Kaspersky Embedded Systems Security Base

Was ist in „Kaspersky Embedded Systems Security Base“ enthalten?

Anwendungsstartkontrolle – Der „Default Deny“-Modus lässt nur die Ausführung genehmigter Programme zu.
Geräte- und Update-Kontrolle – Schränkt USB-Peripheriegeräte und nicht genehmigte Quellen für Software-Updates ein.
Opt-in-Malware-Schutz – On-Demand- und Echtzeit-Scans, die auf leistungsschwacher Hardware deaktiviert sind.
Exploit-Prävention – Blockiert Speicher-Exploits, einschließlich dateiloser und Zero-Day-Techniken.
Schutz vor Netzwerkbedrohungen – Verhindert Port-Scans und Brute-Force-Angriffe auf Geräte.
Wichtig – Für den Dateiintegritätsmonitor und die Protokollüberprüfung ist die Compliance Edition erforderlich.

Was sind die wichtigsten Vorteile von „Kaspersky Embedded Systems Security Base“?

Kaspersky Embedded Systems Security schützt Geldautomaten, Kassenterminals, Fahrkartenautomaten, medizinische Geräte und ältere Endgeräte, auf denen kein Standard-Endpunkt-Agent ausgeführt werden kann. Die Verwaltung erfolgt zentral über das Kaspersky Security Center, entweder vor Ort oder über die vom Anbieter gehostete Cloud-Konsole, und bietet zusätzlich eine lokale grafische Benutzeroberfläche sowie eine Befehlszeile für isolierte Geräte.

Läuft auf älterer Hardware – Unterstützt Windows XP SP2 bis hin zu Windows 11.
Unterstützung für Linux-Geräte – Ein separater Agent schützt Linux-basierte Embedded-Geräte und Kiosksysteme.
Funktioniert offline – Der Schutz bleibt auch über längere Zeiträume ohne Internetverbindung stabil.
Firewall-Verwaltung – Konfiguriert die Betriebssystem-Firewall auf Geräten außerhalb der Domäne.
SIEM-Export – Leitet Ereignisse per Syslog an Ihr bestehendes SIEM weiter.
Anti-Cryptor-Schutz – Erkennt und stoppt Ransomware, die Dateien auf dem Gerät verschlüsselt.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
– Erläutert, wo der in Windows integrierte Schutz an seine Grenzen stößt und bei welchen Angriffstechniken ein dedizierter Sicherheitsagent erforderlich ist.

Für welche Unternehmensgröße eignet sich „Kaspersky Embedded Systems Security Base“?

Die Unternehmensgröße spielt hier eine geringere Rolle als der Gerätebestand. Der Kauf des Produkts lohnt sich, wenn Sie Geräte betreiben, auf denen ein normaler Endpunkt-Agent nicht ausgeführt werden kann: Selbstbedienungsterminals, Kassensysteme, Zapfsäulen, medizinische Geräte oder Produktions-PCs, die noch mit einer nicht mehr unterstützten Windows-Version laufen. Eine einzelne Einzelhandelsfiliale mit vier Kassen stellt dieselben technischen Anforderungen wie eine Bank mit zweitausend Geldautomaten.

Erfüllt Kaspersky Embedded Systems Security Base die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht gemäss dem revidierten Informationssicherheitsgesetz gilt für Betreiber kritischer Infrastrukturen, nicht für jedes Unternehmen, und ist seit dem 1. April 2025 durchsetzbar; betroffene Betreiber müssen einen Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden. Die Einhaltung der 24-Stunden-Frist hängt davon ab, ob der Vorfall überhaupt bemerkt wird, und genau hier liegt in der Regel die Schwachstelle bei einer Flotte eingebetteter Geräte, da Terminals in Filialen und an öffentlichen Orten selten so genau überwacht werden wie Endgeräte in Büros. Kaspersky Embedded Systems Security unterstützt dies, indem es Malware und Netzwerkangriffe direkt auf dem Gerät selbst erkennt und die entsprechenden Ereignisse über Syslog an ein SIEM weiterleitet, sodass ein Alarm von einem Geldautomaten oder Kassensystem in dieselbe Warteschlange gelangt wie alle anderen Meldungen auch. Was die Basis-Lizenz nicht bietet, sind revisionssichere Nachweise darüber, was sich auf dem Gerät geändert hat: Der Dateiintegritätsmonitor und die Protokollprüfung sind der Compliance Edition vorbehalten und laufen selbst dort nur unter Windows. Auch die organisatorische Seite der Verpflichtung wird nicht abgedeckt, d. h. der Meldeprozess, die benannte verantwortliche Person und die Dokumentation von Vorfällen – all dies müssen Sie selbst aufbauen. Dies ist keine Rechtsberatung, und ob Ihre Organisation unter die Meldepflicht fällt, sollten Sie mit Ihrem eigenen Rechtsbeistand klären.

Erfüllt „Kaspersky Embedded Systems Security Base“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt sorgt dafür, dass ein Unternehmen die Anforderungen der NIS-2-Richtlinie erfüllt, da sich die Richtlinie eher auf Risikomanagementmaßnahmen und Governance als auf Softwarefunktionen bezieht. NIS 2 verlangt unter anderem die Bewältigung von Vorfällen, Geschäftskontinuität einschließlich Datensicherung und Krisenmanagement, Sicherheit in der Lieferkette, Sicherheit bei der Beschaffung und Wartung von Systemen einschließlich des Umgangs mit Schwachstellen, Zugriffskontrolle und Asset-Management, Kryptografie, Multi-Faktor-Authentifizierung sowie Mitarbeiterschulungen. „Kaspersky Embedded Systems Security“ trägt zu einem begrenzten Teil davon bei: Erkennung von Vorfällen und Weiterleitung von Ereignissen für das Vorfallmanagement, Anwendungs- und Gerätesteuerung für die Zugriffskontrolle auf Geräteebene, Exploit-Prävention als Abhilfemaßnahme, wenn ein System nicht mehr gepatcht werden kann, sowie Systemhärtung als grundlegende Cyberhygiene auf Rechnern, die andernfalls ungeschützt laufen würden. Es leistet keinen Beitrag zu Datensicherung und Geschäftskontinuität, Verschlüsselung, Multi-Faktor-Authentifizierung, Lieferkettenbewertung oder Sensibilisierungsschulungen und führt kein Patch-Management durch, sodass der Umgang mit Schwachstellen ein separater Prozess bleibt. Betrachten Sie es als eine von vielen Maßnahmen und insbesondere als die Maßnahme, die die Lücke auf Geräten schließt, die Ihr Standard-Endpunktprodukt nicht erreichen kann.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

In der Schweiz hat das Bundesamt für Cybersicherheit weder eine Warnung noch ein Verbot bezüglich Kaspersky-Produkten herausgegeben, erklärt, dass es keine Berichte über Missbrauch in der Schweiz erhalten hat, und überlässt die Entscheidung jeder Organisation; es gibt auch keine interne Bundesrichtlinie, die die Produkte verbietet. In Deutschland hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) am 15. März 2022 eine formelle Warnung herausgegeben, in der empfohlen wird, Kaspersky-Antivirenprodukte durch Alternativen zu ersetzen; diese Warnung bleibt in Kraft und ist seit dem 6. Dezember 2025 in § 13 des geänderten BSI-Gesetzes verankert. In den Vereinigten Staaten erließ das Handelsministerium am 20. Juni 2024 eine endgültige Entscheidung, die den Verkauf von Kaspersky-Sicherheitssoftware sowie ab dem 29. September 2024 die Bereitstellung von Signatur- und Codebase-Updates an US-Personen verbietet; dieses Verbot ist nach wie vor in Kraft. Kaspersky weist die Vorwürfe zurück, erklärt, dass die Entscheidungen eher die geopolitische Lage widerspiegeln als eine Bewertung seiner Produkte, verarbeitet Bedrohungsdaten von europäischen Nutzern auf Servern in der Schweiz und betreibt ein Transparenzzentrum in Zürich, in dem autorisierte Partner und Vertreter von Regierungsstellen den Quellcode und die Erkennungsregeln einsehen können. Unabhängige Tests wurden nicht eingestellt: Die unabhängigen Labore haben Kaspersky-Produkte weiterhin in ihre öffentlichen Testzyklen aufgenommen. In der Praxis ist dies von Bedeutung, wenn Sie an den öffentlichen Sektor verkaufen, deutsche Behörden oder Betreiber kritischer Infrastrukturen beliefern, Fragebögen zur Lieferkette ausfüllen, in denen nach dem Herkunftsland des Anbieters gefragt wird, oder ein Unternehmen betreiben, das den US-Vorschriften unterliegt; für einen privaten Schweizer Einzelhändler oder einen Betreiber im Gastgewerbe ohne solche Risiken handelt es sich eher um eine Frage der Dokumentation als um ein Hindernis.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet den besten Schutz?
Hier werden die Erkennungsleistung und der Funktionsumfang beider Anbieter verglichen, falls Sie verschiedene Alternativen abwägen.

Hilft „Kaspersky Embedded Systems Security Base“ bei Sicherheitsfragebögen großer Kunden?

Teilweise, und es lohnt sich, im Voraus zu wissen, welche Kriterien damit abgehakt werden können. Es beantwortet Fragen zum Malware-Schutz für alle Endpunkte einschließlich Altsysteme, zur Zulassungsliste für Anwendungen, zu Einschränkungen bei Wechselmedien und USB-Geräten, zur Konfiguration der Host-Firewall, zum Schutz vor netzwerkbasierten Angriffen, zur zentralen Durchsetzung von Richtlinien und zur Weiterleitung von Sicherheitsereignissen an ein SIEM. Es beantwortet keine Fragen zur Endpunkt-Erkennung und -Reaktion, zum Patch- und Schwachstellenmanagement, zur Verschlüsselung von Festplatten oder Wechseldatenträgern, zur Multi-Faktor-Authentifizierung, zu Tests der Datensicherung und -wiederherstellung, zur Verwaltung mobiler Geräte oder zur Dateiintegrität und zu Protokoll-Prüfnachweisen, da der letzte dieser Punkte zur Compliance Edition gehört. In der Praxis stellen die Integritätsüberwachung und EDR meist Probleme dar, da Auditoren Nachweise darüber verlangen, was sich auf einem Zahlungsabwicklungsgerät geändert hat und wie schnell Sie einen Vorfall rekonstruieren könnten. Wenn diese beiden Themen zur Sprache kommen, ist es in der Regel kostengünstiger, denselben Gerätepark für die Integritätsüberwachung und Protokollprüfung auf die Compliance Edition umzustellen und ein EDR-Produkt desselben Anbieters hinzuzufügen, damit alles in einer Konsole bleibt, anstatt einen zweiten Anbieter und einen zweiten Agenten auf Hardware einzuführen, deren Ressourcen ohnehin schon begrenzt sind.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden
Behandelt die Fragen zu Backups und Wiederherstellungen, die dieses Produkt nicht beantwortet, sowie die typischen Erwartungen von Prüfern.

Was ist der Unterschied zwischen „Kaspersky Embedded Systems Security“ und der Compliance Edition?

Der einzige entscheidende Unterschied liegt in der Systemüberprüfung: Die Compliance Edition ist die erweiterte Lizenz, die zwei zusätzliche Komponenten freischaltet – den File Integrity Monitor und die Log Inspection –, die in der Standard Edition nicht aktiviert sind. Alles andere, einschließlich Anwendungs-, Geräte- und Update-Kontrolle, Anti-Malware, Exploit-Prävention, Schutz vor Netzwerkbedrohungen und zentraler Verwaltung, ist bei beiden Versionen identisch. Beide werden als separate Lizenzen verkauft und sind nicht Teil eines Bundles; daher handelt es sich um eine Entscheidung, die Sie beim Kauf treffen, und nicht um ein Upgrade, das Sie später vornehmen können. Entscheiden Sie sich für die Compliance Edition, wenn ein Auditor oder ein Großkunde von Ihnen verlangt, Änderungen an kritischen Dateien nachzuweisen und Ereignisprotokolle auf Geräten zur Zahlungsabwicklung oder auf regulierten Geräten zu überprüfen. Beachten Sie, dass beide Überwachungskomponenten nur für Windows verfügbar sind, sodass eine Linux-basierte Geräteflotte keinen Nutzen aus dem Upgrade zieht.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Die deutlichste regionale Einschränkung betrifft die Vereinigten Staaten: Seit dem 29. September 2024 darf Kaspersky dort weder seine Sicherheitssoftware verkaufen noch Signatur- und Codebase-Updates an US-Personen liefern, sodass Geräte, die von einem US-Unternehmen betrieben werden oder sich auf US-amerikanischem Boden befinden, nicht unter diese Lizenz fallen. Die Plattformabdeckung ist in einem bestimmten Punkt uneinheitlich: Die Komponenten für Integritätsprüfung und Protokollierung sowie die proprietäre Firewall auf Anwendungsebene sind nur für Windows verfügbar, während Linux-Geräte zwar Schutz und Absicherung erhalten, jedoch keine Systemprüfung. Der häufigste Grund für einen Nachkauf ist die Aufteilung der Editionen, da Käufer bei einem Audit feststellen, dass der Dateiintegritätsmonitor und die Protokollprüfung in der Compliance-Edition und nicht in der Standardlizenz enthalten sind. Abgesehen davon handelt es sich hierbei um ein Produkt zur Absicherung und zum Schutz, nicht um eine Plattform zur Erkennung und Reaktion: Es enthält keine EDR-Komponente, kein Patch-Management, kein Verschlüsselungsmanagement und keine Abdeckung für mobile Geräte, und die zentrale Verwaltung setzt voraus, dass Sie das Kaspersky Security Center betreiben oder abonnieren.

Test: Die besten Antivirenprogramme für Windows
Nützlich, wenn sich herausstellt, dass Ihre Geräteflotte aus Standard-PCs statt aus eingebetteten Geräten besteht und Sie ein herkömmliches Endpunkt-Produkt benötigen.

Häufig gestellte Fragen zu Kaspersky Embedded Systems Security Base

Kann es gewöhnliche PCs schützen, auf denen noch eine alte Windows-Version läuft?

Ja, und Kaspersky dokumentiert dieses Szenario ausdrücklich als Alternative zu seinem regulären Endpoint-Produkt für ältere Rechner. Da die Unterstützung bis zu Windows XP SP2 zurückreicht, kann ein Produktions-PC oder eine Labor-Workstation, die nicht aktualisiert werden kann, weiterhin geschützt und zentral verwaltet werden, anstatt aus der Sicherheitsrichtlinie ausgeschlossen zu werden.

Was bedeutet „Base“ im Produktnamen?

„Base“ ist die Variante für Neulizenzen des Produkts. Verlängerungsvarianten desselben Produkts werden separat aufgeführt. Wählen Sie daher „Base“, wenn die Geräte noch nicht durch eine bestehende Lizenz dieses Produkts abgedeckt sind.