Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base

Was ist in „Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base“ enthalten?

ICS-Endpunktschutz – Malware-Schutz, Krypter-Schutz und Exploit-Prävention für Windows-Knoten.
EDR-Agent – Telemetrie, Ausbreitungswege von Angriffen und Reaktionsmaßnahmen pro Knoten.
Anwendungs- und Gerätesteuerung – Startkontrolle, USB-Regeln, WLAN- und Firewall-Verwaltung.
Integritätsprüfung für SPS-Projekte – Erkennt Änderungen an Projekten von Siemens, Schneider Electric und CODESYS.
Zentrale Verwaltung – Richtlinien und Aufgaben über das lokal installierte Kaspersky Security Center.
Wichtig – Nur für Workstation-Knoten; für ICS-Server und Linux sind separate Lizenzen erforderlich.

Was sind die wichtigsten Vorteile von „Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base“?

„Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise“ ist die Ebene für Endpunkt-Schutz, Erkennung und Reaktion der Kaspersky Industrial CyberSecurity-Plattform und für Windows-Knoten der Workstation-Klasse wie Bedienfelder, HMIs und Engineering-Workstations lizenziert. Die Verwaltung erfolgt zentral über das Kaspersky Security Center, das Sie in Ihrer eigenen Infrastruktur betreiben, und bei der „Base“-Variante handelt es sich um eine neue Lizenz, nicht um die „Renewal“- oder „Cross-grade“-Variante desselben Produkts.

Reaktion ohne Prozessrisiko – Maßnahmen greifen ohne Eingreifen des Bedieners nicht in den industriellen Prozess ein.
Ursachenermittlung innerhalb weniger Stunden – Der Ausbreitungsweg des Angriffs ersetzt die manuelle Rekonstruktion von Protokollen nach Vorfällen.
Endpunktübergreifender IoC-Scan – Ein Indikator überprüft alle lizenzierten Knoten statt jeder einzeln.
Rollout ohne Neustart – Installation, Updates und Upgrades ohne Neustart im Wartungsfenster.
Air-Gapped-Updates – Datenbanken können in Netzwerken ohne Internetzugang aktualisiert werden.
Unterstützung für ältere Knoten – Läuft auf Windows XP SP2-Rechnern, die noch in der Produktion im Einsatz sind.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, wo der in Windows integrierte Schutz endet und was ein spezielles Endpunktprodukt zusätzlich bietet.

Für welche Unternehmensgröße eignet sich „Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base“?

Die Mitarbeiterzahl ist hier der falsche Maßstab. Entscheidend ist, ob Sie eine Windows-basierte ICS- oder SCADA-Umgebung betreiben und ob jemand in Ihrem Unternehmen die von der Lösung generierten EDR-Warnmeldungen tatsächlich öffnet und bearbeitet.

Erfüllt «Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base» die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht gilt für Betreiber kritischer Infrastrukturen, nicht für jedes Industrieunternehmen: Energie- und Wasserversorger, Verkehrsunternehmen, kantonale und kommunale Behörden sowie bestimmte Anbieter von Hardware und Software, die von diesen Betreibern genutzt werden. Seit dem 1. April 2025 schreibt das revidierte Informationssicherheitsgesetz vor, dass innerhalb von 24 Stunden nach Feststellung eines schwerwiegenden Cyberangriffs eine Erstmeldung an das Bundesamt für Cybersicherheit (BACS) erfolgen muss, gefolgt von einem vollständigen Bericht innerhalb von 14 Tagen; seit dem 1. Oktober 2025 ist die Unterlassung der Meldung mit Sanktionen belegt. Der EDR-Agent unterstützt die Einhaltung dieser Frist auf ganz konkrete Weise: Anhand der gesammelten Telemetriedaten und des Ausbreitungswegs des Angriffs kann ein OT-Team feststellen, welche Prozesse auf welchem Knoten und in welcher Reihenfolge ausgeführt wurden – genau das, worauf die Entscheidung innerhalb von 24 Stunden abhängt. Die Überwachung der Dateiintegrität, die Überprüfung des Windows-Ereignisprotokolls und die Integritätsprüfung von SPS-Projekten liefern die Nachweise, die für den 14-tägigen Folgebericht erforderlich sind. Was das Produkt nicht leistet, ist die Entscheidung, ob ein Vorfall meldepflichtig ist, die Abdeckung der Netzwerkseite eines Angriffs, die Abdeckung von ICS-Servern oder Linux-Knoten im Rahmen dieser Lizenz sowie die Überwachung von Vorgängen außerhalb der Arbeitszeiten Ihres eigenen Teams. Diese Beschreibung stellt keine Rechtsberatung dar, und ob Ihre Organisation der Meldepflicht unterliegt, sollte mit einem qualifizierten Rechtsberater geklärt werden.

Erfüllt „Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt sorgt für die Einhaltung der NIS-2-Richtlinie, da diese Verpflichtungen an die Organisation und deren Leitungsorgan stellt, nicht an die von ihr erworbene Software. NIS 2 verlangt Risikomanagementmaßnahmen in definierten Kategorien, darunter Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme, Vorfallbearbeitung, Geschäftskontinuität, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Wartung einschließlich Schwachstellenmanagement, grundlegende Cyberhygiene, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Dieses Produkt trägt zur Vorfallbearbeitung durch Erkennung, Rekonstruktion der Grundursache und dokumentierte Reaktionsmaßnahmen auf den erfassten Arbeitsplätzen bei, zur Cyberhygiene durch die Steuerung des Anwendungsstarts und Regeln für Wechseldatenträger sowie zum Umgang mit Schwachstellen durch das OVAL-basierte Sicherheitsaudit, das Schwachstellen identifiziert und meldet, diese jedoch nicht behebt. Es leistet keinen Beitrag zu Kryptografie, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Geschäftskontinuität, Datensicherung oder Lieferkettensicherheit, und für jeden dieser Bereiche ist eine separate Maßnahme erforderlich. Die Erkennung auf Netzwerkebene und die Bestandsaufnahme von OT-Ressourcen, die für mehrere dieser Kategorien vorausgesetzt werden, stammen aus „Kaspersky Industrial CyberSecurity for Networks“, einem separaten Produkt, das nicht Teil dieser Lizenz ist.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Am 20. Juni 2024 erließ das US-Handelsministerium über sein Bureau of Industry and Security eine endgültige Entscheidung, die es Kaspersky ab dem 20. Juli 2024 untersagt, neue Geschäfte mit US-Personen abzuschließen, sowie ab dem 29. September 2024 keine Signatur- oder Codebase-Updates mehr bereitzustellen oder das Kaspersky Security Network in den Vereinigten Staaten zu betreiben. Der Weiterverkauf von Kaspersky-Software oder deren Integration in andere Produkte wurde ab demselben Datum untersagt. Diese Entscheidung bleibt in Kraft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit März 2022 vor der Nutzung des Kaspersky-Virenschutzes und hat bestätigt, dass seine Warnung auch nach den US-Maßnahmen weiterhin gilt; es handelt sich dabei um eine Empfehlung, nicht um ein Verkaufsverbot. In der Schweiz und in der Europäischen Union gibt es kein Verkaufsverbot; dort werden die Produkte weiterhin verkauft und aktualisiert. Kaspersky weist diese Einschätzungen zurück, da sie auf der geopolitischen Lage und nicht auf Beweisen für Fehlverhalten in seinen Produkten beruhen, und verweist auf seine „Global Transparency Initiative“, die Einrichtungen zur Datenverarbeitung und zur Überprüfung des Quellcodes in Zürich umfasst. Die behördlichen Maßnahmen stützen sich auf die Gerichtsbarkeit des Anbieters und das daraus resultierende Risiko, nicht auf veröffentlichte Erkenntnisse über Schadcode. In der Praxis spielt dies eine Rolle, wenn Ihr Konzern eine US-Tochtergesellschaft oder US-Mitarbeiter hat, wenn Sie sich um deutsche öffentliche Aufträge bewerben oder wenn Ihre Kunden Beschaffungsvorschriften anwenden, die Anbieter unter russischer Gerichtsbarkeit ausschließen – was gerade in den Lieferketten kritischer Infrastrukturen, für die dieses Produkt entwickelt wurde, üblich ist. Keine Produktversion ändert daran etwas.

Norton vs. Kaspersky: Welches Antivirenprogramm bietet den besten Schutz?
Hier wird die Erkennungsleistung der beiden Anbieter unabhängig von der regulatorischen Diskussion verglichen.

Hilft „Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base“ bei Sicherheitsfragebögen großer Kunden?

Ja, was die Endpunkt-Punkte betrifft, und es wird zudem einen Punkt aufwerfen, den kein Produkt beantworten kann. Es beantwortet Fragen zum Malware-Schutz für ICS-Knoten, zur Zulassungsliste für Anwendungen, zur Kontrolle von Wechseldatenträgern und WLAN, zur Verwaltung der Host-Firewall, zur Überwachung der Datei- und Registrierungsintegrität, zur Überprüfung des Windows-Ereignisprotokolls, zur zentralen Richtlinienverwaltung mit rollenbasiertem Zugriff im Kaspersky Security Center sowie zu wiederkehrenden Schwachstellen- und Konfigurationsprüfungen anhand von OVAL-Inhalten. Zudem liefert es konkrete Antworten auf Fragen zur Erkennung und Reaktion: Telemetriedaten pro Knoten, einen rekonstruierten Angriffspfad und eine Aufzeichnung der ergriffenen Gegenmaßnahmen. Es beantwortet keine Fragen zur Netzwerküberwachung oder zur Bestandsaufnahme von OT-Ressourcen, zum Patch-Management, zur Verschlüsselung von Festplatten oder Wechseldatenträgern, zur Multi-Faktor-Authentifizierung und zum Identitätsmanagement, zur Datensicherung und -wiederherstellung sowie zur kontinuierlichen Überwachung außerhalb Ihrer eigenen Arbeitszeiten; unter dieser Lizenz beantwortet es zudem keine Fragen zur Abdeckung von ICS-Servern oder Linux-Knoten. Auch die im obigen Abschnitt beschriebene Frage nach der Zuständigkeit des Anbieters und dem Risiko von Sanktionen wird damit nicht geklärt. Um die technischen Lücken zu schließen, ist es in der Regel kostengünstiger, innerhalb derselben Produktfamilie zu bleiben: Die Server-Knoten-Lizenz deckt ICS- und SCADA-Server ab, „Kaspersky Industrial CyberSecurity for Linux Nodes“ deckt Linux ab und „Kaspersky Industrial CyberSecurity for Networks“ deckt das Netzwerk sowie die Bestandselemente ab. Die kontinuierliche Überwachung muss personell gewährleistet werden, entweder durch eigene Schichtbesetzung oder durch einen Managed Service.

Was ist der Unterschied zwischen „KICS for Nodes Workstation“ und „KICS for Nodes Workstation EDR“?

Der entscheidende Unterschied liegt im EDR-Agenten: Nur die EDR-Variante erfasst Endpunkt-Telemetriedaten, sodass nur mit ihr rekonstruiert werden kann, wie sich ein Vorfall entwickelt hat, und Reaktionsmaßnahmen auf dem Knoten von der Konsole aus durchgeführt werden können. Beide Varianten installieren dieselben Schutz- und Kontrollkomponenten, sodass die Funktionen für Malware-Schutz, Anwendungsstartkontrolle, Gerätesteuerung und PLC-Projektintegrität identisch sind. Wählen Sie die Nicht-EDR-Variante, wenn Sie lediglich verhindern und blockieren müssen, und die EDR-Variante, wenn Sie im Nachhinein auch erklären müssen, was passiert ist – was im Rahmen einer Meldepflicht oder einer Kundenvorfallanalyse erforderlich ist. Keine der beiden Varianten deckt ICS- oder SCADA-Server ab; diese werden separat als Server-Knoten lizenziert.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Die gravierendste Einschränkung ist regionaler Natur: Aufgrund des Verbots des US-Handelsministeriums darf das Produkt nicht an US-Personen geliefert oder für diese aktualisiert werden. Dies ist von Bedeutung, wenn Ihr Industriekonzern über einen Standort in den USA, eine US-Muttergesellschaft oder US-Mitarbeiter im Werksnetzwerk verfügt. Die Lizenz deckt ausschließlich Windows-Knoten der Workstation-Klasse ab, sodass für ICS- und SCADA-Server die Server-Knotenlizenz und für Linux-Knoten „Kaspersky Industrial CyberSecurity for Linux Nodes“ erforderlich ist – dies ist bei weitem der häufigste Grund für einen Nachkauf. Für die zentrale Verwaltung müssen Sie das Kaspersky Security Center selbst betreiben, da es für dieses Produkt keine vom Anbieter gehostete Cloud-Konsole gibt; daher muss jemand diesen Server besitzen und warten. Das Produkt erfasst lediglich die Endpunkte, was bedeutet, dass die Erkennung von Netzwerkabweichungen, die Verkehrsanalyse und die Bestandsaufnahme der OT-Ressourcen über „Kaspersky Industrial CyberSecurity for Networks“ erfolgen. Es gibt kein Patch-Management, kein Verschlüsselungsmanagement, keinen Schutz für Mobilgeräte oder E-Mails und keine Datensicherung; zudem ist kein verwalteter Überwachungsdienst enthalten, sodass jede Warnmeldung von Ihrem eigenen Team bearbeitet wird.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden 
Behandelt den Bereich Backup und Wiederherstellung, den Endgeräteschutz und EDR bewusst auslassen.

Häufig gestellte Fragen zu „Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base“

Welche SPS-Plattformen deckt die Projektintegritätsprüfung ab?

Kaspersky listet Siemens SIMATIC S7-300, S7-400, S7-400H, S7-1200 und S7-1500 sowie SIPROTEC 4, Schneider Electric Modicon M340 und M580, Geräte auf Basis von CODESYS V3 und Fastwel CPM723-01 auf. Die Prüfung erkennt Änderungen an den im industriellen System verwendeten SPS-Projekten, wodurch unbefugte technische Änderungen sichtbar werden.

Kann das Produkt auf einem Produktionsknoten ausgeführt werden, ohne irgendetwas zu blockieren?

Ja. Es steht ein reiner Erkennungsmodus zur Verfügung, mit dem Sie den Agenten auf sensiblen Knoten ausführen und Ergebnisse erfassen können, bevor eine Sperrregel aktiviert wird. In Kombination mit der modularen Installation, bei der Sie nur die gewünschten Komponenten auswählen, ist dies die übliche Vorgehensweise bei der Einführung des Produkts in eine laufende Produktionslinie.