Virenschutz auf dem Arbeitsplatz und eine Erkennung, die Verhalten und Zusammenhänge zeigt, werden oft als Entweder-oder verkauft. Für ein KMU ist die richtige Frage eine andere: Welche Meldungen entstehen, und wer sieht sie an einem Werktag an, bevor ein Gerät isoliert werden muss. Ein Werkzeug, das nur installiert ist, verbessert die Lage nicht. Ein Werkzeug, dessen Alarme niemand zugeordnet hat, erzeugt höchstens ein schlechtes Gewissen.

Ein Produkt ohne jemanden, der hinschaut

Klassischer Virenschutz vergleicht vor allem mit bekannten Mustern und kann eine Datei lokal in Quarantäne legen. Eine Endpoint-Detection-and-Response-Lösung, kurz EDR, sieht zusätzlich Abläufe auf dem Gerät und kann es vom Netz nehmen. Das hilft nur, wenn die Isolierung gewollt ist und jemand die Meldung einordnen kann. Liegen die Alarme in einer Konsole, die nie geöffnet wird, ist der Mehrwert Theorie. Ein zweiter Echtzeitscanner daneben verbessert nichts und stört Datenbanken und Sicherungen.

Server und Branchenprogramme vertragen keine beliebigen Ausschlüsse und keine doppelten Agenten. Was der Hersteller der Warenwirtschaft oder der Datenbank an Schutz zulässt, gilt, nicht ein pauschales Abschalten ganzer Laufwerke. Ausschlüsse schreiben wir auf. Arbeitsplätze, Server und eventuell eine getrennte Lösung für die Cloud-Mail sind verschiedene Baustellen. Sie in einem Produktnamen zu verstecken, macht den Betrieb nicht klarer.

Schutz, der zum Betrieb und zur Betreuung passt

  1. Bestand. Erfassen Sie, welcher Agent heute auf Arbeitsplätzen und Servern läuft und wo zwei Schutzprogramme einander behindern.
  2. Meldungen. Legen Sie fest, welches Postfach oder welche Betreuung die Alarme an Werktagen sieht und was eine Isolierung auslöst.
  3. Ausschlüsse. Dokumentieren Sie nur die Ausnahmen, die ein Hersteller verlangt, und prüfen Sie sie bei Updates wieder.
  4. Server. Datenbank- und Anwendungsserver nicht mit einem zweiten Echtzeitscanner belegen, nur weil die Arbeitsplätze umgestellt werden.
  5. Übung. Isolieren Sie ein Testgerät und holen Sie es kontrolliert zurück, damit der Knopf nicht zum ersten Mal im Ernstfall gedrückt wird.

EDR ersetzt weder das Aufräumen von Administratorkonten noch ein Backup, das sich zurückspielen lässt. Es verkürzt im günstigen Fall die Zeit, bis ein auffälliges Gerät vom Netz ist. Wenn diese Reaktion nicht in den Geschäftszeiten organisiert ist, kaufen Sie eine Konsole. Die Organisation der Reaktion ist der Teil, den wir vor der Lizenz klären.

Woran Projekte in der Praxis scheitern

  • Zwei Echtzeit-Schutzprogramme auf demselben Server laufen lassen, bis die Warenwirtschaft stehen bleibt.
  • Ganze Datenverzeichnisse ausschließen, damit die Meldungen aufhören, ohne den Grund zu notieren.
  • Alarme an eine Person schicken, die das Unternehmen bereits verlassen hat.
  • Die Isolierung eines Geräts nicht üben und im Ernstfall davor zurückschrecken.

Beispiel aus dem Betriebsalltag

Ein Fertigungsbetrieb hatte auf den Büro-PCs einen klassischen Schutz und auf dem Datenbankserver zusätzlich einen zweiten Agenten, den niemand betreute. Die Konsole zeigte Meldungen, das Postfach dafür war ungelesen. Wir haben den zweiten Agenten vom Datenbankserver genommen, die Alarme auf die Betreuung in den Geschäftszeiten gelegt und an einem Testgerät die Isolierung ausgelöst und wieder aufgehoben. Der Schutz war danach bedienbar, nicht nur installiert.

Kurze Entscheidungshilfe

  • Wissen Sie, welches Postfach Schutzmeldungen erhält und wer es an Werktagen liest?
  • Laufen auf einem Server zwei Echtzeitscanner gleichzeitig?
  • Sind Ausschlüsse benannt und nicht ein ganzes Laufwerk?
  • Wurde die Isolierung eines Geräts schon einmal geprobt?

Wenn die Wahl zwischen Virenschutz und EDR bei Ihnen ansteht, klären wir den Umfang unverbindlich: Schutz am Arbeitsplatz. Makros und USB einschränken Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.