ThreatDown Powered by Malwarebytes Elite Server Corporate

Was ist in „ThreatDown Powered by Malwarebytes Elite Server Corporate“ enthalten?

Endpoint Protection – Multi-Vektor-Schutz vor Malware, dateilosen Angriffen und Zero-Day-Exploits.
Endpoint Detection and Response – Überwachung verdächtiger Aktivitäten, Cloud-Sandbox, Endpunktisolierung und MITRE-Zuordnung.
Managed Detection and Response – ThreatDown-Analysten überwachen und beheben Bedrohungen rund um die Uhr (24x7x365) in Ihrem Auftrag.
Ransomware-Rollback – Stellt verschlüsselte Windows-Serverdateien wieder her, konfigurierbar bis zu sieben Tage zurück.
Schwachstellen- und Patch-Management – Geplante oder Ad-hoc-Scans und Patches für installierte Software.
Wichtig – DNS-Filterung und E-Mail-Sicherheit sind separat als Add-ons erhältlich.

Was sind die wichtigsten Vorteile von „ThreatDown Powered by Malwarebytes Elite Server Corporate“?

Das Elite-Paket kombiniert Endpunktschutz, EDR und einen vollständig verwalteten 24x7x365-Erkennungs- und Reaktionsdienst für Windows- und Linux-Server, der vollständig über die cloudbasierte Nebula-Konsole verwaltet wird. Die ThreatDown-Produktreihe hieß früher „Malwarebytes for Business“ und wurde im November 2023 umbenannt, sodass in der Dokumentation und in Partnerlisten möglicherweise noch die früheren Modulbezeichnungen „Endpoint Protection for Servers“ und „Endpoint Detection and Response for Servers“ verwendet werden.
Ein einziger Agent – Ein schlanker Agent sorgt für Prävention, EDR und Patching.
Betreuung außerhalb der Geschäftszeiten – MDR-Analysten rufen Ihre benannten Super-Administratoren im Notfall an.
Endpunktisolierung – Netzwerk-, Prozess- und Desktop-Isolierung schotten einen kompromittierten Server ab.
Active Response Shell – Fernzugriff für forensische Untersuchungen auf Windows-, macOS- und Linux-Endpunkte.
Rollback ohne VSS – Der geschützte Cache überdauert Ransomware, die Schattenkopien löscht.
Syslog-Export – Leitet Endpunkt-Ereignisse zur Beweisführung an ein bestehendes SIEM weiter.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, wo der in Windows integrierte Schutz an seine Grenzen stößt und warum Serverumgebungen in der Regel eine zusätzliche verwaltete Schutzebene benötigen.

Für welche Unternehmensgröße eignet sich „ThreatDown Powered by Malwarebytes Elite Server Corporate“?

Die Mitarbeiterzahl ist nicht ausschlaggebend für diese Anschaffung. Entscheidend ist vielmehr, ob Ihre Server Daten enthalten, deren Verlust den Betrieb lahmlegen würde, und ob diese Server zwischen Freitagabend und Montagmorgen überwacht werden. Beachten Sie die Asymmetrie in der folgenden Tabelle: Die Schweizer Meldepflicht wird nach Branche und nicht nach Größe ausgelöst, während die europäische NIS-2-Richtlinie mit einem Größenschwellenwert arbeitet, der die meisten Kleinst- und Kleinunternehmen aus ihrem Geltungsbereich herauslässt.

Erfüllt „ThreatDown Powered by Malwarebytes Elite Server Corporate“ die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Kein Softwareprodukt erfüllt diese Anforderungen von sich aus, und dieses bildet da keine Ausnahme. Seit dem 1. April 2025 verpflichtet das revidierte Informationssicherheitsgesetz Betreiber kritischer Infrastrukturen – darunter Energie- und Trinkwasserversorger, Verkehrsunternehmen, gelistete Spitäler, Rechenzentrums- und Cloud-Anbieter sowie kantonale und kommunale Verwaltungen – verpflichtet, einen Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) zu melden, wobei weitere 14 Tage für die Vervollständigung des Berichts zur Verfügung stehen. Die 24-Stunden-Frist beginnt mit der Entdeckung, und genau hier kommt das Elite-Paket ins Spiel: Das MDR-Team überwacht den Betrieb rund um die Uhr und ruft die Super-Admins an, die Sie in Nebula registriert haben. So erreicht ein Vorfall, der um drei Uhr morgens an einem Sonntag entdeckt wird, rechtzeitig einen Entscheidungsträger, sodass die Meldung noch am selben Tag und nicht erst am Montag erfolgt. Die Konsole liefert zudem einen Großteil der für einen Bericht erforderlichen Informationen – welche Server betroffen waren, den zeitlichen Verlauf der Erkennung, die beteiligten Prozesse sowie die ergriffenen Isolierungs- und Behebungsmaßnahmen. Ebenso klar ist, was die Konsole nicht leistet: Sie erstellt den Bericht nicht für Sie, sie erkennt nichts, was niemals mit einem überwachten Server in Berührung kommt – wie beispielsweise ein kompromittiertes Postfach, eine Firewall oder ein nicht verwaltetes NAS –, und sie führt keine Aufzeichnungen darüber, wer innerhalb Ihrer Organisation welche Entscheidungen getroffen hat, was der Meldeprozess jedoch erwartet. Dies ist eine Produktbeschreibung und keine Rechtsberatung; ob Ihre Organisation der Meldepflicht unterliegt, sollten Sie mit Ihren eigenen Rechtsberatern oder direkt bei BACS klären.

Erfüllt „ThreatDown Powered by Malwarebytes Elite Server Corporate“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt allein gewährleistet die NIS-2-Konformität, da die Richtlinie organisatorische Maßnahmen und den Nachweis ihrer Umsetzung verlangt, nicht jedoch eine bestimmte Software. NIS 2 verlangt Risikoanalysen und Sicherheitsrichtlinien, die Bearbeitung von Vorfällen, Geschäftskontinuität und Datensicherung, Sicherheit in der Lieferkette, den Umgang mit Schwachstellen, Verfahren zur Überprüfung der Wirksamkeit der Maßnahmen, grundlegende Cyberhygiene und Schulungen, Kryptografie, Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung. Dieses Paket leistet einen direkten Beitrag zu drei dieser Kategorien: Vorfallbearbeitung durch Erkennung, Isolierung, verwaltete Behebung und einen exportierbaren Ereignisverlauf; Schwachstellenmanagement durch planmäßiges Scannen und Patchen von Betriebssystemen und installierten Anwendungen; sowie Asset-Management, insofern die Konsole ein Inventar der Server führt, auf denen der Agent läuft. Es leistet keinen Beitrag zu Datensicherung und Geschäftskontinuität, Lieferkettensicherheit, Mitarbeiterschulungen, Multi-Faktor-Authentifizierung, Kryptografie oder Zugriffskontrolle außerhalb seiner eigenen Konsole, und es erfasst nichts, worauf der Agent nicht läuft – Netzwerkgeräte, E-Mail-Postfächer, Identitätssysteme und Cloud-Workloads bleiben alle außerhalb des Geltungsbereichs. Betrachten Sie es als Nachweis für den Endpunkt-Teil Ihrer Maßnahmen und planen Sie den Rest separat.

Hilft „ThreatDown Powered by Malwarebytes Elite Server Corporate“ bei Sicherheitsfragebögen großer Kunden?

Ja, für den Endpunkt-Block eines Fragebogens, und nur für diesen Block. Damit können Sie anhand von Konsolennachweisen statt bloßer Behauptungen bestätigen, dass EDR auf jedem Server eingesetzt ist, dass ein externes Team rund um die Uhr (24x7x365) überwacht, dass kompromittierte Hosts auf Netzwerk-, Prozess- oder Desktop-Ebene isoliert werden können, dass Patches nach einem festgelegten Zeitplan installiert werden, dass Schwachstellenscans regelmäßig durchgeführt werden, dass Richtlinien zentral durchgesetzt und vor Manipulation geschützt sind, dass der Konsolenzugriff rollenbasiert ist und dass Ereignisse per Syslog an ein SIEM weitergeleitet werden können. Ebenso detailliert lässt sich jedoch auch sagen, was es nicht abdeckt: Tests zur Datensicherung und -wiederherstellung, Verschlüsselung ruhender Daten auf Servern, Multi-Faktor-Authentifizierung für Administratorkonten, E-Mail-Filterung, Web- und DNS-Filterung, Netzwerksegmentierung, sichere Entwicklungspraktiken, physische Sicherheit, Sensibilisierungsschulungen für Mitarbeiter, Listen der Unterauftragsverarbeiter sowie Ihren eigenen Zertifizierungsstatus. Wenn die Lücke im Bereich der DNS-Filterung liegt, ist der Umstieg auf das „Ultimate“-Paket derselben Produktfamilie in der Regel kostengünstiger und einfacher als die Einbindung eines zweiten Anbieters, da in beiden Fällen nur ein Agent und eine Konsole erforderlich sind; „E-Mail-Sicherheit“ und „Premium-Support“ sind Zusatzmodule innerhalb derselben Produktfamilie. Die Verschlüsselung ist die einzige Lücke, die Sie innerhalb dieser Produktreihe für Server nicht schließen können – „ThreatDown Drive Encryption“ ist ein separates Modul für Windows-Arbeitsstationen –, planen Sie daher hier eine separate Lösung ein.

Was ist der Unterschied zwischen ThreatDown Advanced, Elite und Ultimate?

Der einzige entscheidende Unterschied besteht darin, wer die Warnmeldungen auswertet. Bei „Advanced“ steht Ihren eigenen Mitarbeitern der gesamte technische Stack zur Verfügung, und es wird erwartet, dass sie die erzeugten Ergebnisse selbst bewerten; „Elite“ ergänzt dies um „Managed Detection and Response“, sodass ThreatDown-Analysten rund um die Uhr in Ihrem Auftrag untersuchen, reagieren und Abhilfemaßnahmen ergreifen; „Ultimate“ bietet zusätzlich zu „Elite“ noch DNS-Filterung. Alles unterhalb der MDR-Ebene – Schutz, EDR, Rollback, Schwachstellenbewertung und Patching sowie Managed Threat Hunting – ist bei allen drei Varianten identisch; daher ist die Frage eher eine Frage der Personalausstattung als der Funktionen. „Elite“ ist ein eigenständiges Komplettpaket: Es handelt sich weder um ein Add-on zu einem anderen ThreatDown-Produkt noch um ein reines Verlängerungsprodukt, sodass für den Betrieb keine bestehende Lizenz eines anderen Produkts erforderlich ist.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Die Verwaltungsplattform ist ausschließlich cloudbasiert: Weder Nebula noch die mandantenfähige OneView-Konsole können vor Ort oder in einem Air-Gapped-Netzwerk gehostet werden, was das Produkt überall dort ausschließt, wo dies eine zwingende Voraussetzung ist. Der Datenstandort ist der zweite Punkt, den Schweizer und europäische Käufer vor Vertragsunterzeichnung klären sollten, denn es gibt zwar ein europäisches Rechenzentrum, aber gilt dies laut der eigenen Netzwerkdokumentation von ThreatDown nur für eine begrenzte Anzahl von EU-basierten Konten, die nach dem 3. August 2026 eingerichtet wurden, während die meisten Konten weiterhin im Standard-Rechenzentrum betrieben werden – welches Sie haben, erkennen Sie an der Nebula-Anmelde-URL, in der europäische Konten den Code „euc1“ enthalten. Was die Plattformunterstützung betrifft, werden Windows Server 2016 bis 2025 unterstützt, Server-Core-Installationen jedoch nicht; ebenso wenig wird nicht-persistente VDI unterstützt – beides stellt für Kunden mit konsolidierten Umgebungen ein Problem dar. „Ransomware Rollback“ ist eine ausschließlich für Windows verfügbare Funktion; Linux-Dateiserver werden daher zwar erkannt, isoliert und bereinigt, erhalten jedoch kein Rollback. Auf x86_64-Hardware wird SUSE Linux Enterprise Server 15 zum Schutz unterstützt, jedoch nicht für EDR. Ein Rollback ist zudem kein Backup: Der Cache speichert Dateiänderungen für einen bis sieben Tage, wobei drei Tage als Standard eingestellt sind; der Speicherpfad für das Server-Backup muss sich auf einem lokalen Laufwerk befinden, da Netzlaufwerke nicht unterstützt werden; und Dateien, die die konfigurierte Größengrenze überschreiten, werden vollständig übersprungen.

Ende des Supports für Windows Server 2022: Windows Server 2025 vs. 2022 vs. 2019: Lohnt sich ein Upgrade?
Nützlich, wenn einige Ihrer Server auf älteren Versionen laufen und Sie das Upgrade parallel zur Sicherheitsaktualisierung planen müssen.

Häufig gestellte Fragen zu ThreatDown Powered by Malwarebytes Elite Server Corporate

Schützt die EDR-Komponente Server nach der Installation automatisch?

Nein. Die Überwachung verdächtiger Aktivitäten verfügt über einen separaten Richtlinienschalter für Server-Betriebssysteme, und sowohl der allgemeine Schalter als auch der Server-Schalter müssen aktiviert sein, bevor die Erkennung oder das Ransomware-Rollback auf einem Server funktionieren. ThreatDown empfiehlt, Server in einer eigenen Gruppe mit einer eigenen Richtlinie zu platzieren, anstatt die Workstation-Richtlinie wiederzuverwenden. Dadurch bleiben auch rollenspezifische Ausschlüsse für Exchange, SQL, DNS und Domänencontroller überschaubar.

Können die MDR-Analysten einen Produktionsserver eigenständig isolieren?

Nur, wenn Sie dies genehmigen. In der Managed-Services-Konfiguration wählen Sie zwischen einer von ThreatDown verwalteten Behebung und einer reinen Benachrichtigung, und Sie erteilen den Analysten separat die Berechtigung, Endgeräte in Ihrem Namen zu isolieren. Ein praktisches Detail, das Sie im Voraus wissen sollten: Das Aufheben der Isolierung führt zu einem Neustart des Endgeräts, was bei einem Produktionsserver andere Auswirkungen hat als bei einem Laptop.

Sind mobile Geräte und Festplattenverschlüsselung enthalten?

Nein. „Mobile Security for Business“, das Android, iOS, iPadOS und ChromeOS abdeckt, ist ein separates ThreatDown-Produkt, ebenso wie „Drive Encryption“. „Drive Encryption“ ist zudem eher auf Windows-Workstations als auf Server ausgerichtet, sodass die serverseitige Verschlüsselung ruhender Daten eine gesonderte Lösung erfordert.

Ersetzt „Ransomware Rollback“ ein Server-Backup?

Nein, und dies als gleichwertig zu betrachten, ist ein kostspieliger Fehler. Es handelt sich um einen lokalen Cache der jüngsten Dateiänderungen, der auf einen bis sieben Tage konfigurierbar ist (Standardwert: drei Tage), ausschließlich Windows abdeckt und davon abhängt, dass der Agent noch läuft. Bei einem vollständigen Systemverlust, einem Hardwareausfall oder einer Löschung, die älter ist als das konfigurierte Zeitfenster, hilft dies nicht weiter.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden –
Hier wird erläutert, warum ein Rollback-Cache und eine echte Backup-Strategie unterschiedliche Probleme lösen und warum Server beides benötigen.