Malwarebytes Endpoint Detection & Response

Was umfasst Malwarebytes Endpoint Detection & Response?

Nebula-Cloud-Konsole – Zentrale Richtlinien, Gruppen und Berichterstellung für jeden verwalteten Endpunkt.
Überwachung verdächtiger Aktivitäten – Verhaltensbasierte Erkennung, abgestimmt auf das MITRE ATT&CK-Framework.
Ransomware-Rollback – Stellt verschlüsselte Windows-Dateien bis zu sieben Tage zurückher.
Drei Isolationsmodi – Netzwerk-, Prozess- und Desktop-Isolation, manuell oder automatisch.
Active Response Shell – Remote-Befehlsshell für Windows, macOS und Linux.
Wichtig – Patch-Management, Laufwerksverschlüsselung und DNS-Filterung sind separate Module.

Was sind die wichtigsten Vorteile von Malwarebytes Endpoint Detection & Response?

Malwarebytes hat seine Unternehmensprodukte im November 2023 unter die Marke ThreatDown verlagert, sodass dieses Produkt in der aktuellen Dokumentation des Anbieters als „ThreatDown Endpoint Detection & Response“ erscheint. Es installiert einen Agenten pro Gerät und wird zentral verwaltet – in der Nebula-Konsole für eine einzelne Organisation oder in der mandantenfähigen OneView-Konsole, die von Dienstanbietern genutzt wird.

Ein Agent – Prävention, Erkennung und Reaktion sind in einem einzigen Installationsprogramm enthalten.
Rollback statt Wiederherstellung – Macht durch Ransomware verursachte Schäden rückgängig, ohne ein Backup-Set zu öffnen.
Schnellere Eindämmung – Kritische Warnmeldungen können ein Gerät automatisch isolieren.
Transparenz der Grundursache – Prozessdiagramme zeigen, wie die Infektion tatsächlich begann.
Fernbehebung – Bereinigung und Überprüfung von Homeoffice-Geräten über das Internet.
Nachweis für Audits – Erkennungsprotokolle bleiben 365 Tage lang verfügbar.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, wo der in Windows integrierte Schutz endet und warum Unternehmen eine zweite, zentral verwaltete Schutzebene hinzufügen.

Für welche Unternehmensgröße eignet sich Malwarebytes Endpoint Detection & Response?

Die Unternehmensgrösse spielt hier eine geringere Rolle als die Branche und die Personalausstattung. Die Meldepflichten in der Schweiz richten sich nach der Branche und nicht nach der Mitarbeiterzahl, während die praktische Frage bei EDR lautet, ob jemand in der Organisation die generierten Warnmeldungen liest und bewertet.

Erfüllt Malwarebytes Endpoint Detection & Response die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht gemäss dem revidierten Informationssicherheitsgesetz gilt für Betreiber kritischer Infrastrukturen, sodass die meisten gewöhnlichen Schweizer Unternehmen eher indirekt – als Zulieferer – als direkt betroffen sind. Die betroffenen Betreiber müssen einen Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden, was bedeutet, dass die Fakten noch am selben Arbeitstag zusammengestellt werden müssen. Dieses Produkt liefert einen Teil dieser Informationen: Die Ansicht „Verdächtige Aktivitäten“ protokolliert, wann das Verhalten erstmals beobachtet wurde, welche Prozesse und Dateien betroffen waren und welche MITRE ATT&CK-Techniken ausgelöst wurden; die Erkennungsprotokolle bleiben 365 Tage lang abrufbar. Den Rest der Meldepflicht deckt es nicht ab. Es gibt kein Meldeformular, kein Fallmanagement, keinen Benachrichtigungsworkflow an das BACS und keine Transparenz außerhalb des Endpunkts, sodass Vorfälle an Firewalls, Netzwerkgeräten, Cloud-Diensten oder OT-Systemen in dieser Konsole überhaupt nicht angezeigt werden. Diese Beschreibung stellt keine Rechtsberatung dar; welche Verpflichtungen für Ihre Organisation gelten, sollten Sie mit einem qualifizierten Rechtsbeistand klären.

Erfüllt Malwarebytes Endpoint Detection & Response die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt sorgt dafür, dass eine Organisation die Anforderungen der NIS-2-Richtlinie erfüllt, da sich die Richtlinie auf die Verantwortung des Managements, die Risikoanalyse und dokumentierte Prozesse bezieht, nicht auf Softwarefunktionen. NIS 2 verlangt eine Reihe von Risikomanagementmaßnahmen, darunter Vorfallbearbeitung, Geschäftskontinuität und Backup-Management, Sicherheit der Lieferkette, Zugriffskontrolle und Identitätsmanagement, Schwachstellenbehebung, Kryptografie sowie Sensibilisierungsschulungen für Mitarbeiter. Dieses Produkt leistet einen konkreten Beitrag zu zwei dieser Kategorien: zum Vorfallmanagement durch Verhaltenserkennung, Endpunktisolierung und Fernbehebung sowie – in gewissem Sinne – zum Umgang mit Sicherheitslücken, da die Schwachstellenanalyse und die Patch-Bereitstellung separate Module sind und nicht Teil der EDR-Funktion. Die übrigen Kategorien werden nicht abgedeckt. Sicherung und Wiederherstellung, Identitäts- und Zugriffskontrolle, Multi-Faktor-Authentifizierung, Kryptografie über das separat lizenzierte Windows-Laufwerksverschlüsselungsmodul hinaus, Lieferantenbewertung und Anwenderschulungen müssen anderweitig abgedeckt werden, und Endpunkt-Telemetrie allein wird einen Prüfer nicht zufriedenstellen, der fragt, wie die Geschäftskontinuität getestet wird.

Hilft Malwarebytes Endpoint Detection & Response bei Sicherheitsfragebögen großer Kunden?

Ja, für das Kapitel zu Endgeräten – und nur für dieses Kapitel. Es beantwortet die Fragen zur verwalteten Anti-Malware-Abdeckung auf allen Workstations und Servern, zur verhaltensbasierten Erkennung jenseits von Signaturen, zur Möglichkeit, ein kompromittiertes Gerät zu isolieren, zum ferngesteuerten forensischen Zugriff über die Response-Shell, zur Bedrohungssuche über einen Zeitraum von dreißig Tagen anhand von Endpunkt-Ereignissen sowie zu einem 365 Tage lang aufbewahrten Erkennungsverlauf, der als Beweismaterial exportiert werden kann. Es beantwortet nicht die Fragen, die normalerweise daneben stehen. Multi-Faktor-Authentifizierung, Identitätsüberwachung, Sicherung und getestete Wiederherstellung, Patch-Installation mit einem SLA, Festplattenverschlüsselung auf anderen Systemen als Windows-Arbeitsstationen und nur mit dem separaten Modul, E-Mail- und Phishing-Filterung, Verwaltung mobiler Geräte, Penetrationstests und eine 24/7-Überwachung durch namentlich benannte Analysten liegen alle außerhalb seines Anwendungsbereichs, ebenso wie die Frage, wo die Konsolendaten verarbeitet werden – eine Frage, die dem Anbieter vor Vertragsunterzeichnung schriftlich gestellt werden sollte. Wo diese Lücken wirtschaftlich ins Gewicht fallen, ist ein Upgrade innerhalb derselben Produktfamilie in der Regel die kostengünstigere Lösung als die Hinzunahme eines zweiten Anbieters: Patch-Management, Festplattenverschlüsselung, DNS-Filterung, mobile Sicherheit und der Managed Detection Service werden alle über dieselbe Konsole und denselben Agenten verwaltet, während ein zweites Produkt einen zweiten Agenten, eine zweite Konsole und einen zweiten Satz von Ausschlüssen bedeutet, die gepflegt werden müssen.

Was ist der Unterschied zwischen „Endpoint Protection“ und „Endpoint Detection & Response“?

Der entscheidende Unterschied liegt darin, was geschieht, nachdem etwas durchgerutscht ist: „Endpoint Protection“ blockiert und isoliert, während „Endpoint Detection & Response“ zusätzlich aufzeichnet, was der Prozess getan hat, und es ermöglicht, diesen Vorgang rückgängig zu machen. Beide nutzen denselben Agenten und dieselbe Konsole, sodass das Upgrade eher eine Lizenz- und Richtlinienänderung als eine Neuinstallation darstellt. „Endpoint Protection“ ist die richtige Lösung, wenn ein Administrator lediglich Malware stoppen und entfernen möchte. „Endpoint Detection & Response“ ist die richtige Lösung, wenn jemand klären muss, wie eine Infektion entstanden ist, ein Gerät innerhalb von Minuten isolieren oder bereits verschlüsselte Dateien wiederherstellen muss.

Test: Antivirenprogramm: Die besten Antivirenprogramme für Windows 2025
Vergleicht die aktuellen Windows-Antivirenprodukte und zeigt, wo reine Prävention endet und Erkennung sowie Reaktion beginnen.

Welche Einschränkungen sollten Sie vor dem Kauf kennen?

Das Ransomware-Rollback ist eine reine Windows-Funktion, deren Zeitfenster zwischen einem und sieben Tagen konfigurierbar ist (Standardwert: drei Tage), sodass Mac- oder Linux-Geräte zwar von Erkennung und Isolierung profitieren, jedoch keine Dateiwiederherstellung erhalten. Auch die Isolierung ist plattformübergreifend uneinheitlich: Netzwerk- und Prozessisolierung funktionieren weitgehend, während die Desktop-Isolierung – der Modus, der den Benutzer vom Bildschirm aussperrt – nur unter Windows verfügbar ist und die Prozessisolierung unter macOS 10.13 und 10.14 nicht zur Verfügung steht. Die „Flight Recorder“-Suche – die Funktion, mit der Sie Prozess-, Datei-, Registrierungs- und Netzwerkereignisse der letzten dreißig Tage nachverfolgen können – ist standardmäßig deaktiviert und muss in der Richtlinie aktiviert werden; dies sollte eher während der Pilotphase als erst im Falle eines Vorfalls überprüft werden. Server-Core-Installationen und nicht-persistente VDI werden nicht unterstützt; alle Linux-Geräte werden unabhängig von ihrer Rolle als Server gezählt, und die Verhaltensüberwachung auf Servern ist ein separater Richtlinienschalter, der die Maschine zusätzlich belastet. Die Konsole selbst ist ausschließlich cloudbasiert: „Nebula“ für einzelne Organisationen und „OneView“ für Dienstleister, die mehrere Kunden verwalten; es gibt keine On-Premises-Variante, sodass der Ort der Datenverarbeitung vom Anbieter und nicht von Ihnen bestimmt wird.

Datenverlust ist kostspielig: Wie Backups Ihnen helfen, Ausfälle zu vermeiden
Erläutert, warum Rollback und Backup unterschiedliche Probleme lösen und in welchen Fällen ein Wiederherstellungsplan nach wie vor ein echtes Backup erfordert.

Häufig gestellte Fragen zu Malwarebytes Endpoint Detection & Response

Ersetzt das Ransomware-Rollback ein Backup?

Nein. Das Rollback erfolgt aus einem Cache, der auf dem Endgerät selbst gespeichert ist, und ist durch einen konfigurierbaren Anteil an freiem Speicherplatz sowie durch eine maximale Dateigröße begrenzt, sodass Dateien, die diese Größe überschreiten, niemals kopiert werden. Wird das Gerät gelöscht, gestohlen oder fällt seine Festplatte aus, geht der Cache verloren. Deshalb verkürzt das Rollback zwar die Wiederherstellung nach einem Verschlüsselungsvorfall, macht ein separates Backup jedoch nicht überflüssig.

Werden Server ebenso abgedeckt wie Workstations?

Ja, derselbe Agent läuft auf Windows Server und auf unterstützten Linux-Distributionen, und jedes Linux-Gerät wird in der Konsole als Server gezählt, unabhängig davon, welche Funktion es erfüllt. Die Verhaltensüberwachung auf Servern wird über einen eigenen Richtlinienschalter aktiviert, und das Rollback auf einem Server setzt zusätzlich voraus, dass dieser Schalter aktiv ist. Server-Core-Installationen werden nicht unterstützt.

Können Erkennungsergebnisse an ein SIEM weitergeleitet werden?

Ja, Bedrohungsereignisse können im CEF-Format an einen Syslog-Server oder ein SIEM gesendet werden, und es gibt zudem eine spezielle Integration für Google Chronicle. Für den Syslog-Pfad muss ein Windows-Endpunkt als Kommunikationsgerät festgelegt werden; dieser puffert nur die Daten der letzten 24 Stunden, wenn er die Konsole nicht erreichen kann, sodass bei einem längeren Ausfall eine Lücke in den exportierten Daten entsteht.