defender for Endpoint
Bis ca. 300 BenutzerMicrosoft Defender for Business häufig wirtschaftlich
Linux/macOS-Anteil hochHersteller vergleichen
Bereits SOC oder SIEM vorhandenIntegration der Endpoint-Lösung prüfen

Kontrolle

  • Es ist eine einheitliche Lösung für alle Endgeräte ausgewählt worden.

Typische Fehler

❌ Mehrere Endpoint-Schutzlösungen parallel einsetzen.
❌ Nur auf den Preis achten.

2. Endpoint Schutzlösung richtig auswählen und lizenzieren

Ziel

Prüfen, welche Funktionen tatsächlich zur Verfügung stehen.

Durchführung

Microsoft verwendet den Begriff Microsoft Defender für mehrere Sicherheitsprodukte. Je nach Microsoft-365-Lizenz unterscheiden sich die verfügbaren Funktionen erheblich.

ProduktGeeignet fürEmpfehlung
Microsoft Defender AntivirusPrivatanwender und BasisschutzNur eingeschränkt für Unternehmen geeignet
Microsoft Defender for BusinessKleine und mittlere Unternehmen (bis 300 Benutzer)⭐ Empfehlung für die meisten KMU
Microsoft Defender for Endpoint Plan 1UnternehmenGeeignet, wenn die enthaltenen Funktionen ausreichend sind
Microsoft Defender for Endpoint Plan 2Unternehmen mit höheren Sicherheitsanforderungen⭐ Empfehlung bei erhöhtem Schutzbedarf

Hinweis: Microsoft fasst verschiedene Sicherheitslösungen heute unter Microsoft Defender XDR zusammen. Dadurch können Warnungen aus Endgeräten, Identitäten, E-Mails und Cloud-Anwendungen gemeinsam ausgewertet werden.

Herstellerneutral vergleichen

Microsoft Defender ist insbesondere für Unternehmen mit Microsoft 365 eine sehr gute Wahl, da Identitäten, Geräte und Sicherheitsfunktionen eng integriert sind.

Es ist jedoch nicht die einzige leistungsfähige Endpoint-Schutzlösung.

Wenn Sie verschiedene Lösungen vergleichen möchten, empfiehlt sich der jährlich veröffentlichte Gartner Magic Quadrant™ for Endpoint Protection Platforms.

Er bewertet etablierte Endpoint-Schutzplattformen unter anderem hinsichtlich ihrer Umsetzungsfähigkeit (Ability to Execute) und ihrer strategischen Ausrichtung (Completeness of Vision).

Weitere Informationen:

Zu den regelmäßig bewerteten Herstellern gehören unter anderem:

  • Microsoft
  • CrowdStrike
  • SentinelOne
  • Sophos
  • Trend Micro
  • Bitdefender
  • Palo Alto Networks
  • Cisco
  • Trellix

PEN·for·SEC – Empfehlung

Viele kleine Unternehmen suchen nach der „besten Antivirensoftware“. Aus Sicht der IT-Sicherheit ist diese Fragestellung heute zu kurz gegriffen.

Stellen Sie sich stattdessen folgende Fragen:

  • Wird die Lösung zentral verwaltet?
  • Unterstützt sie EDR?
  • Kann sie Geräte automatisiert isolieren?
  • Lässt sie sich in Ihre bestehende IT-Landschaft integrieren?
  • Erhalten Sie aussagekräftige Sicherheitswarnungen?
  • Passt sie zu den vorhandenen Kompetenzen im Unternehmen?

Für Unternehmen, die bereits Microsoft 365 einsetzen, ist Microsoft Defender for Business häufig eine wirtschaftliche und technisch gut integrierte Lösung. Sie kombiniert einen modernen Endpoint-Schutz mit EDR-Funktionen und einer zentralen Verwaltung, ohne dass eine zusätzliche Sicherheitsplattform eingeführt werden muss.

Gleichzeitig gibt es weitere leistungsfähige Anbieter. Die Auswahl sollte sich stets an den individuellen Anforderungen, der vorhandenen IT-Infrastruktur und den verfügbaren personellen Ressourcen orientieren – nicht allein am Namen des Herstellers.

Kontrolle

Die gewählte Lösung erfüllt die Anforderungen Ihres Unternehmens.

Typische Fehler

❌ Davon ausgehen, dass jede Microsoft-365-Lizenz automatisch EDR enthält.
❌ Nur aufgrund von Marktanteilen entscheiden.

3. Endgeräte onboarden

Ziel

Alle Endgeräte in die zentrale Verwaltung aufnehmen.

Durchführung

den Sie mindestens ein:

  • Windows-PCs
  • Notebooks
  • Windows-Server (mit passender Lizenz)
  • macOS
  • Linux (falls vorhanden)

Achten Sie darauf, dass auch Homeoffice-Geräte und Außendienstgeräte aufgenommen werden.

Kontrolle

Alle Geräte erscheinen in der zentralen Verwaltungskonsole.

Typische Fehler

❌ Mobile Geräte vergessen.
❌ Geräte außerhalb des Unternehmensnetzes (Homeoffice/beim Kunden) vergessen.

4. Sicherheitsrichtlinien konfigurieren

Ziel

Alle Endgeräte mit einheitlichen Sicherheitsrichtlinien absichern.

Durchführung

Nach dem Onboarding sollten Sie die Standardkonfiguration überprüfen und an die Anforderungen Ihres Unternehmens anpassen.

Mindestens folgende Funktionen sollten aktiviert werden:

  • Echtzeitschutz
  • Cloudbasierter Schutz
  • Automatische Signaturupdates
  • Manipulationsschutz (Tamper Protection)
  • Geplante Schnellscans
  • Verhaltensüberwachung
  • Ransomware-Schutz (sofern verfügbar)
  • Webschutz
  • Netzwerkschutz
  • Angriffsfächenreduzierung (Attack Surface Reduction Rules, sofern unterstützt)

Konfigurieren Sie die Richtlinien möglichst zentral, damit alle Endgeräte denselben Sicherheitsstandard erhalten.

Kontrolle

  • Alle Geräte erhalten dieselben Sicherheitsrichtlinien.
  • Richtlinien werden erfolgreich auf die Endgeräte angewendet.

Typische Fehler

❌ Standardrichtlinien unverändert übernehmen.
❌ Unterschiedliche Richtlinien für ähnliche Gerätetypen verwenden.
❌ Benutzer dürfen Sicherheitseinstellungen selbst ändern.

5. DR aktivieren und Sicherheitswarnungen überwachen

Ziel

Angriffe frühzeitig erkennen und schnell darauf reagieren.

Durchführung

Wenn Ihre Endpoint-Schutzlösung EDR unterstützt, sollten Sie diese Funktion aktivieren.

Eine EDR-Lösung erkennt beispielsweise:

  • ungewöhnliche Prozessketten
  • Ransomware-Verhalten
  • PowerShell- oder Script-Missbrauch
  • verdächtige Anmeldungen
  • seitliche Bewegungen innerhalb des Netzwerks
  • Kommunikation mit bekannten Command-and-Control-Servern

Legen Sie außerdem fest:

  • Wer überwacht Sicherheitswarnungen?
  • Wer entscheidet über Gegenmaßnahmen?
  • Wie werden Vorfälle dokumentiert?
  • Wann wird ein externer IT-Dienstleister eingebunden?

Praxis-Tipp: Bereits kleine Unternehmen profitieren von einer regelmäßigen Kontrolle der Sicherheitskonsole. Es muss kein Security Operations Center (SOC) vorhanden sein – wichtig ist, dass Warnungen zeitnah bewertet werden.

Kontrolle

  • Sicherheitswarnungen werden zentral angezeigt.
  • Verantwortlichkeiten sind dokumentiert.
  • Kritische Warnungen werden zeitnah bearbeitet.

Typische Fehler

❌ EDR aktivieren, aber Warnungen niemals prüfen.
❌ Warnungen ausschließlich per E-Mail erhalten, ohne zentrale Übersicht.
❌ Keine Verantwortlichkeit definieren.

6. Schutz regelmäßig überprüfen

Ziel

Sicherstellen, dass alle Geräte dauerhaft geschützt bleiben.

Durchführung

Prüfen Sie regelmäßig:

Endgeräte

  • Geräte ohne Schutz
  • Geräte mit deaktiviertem Echtzeitschutz
  • Geräte mit veralteten Signaturen
  • Geräte mit fehlgeschlagenen Updates

Sicherheitsereignisse

  • neue Warnungen
  • erkannte Schadsoftware
  • blockierte Angriffe
  • isolierte Geräte
  • ungewöhnliche Aktivitäten

Konfiguration

  • Richtlinien aktuell?
  • Neue Geräte automatisch geschützt?
  • Manipulationsschutz weiterhin aktiv?

Empfehlung

  • Wöchentliche Kurzprüfung
  • Monatliche Dokumentation
  • Quartalsweise Überprüfung der Richtlinien

Kontrolle

Alle Geräte befinden sich im erwarteten Schutzstatus.

Typische Fehler

❌ Nur nach einem Sicherheitsvorfall in die Konsole schauen.
❌ Neue Geräte nicht kontrollieren

Ergebnis prüfen

Die Umsetzung ist erfolgreich, wenn:

✅ alle Endgeräte erscheinen in der zentralen Verwaltung.
✅ Echtzeitschutz ist aktiviert.
✅ automatische Updates werden erfolgreich installiert.
✅ Sicherheitsrichtlinien wurden übernommen.
✅ EDR ist aktiviert (sofern lizenziert).
✅ Sicherheitswarnungen werden regelmäßig überprüft.

Funktionsprüfung durchführen

Nach der Einführung sollten Sie den Schutz testen.

Geeignete Möglichkeiten sind beispielsweise:

  • Kontrolle des Gerätestatus in der Verwaltungskonsole
  • Prüfung des Update-Status
  • Test der Alarmierung
  • EICAR-Testdatei zur Überprüfung der Malware-Erkennung Download

Hinweis: Die EICAR-Testdatei enthält keine Schadsoftware. Sie wurde speziell entwickelt, um die Funktion einer Endpoint-Schutzlösung gefahrlos zu testen und wird von nahezu allen Antiviren- und Endpoint-Schutzlösungen erkannt.

[Check-it]

Arbeitsmaterial zu dieser Maßnahme

Mit unserer kostenlosen Checkliste führen Sie die Endgeräte-Schutzlösung-Einführung Schritt für Schritt durch.

Praxisnahe Checkliste

Schritt für Schritt zum Ziel

Sicher & aktuell

Orientiert an BSI, NIST & CISA

Sofort einsetzbar

Direkt herunterladen und loslegen

Jetzt kostenlos herunterladen

Sicher. Sofort verfügbar. 100 % kostenlos.

Orientiert an

Logo von Bundesamt fuer Sicherheit in der Informationstechnik
Logo von Microsoft
NIS2-Logo_PENforSEC
Logo von NIST

FAQ – Häufige Probleme

Onboarding fehlgeschlagen: Onboarding erneut durchführen und Konnektivität prüfen

Alte Lösung nicht entfernt: Vorherige Sicherheitslösung vollständig deinstallieren

Standardrichtlinien zu empfindlich: Pilotgruppe verwenden und Richtlinien schrittweise optimieren

Fehler durch Benutzerrechte oder Richtlinien: Neue Pilotgruppe verwenden und Richtlinien schrittweise optimieren

Falsche Lizenz: Lizenzumfang prüfen

Inventar nicht aktuell: Inventar regelmäßig mit der Verwaltung vergleichen

Updatefehler: Inventar regelmäßig mit der Verwaltung vergleichen

➡️ Nächste Schritt:
Ein moderner Endpoint-Schutz reduziert das Risiko von Schadsoftware erheblich. Ein Backup hilft aber wenn alles zu spät ist.
Zum nächsten Do-it-Artikel: Datensicherung einrichten

Sie wollen nicht bei dieser Maßnahme stehen bleiben?

Diese Maßnahme ist ein Baustein. Die PEN·for·SEC-Roadmap führt Sie Schritt für Schritt durch das ganze IT-Sicherheitsfundament – mit Plan, Leitfäden, Vorlagen und Nachweisen.

Roadmap ansehen

12. Quellen & Literatur

Standards und Best Practices

Microsoft Defender

Produktauswahl

Hinweis: Der aktuelle Magic Quadrant™ for Endpoint Protection Platforms ist in der Regel nur mit Gartner-Zugang oder über von Herstellern bereitgestellte lizenzierte Exemplare verfügbar. Nutzen Sie ihn als neutrale Orientierungshilfe bei der Auswahl einer Endpoint-Schutzlösung.

Ähnliche Beiträge