Kaspersky Endpoint Detection and Response Expert Base

Was umfasst die „Kaspersky Endpoint Detection and Response Expert Base“?

Cloud-Verwaltungskonsole – Verwaltung über die Kaspersky Security Center Cloud Console.
Speicherung von Endpunkt-Telemetriedaten – Prozess-, Datei- und Netzwerkereignisse werden 30 Tage lang zentral gespeichert.
Abfragen zur Bedrohungssuche – Der flexible Abfrage-Generator durchsucht die gespeicherten Telemetriedaten aller Ressourcen.
Reaktionsmaßnahmen – Netzwerkisolierung, Quarantäne, Ausführungssperre, Prozessbeendigung und Dateiwiederherstellung.
Benutzerdefinierte Erkennungsregeln – Anpassbare YARA-Regeln und IoA-Erkennungen, die auf MITRE ATT&CK abgebildet sind.
Wichtig – Erfordert die Installation unterstützter Kaspersky Endpoint Security-Anwendungen auf den geschützten Systemen.

Was sind die wichtigsten Vorteile von „Kaspersky Endpoint Detection and Response Expert Base“?

„Kaspersky Endpoint Detection and Response Expert“ ist die Erkennungs-, Untersuchungs- und Reaktionsschicht, die Kaspersky heute als „Kaspersky Next EDR Expert“ vertreibt – die Expertenstufe der 2024 eingeführten Produktlinie „Kaspersky Next“. Die Verwaltung erfolgt über die Kaspersky Security Center Cloud Console, während eine lokale Bereitstellung derselben Engine im Rahmen der Kaspersky Anti Targeted Attack Platform erfolgt.

Retrospektive Untersuchung – Telemetriedaten bleiben auch dann erhalten, wenn der Endpunkt verschlüsselt oder nicht erreichbar ist.
Konsolidierung von Warnmeldungen – Zusammenhängende Warnmeldungen werden automatisch zu einzelnen Vorfällen zusammengefasst.
Eindämmung mit einem Klick – Isolieren Sie einen Host von der Konsole aus, ohne physischen Zugriff zu benötigen.
API-gesteuerte Reaktion – Reaktionsmaßnahmen auf Hosts können über eine API ausgelöst werden.
Regionale Datenverarbeitung – Die Telemetriedaten werden an dedizierte KPSN-Server gesendet, nicht an das öffentliche KSN.
Erweiterbare Aufbewahrungsdauer – Erweiterungsmodule erhöhen die Speicherdauer für Telemetriedaten auf 60 oder 90 Tage.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, wo der integrierte Windows-Schutz an seine Grenzen stößt und warum Erkennung und Reaktion eine separate Ebene bilden.

Für welche Unternehmensgröße eignet sich „Kaspersky Endpoint Detection and Response Expert Base“?

Entscheidend ist nicht die Mitarbeiterzahl, sondern ob jemand in der Organisation die Alarmwarteschlange tatsächlich bearbeitet. Kaspersky positioniert diese Stufe für Teams mit etablierten Sicherheitsprozessen, und ihr Wert liegt in den Tools zur Bedrohungssuche und -untersuchung, die sich nur dann auszahlen, wenn eine Person sie nutzt.

Erfüllt Kaspersky Endpoint Detection and Response Expert Base die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Schweizer Verpflichtung gilt für Betreiber kritischer Infrastrukturen, nicht für jedes Unternehmen: Seit dem 1. April 2025 schreibt das revidierte Informationssicherheitsgesetz den darin genannten Stellen, wie Energie- und Wasserversorgern, Verkehrsbetreiber, gelistete Spitäler sowie kantonale und kommunale Verwaltungen, einen Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) zu melden, wobei sie vierzehn Tage Zeit haben, um eine unvollständige Erstmeldung zu vervollständigen. Was dieses Produkt zu dieser Frist beiträgt, sind Erkennungszeit und Beweismaterial: kontinuierlich erfasste Endpunkt-Telemetriedaten, zu Vorfällen zusammengefasste Warnmeldungen sowie nach dem MITRE ATT&CK-Modell gegliederte Details, aus denen hervorgeht, welcher Host zuerst betroffen war und wie die Prozesskette ablief – also genau die Informationen, die ein Erstbericht enthalten muss. Es entscheidet nicht darüber, ob ein Vorfall meldepflichtig ist, erstellt oder übermittelt den Bericht nicht und erfasst nur Geräte, auf denen ein unterstützter Kaspersky-Agent läuft; Netzwerkgeräte, Cloud-Dienste und E-Mail-Postfächer bleiben daher außerhalb seiner Telemetrie. Die standardmäßige Aufbewahrungsfrist von dreißig Tagen ist zudem kürzer als der Zeitraum, auf den viele Vorfallüberprüfungen zurückgreifen; betroffene Organisationen sollten daher das Modul zur Verlängerung der Aufbewahrungsfrist oder einen Export in ihren eigenen Protokollspeicher einplanen. Dieser Text enthält allgemeine Produktinformationen und stellt keine Rechtsberatung dar; ob Ihre Organisation der Meldepflicht unterliegt, sollten Sie mit Ihrem eigenen Rechtsbeistand klären.

Erfüllt Kaspersky Endpoint Detection and Response Expert Base die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Softwareprodukt macht eine Organisation NIS-2-konform, da sich die Richtlinie auf die Organisation und deren Management bezieht und nicht auf eine Liste von Funktionen. NIS 2 verlangt von wesentlichen und wichtigen Einrichtungen, Risikomanagementmaßnahmen in definierten Kategorien zu ergreifen, darunter Vorfallbearbeitung, Risikoanalyse, Geschäftskontinuität, Sicherheit der Lieferkette, Zugriffskontrolle und Kryptografie, verbunden mit der Verpflichtung, wesentliche Vorfälle der zuständigen nationalen Behörde zu melden. Dieses Produkt fällt in die Kategorie „Vorfallsbearbeitung“ und teilweise in den Bereich der Risikoanalyse: Es erkennt, protokolliert und eindämmt Endpunktvorfälle und bewahrt die für die Vorfallsanalyse erforderlichen Telemetriedaten auf, selbst wenn das betroffene Gerät nicht mehr nutzbar ist. Es leistet keinen Beitrag zur Geschäftskontinuität, zur Sicherheit der Lieferkette, zur Governance, zur Mitarbeiterschulung oder zur Kryptografie und erfasst keine Telemetriedaten zu Netzwerk, Identitäten, E-Mail oder Cloud. Betroffene Käufer sollten es als eine von mehreren Maßnahmen betrachten und nicht als Komplettlösung zur Einhaltung gesetzlicher Vorschriften.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Zwei offizielle Maßnahmen bezüglich des Anbieters sind bestätigt und weiterhin in Kraft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 15. März 2022 vor der Nutzung von Kaspersky-Antivirensoftware und empfiehlt, diese durch alternative Produkte zu ersetzen; diese Warnung ist weiterhin veröffentlicht und wird nach der am 6. Dezember 2025 in Kraft getretenen Novelle des deutschen BSI-Gesetzes nun gemäß § 13 dieses Gesetzes erlassen. Das US-Handelsministerium erließ am 20. Juni 2024 eine endgültige Entscheidung, die Kaspersky ab dem 20. Juli 2024 neue Transaktionen mit US-Personen sowie ab dem 29. September 2024 die Bereitstellung von Signatur- und Codebasis-Updates oder den Betrieb des Kaspersky Security Network untersagt; Dies spiegelt sich direkt im Produkt wider, das Kaspersky als in den Vereinigten Staaten oder für US-Personen nicht verfügbar kennzeichnet. Kaspersky vertritt den Standpunkt, dass die deutsche Warnung nicht gerechtfertigt sei und nicht auf einer objektiven technischen Analyse der Risiken bei der Nutzung seiner Software beruhe; das Unternehmen verweist auf seine „Global Transparency Initiative“, im Rahmen derer verdächtige Dateien, die von europäischen Nutzern eingereicht werden, in zwei Rechenzentren in Zürich verarbeitet werden. In der Schweiz sieht die Lage anders aus: Das Bundesamt für Cybersicherheit hat weder eine Warnung noch ein Verbot erlassen, verfügt über keine interne Richtlinie gegen die Software, gibt an, dass ihm in der Schweiz kein Missbrauch von Kaspersky-Antivirensoftware gemeldet wurde, und bestätigte, dass seine technische Bewertung nicht durch das US-Verbot beeinflusst wird. Unabhängige Tests bleiben, sofern sie verifiziert sind, davon unberührt, und AV-Comparatives hat „Kaspersky Endpoint Detection and Response Expert“ in seinen Test „Endpoint Prevention and Response 2023“ aufgenommen. In der Praxis ist dies vor allem für Ausschreibungen im öffentlichen Sektor, für Anbieter, deren Kunden oder Muttergesellschaften deutsche Vergaberegeln anwenden, sowie für jede Organisation mit US-Niederlassungen, US-Personen oder Mitarbeitern, die in die Vereinigten Staaten reisen, von Bedeutung; für andere Schweizer und europäische Käufer ist es ein dokumentierter Risikofaktor, der abzuwägen ist, jedoch kein automatischer Ausschlussgrund.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Hier wird Kaspersky hinsichtlich Schutz und Erkennung mit einer westlichen Alternative verglichen – nützlich, wenn die Herkunft des Anbieters Teil Ihrer Entscheidung ist.

Hilft „Kaspersky Endpoint Detection and Response Expert Base“ bei Sicherheitsfragebögen großer Kunden?

Teilweise, und zwar nur für den Endpunktbereich. Es beantwortet mit Belegen die Fragen, ob eine EDR-Lösung eingesetzt wird, wie lange Endpunkt-Telemetriedaten aufbewahrt werden, ob ein kompromittierter Host auf Anforderung oder automatisch isoliert werden kann, ob Erkennungen dem MITRE ATT&CK zugeordnet werden, ob benutzerdefinierte Erkennungsregeln geschrieben werden können, welche Reaktionsmaßnahmen verfügbar sind und ob der Konsolenzugriff rollenbasiert ist. Sie beantwortet keine der Fragen zum Patch- und Schwachstellenstatus, zur Notebook-Verschlüsselung, zum E-Mail- und Phishing-Schutz, zu Backup und Wiederherstellung, zur Multi-Faktor-Authentifizierung, zur Netzwerk- und Cloud-Protokollierung, zur SIEM-Korrelation oder zur Rund-um-die-Uhr-Überwachung, da kein Managed Detection Service enthalten ist und Warnmeldungen von Ihren eigenen Mitarbeitern bearbeitet werden. Es kann auch keine Fragen zur Herkunft der Lieferanten beantworten, die zunehmend in Fragebögen von Kunden aus dem öffentlichen Sektor und aus deutschen Unternehmen auftauchen, und die oben genannten Anbieterbewertungen sind die ehrlichen Angaben zu diesem Bereich. Um die technischen Lücken zu schließen, ist der kostengünstigere Weg in der Regel eine höhere Stufe derselben Produktfamilie, da „Kaspersky Next XDR Expert“ dieselbe Konsole auf weitere Datenquellen ausweitet und „Kaspersky Next MXDR Optimum“ einen Managed Service hinzufügt; die Einbindung eines zweiten Anbieters bedeutet einen zweiten Agenten, eine zweite Konsole und einen zweiten Satz an Antworten für jeden Fragebogen.

Was ist der Unterschied zwischen Kaspersky EDR Optimum und Kaspersky EDR Expert?

Der entscheidende Unterschied liegt darin, wer das System betreibt: „Optimum“ bietet einem IT-Team eine geführte, alarmgesteuerte Untersuchung, während „Expert“ einem Sicherheitsteam die Rohdaten der Telemetrie, einen Abfrage-Generator und eigene Erkennungsregeln zur Verfügung stellt. Kaspersky positioniert „Optimum“ als unverzichtbares EDR mit erweiterten Kontrollfunktionen, Patch-Management und Cloud-Sicherheit für IT-Abteilungen und „Expert“ für Unternehmen mit etablierten IT-Sicherheitsprozessen. „Expert“ kann zudem nicht zusätzlich zu einer bestehenden „Optimum“-Bereitstellung aktiviert werden, sodass ein Wechsel zwischen den beiden Varianten eine Lizenzänderung darstellt und nicht einfach über die Konsole vorgenommen werden kann. Beide Varianten sind in den Vereinigten Staaten und für US-Personen nicht verfügbar.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Die regionale Einschränkung sollten Sie als Erstes prüfen: Kaspersky weist darauf hin, dass diese Lösung in den Vereinigten Staaten oder für US-Personen nicht verfügbar ist und dass die Nutzung auf den Endgeräten von Nicht-US-Personen ausgesetzt werden muss, solange sich diese vorübergehend in den Vereinigten Staaten aufhalten. Dies stellt eine erhebliche Einschränkung für alle dar, die über US-Unternehmen, US-Mitarbeiter oder regelmäßige Geschäftsreisen in die USA verfügen. Was die Plattform betrifft, wird die Integration mit der Lösung auf Arm-basierten Computern nicht unterstützt, und es ist „Kaspersky Endpoint Security“ mit dem integrierten Agenten ab Version 11.8.0 erforderlich, da der ältere, separate „Kaspersky Endpoint Agent“ nicht unterstützt wird. Außerdem kann die Lösung nicht zusätzlich zu einer bestehenden Kaspersky EDR Optimum-Bereitstellung aktiviert werden, sodass eine Optimum-Umgebung migriert und nicht vor Ort aktualisiert werden muss. Telemetriedaten werden standardmäßig dreißig Tage lang aufbewahrt; für längere Zeiträume ist ein separates Modul zur Verlängerung der Aufbewahrungsdauer für sechzig oder neunzig Tage erforderlich, wobei sich die Zeiträume nicht addieren, wenn beide Module hinzugefügt werden. Schließlich ist kein verwalteter Erkennungsdienst enthalten: Das Tool deckt Vorfälle auf und erfasst sie, aber jemand muss die Warteschlange bearbeiten; außerdem führt es weder Patches durch noch verschlüsselt es Daten und stellt nach einem erfolgreichen Ransomware-Angriff keine Daten wieder her.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden
Behandelt den Aspekt der Wiederherstellung, den kein Erkennungs- und Reaktionsprodukt abdeckt, einschließlich der Frage, was ein funktionierender Backup-Plan enthalten muss.

Häufig gestellte Fragen zu Kaspersky Endpoint Detection and Response Expert Base

Was bedeutet „Base“ in diesem Produktnamen?

In der Kaspersky-Produktbezeichnung steht „Base“ für eine neue Lizenz, im Gegensatz zu „Renewal“, für das eine bestehende Lizenz desselben Produkts erforderlich ist, und zu „Cross-Grade“, das für Kunden gedacht ist, die von einem Produkt eines anderen Anbieters wechseln. Wählen Sie „Base“, wenn Sie derzeit keine Lizenz für dieses Produkt besitzen.

Wo werden die Endpunkt-Telemetriedaten verarbeitet?

Durch die Aktivierung werden die Endgeräte vom öffentlichen „Kaspersky Security Network“ (KSN) auf das „Kaspersky Private Security Network“ umgestellt, sodass die Telemetriedaten an dedizierte regionale Server statt an das KSN gesendet werden. Bei der Einrichtung muss eine Datenverarbeitungsvereinbarung akzeptiert werden. Die Region des Rechenzentrums für den Arbeitsbereich der Kaspersky Security Center Cloud Console richtet sich nach dem Land, das bei der Registrierung des Arbeitsbereichs angegeben wurde, und Kaspersky verarbeitet verdächtige Dateien, die von europäischen Nutzern übermittelt werden, in zwei Rechenzentren in Zürich.