ThreatDown Powered by Malwarebytes Advanced Corporate

Was ist in „ThreatDown Powered by Malwarebytes Advanced Corporate“ enthalten?

Nebula-Cloud-Konsole – Zentrale Richtlinienverwaltung, Bereitstellung und Berichterstellung für alle Endgeräte.
Endpoint Detection and Response – Überwachung verdächtiger Aktivitäten, Isolierung von Endgeräten und Cloud-Sandbox.
Ransomware-Rollback – Stellt Dateien wieder her, die innerhalb der letzten sieben Tage verschlüsselt oder verändert wurden.
Patch-Management – Sucht nach Schwachstellen und patcht anschließend Betriebssysteme und Anwendungen.
Managed Threat Hunting – Analysten des Anbieters eskalieren kritische Warnmeldungen und geben Anleitungen zur Behebung.
Wichtig – Für Server und alle Linux-Endgeräte ist das Add-on „Server Protection“ erforderlich.

Was sind die wichtigsten Vorteile von „ThreatDown Powered by Malwarebytes Advanced Corporate“?

„Advanced“ ist das zweite von vier ThreatDown-Paketen, der Unternehmenssparte, die Malwarebytes im November 2023 eingeführt hat, um seine früheren Endpunktprodukte „Malwarebytes for Business“ zu ersetzen; Käufer, die noch nach diesem Namen suchen, werden daher hier landen. Jeder Endpunkt wird über die cloudbasierte Nebula-Konsole verwaltet, während Managed-Service-Provider stattdessen die mandantenfähige OneView-Konsole nutzen.

Ein Agent – Ein einziger schlanker Agent deckt Schutz, EDR und Patching ab.
Rollback statt Neuinstallation – Stellt verschlüsselte Dateien wieder her, ohne die Workstation neu aufzusetzen.
Patching ohne zusätzliche Tools – Schließt die vom Scan gefundenen Sicherheitslücken über eine einzige Konsole.
Weniger Alarmwarteschlangen – Managed Threat Hunting eskaliert nur die kritischen Erkennungen.
Host-Firewall-Kontrolle – Regeln für eingehenden und ausgehenden Datenverkehr werden zentral pro Richtlinie festgelegt.
Geräte- und Anwendungskontrolle – USB-Zugriff und unerwünschte Anwendungen werden per Richtlinie blockiert.

Warum Windows Defender allein nicht ausreicht
– Erläutert, wo der in Windows integrierte Schutz endet und was ein Managed-Endpoint-Produkt darüber hinaus bietet.

Für welche Unternehmensgröße ist „ThreatDown Powered by Malwarebytes Advanced Corporate“ geeignet?

„Advanced“ ist auf ein kleines IT-Team ausgelegt, das über kein spezielles Sicherheitspersonal verfügt, weshalb die Triage der Warnmeldungen dem Anbieter und nicht einem internen Analysten überlassen wird. Die folgende Tabelle zeigt, welche Anforderungen typischerweise bei den jeweiligen Unternehmensgrößen gelten und ab wann dieses Paket allein nicht mehr ausreicht.

Erfüllt „ThreatDown Powered by Malwarebytes Advanced Corporate“ die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Das revidierte Informationssicherheitsgesetz verpflichtet Betreiber kritischer Infrastrukturen, Cyberangriffe innerhalb von 24 Stunden nach ihrer Entdeckung dem Bundesamt für Cybersicherheit (BACS) zu melden, was bedeutet, dass die meisten Unternehmen ausserhalb der ausgewiesenen Sektoren überhaupt nicht erfasst sind. Für ein Unternehmen, das unter das Gesetz fällt, stellt sich in der Praxis die Frage, ob es einen Vorfall innerhalb dieses Zeitfensters erkennen und genau beschreiben kann. Advanced unterstützt genau diesen Teil: Die Überwachung verdächtiger Aktivitäten und die Zuordnung nach dem MITRE ATT&CK-Modell geben dem Vorfall eine konkrete Form, die Endpunktisolierung schränkt ihn ein, während Sie den Bericht verfassen, und die Nebula-Konsole exportiert einen zeitgestempelten Bericht darüber, was erkannt wurde und wie der Agent darauf reagiert hat. Was die Lösung jedoch nicht tut, ist, Ihre Umgebung für Sie zu überwachen, da die 24/7-Überwachung erst ab dem „Elite“-Paket verfügbar ist und Ihre Server oder Linux-Rechner überhaupt nicht erfasst werden, sofern nicht das Add-on „Server Protection“ erworben wurde – und genau dort beginnt ein Vorfall in der Regel. Nebula speichert Erkennungsdaten zudem nur für einen begrenzten Zeitraum. Wenn Sie also Monate später Beweismaterial vorlegen müssen, muss der Syslog- oder SIEM-Export im Voraus und nicht erst im Nachhinein konfiguriert werden. Dies beschreibt die Produktfunktionen und stellt keine Rechtsberatung dar; ob Ihre Organisation der Meldepflicht unterliegt, sollten Sie mit Ihrem eigenen Rechtsbeistand klären.

Erfüllt „ThreatDown Powered by Malwarebytes Advanced Corporate“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Softwareprodukt macht ein Unternehmen NIS-2-konform, da die Richtlinie anhand Ihrer Organisation und ihrer Prozesse bewertet wird und nicht anhand einer von Ihnen gehaltenen Lizenz. NIS 2 verlangt von Unternehmen in den betroffenen Sektoren, Risikomanagementmaßnahmen in den Bereichen Vorfallbearbeitung, Geschäftskontinuität, Sicherheit der Lieferkette, Umgang mit Schwachstellen und deren Offenlegung, grundlegende Cyberhygiene und Mitarbeiterschulung, Zugriffskontrolle sowie Richtlinien zur Verwendung von Kryptografie zu implementieren. „Advanced“ trägt direkt zu drei dieser Bereiche bei: zur Vorfallbearbeitung durch EDR-Erkennung, Endpunktisolierung und automatisierte Behebung; zum Umgang mit Schwachstellen durch planmäßige Scans mit CVSS-Schweregraden, gefolgt von der Installation von Patches für Betriebssysteme und Anwendungen von Drittanbietern; sowie zur Cyberhygiene durch zentral verwaltete Host-Firewall-Regeln, Anwendungsblockierung und Kontrolle von USB-Geräten. Es leistet keinen Beitrag zur Lieferkettenbewertung, zur Zugriffskontrolle und Multi-Faktor-Authentifizierung, zur Mitarbeiterschulung oder zur Governance-Dokumentation, die ein Auditor einsehen möchte, und die Abdeckung von E-Mail und Identitäten sind separate Zusatzmodule und keine Bestandteile des Pakets. Die Geschäftskontinuität ist der Punkt, der hier am häufigsten falsch interpretiert wird: Die siebentägige Ransomware-Wiederherstellung stellt Dateien auf einem geschützten Endpunkt wieder her, ist jedoch kein Backup und ersetzt dieses auch nicht.

Hilft „ThreatDown Powered by Malwarebytes Advanced Corporate“ bei Sicherheitsfragebögen großer Kunden?

Ja, für den Abschnitt zu den Endgeräten, und dieser Abschnitt wird gut abgedeckt. Sie können den Malware-Schutz auf jedem verwalteten Gerät nachweisen, eine namentlich genannte EDR-Funktion mit Isolierungs- und Reaktionsmaßnahmen, einen dokumentierten Patch-Rhythmus für Betriebssysteme und Anwendungen von Drittanbietern, die Kontrolle über Wechseldatenträger, Zulassungs- und Sperrlisten für Anwendungen, eine zentral verwaltete Host-Firewall-Richtlinie sowie den Export von Protokollen in ein SIEM im CEF-Format. Auf Anbieterseite veröffentlicht Malwarebytes eine ISO 27001-Zertifizierung für sein Informationssicherheits-Managementsystem und stellt unter einer Geheimhaltungsvereinbarung (NDA) einen SOC-2-Bericht zur Verfügung, der die Fragen zur Lieferantensicherheit abdeckt, die sich eher auf den Hersteller als auf Sie beziehen. Die Punkte, die nicht beantwortet werden, sind ebenso konkret: Multi-Faktor-Authentifizierung und Identitätsmanagement, E-Mail-Filterung, Datensicherung und Notfallwiederherstellung, Datenklassifizierung, Verschlüsselung von Servern und macOS-Geräten, Penetrationstests, 24/7-Überwachung sowie alle Fragen, die eine lokale oder „air-gapped“ Verwaltungsplattform erfordern, da Nebula ausschließlich in der Cloud betrieben wird. Eine lange Protokollaufbewahrungsdauer ist bestenfalls eine Teillösung, da die native Aufbewahrungsdauer von Nebula begrenzt ist und alles, was darüber hinausgeht, von Ihrem eigenen SIEM abhängt. Um diese Lücken zu schließen, ist ein Upgrade auf „Elite“ innerhalb derselben Produktfamilie in der Regel kostengünstiger und einfacher, als das MDR eines zweiten Anbieters an „Advanced“ anzuschließen; außerdem sind „Server Protection“, „Mobile Security“, „Email Security“ und „ITDR“ alle als Add-ons unter derselben Konsole verfügbar; Backup und Multi-Faktor-Authentifizierung müssen jedoch von anderen Anbietern bezogen werden.

Was ist der Unterschied zwischen „ThreatDown Core“ und „ThreatDown Advanced“?

Der entscheidende Unterschied liegt im Patching: „Core“ scannt nach Schwachstellen, kann die Updates jedoch nicht installieren, sodass die Ergebnisse auf einer To-do-Liste landen, anstatt automatisch behoben zu werden. „Advanced“ ergänzt denselben Scan um Patch-Management sowie um Ransomware-Rollback und Managed Threat Hunting, weshalb der Anbieter die Stufen als „Core Next-Gen AV“, „Advanced EDR“ und „Elite MDR“ vertreibt. Der Schritt von „Advanced“ zu „Elite“ bringt genau eine einzige Sache mit sich: Analysten, die die Konsole rund um die Uhr überwachen, anstatt Ihr eigenes Team. Die Abdeckung von Servern und Mobilgeräten steht außerhalb all dessen und wird in jeder Stufe als Add-on berechnet, sodass sie niemals Teil der Entscheidung für eine bestimmte Stufe ist.

Die besten Antivirenprogramme für Windows 2025
Vergleicht die für Windows verfügbaren Schutzstufen und hilft Ihnen dabei, zu beurteilen, welche für Ihre Umgebung tatsächlich erforderlich ist.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Die teuerste Überraschung ist der Geltungsbereich: Server sind im Paket nicht enthalten, und da Nebula jeden Linux-Rechner als Server zählt, löst bereits ein einzelner Linux-Rechner das Add-on „Server Protection“ aus. Der Datenstandort ist für Käufer aus der Schweiz und Europa von Bedeutung: Es gibt zwar ein europäisches Rechenzentrum für Nebula, der Anbieter beschränkt dessen Nutzung jedoch auf Konten, die nach dem 3. August 2026 eingerichtet wurden. Daher werden die meisten bestehenden Konten im Standard-Rechenzentrum betrieben, und Sie sollten vor der Unterzeichnung eines Vertrags mit einer Datenstandortklausel klären, welche Regelung für Sie gilt. Die Verwaltungsplattform ist in beiden Fällen ausschließlich cloudbasiert, ohne Option für den lokalen Einsatz oder eine Air-Gap-Lösung, was das Produkt ausschließt, wenn ein Fragebogen lokal gehostete Sicherheitstools verlangt. Auch unter der Oberfläche ist die Plattformabdeckung uneinheitlich: „Application Block“ läuft nur unter Windows und nicht unter macOS; Windows Server Core-Installationen und nicht-persistente VDI werden nicht unterstützt, und die zentral verwaltete Laufwerksverschlüsselung erzwingt BitLocker auf Windows-Workstations, sodass macOS und Server auf andere Weise verschlüsselt werden müssen. Schließlich sollten Sie das siebentägige Ransomware-Rollback eher als Schadensbegrenzung denn als Wiederherstellungsstrategie betrachten und im Voraus Ausschlüsse für Exchange, SQL Server und Domänencontroller-Rollen planen, für die der Anbieter laut Dokumentation Ausschlüsse vorsieht.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden
Erläutert, warum ein Datei-Rollback auf einem Endgerät nicht dasselbe ist wie ein Backup und was ein funktionierender Wiederherstellungsplan benötigt.

Häufig gestellte Fragen zu ThreatDown – unterstützt von Malwarebytes Advanced Corporate

Welche Betriebssysteme unterstützt der Endpunkt-Agent?

Der Agent läuft unter Windows 11 und Windows 10, einschließlich Windows 11 auf ARM-Prozessoren über ein separates Installationsprogramm, sowie unter macOS mit Intel- und Apple-Silicon-Prozessoren. Linux wird ebenfalls unterstützt, jedoch wird jeder Linux-Endpunkt als Server gezählt und erfordert daher das Add-on „Server Protection“. Chromebook-, Android-, iOS- und iPadOS-Geräte werden ausschließlich über das separate Add-on „Mobile Security“ abgedeckt.

Wie lange werden Erkennungsdaten in der Konsole gespeichert?

Die Ergebnisse der Schwachstellenscans werden für alle Endpunkte bis zu 90 Tage lang gespeichert und angezeigt, während Erkennungsdaten und Daten zu verdächtigen Aktivitäten nativ nur für einen begrenzten Zeitraum aufbewahrt werden. Wenn Sie für Audit- oder Nachweiszwecke eine längere Aufbewahrungsdauer benötigen, können Ereignisse im CEF-Format an einen Syslog-Server weitergeleitet oder an ein SIEM wie Microsoft Sentinel oder Google Security Operations übertragen werden. Die Einrichtung dieser Systeme muss jedoch erfolgen, bevor Sie die Aufzeichnungen benötigen, und nicht erst danach.

Wie wird die Software in einem bestehenden Netzwerk bereitgestellt?

Die Bereitstellung erfolgt über ein einziges MSI-Installationsprogramm, das manuell ausgeführt, im Hintergrund über die Befehlszeile installiert oder über Microsoft Intune, SCCM, Gruppenrichtlinien oder ein RMM-Tool wie Datto oder SolarWinds verteilt werden kann. Außerdem steht ein integriertes Erkennungs- und Bereitstellungstool zur Verfügung, um nicht verwaltete Geräte im Netzwerk zu finden. Jeder neu installierte Agent führt automatisch einen Scan durch und meldet seine Ergebnisse innerhalb von etwa 30 Minuten an die Konsole.