Ein klassischer Virenscanner war eine gute Lösung — im Jahr 2010. Ransomware, Lateral Movement und Angriffe über PowerShell sind ebenfalls nicht neu — aber ein typischer Virenscanner sieht sie schlicht nicht. Was sie sieht, heißt EDR. Und das kostet heute kein Vermögen mehr.
Das wiederkehrende Muster sieht so aus. Ein kleines Unternehmen kauft eine Mehrjahreslizenz eines bekannten Virenscanners, installiert ihn auf allen Rechnern und hakt das Thema „Endpoint-Sicherheit" ab. Drei Jahre später kommt der Vorfall — Ransomware, Datendiebstahl oder einfach merklich langsame Server. Der Virenscanner „hat nichts angezeigt". Weil er nur Dateien betrachtet: Er vergleicht den Hash mit seiner Signaturdatenbank und prüft, ob er im Katalog bekannter Bedrohungen steht. Moderne Angriffe nutzen Dateien anders — sie missbrauchen legitime Windows-Werkzeuge (PowerShell, WMI, geplante Aufgaben). Der Virenscanner sieht „PowerShell führt ein Skript aus" und zuckt mit den Schultern.
Wie sich EDR vom Virenscanner unterscheidet
EDR steht für Endpoint Detection and Response. Kurz: Statt Dateien gegen eine Bedrohungsliste zu vergleichen, beobachtet EDR in Echtzeit, was auf dem Endpoint passiert, und erkennt Verhaltensmuster. Einen Coinminer, der sich als svchost.exe tarnt, erkennt EDR an CPU-Auslastung und Netzwerkmuster. Eine PowerShell-Instanz, die von Office gestartet wird — erkennt EDR, weil das eine Anomalie ist. Ein Versuch, in einer Minute 5.000 Dateien zu verschlüsseln, wird erkannt — weil das Ransomware ist, unabhängig davon, welche ausführbare Datei den Vorgang gestartet hat.
Das Zweite: Response. EDR kann den Endpoint selbsttätig vom Netzwerk trennen, den Prozess einfrieren und Änderungen zurückrollen. Ein Virenscanner löscht im besten Fall die erkannte Datei. Es ist ungefähr der Unterschied zwischen einem Rauchmelder und einem Rauchmelder mit Brandortlokalisierung plus automatischer Brandschutztürsteuerung.
Für ein KMU geht es nicht darum, ein „enterprise-grade SOC" zu haben. Es geht darum, dass jemand (oder etwas) merkt, dass etwas nicht stimmt — bevor ein Kunde anruft und fragt, warum die Webseite down ist.
Was EDR erkennt, was der Virenscanner nicht erkennt
- Dateilose Angriffe. Ein Skript wird im Speicher ausgeführt, ohne dass etwas auf die Platte geschrieben wird. Der Virenscanner sieht es nicht; EDR schon.
- Lateral Movement. Rechner A meldet sich an Rechner B an, dann an C, dann auf dem Server. Jeder Schritt ist „legitim", das Muster aber verdächtig.
- Living-off-the-land. Der Angreifer nutzt Windows-Bordmittel (PowerShell, certutil, bitsadmin). Der Virenscanner blockt sie nicht, weil sie normale Systemprogramme sind.
- Ransomware während der Verschlüsselung. EDR bemerkt massenhafte Dateioperationen und kann sie nach den ersten paar hundert Dateien stoppen. Der Virenscanner sieht es erst hinterher — zu spät.
- Kontokompromittierung. Ein Login auf denselben Rechner aus zwei Geolokationen innerhalb von 5 Minuten. EDR schlägt Alarm.
Was kaufen — ohne Tool-Wucherung
Für ein 10–50 Personen großes Unternehmen brauchen Sie KEIN enterprise SOC und keine teure SIEM-Plattform. Sie brauchen ein EDR mit Konsole, in die genau eine kompetente Person — intern oder extern — hineinschauen kann.
Praktische Optionen, die wir bei KMU-Kunden am häufigsten sehen:
- Microsoft Defender for Business — wenn Sie Microsoft 365 Business Premium haben, ist er enthalten. Integriert sich in den restlichen M365-Stack und reicht typischerweise für ein gewöhnliches Büro-KMU aus.
- Bitdefender GravityZone Business Security Premium — gut, wenn M365 nicht Ihre „Source of Truth" ist und Sie einen gemischten Fuhrpark betreiben (Windows + macOS + Linux-Server).
- ESET PROTECT Entry / Advanced — natürliche Fortsetzung für Firmen, die seit Jahren ESET nutzen, jetzt mit EDR-Funktionen in den höheren Paketen.
- SentinelOne oder CrowdStrike Falcon Go — eher premium, sinnvoll, sobald die Firma eigene IT-Leute hat und mehr Automatik möchte.
Der Preis? Realistisch 6–20 EUR pro Endpoint und Monat je nach Tier. Bei 30 Endpoints also rund 250–600 EUR im Monat. Weniger als ein einziger Tag Ransomware-Stillstand.
Ein konkretes Beispiel aus unserer Praxis
Einer unserer Kunden — ein 32-Personen-Distributor für Industrieteile mit 35 Endpoints und einem Comarch-Optima-ERP-Server im Büro — hatte vor der Umstellung einen klassischen, signaturbasierten Virenscanner für 89 PLN pro Endpoint und Jahr. Alles „lief", das Admin-Panel zeigte nur grüne Symbole.
Im Rahmen eines IT-Audits schlugen wir die Migration auf Microsoft Defender for Business vor (M365 Business Standard hatten sie bereits; der Wechsel auf Business Premium kostete zusätzlich ~22 PLN pro Nutzer und Monat). Gesamte Mehrkosten: rund 700 PLN pro Monat über dem, was sie vorher bezahlt hatten.
Was in den ersten 4 Monaten nach dem Rollout passierte:
- Zweimal wurden PowerShell-Skripte erkannt und automatisch blockiert, die von Makros in Excel-Anhängen gestartet wurden (klassischer Auftakt eines Phishing-Angriffs). Der alte Virenscanner hatte sie durchgelassen, weil die
.xlsm-Datei selbst „sauber" war. - Einmal wurde der Installationsversuch eines Coinminers auf dem Laptop eines Vertriebsmitarbeiters abgefangen, der einen „kostenlosen PDF-Konverter" installiert hatte. Ohne EDR hätte er das langsamere Laptop nach zwei Wochen bemerkt — oder nie.
- Fünfmal markierte das System Anmeldungen aus ungewöhnlichen Lokationen (überwiegend reisende Mitarbeiter — false positives, aber eine 2-Minuten-Bestätigung war nötig).
Schwer zu beziffernder Wert: Wäre der erste Vorfall durchgegangen, hätte die Ransomware die Comarch-Optima-Daten und das Belegarchiv verschlüsseln können. Geschätzte Kosten eines 5-tägigen Ausfalls plus Datenwiederherstellung für dieses Unternehmen: 80.000–150.000 PLN. Jahreskosten EDR: 8.400 PLN.
Was Sie nicht tun sollten
- EDR kaufen und unbeaufsichtigt lassen. EDR erzeugt Alerts. Liest sie niemand, sind sie nutzlos. Entweder verbringt Ihre interne IT 20–30 Minuten am Tag in der Konsole, oder Sie buchen zusätzlich MDR (Managed Detection and Response) dazu — typisch +50–70% auf den Lizenzpreis.
- Den Slogans „self-healing AI" aus den Folien glauben. Ja, EDR erkennt Muster. Nein, es stoppt nicht 100% der Angriffe. Realistische Erkennungsraten liegen bei 90–98% — viel besser als Virenscanner, aber kein Freibrief, andere Schichten (Backup, MFA, Netzsegmentierung) wegzulassen.
- „Kostenlose" Lösungen mit seltsamer Lizenzierung kaufen. Wenn jemand EDR für 50 PLN pro Endpoint und Jahr verkauft, verdient er sein Geld woanders — meist mit der Telemetrie Ihrer Mitarbeiter.
- Den alten Virenscanner „neben" EDR weiterlaufen lassen. Zwei Lösungen auf einem Rechner stören sich, bremsen das System und blenden gegenseitig ihre Telemetrie.
Wie anfangen
- Prüfen Sie, was Sie heute haben — ist es ein klassischer Signatur-Virenscanner, ist er für 2026 nicht bereit.
- Prüfen Sie, was Sie in Microsoft 365 bereits haben — Defender for Business in Business Premium reicht oft, und Sie zahlen ihn ohnehin schon.
- Erstellen Sie eine kurze Endpoint-Inventur — wie viele Geräte, welche Nutzer, was läuft drauf.
- Entscheiden Sie, wer die Alerts liest. Ohne das sind die Punkte 1–3 verlorene Zeit.
Wenn Sie nicht wissen, wo Sie anfangen sollen, oder das Gefühl haben, Ihr aktueller Virenscanner sei verdächtig günstig — lassen Sie uns sprechen. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.
EDR ist kein „Virenscanner der nächsten Generation". Es ist ein anderes Werkzeug — und wenn Sie Ransomware fürchten, ist es heute Minimum, kein Luxus.