Dateiserver, Exchange und NAS absichern: welche Serverlizenz Sie wirklich brauchen und was oft vergessen wird

Alle Arbeitsplätze sind geschützt — und der Server läuft seit Jahren einfach so mit

Die Lizenzübersicht sieht sauber aus. Fünfundzwanzig Arbeitsplätze, alle mit demselben Schutzpaket, alle grün in der Konsole. Dann fragt jemand nach dem Dateiserver. Der läuft in der Ecke, seit dem Umzug in den neuen Serverraum unverändert, und niemand weiss auf Anhieb, ob dort überhaupt etwas installiert ist. Falls doch, dann vermutlich dieselbe Lizenz wie auf den Arbeitsplätzen — irgendwann einmal mitinstalliert, weil sie gerade zur Hand war.

Das ist der häufigste blinde Fleck in kleinen und mittleren Umgebungen. Er hat zwei getrennte Ursachen, eine lizenzrechtliche und eine technische, und beide führen zum selben Ergebnis: Das Gerät, auf dem die Daten tatsächlich liegen, ist schlechter geschützt als die Notebooks, mit denen darauf zugegriffen wird. Dieser Beitrag erklärt, warum das so ist, welche Produkte es für Dateiserver, Exchange, NAS-Systeme und virtuelle Maschinen gibt und woran man beim Einkauf regelmässig vorbeiplant.

Warum reicht eine Endpoint-Lizenz für den Server nicht aus?

Aus zwei voneinander unabhängigen Gründen. Der erste ist die Lizenzierung: Die meisten Hersteller führen Serverlizenzen als eigene Artikel. Sophos und ThreatDown verkaufen für Arbeitsplätze und Server getrennte Produkte, ESET hat mit ESET Server Security eine eigene Linie neben den Endpoint-Produkten, Bitdefender führt Security for Servers als eigenständigen Artikel neben Security for Workstations. Eine Arbeitsplatzlizenz auf einem Server einzusetzen, ist damit nicht bloss unschön, sondern schlicht nicht abgedeckt.

Der zweite Grund ist technischer Natur und wiegt im Alltag schwerer: Ein Arbeitsplatzprodukt ist für ein Gerät gebaut, an dem ein Mensch sitzt. Es zeigt Meldungen an, fragt bei Entscheidungen nach, plant Aktualisierungen für den Feierabend und rechnet damit, dass gelegentlich neu gestartet wird. Nichts davon passt zu einem Server, der ohne angemeldeten Benutzer durchläuft und dessen Neustart ein geplantes Ereignis mit Ankündigung ist. Ein Serverprodukt bringt stattdessen mit, was dort zählt: vorkonfigurierte Ausschlüsse für Serverrollen, Scan-Verhalten mit Rücksicht auf offene Dateien und Datenbanken, Unterstützung für Installationen ohne grafische Oberfläche und Richtlinien, die für dauerhaft laufende Systeme gedacht sind.

Beides zusammen bedeutet: Wer die Arbeitsplatzlizenz auf den Server zieht, spart einen Posten im Angebot und handelt sich dafür ein Gerät ein, das im Zweifel entweder falsch konfiguriert ist oder gar nicht laufen darf.

Was macht ein Serverschutz technisch anders?

Der sichtbarste Unterschied sind die Ausschlüsse. Ein Echtzeitscanner, der eine geöffnete Datenbankdatei anfasst, kann sie sperren oder in Quarantäne schieben — und dann steht der Dienst. Serverprodukte bringen deshalb Vorgaben für gängige Rollen mit oder erkennen sie automatisch. Sophos beschreibt das als automatische Scan-Ausschlüsse, andere Hersteller lösen es über Rollenvorlagen in der Richtlinie.

Dazu kommen Funktionen, die es auf Arbeitsplätzen gar nicht gibt. Sophos Intercept X Advanced for Server enthält Server Lockdown, eine Applikationssperre, die den Server nach einer Aufnahmephase auf den vorhandenen Stand festnagelt: Danach startet nichts mehr, was vorher nicht da war. Auf einem Arbeitsplatz wäre das unbrauchbar, weil ständig neue Software dazukommt. Auf einem Server, der seit drei Jahren dieselben vier Dienste ausführt, ist es eine der wirksamsten Massnahmen überhaupt. Dieselbe Stufe bringt Dateiintegritätsüberwachung mit, die meldet, wenn jemand kritische Dateien verändert.

Und schliesslich die Plattformfrage: Serverprodukte unterstützen in der Regel Installationen ohne grafische Oberfläche und Linux-Distributionen. AVG File Server Business Edition etwa nennt als unterstützte Systeme ausdrücklich nur 64-Bit-Windows-Server und schliesst die Server-Core-Installation aus. Wer Server Core einsetzt, muss das vor der Bestellung wissen.

Warum ist der Dateiserver das eigentliche Ziel eines Verschlüsselungsangriffs?

Weil dort die Daten liegen, für die jemand Lösegeld bezahlen würde. Ein verschlüsseltes Notebook kostet einen halben Tag Neuinstallation. Ein verschlüsselter Dateiserver legt den Betrieb still.

Entscheidend ist dabei ein Detail, das oft übersehen wird: Die Verschlüsselung muss gar nicht auf dem Server ablaufen. Sie startet auf einem infizierten Arbeitsplatz und arbeitet sich über das verbundene Netzlaufwerk durch die Freigaben. Aus Sicht des Servers greift ein regulär angemeldeter Benutzer auf seine Dateien zu und ändert sie — technisch unauffällig. Genau deshalb enthalten Serverprodukte Schutzmechanismen gegen entfernt ausgeführte Verschlüsselung. Sophos nennt diese Komponente CryptoGuard und beschreibt ausdrücklich den Fall, dass die Ransomware auf einem verbundenen Endpunkt läuft und nicht auf dem Server selbst.

Ein Arbeitsplatzprodukt auf dem Server hat diesen Blickwinkel nicht. Es schaut auf lokal ausgeführte Prozesse, nicht auf ein Zugriffsmuster über die Freigabe.

Deckt mein bestehendes Business-Paket die Server nicht automatisch mit ab?

Teilweise, und die Bedingungen sind unterschiedlich. Bitdefender rechnet bei den GravityZone-Paketen einen Serveranteil ein: Die Angaben zum Lieferumfang nennen Desktops und Notebooks sowie bis zu dreissig Prozent Dateiserver. Wichtig dabei ist eine zweite Angabe aus derselben Quelle: Linux-Systeme werden grundsätzlich als Server gezählt, auch wenn es sich um einen Arbeitsplatzrechner handelt. Wer viele Linux-Geräte betreibt, verschiebt damit sein Verhältnis, ohne es zu merken.

Bei Sophos und ThreatDown gibt es diesen Mechanismus nicht. Dort sind Server durchgehend eigene Artikel, von der Einstiegsstufe bis zur betreuten Variante. Wer die Arbeitsplätze auf eine bestimmte Stufe hebt, sollte die Server auf dieselbe Stufe heben — sonst bricht die Kette genau dort ab, wo der Schaden entsteht.

Praktische Konsequenz für die Angebotsprüfung: Zählen Sie Ihre Geräte nicht in Köpfen, sondern in drei Gruppen — Arbeitsplätze, Server, und alles, worauf sich kein Agent installieren lässt. Die dritte Gruppe wird fast immer vergessen.

Worin unterscheiden sich die Serverprodukte konkret?

Vergleichbar sind die Produkte, die einen Windows-Dateiserver absichern. Nicht in der Tabelle stehen die reinen Mail- und Speicherprodukte, weil sie einen anderen Zweck haben und weiter unten eigene Abschnitte bekommen, sowie die betreuten Dienste, die eine Dienstleistung und kein Serverprodukt sind.

Eigenschaft	ESET Server Security	Bitdefender Security for Servers	SOPHOS Intercept X Advanced for Server	AVG File Server Business Edition
Windows Server	✓	✓	✓	✓
Linux-Server	✓	✓	Zwei Varianten	✕
Windows Server Core	See note	See note	See note	✕
Exchange-Schutz	Über Mail Plus	Eigenes Produkt	Eigenes Produkt	Andere Edition
Applikationssperre für Server	See note	See note	✓	✕
Dateiintegritätsüberwachung	See note	Als Add-On	✓	✕
Konsole lokal betreibbar	✓	✓	✕	✓
Detection and Response für Server	✓	✓	Eigene Variante	✕

Zu den offenen Feldern: Ob eine Installation ohne grafische Oberfläche unterstützt wird, hängt bei allen drei grösseren Anbietern von der eingesetzten Produktversion ab und gehört deshalb vor der Bestellung geprüft — nur AVG schliesst Server Core ausdrücklich aus. Applikationssperre und Dateiintegritätsüberwachung sind bei Sophos Bestandteil der Advanced-Stufe für Server, bei Bitdefender ist Integritätsüberwachung ein separat zu buchendes Zusatzmodul, und für ESET liegt für diese beiden Punkte keine eindeutige Herstellerangabe auf Produktebene vor. Sophos bietet für Linux zwei Bereitstellungsvarianten mit unterschiedlichem Funktionsumfang an, die sich gegenseitig ausschliessen — die kleinere umfasst im Kern Malware-Schutz und Erkennung von Schadverkehr.

Welches Serverprodukt passt zu welcher Umgebung?

Für gemischte Umgebungen mit Windows- und Linux-Servern und einer Konsole, die auch im eigenen Haus laufen kann, ist ESET Server Security ⧉ die naheliegende Wahl. Das Produkt hiess früher ESET File Security für Microsoft Windows Server; wer noch unter dem alten Namen sucht, landet heute hier. Es wird über dieselbe Plattform verwaltet wie die Arbeitsplätze, was den Betrieb spürbar vereinfacht.

Wer bereits GravityZone einsetzt und die Server sauber getrennt lizenzieren will, nimmt Bitdefender GravityZone Security for Servers ⧉ und behält damit den eingerechneten Serveranteil der Arbeitsplatzpakete für den Fall frei, dass Linux-Geräte dazukommen.

Für Windows-Dateiserver in einer kleinen Umgebung ohne Linux und ohne Anspruch auf Applikationssperre reicht AVG File Server Business Edition ⧉. Die Einschränkungen sind klar benannt: nur 64-Bit-Windows-Server, keine Server-Core-Installation, kein Linux. Wer Linux-Server betreibt, braucht dafür ein separates Produkt derselben Familie.

Welche Sophos-Stufe brauche ich für Server?

Sophos staffelt die Serverprodukte genauso wie die Arbeitsplatzprodukte, und die Unterschiede sind für Server besonders greifbar.

SOPHOS Central Intercept X Essentials for Server ⧉ liefert den Schutz gegen Schadsoftware und Verschlüsselungsangriffe. Was fehlt, ist genau das, was Server von Arbeitsplätzen unterscheidet: keine Applikationssperre, keine Dateiintegritätsüberwachung, keine mehrfachen konfigurierbaren Richtlinien.

SOPHOS Central Intercept X Advanced for Server ⧉ ergänzt Server Lockdown und Dateiintegritätsüberwachung sowie Geräte-, Web- und Applikationssteuerung. Für einen Server mit stabilem Softwarestand ist das die Stufe, die den grössten praktischen Sicherheitsgewinn bringt.

SOPHOS Central Intercept X Advanced for Server with XDR ⧉ kommt dann infrage, wenn die Arbeitsplätze bereits auf der XDR-Stufe laufen. Server auf einer niedrigeren Stufe zu belassen, führt dazu, dass die Rekonstruktion eines Angriffs genau an der Stelle endet, an der es interessant wird.

Warum braucht Exchange ein eigenes Schutzprodukt?

Weil ein Dateiscanner und ein Mailscanner an verschiedenen Stellen ansetzen. Der Dateischutz auf dem Server prüft, was auf die Festplatte geschrieben wird. Er sieht damit nicht, was in der Mailwarteschlange steckt, was gerade durch den Transportdienst läuft und was in einem Postfach liegt, ohne je als einzelne Datei zu existieren. Ein Mailprodukt klinkt sich in den Mailfluss ein und filtert dort — inklusive Spam- und Phishing-Erkennung, die ein Dateiscanner naturgemäss nicht leistet.

Deshalb führt jeder Hersteller dafür ein eigenes Produkt. Bei Bitdefender ist es GravityZone Security for Exchange Servers ⧉. Bei ESET übernimmt das ESET PROTECT Mail Plus ⧉. Kaspersky bietet Kaspersky Security for Mail Server ⧉ an. G DATA löst es über Bündel, etwa G DATA Client Security Business mit Exchange Mail Security ⧉, bei denen der Mailschutz von vornherein Bestandteil des Pakets ist — für Betriebe, die nicht zwei Artikel nebeneinander pflegen wollen, oft die einfachere Beschaffung.

Bei AVG liegt der Exchange-Schutz nicht in der File Server Business Edition, sondern in einer eigenen Edition für Mailserver. Das ist der klassische Fall, in dem ein Betrieb den Dateiserver lizenziert und annimmt, Exchange sei damit erledigt.

Welche Antiviren-Ausschlüsse braucht ein Exchange-Server, und warum sind alte Listen gefährlich?

Microsoft veröffentlicht für Exchange eine Liste von Ordnern, Prozessen und Dateiendungen, die vom Dateiscanner ausgenommen werden sollen — Datenbank- und Transaktionsprotokolldateien, Warteschlangen, Inhaltskonvertierung und einiges mehr. Der Grund ist handfest: Sperrt der Scanner eine offene Datenbank- oder Protokolldatei, kann das zu unerwarteten Aushängungen der Datenbank und im schlimmsten Fall zu beschädigten Daten führen. Für die Umsetzung stellt Microsoft ein PowerShell-Skript bereit, das die tatsächlich verwendeten Pfade der Installation ermittelt, statt sie von Hand abzutippen.

Der gefährliche Teil ist die andere Richtung. Microsoft hat 2023 vier zuvor empfohlene Ausschlüsse ausdrücklich zurückgenommen: die Ordner für temporäre ASP.NET-Dateien und Inetsrv sowie die Prozesse PowerShell.exe und w3wp.exe. Begründung war, dass genau diese Ausschlüsse verhinderten, dass IIS-Webshells und Backdoor-Module entdeckt werden — die damals häufigste Angriffsform gegen Exchange. Wer eine Ausschlussliste aus einem älteren Handbuch übernommen hat, betreibt seinen Exchange-Server bis heute mit einem Loch an der empfindlichsten Stelle.

Praktisch heisst das: Ausschlussliste nicht kopieren, sondern gegen die aktuelle Herstellerdokumentation abgleichen, und zwar für die eingesetzte Exchange-Version.

Was bedeutet das Support-Ende von Exchange 2016 und 2019 für den Serverschutz?

Der Support für Exchange Server 2016 und 2019 endete am 14. Oktober 2025. Seither liefert Microsoft für diese Versionen keine Sicherheitsupdates, keine Fehlerbehebungen und keinen technischen Support mehr. Die einzige weiterhin unterstützte lokale Variante ist die Exchange Server Subscription Edition, allgemein verfügbar seit dem 1. Juli 2025. Das befristete Programm mit erweiterten Sicherheitsupdates für 2016 und 2019 lief bis zum 14. April 2026 und ist damit ebenfalls ausgelaufen.

Für den Schutz hat das zwei Konsequenzen. Erstens: Ein Mailschutzprodukt kompensiert keine fehlenden Sicherheitsupdates des Servers. Die schwerwiegenden Exchange-Vorfälle der vergangenen Jahre liefen über Schwachstellen im Server selbst, nicht über Anhänge in E-Mails. Zweitens: Prüfen Sie vor dem Kauf, ob das Mailprodukt Ihre Version überhaupt noch unterstützt. Herstellerangaben zu unterstützten Exchange-Versionen hinken der Subscription Edition teilweise hinterher, und ein Produkt, das offiziell nur bis Exchange 2019 freigegeben ist, hilft Ihnen bei einer Migration nicht weiter.

Wer die Migration ohnehin plant: Der Zeitpunkt, an dem die Exchange-Version wechselt, ist auch der richtige Zeitpunkt, um den Mailschutz neu zu bewerten, statt eine bestehende Lizenz mitzuschleppen.

Wir nutzen Microsoft 365 — brauchen wir trotzdem Mailschutz?

Ja, aber nicht dasselbe Produkt. Die hier genannten Exchange-Produkte setzen auf einem lokal betriebenen Exchange-Server auf. Läuft Ihr Mailverkehr über Exchange Online, gibt es keinen Server, auf dem sich ein Agent installieren liesse — der Schutz muss dort ansetzen, wo die Postfächer liegen, also über eine Anbindung an den Cloud-Dienst.

Die Hersteller führen dafür getrennte Produkte. Bei Bitdefender ist Security for Email ein eigenes Zusatzmodul, bei ESET deckt PROTECT Mail Plus neben lokalem Exchange auch Microsoft 365 ab. Wichtig ist die Unterscheidung beim Einkauf: Ein Artikel mit „Exchange" im Namen meint in der Regel den lokalen Server. Wer in einer Mischumgebung mit lokalem Exchange und Postfächern in der Cloud arbeitet, braucht unter Umständen beides.

Wie schütze ich Dateien auf einem NAS, auf dem sich kein Agent installieren lässt?

Über ein Produkt, das den Speicher von aussen prüft. Auf einem NAS-System oder einem Speicher-Array läuft ein geschlossenes Betriebssystem, auf dem sich kein Schutzagent installieren lässt. Der Scan muss deshalb über eine Schnittstelle laufen, die das Speichersystem selbst anbietet: Es meldet den Zugriff an einen Scandienst, der die Datei prüft und freigibt oder blockiert.

Genau dafür gibt es eigene Artikel — bei Bitdefender GravityZone Security for Storage ⧉ als Zusatzmodul, bei Kaspersky Kaspersky Security for Storage ⧉ als eigenständiges Produkt. Das ist die dritte Gerätegruppe aus dem Abschnitt weiter oben, die in Angeboten fast immer fehlt: Der Betrieb hat ein NAS als Ablage für die Konstruktionsdaten, alle greifen darauf zu, und geprüft wird dort nichts.

Ob solche Zusatzmodule eine bestimmte Grundlizenz voraussetzen und wie sich Base, Base Plus und Add-On unterscheiden, ist eine eigene Frage, die vor der Bestellung geklärt sein sollte.

Base, Base Plus, Add-On oder Renewal — was diese Bezeichnungen bedeuten
Erklärt, wie die Paketbezeichnungen im Handel zu lesen sind und welche davon eine bestehende Lizenz voraussetzen.

Wie werden virtuelle Server und der Hypervisor lizenziert?

In der Regel wird jede virtuelle Maschine wie ein eigener Server gezählt, weil auf jeder ein Betriebssystem läuft, das geschützt werden muss. Für dichter belegte Umgebungen gibt es davon abweichende Modelle: Bitdefender GravityZone Security for Virtual Environments ⧉ wird nach CPU lizenziert statt nach Maschine, was sich rechnet, sobald viele virtuelle Systeme auf wenigen Hosts laufen.

Technisch kommt ein zweiter Punkt dazu. Wenn zwanzig virtuelle Maschinen auf demselben Host gleichzeitig einen geplanten Scan starten, bricht die Leistung des gesamten Hosts ein. Die Hersteller lösen das über ausgelagerte Prüfung: Ein schlanker Agent in der virtuellen Maschine reicht die Prüfung an eine zentrale Sicherheitsinstanz weiter. Sophos bietet dafür eine eigene Variante für Windows-Server auf VMware ESXi und Microsoft Hyper-V an, die als Alternative zum vollen Serveragenten gedacht ist.

Für die Angebotsprüfung heisst das: Klären Sie, ob nach Maschine oder nach Prozessor lizenziert wird, und ob die zentrale Prüfinstanz eine eigene Lizenz braucht.

Was ist mit dem Domaincontroller?

Der Domaincontroller ist der Server, dessen Kompromittierung alles andere wertlos macht — wer ihn kontrolliert, kontrolliert jedes Konto und jede Freigabe. Er braucht denselben Serverschutz wie ein Dateiserver, mit denselben rollenspezifischen Ausschlüssen für die Verzeichnisdatenbank und die zugehörigen Protokolldateien.

In der Praxis fällt er trotzdem oft durchs Raster, weil auf ihm keine Benutzerdaten liegen und er deshalb nicht als schützenswert wahrgenommen wird. Das ist ein Denkfehler: Bei einem Verschlüsselungsangriff ist der Domaincontroller nicht das Ziel, sondern das Werkzeug — über ihn wird die Schadsoftware anschliessend auf alle übrigen Systeme verteilt. Ein Serverprodukt mit Applikationssperre ist hier besonders wirksam, weil sich der Softwarestand eines Domaincontrollers praktisch nie ändert.

Brauchen Server auch EDR, oder reicht der reine Virenschutz?

Wenn die Arbeitsplätze eine Aufzeichnungs- und Untersuchungsfunktion haben, dann die Server erst recht. Der Grund ist derselbe wie bei der Lizenzstufe: Ein Angriff, der auf einem Notebook beginnt, entfaltet seine Wirkung auf dem Server. Endet die Aufzeichnung an der Serverkante, lässt sich hinterher nicht rekonstruieren, was mit den Daten passiert ist — und das ist genau die Frage, die im Ernstfall gestellt wird.

Alle grösseren Anbieter führen dafür Servervarianten, etwa ThreatDown Advanced Server ⧉ als Servergegenstück zum gleichnamigen Arbeitsplatzpaket. Achten Sie beim Vergleich zweier Angebote darauf, ob die Serverlizenzen dieselbe Stufe haben wie die Arbeitsplatzlizenzen. Eine Offerte wirkt günstiger, wenn die Server still auf der Einstiegsstufe kalkuliert wurden.

Welche Stufe für Ihren Betrieb sinnvoll ist und worin sich die Kürzel unterscheiden, entscheidet sich unabhängig von der Serverfrage und ist hier bewusst nicht ausgeführt.

EDR, XDR und MDR: was die Kürzel bedeuten und wann Sie welches brauchen
Erklärt die Unterschiede zwischen Aufzeichnung, erweiterten Datenquellen und betreuten Diensten und ordnet ein, welche Stufe zu welcher Ausgangslage passt.

Wie hilft Serverschutz bei der Meldepflicht in der Schweiz?

Seit dem 1. April 2025 gilt in der Schweiz eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen, gestützt auf das revidierte Informationssicherheitsgesetz und die Cybersicherheitsverordnung. Betroffen sind Behörden und Organisationen nach Art. 74b ISG, darunter Energie- und Trinkwasserversorgung, Transportunternehmen, Listenspitäler, Anbieter von Cloud-Diensten und Rechenzentren sowie kantonale und kommunale Verwaltungen. Die Erstmeldung muss innerhalb von 24 Stunden nach Entdeckung an das Bundesamt für Cybersicherheit gehen, fehlende Angaben können innerhalb von 14 Tagen nachgereicht werden. Für kleinere Organisationen und Vorfälle mit geringen Auswirkungen sieht die Verordnung Ausnahmen vor.

Für die Meldung zählt vor allem eines: Sie müssen sagen können, welche Systeme betroffen waren und ob Daten abgeflossen sind. Diese Frage entscheidet sich auf dem Server, nicht auf dem Arbeitsplatz. Ein Serverprodukt mit Dateiintegritätsüberwachung und protokolliertem Zugriffsverhalten liefert dafür belegbare Angaben. Ein ungeschützter oder nur mit einer Arbeitsplatzlizenz versehener Server liefert sie nicht — und dann steht in der Meldung eine Vermutung.

Was Serverschutz nicht leistet: Er stellt nicht fest, ob Ihr Betrieb meldepflichtig ist, er ersetzt keine benannte verantwortliche Person und keine geübte Meldekette, und er sagt nichts darüber aus, welche Daten auf dem betroffenen Server überhaupt lagen. Diese Zuordnung ist eine organisatorische Aufgabe.

Was verlangt die NIS-2-Richtlinie in Bezug auf Server?

Für Betriebe mit Standorten oder Kunden in der Europäischen Union ist die NIS-2-Richtlinie massgebend. Sie verlangt Massnahmenkategorien und keine bestimmte Software: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität und Backup-Verwaltung, Sicherheit der Lieferkette, Schwachstellenbehandlung, Konzepte zur Bewertung der Wirksamkeit, Schulung sowie Zugriffskontrolle und Multi-Faktor-Authentisierung. Kein Produkt stellt Konformität her.

Serverseitig unterstützt werden davon die Bewältigung von Vorfällen, die Schwachstellenbehandlung, soweit Schwachstellenbewertung und Patchverwaltung auf Server ausgedehnt sind, und die Zugriffskontrolle auf Systemebene. Die gestufte Meldung der Richtlinie — Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats — stützt sich auf dieselben Aufzeichnungen wie die schweizerische Meldepflicht.

Nicht abgedeckt sind Backup und Wiederanlauf, das Lieferantenmanagement, die Schulung der Belegschaft und die Verantwortlichkeit der Leitungsebene. Wer beide Regelwerke parallel erfüllen muss, weil der Betrieb in der Schweiz sitzt und in die EU liefert, findet die Gegenüberstellung im Detail an anderer Stelle.

Cybersicherheitspflichten in der Schweiz und in der EU im Vergleich
Stellt die schweizerische Meldepflicht und die Anforderungen der NIS-2-Richtlinie nebeneinander und zeigt, wo sie sich unterscheiden.

Was deckt Serverschutz nicht ab?

Den grössten Teil dessen, was einen Serverausfall tatsächlich verhindert oder verkürzt. Ein Schutzprodukt ersetzt keine Datensicherung mit getestetem Rückspielen, und bei einem erfolgreichen Verschlüsselungsangriff entscheidet die Wiederherstellung über die Ausfalldauer, nicht die Erkennung. Es ersetzt auch keine saubere Verwaltung der Zugriffsrechte: Wenn jeder Benutzer Schreibrechte auf jede Freigabe hat, verschlüsselt Ransomware alles, was dieser Benutzer erreichen kann.

Zwei weitere Punkte gehören dazu. Erstens ein aus dem Internet erreichbarer Remotedesktop-Zugang ohne zweiten Faktor — ein häufiger Einstiegsweg, gegen den ein Dateiscanner nichts ausrichtet, weil sich der Angreifer regulär anmeldet. Zweitens der Aktualisierungsstand des Servers selbst. Die schwerwiegenden Vorfälle der vergangenen Jahre liefen über bekannte, ungepatchte Schwachstellen in serverseitigen Diensten.

Wie sich die Patchverwaltung auf Servern nicht nur durchführen, sondern gegenüber Dritten auch nachweisen lässt, ist ein Thema für sich und hier nicht ausgeführt.

Patchmanagement und der Nachweis gegenüber Dritten
Zeigt, wie sich der Aktualisierungsstand dokumentieren lässt, sodass er in Audits und Kundenfragebogen Bestand hat.

Wie gehe ich das jetzt praktisch an?

Beginnen Sie mit einer Bestandsaufnahme in vier Gruppen, nicht mit einem Angebot. Erstens die Arbeitsplätze. Zweitens die Server, getrennt nach Windows und Linux und mit dem Vermerk, welche ohne grafische Oberfläche laufen. Drittens die Rollen, die ein eigenes Produkt brauchen — Exchange, Datenbanken, Terminaldienste. Viertens alles, worauf sich kein Agent installieren lässt: NAS-Systeme, Speicher-Arrays, Geräte mit geschlossenem Betriebssystem.

Erst danach lohnt der Blick auf die Produkte. Und dann gilt eine einfache Regel: Die Server bekommen dieselbe Schutzstufe wie die Arbeitsplätze, nicht die günstigere. Alles andere kehrt die Prioritäten um — geschützt wäre dann der Zugang, aber nicht das, worauf zugegriffen wird.

---