Kaspersky Anti Targeted Attack Platform Advanced

Was ist in der „Kaspersky Anti Targeted Attack Platform Advanced“ enthalten?

Netzwerkverkehrsanalyse – IDS-Regeln, TLS-Fingerprinting und URL-Reputation für gespiegelten Datenverkehr.
Erweiterte Sandbox – Führt verdächtige Objekte aus Web-, E-Mail- und Endpunktquellen aus.
Zentrale Webkonsole – Eine einzige lokale Schnittstelle für Warnmeldungen, Untersuchungen und Reaktionen.
Anreicherung der Bedrohungsinformationen – Daten aus dem Kaspersky Security Network, die den MITRE ATT&CK-Techniken zugeordnet sind.
Reaktion auf Gateway-Ebene – Die ICAP-Integration blockiert Objekte am Proxy- und E-Mail-Gateway.
Wichtig – Antivirus, Patch-Management, Verschlüsselung oder Mobilgeräte-Schutz sind nicht enthalten.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
– Erläutert, warum eine Erkennungsplattform zusätzlich zu einer Endpunkt-Schutzschicht eingesetzt wird, anstatt diese zu ersetzen.

Was sind die Hauptvorteile der „Kaspersky Anti Targeted Attack Platform Advanced“?

Die „Kaspersky Anti Targeted Attack Platform“ ist eine lokal installierte Anti-APT-Lösung, die Netzwerk-Erkennung und -Reaktion mit einer integrierten Sandbox kombiniert und über eine zentrale Webkonsole auf Ihren eigenen physischen oder virtuellen Servern betrieben wird. Kaspersky vermarktete die Lösung zuvor als „KATA Platform“ im Bundle mit „Kaspersky EDR Expert“; diese Endpunkt-Produktreihe wird nun separat als „Kaspersky Next EDR Expert“ verkauft.

Vollständige Netzwerktransparenz – IDS-Erkennung bei gespiegeltem Datenverkehr ohne installierte Endpunkt-Agenten.
Isolierte Dateianalyse – Sandbox-Beurteilungen, ohne Produktionssysteme den Samples auszusetzen.
Priorisierung von Warnmeldungen – Automatisierte Bewertung reduziert den manuellen Triage-Aufwand für Analysten.
Native Kaspersky-Integration – Funktioniert mit Secure Mail Gateway und Web Traffic Security.
Lokale Datenverarbeitung – Läuft auf Ihren eigenen physischen oder virtuellen Servern.
Alarmgebundene Paketerfassung – An IDS-Alarme angehängte PCAP-Dateien dokumentieren, was tatsächlich geschehen ist.

Für welche Unternehmensgröße eignet sich die Kaspersky Anti Targeted Attack Platform Advanced?

Diese Plattform setzt voraus, dass jemand Netzwerkwarnungen liest und darauf reagiert. Kaspersky positioniert sie für große Unternehmen mit einem SOC oder einem dedizierten Informationssicherheitsteam sowie für mittelständische Organisationen, die keine cloudbasierte Analyse nutzen können. Ein Unternehmen ohne internes Sicherheitspersonal wird Warnmeldungen generieren, die niemand bearbeitet.

Erfüllt die Kaspersky Anti Targeted Attack Platform Advanced die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht gemäss dem revidierten Informationssicherheitsgesetz gilt für Betreiber kritischer Infrastrukturen, nicht für jedes Schweizer Unternehmen, und ist seit dem 1. April 2025 in Kraft. Betroffene Organisationen müssen innerhalb von 24 Stunden nach Entdeckung eines Cyberangriffs einen Erstbericht beim Bundesamt für Cybersicherheit (BACS) einreichen, gefolgt von einem vollständigen Bericht innerhalb von 14 Tagen. Die Plattform unterstützt den Erkennungsschritt direkt: IDS-Warnmeldungen, Sandbox-Beurteilungen und die mit jeder Warnmeldung gespeicherte Paketaufzeichnung liefern Ihnen eine zeitgestempelte Aufzeichnung dessen, was im Netzwerkverkehr beobachtet wurde – das ist das Ausgangsmaterial für den 24-Stunden-Bericht und für die detaillierte Nachverfolgung. Was die Plattform nicht sehen kann, erkennt sie auch nicht; daher bleiben Segmente ohne Datenverkehrsspiegelung und Endgeräte ohne Kaspersky-Agent außerhalb ihres Sichtfelds, und organisatorische Aspekte werden überhaupt nicht abgedeckt: kein Incident-Response-Prozess, kein definierter Berichtsworkflow, keine benannte verantwortliche Person, keine Meldung an das BACS. Es ersetzt auch nicht den Endgeräteschutz, die Datensicherung oder die Zugriffskontrolle – also jene Maßnahmen, die darüber entscheiden, ob ein Vorfall überhaupt eingedämmt wird. Diese Beschreibung stellt keine Rechtsberatung dar; ob Ihre Organisation der Meldepflicht unterliegt, sollten Sie mit Ihrem eigenen Rechtsbeistand klären.

Erfüllt die „Kaspersky Anti Targeted Attack Platform Advanced“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt sorgt dafür, dass ein Unternehmen die Anforderungen der NIS-2-Richtlinie erfüllt, da sich die Richtlinie auf die Organisation und ihr Risikomanagement bezieht und nicht auf einzelne Software. NIS 2 verlangt von wesentlichen und wichtigen Stellen, dass sie Maßnahmen in definierten Kategorien umsetzen: Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme, Vorfallbewältigung, Geschäftskontinuität und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei der Beschaffung und Wartung von Netzwerken und Informationssystemen, Verfahren zur Bewertung der Wirksamkeit von Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung. Diese Plattform leistet in zwei dieser Bereiche einen wesentlichen Beitrag. Sie unterstützt die Vorfallbearbeitung durch die Erkennung von Indikatoren auf Netzwerkebene wie Command-and-Control-Verkehr, laterale Bewegung und Datenexfiltration und unterstützt die Wirksamkeitsbewertung durch die Erstellung von Alarmdaten, die zeigen, ob die Überwachung tatsächlich funktioniert. Die übrigen Kategorien werden nicht abgedeckt: Es bietet keine Kryptografie, keine Multi-Faktor-Authentifizierung, keine Backup- oder Kontinuitätsfunktionen, keine Zugriffskontrolle, kein Schwachstellen- oder Patch-Management und keine Schulungskomponente. Die Sicherheit der Lieferkette ist hier ein besonders wichtiger Aspekt, da die unten beschriebene Anbieterfrage selbst Teil dieser Kategorie ist.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Zwei behördliche Maßnahmen gegen den Anbieter sind bestätigt und weiterhin in Kraft. Das US-Handelsministerium hat über sein Bureau of Industry and Security am 20. Juni 2024 eine endgültige Entscheidung erlassen, die es Kaspersky ab dem 20. Juli 2024 untersagt, neue Geschäfte mit US-Personen abzuschließen, sowie ab dem 29. September 2024 die Bereitstellung von Signatur- und Codebase-Updates oder den Betrieb des Kaspersky Security Network für US-Personen untersagt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 15. März 2022 vor der Nutzung von Kaspersky-Antivirensoftware; diese Warnung ist weiterhin veröffentlicht und wird nach dem am 6. Dezember 2025 in Kraft getretenen deutschen Umsetzungsgesetz nun gemäß § 13 des BSI-Gesetzes erlassen. Kaspersky weist die deutsche Warnung als ungerechtfertigt zurück und erklärt, sie beruhe nicht auf einer technischen Analyse seiner Software. Das Unternehmen verweist dabei auf seine „Global Transparency Initiative“, in deren Rahmen seit November 2018 bedrohungsbezogene Daten europäischer Nutzer in zwei Rechenzentren in Zürich verarbeitet werden und der Quellcode in seinen Transparenzzentren eingesehen werden kann. Beide behördlichen Maßnahmen betreffen das Vertrauen in den Anbieter und das Lieferkettenrisiko und nicht die veröffentlichte Erkennungsleistung, und keine der beiden Behörden hat erklärt, dass die Erkennungstechnologie selbst versagt. In der Praxis ist dies vor allem für drei Gruppen von Bedeutung: öffentliche Stellen und deren Lieferanten, Unternehmen, deren Großkunden durch Verträge oder Fragebögen Anforderungen hinsichtlich der Herkunft des Anbieters auferlegen, sowie jede Gruppe, die US-Unternehmen oder US-Personen umfasst. Für ein privates Schweizer oder EU-Unternehmen ohne solche Anforderungen ist dies eher eine zu dokumentierende Entscheidung als ein Hindernis.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Ein direkter Vergleich der beiden Anbieter hinsichtlich des Schutzes – nützliche Hintergrundinformationen, falls die Wahl des Anbieters intern diskutiert wird.

Hilft die „Kaspersky Anti Targeted Attack Platform Advanced“ bei Sicherheitsfragebögen von Großkunden?

Ja, für den Bereich Erkennung und Überwachung, darüber hinaus jedoch kaum. Es beantwortet Fragen zur Überwachung der Netzwerksicherheit, zur Erkennung von Eindringlingen, zur Fähigkeit zur Malware-Analyse, zur Nutzung von Bedrohungsinformationen, zur Protokollierung von Sicherheitsereignissen sowie dazu, ob erkannte Vorfälle zentral untersucht und darauf reagiert werden können. Die Zuordnung zum MITRE ATT&CK-Rahmenwerk wird oft als Nachweis für die Frage nach den Rahmenwerken zur Erkennungsabdeckung akzeptiert. Es beantwortet keine der folgenden Fragen: Bereitstellung und Abdeckungsrate des Endgeräteschutzes, Patch- und Schwachstellenmanagement, Verschlüsselung von Daten im Ruhezustand und während der Übertragung, Multi-Faktor-Authentifizierung, Tests zur Datensicherung und -wiederherstellung, Identitäts- und Zugriffsmanagement, Vollständigkeit des Bestandsverzeichnisses sowie Schulungen zur Sensibilisierung für Sicherheitsfragen. Es beantwortet auch keine Fragen zur Herkunft der Anbieter, zu Sanktionsrisiken oder zu Beschränkungen in der Lieferkette, die zunehmend in Fragebögen großer Kunden und Auftraggeber aus dem öffentlichen Sektor auftauchen und bei denen die oben beschriebenen Bewertungen die relevanten Informationen liefern. Um die technischen Lücken zu schließen, ist es in der Regel kostengünstiger, innerhalb derselben Produktfamilie zu bleiben: „Kaspersky Endpoint Security“ deckt die Bereiche Endgeräteschutz und Verschlüsselungsmanagement ab, und durch den Wechsel zur „KATA Ultra“-Stufe kommen die „Expert EDR“- und native XDR-Funktionalität hinzu, die die Fragen zur Endgeräteerkennung beantworten – anstatt einen zweiten Anbieter und eine zweite Konsole hinzuzufügen.

Test: Antivirenprogramm: Die besten Antivirenprogramme für Windows 2025
– Ein Vergleich der Windows-Endgeräteschutzprodukte, die dieser Plattform zugrunde liegen und die noch offenen Fragen zum Endgeräteschutz beantworten.

Was ist der Unterschied zwischen KATA, KATA NDR Enhanced und KATA Ultra?

Der einzige entscheidende Unterschied besteht darin, dass nur KATA Ultra über „Expert EDR“-Fähigkeiten und native XDR-Funktionalität verfügt; die beiden anderen Stufen sind ausschließlich netzwerkseitig ausgerichtet. Der zweite Unterschied liegt in der Tiefe der Netzwerkanalyse: Die Basisstufe KATA erkennt Bedrohungen im Nord-Süd-Datenverkehr mithilfe von IDS-Regeln, TLS-Fingerprinting und URL-Reputation, während KATA NDR Enhanced zusätzlich Deep Packet Inspection, Ost-West-Erkennung, das Netzwerkkarten- und Bestandsmodul, die Erkennung von Anomalien und Schatten-IT sowie gespeicherten Rohdatenverkehr für retrospektive Analysen bietet. Die Advanced-Sandbox, die Anreicherung mit Bedrohungsinformationen und die ICAP-Gateway-Reaktion sind in allen drei Stufen enthalten. Welche Stufe einem im Einzelhandel als „Advanced“ bezeichneten Angebot entspricht, wird von Kaspersky nicht veröffentlicht; überprüfen Sie daher vor der Bestellung den Funktionsumfang.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Der wichtigste regionale Aspekt: Die Cybersicherheits- und Antivirenprodukte dieses Anbieters dürfen nicht an US-Personen verkauft oder für diese aktualisiert werden, was sich auf alle Gruppen auswirkt, zu deren Geltungsbereich eine US-Einheit gehört, und das Kaspersky Security Network funktioniert nicht auf US-Systemen. Der zweite Punkt betrifft den Anwendungsbereich. Es handelt sich um eine Erkennungsplattform und nicht um Endgeräteschutz; daher sind „Kaspersky Endpoint Security“ auf den Hosts sowie das „Kaspersky Security Center“ ab Version 14.2 erforderlich, um Endgerät-Telemetriedaten zu liefern. Zudem kann die EDR-Komponente (KATA) nicht auf demselben Endgerät wie „EDR Optimum“ oder „EDR Expert“ ausgeführt werden. Die Endpunktüberwachung umfasst Windows und Linux; macOS und mobile Geräte liegen vollständig außerhalb des Telemetrie-Umfangs, und Patch-Management sowie Verschlüsselung sind in keiner Stufe Teil des Produkts. Die Bereitstellung erfolgt lokal auf Ihren eigenen physischen oder virtuellen Servern. Das bedeutet, dass Sie für die Segmente, die Sie überwachen möchten, Port-Spiegelung oder einen Netzwerk-Tap benötigen sowie Personal für die Dimensionierung und Wartung der Sensor- und zentralen Knotenserver. Da es sich bei „Advanced“ um eine Handelsbezeichnung und nicht um eine offizielle Kaspersky-Stufenname handelt, sollten Sie vor der Bestellung bei Ihrem Anbieter klären, welche der drei Funktionsstufen das Angebot tatsächlich abdeckt.

Häufig gestellte Fragen zur Kaspersky Anti Targeted Attack Platform Advanced

Ersetzt diese Plattform Antivirenprogramme auf Workstations und Servern?

Nein. Sie analysiert den Netzwerkverkehr und löst verdächtige Objekte aus, schützt jedoch keine Endgeräte. „Kaspersky Endpoint Security“ bleibt auf den Hosts erforderlich, und seine Komponenten „File Threat Protection“, „Behavior Detection“ und „Host Intrusion Prevention“ sind Voraussetzungen dafür, dass die KATA-Agent-Funktionalität überhaupt funktioniert.

Wo werden die Daten verarbeitet?

Warnmeldungen, Metadaten zum Datenverkehr und Sandbox-Ergebnisse verbleiben auf Ihren eigenen Servern, da die Plattform vor Ort bereitgestellt wird. Reputationsabfragen, die an das Kaspersky Security Network gesendet werden, sind eine andere Sache: Bedrohungsdaten von europäischen Nutzern werden seit November 2018 im Rahmen der „Global Transparency Initiative“ des Anbieters in zwei Rechenzentren in Zürich verarbeitet.

Können Warnmeldungen an ein bestehendes SIEM weitergeleitet werden?

Ja. Die Plattform bietet eine native Integration mit SIEM-Systemen, darunter Kaspersky SIEM und Tools von Drittanbietern, und unterstützt ICAP sowie eine API für das Scannen von Objekten, die Weiterleitung von Warnmeldungen und Reaktionsmaßnahmen durch externe Systeme. Dies ist von Bedeutung, wenn Ihr SOC bereits in einem zentralen Tool Korrelationen durchführt und keine zweite Konsole als primären Arbeitsbereich wünscht.