Ein Vertriebsmitarbeiter arbeitet im Hotel, eine Buchhalterin im Homeoffice, der Techniker greift vom Tablet auf Auftragsdaten zu, und im Rechenzentrum laufen zwanzig Server. Jedes dieser Geräte ist ein Zugang zu Ihren Daten und damit ein möglicher Einstieg für Angreifer. Genau diese Geräte nennt man Endpunkte, und ihren Schutz Endpoint Security.
Früher reichte ein Virenschutz auf jedem Rechner und eine Firewall am Firmennetz. Heute sind Geräte überall, Angriffe nutzen gestohlene Zugangsdaten und legitime Werkzeuge, und Schadsoftware ändert sich schneller, als Signaturen nachkommen. Endpoint Security ist deshalb kein einzelnes Programm mehr, sondern ein Zusammenspiel aus Schutz, Erkennung, Gerätemanagement und klaren Regeln.
In diesem Beitrag erfahren Sie, was Endpoint Security umfasst, welche Bausteine dazugehören, was das BSI und NIS2 verlangen, worauf Sie bei der Auswahl achten sollten und wie Sie Schritt für Schritt vorgehen.
Was ist Endpoint Security?
Endpoint Security, auf Deutsch Endpunktsicherheit, bezeichnet alle Maßnahmen, die Endgeräte und die darauf verarbeiteten Daten vor Angriffen, Missbrauch und Verlust schützen. Endpunkte sind alle Geräte, die mit dem Unternehmensnetz oder mit Unternehmensdaten verbunden sind:
| Gerätetyp | Beispiele | Besondere Risiken |
|---|---|---|
| Arbeitsplätze und Laptops | Windows-, macOS- und Linux-Rechner | Phishing, Schadsoftware, Diebstahl, unsichere Netze unterwegs |
| Server | Dateiserver, Datenbanken, Domänencontroller | hoher Wert für Angreifer, Ziel von Ransomware |
| Mobilgeräte | Smartphones, Tablets | Verlust, private Nutzung, unsichere Apps |
| Virtuelle Maschinen und Cloud-Workloads | Server in der Cloud, virtuelle Desktops | schnelle Veränderung, Fehlkonfiguration |
| Spezialgeräte | Kassensysteme, Produktionsrechner, Medizingeräte | oft alte Betriebssysteme, keine Standardsoftware möglich |
Warum Endpoint Security heute so wichtig ist
- Die meisten Angriffe beginnen am Endgerät. Ein Klick auf einen Phishing-Link, ein geöffneter Anhang oder ein ausgenutzter Fehler in einem Browser genügt.
- Die Grenze des Firmennetzes ist verschwunden. Laptops und Smartphones arbeiten in Heimnetzen, Hotels und Zügen, wo keine Firmen-Firewall schützt.
- Täglich neue Schwachstellen. Das BSI zählte in seinem Lagebericht 2025 im Schnitt 119 neue Schwachstellen pro Tag. Ungepatchte Geräte sind ein offenes Tor.
- Ransomware zielt auf Endgeräte und Server. Laut Bundeslagebild Cybercrime 2025 wurden 2025 in Deutschland 1.041 Ransomware-Angriffe angezeigt.
Die Bausteine moderner Endpoint Security
| Baustein | Aufgabe |
|---|---|
| Schutz vor Schadsoftware (EPP) | bekannte und unbekannte Schadsoftware erkennen und blockieren, auch anhand von Verhalten |
| Endpoint Detection and Response (EDR) | verdächtige Aktivitäten erkennen, untersuchen und Geräte bei Bedarf isolieren |
| Gerätemanagement (MDM/UEM) | Geräte zentral verwalten, Richtlinien durchsetzen, verlorene Geräte sperren oder löschen |
| Patch-Management | Updates für Betriebssysteme und Programme zeitnah und kontrolliert verteilen |
| Festplattenverschlüsselung | Daten bei Verlust oder Diebstahl des Geräts schützen |
| Anwendungskontrolle | nur erlaubte Programme ausführen lassen |
| Gerätekontrolle | USB-Sticks und andere Schnittstellen regeln |
| Lokale Firewall | Verbindungen vom und zum Gerät beschränken |
| Identität und Zugang | Multi-Faktor-Authentifizierung, getrennte Administratorkonten, Prüfung des Gerätezustands vor dem Zugriff |
Vom Virenschutz zu EDR und XDR
Klassischer Virenschutz vergleicht Dateien mit Signaturen bekannter Schadsoftware. Gegen neue Varianten und Angriffe mit Bordmitteln des Betriebssystems hilft das nur begrenzt. Moderne Endpoint-Protection-Plattformen erkennen zusätzlich verdächtiges Verhalten. EDR zeichnet Aktivitäten auf dem Gerät auf, erkennt Angriffsmuster und ermöglicht, ein Gerät mit einem Klick vom Netz zu isolieren. XDR erweitert diesen Ansatz über Endgeräte hinaus auf Identitäten, E-Mail, Cloud und Netzwerk. Den direkten Vergleich zwischen Virenschutz und EDR beschreiben wir im Beitrag EDR vs. Antivirus, mehr zu den Lösungen auf unserer Seite EDR und XDR.
Gerätemanagement als Grundlage
Schutzsoftware ist nur so gut wie die Basis, auf der sie läuft. Gerätemanagement sorgt dafür, dass alle Geräte bekannt sind, Updates erhalten, verschlüsselt sind und Richtlinien wie Bildschirmsperre oder sichere WLAN-Einstellungen einhalten. Ohne vollständiges Geräteverzeichnis bleiben vergessene Laptops oder private Smartphones unsichtbare Lücken. Mehr dazu auf unserer Seite zum Endpoint Management.
Was BSI und NIS2 verlangen
Das BSI beschreibt im IT-Grundschutz-Baustein SYS.2.1 Allgemeiner Client die grundlegenden Anforderungen an Arbeitsplatzrechner. Dazu gehören unter anderem der Einsatz von Schutzprogrammen gegen Schadsoftware, die Benutzende nicht deaktivieren dürfen, die Prüfung ausgetauschter Dateien, eine regelmäßige Untersuchung des gesamten Datenbestands, ein geschützter Startvorgang sowie bei erhöhtem Schutzbedarf eine Ausführungskontrolle, die nur erlaubte Programme zulässt.
Für Unternehmen, die unter NIS2 fallen, verlangt § 30 BSIG unter anderem Maßnahmen zur Sicherheit bei Beschaffung, Entwicklung und Wartung einschließlich des Umgangs mit Schwachstellen, zur Zugriffskontrolle und zum Management der Anlagen sowie Multi-Faktor-Authentifizierung. Endpoint Security trägt zu all diesen Bereichen bei. Die DSGVO verlangt zudem nach Art. 32 angemessene technische Maßnahmen zum Schutz personenbezogener Daten, und dazu gehört der Schutz der Geräte, auf denen diese Daten verarbeitet werden.
Mobile Geräte, Homeoffice und BYOD
Smartphones und Tablets gehören heute selbstverständlich zu den Endpunkten. Sie enthalten E-Mails, Kontakte, Dokumente und Zugänge zu Cloud-Diensten. Für ihren Schutz haben sich diese Regeln bewährt:
- Zentrale Verwaltung aller Dienstgeräte mit Bildschirmsperre, Verschlüsselung und Fernlöschung.
- Trennung von dienstlichen und privaten Daten, etwa über getrennte Profile.
- Klare Regeln für private Geräte (BYOD): Welche Daten dürfen darauf, welche Mindestanforderungen gelten, was passiert beim Austritt?
- Zugriff nur für geprüfte Geräte: Cloud-Dienste lassen nur Geräte zu, die verwaltet und aktuell sind.
- Sichere Verbindungen im Homeoffice und unterwegs, mit Multi-Faktor-Authentifizierung.
Sonderfall Server und Spezialgeräte
Server sind besonders wertvoll, weil dort die Daten liegen. Hier gehört Endpoint Security mit Verhaltenserkennung zur Pflicht, ergänzt durch eingeschränkte Administratorzugänge und Überwachung. Spezialgeräte wie Produktionsrechner, Kassensysteme oder Medizingeräte lassen sich dagegen oft nicht mit Standardsoftware schützen. Für sie sind Netzwerktrennung und Überwachung des Netzwerkverkehrs die wichtigsten Maßnahmen. Mehr dazu im Beitrag Was ist Mikrosegmentierung?.
So läuft ein Angriff am Endgerät ab
Wie wichtig die einzelnen Bausteine sind, zeigt der typische Ablauf eines Angriffs:
- Einstieg: Eine Mitarbeiterin öffnet eine präparierte Rechnung. Ein Skript startet im Hintergrund.
- Nachladen: Das Skript lädt weitere Schadsoftware aus dem Internet nach.
- Rechte ausweiten: Die Schadsoftware nutzt eine nicht gepatchte Lücke oder lokale Administratorrechte, um sich festzusetzen.
- Zugangsdaten stehlen: Gespeicherte Passwörter und Anmeldeinformationen werden ausgelesen.
- Ausbreitung: Mit diesen Daten bewegt sich der Angreifer auf Server und weitere Arbeitsplätze.
- Wirkung: Daten werden abgezogen und verschlüsselt.
An jedem Schritt kann Endpoint Security eingreifen: Makros und Skripte blockieren, unbekannte Programme stoppen, Updates schließen Lücken, fehlende Administratorrechte verhindern das Festsetzen, Verhaltenserkennung bemerkt das Auslesen von Zugangsdaten, und EDR isoliert das Gerät, bevor die Ausbreitung beginnt. Je früher in dieser Kette der Angriff gestoppt wird, desto kleiner ist der Schaden. Wie Angreifer sich im Netz bewegen, beschreiben wir im Beitrag Lateral Movement erkennen.
Endpoint Security und Zero Trust
Im Zero-Trust-Modell wird kein Zugriff automatisch erlaubt, nur weil ein Gerät im Firmennetz ist. Stattdessen wird bei jedem Zugriff geprüft, wer zugreift und von welchem Gerät. Endpoint Security liefert dafür die entscheidende Information: Ist das Gerät verwaltet, aktuell, verschlüsselt und frei von erkannten Bedrohungen? Nur dann erhält es Zugriff auf Unternehmensanwendungen. Ein privates, nicht verwaltetes Smartphone oder ein Laptop mit veraltetem Betriebssystem wird automatisch eingeschränkt. So wird der Gerätezustand zu einem Teil der Zugangskontrolle.
Was kostet Endpoint Security?
Die Kosten hängen von der Zahl der Geräte, dem Funktionsumfang und dem Betriebsmodell ab. Üblich ist eine Lizenz pro Gerät oder pro Nutzer und Jahr. Grob lassen sich drei Stufen unterscheiden:
| Stufe | Inhalt | Für wen |
|---|---|---|
| Basis | moderner Schutz vor Schadsoftware mit Verhaltenserkennung, zentrale Verwaltung | kleine Unternehmen mit überschaubarer IT |
| Erweitert | zusätzlich EDR mit Untersuchung und Isolation von Geräten | Unternehmen mit eigener IT oder Dienstleister, der Alarme bewertet |
| Managed | EDR oder XDR mit Überwachung und Reaktion rund um die Uhr durch einen Dienstleister | Unternehmen ohne eigenes Sicherheitsteam, NIS2-pflichtige Einrichtungen |
Hinzu kommen Gerätemanagement, Einführung und gegebenenfalls Schulung. Gegenüber dem Schaden, den ein einziges kompromittiertes Gerät anrichten kann, sind diese Kosten meist überschaubar.
Endpoint Security für kleine Unternehmen
Auch kleine Betriebe mit zehn oder zwanzig Arbeitsplätzen brauchen mehr als den mitgelieferten Virenschutz. Ein pragmatischer Einstieg: eine moderne Schutzlösung mit Verhaltenserkennung, automatische Updates, keine lokalen Administratorrechte, verschlüsselte Laptops und Multi-Faktor-Authentifizierung für E-Mail und Fernzugänge. Wer keine eigene IT hat, sollte die Überwachung an einen Dienstleister geben, damit Alarme nicht unbemerkt bleiben. Weitere Hinweise gibt unser Beitrag IT-Sicherheit für kleine Unternehmen.
Worauf Sie bei der Auswahl achten sollten
| Kriterium | Prüffrage |
|---|---|
| Erkennung | Erkennt die Lösung auch unbekannte Angriffe anhand von Verhalten, nicht nur Signaturen? |
| Reaktion | Kann sie ein Gerät automatisch isolieren und Änderungen rückgängig machen? |
| Plattformen | Werden Windows, macOS, Linux, mobile Geräte und Cloud-Workloads abgedeckt? |
| Betrieb rund um die Uhr | Wer reagiert nachts und am Wochenende auf Alarme, intern oder über einen Managed-Service? |
| Leistung | Wie stark belastet die Lösung die Geräte im Alltag? |
| Integration | Lässt sie sich mit Identitätsmanagement, E-Mail-Schutz und Monitoring verbinden? |
| Datenschutz | Wo werden Telemetriedaten verarbeitet, gibt es einen Vertrag zur Auftragsverarbeitung? |
| Verwaltung | Ist die Oberfläche für Ihr Team verständlich, gibt es klare Berichte? |
Endpoint Security in sechs Schritten einführen
- Bestand erfassen: Alle Geräte, Betriebssysteme und Nutzer. Was nicht bekannt ist, kann nicht geschützt werden.
- Grundlagen schaffen: Updates automatisieren, Festplatten verschlüsseln, Administratorrechte entziehen, Multi-Faktor-Authentifizierung einführen.
- Schutzsoftware ausrollen: Eine moderne Lösung mit Verhaltenserkennung und EDR auf allen Arbeitsplätzen und Servern, zuerst im Beobachtungsmodus, dann mit aktivem Schutz.
- Mobile Geräte einbinden: Gerätemanagement einführen und Regeln für private Geräte festlegen.
- Reaktion organisieren: Festlegen, wer Alarme bewertet und wie schnell reagiert wird, intern oder durch ein Security Monitoring.
- Regelmäßig prüfen: Abdeckung, Updatestand und Alarme auswerten, Richtlinien anpassen.
Praxisbeispiel: Ein Planungsbüro mit 60 Beschäftigten
Ein Ingenieurbüro arbeitet mit Laptops, die zwischen Büro, Baustelle und Homeoffice wechseln, dazu Tablets für Baustellenbegehungen und einige Server. Bisher läuft ein klassischer Virenschutz, Updates werden manuell eingespielt, Tablets sind nicht verwaltet.
Nach der Einführung von Endpoint Security sieht es so aus: Alle Geräte sind in einem zentralen Verzeichnis erfasst und werden automatisch aktualisiert. Laptops sind verschlüsselt, Tablets verwaltet und bei Verlust aus der Ferne löschbar. Eine Lösung mit Verhaltenserkennung und EDR läuft auf allen Laptops und Servern, ein Managed-Service bewertet Alarme rund um die Uhr. Als ein Mitarbeiter auf einer Baustelle einen präparierten Anhang öffnet, erkennt die Lösung das verdächtige Verhalten, stoppt den Prozess und isoliert das Gerät vom Netz. Der Fall ist erledigt, bevor sich die Schadsoftware ausbreiten kann.
Typische Fehler
- Nur Arbeitsplätze schützen, Server, mobile Geräte und Cloud-Workloads bleiben außen vor.
- Schutz ohne Reaktion: Alarme laufen auf, aber niemand schaut sie an, besonders nachts und am Wochenende.
- Lokale Administratorrechte für alle Mitarbeitenden.
- Lücken im Geräteverzeichnis, vergessene Laptops oder alte Server ohne Schutz.
- Ausnahmen, die niemand mehr prüft, etwa für Programme, die angeblich nicht mit der Schutzsoftware funktionieren.
Endpoint Security mit SentinelOne
Als Partner setzen wir für Endpoint Security auf die Singularity-Plattform von SentinelOne. Laut SentinelOne wurde das Unternehmen 2026 zum sechsten Mal in Folge im Gartner Magic Quadrant für Endpoint Protection Platforms als Leader eingestuft. Die Plattform verbindet nach Herstellerangaben Schutz vor Schadsoftware, Verhaltenserkennung und EDR in einer Lösung, kann infizierte Geräte automatisch isolieren und Änderungen durch Schadsoftware rückgängig machen. Mehr dazu auf unserer Seite zur KI-gesteuerten Cybersicherheit.
Wir unterstützen Sie bei der Einführung, beim Rollout auf alle Geräte und auf Wunsch beim Betrieb, damit Alarme auch nachts und am Wochenende bewertet werden.
Fazit: Endpunkte sind die neue Außengrenze
Endgeräte sind heute der wichtigste Angriffspunkt und gleichzeitig die wichtigste Verteidigungslinie. Moderne Endpoint Security verbindet Schutz vor Schadsoftware, Verhaltenserkennung und EDR mit Gerätemanagement, Updates, Verschlüsselung und klaren Regeln für mobile Geräte. Entscheidend ist, dass alle Geräte erfasst sind und jemand auf Alarme reagiert. Dann wird aus einem infizierten Laptop ein schnell gelöster Einzelfall statt einer Krise für das ganze Unternehmen.
Sie möchten wissen, wie gut Ihre Endgeräte geschützt sind? Wir prüfen Ihre Endpoint Security und zeigen, wo Lücken bestehen. Jetzt kostenlose Erstberatung buchen.
