Wichtige Firmendaten lassen sich unter Windows nicht mit einem einzelnen Virenscanner zuverlässig absichern. Ein tragfähiger Schutz kombiniert verwalteten Endgeräteschutz, eingeschränkte Benutzerrechte, abgesicherte Identitäten und eine vom normalen Netzwerk getrennte Datensicherung. Microsoft Defender Antivirus kann die technische Basis bilden. Sobald mehrere PCs, gemeinsam genutzte Daten oder geschäftskritische Arbeitsabläufe betroffen sind, werden jedoch zentrale Überwachung, Angriffserkennung und eine überprüfte Wiederherstellung entscheidend.
Für kleine Unternehmen kommen vor allem drei Lösungsklassen infrage: die in Windows integrierten Schutzfunktionen, eine geschäftlich lizenzierte Microsoft-Endpoint-Lösung oder eine Endpoint-Security-Plattform eines anderen Herstellers. Keine davon ersetzt ein Backup. Umgekehrt verhindert ein Backup keinen Angriff, sondern begrenzt dessen Folgen und ermöglicht die Wiederaufnahme des Betriebs.
Vier Schutzebenen statt eines einzelnen Sicherheitsprogramms
Ransomware versucht nicht nur, Dateien auf einem PC zu verschlüsseln. Moderne Angriffe können Anmeldedaten stehlen, erreichbare Netzfreigaben durchsuchen, Sicherungen manipulieren und Daten vor der Verschlüsselung kopieren. Ein Produktvergleich, der ausschließlich die Erkennungsleistung eines Virenscanners betrachtet, greift für Firmendaten zu kurz.
Ein belastbares Schutzkonzept benötigt vier voneinander unabhängige Ebenen:
- Vorbeugung: Schadprogramme, missbrauchte Skripte und gefährliche Anwendungen sollen gar nicht erst ausgeführt werden.
- Erkennung und Reaktion: Auffälliges Verhalten muss sichtbar werden, damit betroffene Geräte schnell isoliert und untersucht werden können.
- Begrenzung: Ein kompromittiertes Benutzerkonto oder Gerät darf nicht automatisch auf alle Unternehmensdaten zugreifen.
- Wiederherstellung: Saubere, getrennte und getestete Sicherungen müssen nach einem Vorfall verfügbar bleiben.
Die passende Windows-Lösung hängt somit nicht allein von der Zahl der Computer ab. Wichtiger sind der Speicherort der Daten, vorhandene Administratorressourcen, externe Zugänge, Anforderungen an Protokollierung und die Zeit, innerhalb derer der Betrieb wieder anlaufen muss.
Welche Lösungsklasse zu welchem Betrieb passt
Ohne vergleichbare, zeitlich eingeordnete Produkttests lässt sich kein seriöser Gesamtsieger bestimmen. Die drei folgenden Klassen unterscheiden sich dennoch klar bei Verwaltung, Reaktion und organisatorischem Aufwand.
| Lösungsklasse | Geeignet für | Zentrale Verwaltung | Reaktion auf Angriffe | Wesentliche Grenze |
|---|---|---|---|---|
| Windows-Sicherheit mit Microsoft Defender Antivirus | Einzelne oder wenige PCs mit einfacher Struktur | Ohne zusätzliche Verwaltungsplattform nur begrenzt | Lokale Erkennung und Quarantäne | Kein vollständiger Überblick über mehrere Geräte |
| Microsoft Defender for Business oder Defender for Endpoint | Betriebe mit mehreren Windows-Geräten und Microsoft-Umgebung | Geräteübergreifende Richtlinien und Sicherheitsansichten, abhängig von Lizenz und Einrichtung | Endpoint Detection and Response sowie Untersuchung über ein zentrales Portal, abhängig vom Produktumfang | Lizenzierung und saubere Konfiguration müssen zur Umgebung passen |
| EDR- oder Endpoint-Security-Plattform eines Drittanbieters | Gemischte Gerätebestände oder vorhandener externer Sicherheitsbetrieb | Herstellereigene Konsole | Je nach Produkt Telemetrie, Geräteisolation und betreute Reaktion | Funktionsumfang und Qualität des Betriebs unterscheiden sich erheblich |
Integrierter Microsoft Defender Antivirus
Microsoft Defender Antivirus ist in unterstützten Windows-Versionen Bestandteil des Betriebssystems. Er bietet Echtzeitschutz, cloudgestützte Erkennung und eine lokale Quarantäne. Der Status lässt sich auf einem einzelnen Gerät unter Windows-Sicherheit im Bereich Viren- & Bedrohungsschutz prüfen. Die genaue Darstellung kann sich mit Windows-Version und Geräteverwaltung ändern.
Diese Basis kann für einen sehr kleinen Betrieb angemessen sein, wenn die Geräte konsequent aktualisiert werden, niemand dauerhaft mit Administratorrechten arbeitet und getrennte Sicherungen existieren. Die Schwäche liegt weniger im lokalen Scanner als in der fehlenden betrieblichen Übersicht: Bei mehreren Rechnern ist ohne zusätzliche Verwaltung schwer erkennbar, ob Schutzfunktionen deaktiviert wurden, Warnungen unbeachtet bleiben oder ein Gerät nicht mehr aktualisiert wird.
Microsoft Defender for Business und Defender for Endpoint
Die geschäftlichen Defender-Produkte ergänzen den lokalen Schutz um zentrale Sicherheitsfunktionen. Dazu können Endpoint Detection and Response, geräteübergreifende Warnungen, Schwachstelleninformationen, automatisierte Untersuchungen und die Isolation eines auffälligen Endgeräts gehören. Der verfügbare Umfang richtet sich nach Produkt, Lizenz, Plattform und Konfiguration.
Diese Klasse ist besonders naheliegend, wenn das Unternehmen bereits Microsoft-Dienste zur Identitäts- oder Geräteverwaltung verwendet. Die Entscheidung darf aber nicht allein auf dem Markennamen beruhen. Prüfe im Microsoft-365-Administratorbereich und im Microsoft Defender-Portal, welche Lizenz tatsächlich zugewiesen ist, welche Geräte eingebunden sind und ob Warnungen zentral eintreffen. Eine erworbene Lizenz schützt keinen Rechner, der nicht ordnungsgemäß registriert oder dessen Sensor nicht funktionsfähig ist.
Endpoint-Security und EDR anderer Hersteller
Drittanbieter können sinnvoll sein, wenn Windows-PCs zusammen mit macOS-, Linux- oder Server-Systemen verwaltet werden, ein IT-Dienstleister bereits eine bestimmte Sicherheitsplattform betreibt oder eine rund um die Uhr besetzte Überwachung benötigt wird. Entscheidend ist nicht eine lange Funktionsliste, sondern der betriebliche Ablauf nach einem Alarm.
Ein Angebot sollte nachweisen, ob Geräte aus der Ferne isoliert werden können, wie lange Telemetriedaten verfügbar bleiben, wer Warnungen bewertet und wie Fehlalarme behandelt werden. Bei einem betreuten Dienst muss außerdem feststehen, ob der Anbieter nur Hinweise sendet oder selbst Gegenmaßnahmen einleiten darf. Ein EDR-Produkt ohne verantwortliche Person für die Alarmbearbeitung bleibt im Ernstfall weit hinter seinem möglichen Nutzen zurück.
Die Auswahl anhand der Firmendaten treffen
Die Schutzklasse sollte aus dem möglichen Schaden abgeleitet werden. Eine lokale Arbeitskopie einer jederzeit neu erzeugbaren Datei benötigt weniger Aufwand als Buchhaltungsdaten, Produktionsunterlagen, Kundendokumente oder gemeinsam genutzte Projektarchive.
- Datenbestand erfassen: Halte fest, welche Daten auf PCs, Servern, Netzlaufwerken und Cloud-Speichern liegen. Prüfe auch lokale Synchronisationsordner, denn verschlüsselte Dateien können über Synchronisationsdienste weitergegeben werden.
- Zugriffswege zuordnen: Ermittle, welche Konten Daten lesen, verändern oder löschen dürfen. Ein kompromittiertes Konto kann normalerweise alles angreifen, worauf es selbst Schreibzugriff besitzt.
- Ausfallfolgen bestimmen: Lege fest, welche Arbeitsabläufe ohne diese Daten stillstehen und welcher Datenstand nach einer Wiederherstellung noch akzeptabel wäre.
- Betriebsverantwortung klären: Bestimme, wer Sicherheitswarnungen prüft, Geräte sperrt, Kennwörter zurücksetzt und eine Wiederherstellung freigibt.
Wenn ein einzelner infizierter Arbeitsplatz alle produktiven Daten und sämtliche Sicherungen verändern kann, reicht ein besserer Virenscanner als Gegenmaßnahme nicht aus. In diesem Fall müssen Berechtigungen und Sicherungsarchitektur zuerst getrennt werden.
Windows-Funktionen, die den Endgeräteschutz verstärken
Windows enthält mehrere Funktionen, die Ransomware-Angriffe erschweren können. Ihre Eignung hängt von Edition, Verwaltung und den eingesetzten Programmen ab. Auf Firmenrechnern sollten solche Einstellungen über eine zentrale Richtlinie getestet und verteilt werden, statt sie auf jedem PC uneinheitlich von Hand zu verändern.
Überwachter Ordnerzugriff
Der überwachte Ordnerzugriff gehört zum Ransomware-Schutz von Microsoft Defender. Er kann verhindern, dass nicht vertrauenswürdige Anwendungen geschützte Ordner verändern. Auf einem nicht zentral verwalteten PC befindet sich die Einstellung gewöhnlich in Windows-Sicherheit unter Viren- & Bedrohungsschutz und Ransomware-Schutz verwalten.
Die Funktion sollte zunächst mit den geschäftlich benötigten Programmen geprüft werden. Branchensoftware, ältere Fachanwendungen oder selbst entwickelte Werkzeuge können Schreibzugriffe benötigen und blockiert werden. Eine Anwendung darf erst nach Überprüfung von Herkunft, Signatur und benötigtem Zielordner freigegeben werden. Eine pauschale Erlaubnis für ganze Programmordner würde die Schutzwirkung unnötig schwächen.
Regeln zur Verringerung der Angriffsfläche
Attack Surface Reduction Rules, kurz ASR-Regeln, können typische Angriffspfade unterbrechen. Dazu zählen beispielsweise riskante Vorgänge aus Office-Anwendungen, verdächtige Kindprozesse oder der Missbrauch bestimmter Skript- und Systemwerkzeuge. Verfügbarkeit und Verwaltung sind von Windows-Edition, Lizenz und Verwaltungsweg abhängig.
In einer Firma empfiehlt sich zuerst ein Prüfmodus, sofern die eingesetzte Verwaltung diesen unterstützt. Die Auswertung zeigt, welche internen Arbeitsabläufe von einer Regel betroffen wären. Erst nach dieser Beobachtung sollte die Regel schrittweise erzwungen werden. So bleibt der Schutz wirksam, ohne wichtige Makros oder Fachanwendungen unkontrolliert stillzulegen.
Anwendungskontrolle und eingeschränkte Rechte
Anwendungskontrolle verfolgt einen anderen Ansatz als klassische Virenerkennung: Nur freigegebene oder ausreichend vertrauenswürdige Software darf starten. Das kann die Ausführung unbekannter Schadprogramme stark begrenzen, verlangt aber eine gepflegte Richtlinie. Die unter Windows verfügbaren Verfahren unterscheiden sich nach Edition und Verwaltungsmodell.
Unabhängig davon sollten Beschäftigte für die tägliche Arbeit Standardkonten verwenden. Separate Administratorkonten sind nur für Verwaltungsaufgaben gedacht. Lokale Administratorkennwörter dürfen nicht auf vielen Rechnern identisch sein, weil ein erbeutetes Kennwort sonst die seitliche Ausbreitung erleichtert.
Identitäten und Fernzugänge sind Teil des Ransomware-Schutzes
Ein technisch abgesicherter Windows-PC bleibt gefährdet, wenn Angreifer ein privilegiertes Konto übernehmen. Mehrfaktor-Authentifizierung sollte vor allem E-Mail, Cloud-Speicher, Fernzugänge und Administratorkonten schützen. Für besonders privilegierte Konten sind phishing-resistente Anmeldeverfahren vorzuziehen, sofern die eingesetzte Plattform sie unterstützt.
Remote Desktop und andere Fernwartungsdienste sollten nicht direkt und ungeschützt aus dem Internet erreichbar sein. Benötigt ein Betrieb Fernzugriff, gehört dieser hinter einen kontrollierten Zugang mit starker Authentifizierung, Protokollierung und begrenzten Berechtigungen. Nicht mehr genutzte Konten und Gerätezugänge müssen zeitnah gesperrt werden.
Auch Dateiberechtigungen benötigen Pflege. Mitarbeitende sollten nicht allein aus Bequemlichkeit Schreibrechte auf vollständige Abteilungs- oder Serverstrukturen erhalten. Weniger weitreichende Rechte reduzieren die Datenmenge, die ein kompromittiertes Konto verschlüsseln oder löschen könnte.
Backups müssen den Angriff überstehen
Eine Sicherung ist nur dann für die Wiederherstellung geeignet, wenn Ransomware sie weder mit denselben Zugangsdaten löschen noch über eine ständig eingebundene Freigabe verschlüsseln kann. Eine dauerhaft angeschlossene USB-Festplatte ist daher keine ausreichende alleinige Sicherung. Gleiches gilt für ein Netzlaufwerk, auf das der angemeldete Benutzer umfassend schreiben darf.
Für wichtige Firmendaten sollte mindestens eine Sicherungskopie logisch oder physisch vom Produktivsystem getrennt sein. Geeignete Verfahren können offline aufbewahrte Datenträger, unveränderliche Sicherungsversionen oder ein getrennt verwaltetes Backup-Ziel sein. Welche Variante passt, hängt von Datenmenge, Wiederanlaufzeit und vorhandener Infrastruktur ab.
Versionsverlauf und Papierkorb eines Cloud-Dienstes können bei einzelnen beschädigten oder gelöschten Dateien helfen. Sie sind aber nur dann Teil einer belastbaren Sicherungsstrategie, wenn Aufbewahrung, Löschrechte, Kontenschutz und Wiederherstellungsumfang bekannt und regelmäßig geprüft sind.
Eine Sicherung durch Wiederherstellung testen
Ein erfolgreicher Sicherungsjob beweist lediglich, dass Daten geschrieben wurden. Der entscheidende Test ist eine Wiederherstellung in eine getrennte Testumgebung. Dabei sollten nicht nur einige Dokumente geöffnet werden. Bei Geschäftsanwendungen muss auch geprüft werden, ob Datenbanken, Berechtigungen, Schlüssel und benötigte Konfigurationen gemeinsam wiederherstellbar sind.
Der Test sollte mindestens den benötigten Datenstand, die Dauer der Rücksicherung und die verantwortliche Person dokumentieren. Weicht die Wiederherstellungszeit deutlich von der tolerierbaren Ausfallzeit ab, muss die Sicherungsarchitektur angepasst werden.
Eine klare Entscheidung für kleine und mittlere Unternehmen
Ein Betrieb mit wenigen eigenständigen Windows-PCs, überschaubaren Datenbeständen und externer IT-Unterstützung kann Microsoft Defender Antivirus als Basisschutz nutzen. Voraussetzung sind zentral nachvollziehbare Updates, Standardbenutzerkonten, Mehrfaktor-Authentifizierung und getrennte Sicherungen. Fehlt die zentrale Sicht, muss zumindest ein fester Kontrollprozess sicherstellen, dass Warnungen und Schutzstatus nicht unbemerkt bleiben.
Sobald mehrere Geräte auf gemeinsame kritische Daten zugreifen oder ein Ausfall erhebliche Folgen hätte, ist eine zentral verwaltete Endpoint-Lösung mit EDR die passendere Klasse. Microsoft Defender for Business beziehungsweise Defender for Endpoint bietet sich bei einer eng verzahnten Microsoft-Umgebung an. Eine Plattform eines anderen Herstellers kann besser passen, wenn sie verschiedene Betriebssysteme einheitlich abdeckt oder bereits durch einen qualifizierten IT-Dienstleister überwacht wird.
Für Unternehmen ohne eigene Sicherheitsfachkräfte kann ein betreuter Dienst wichtiger sein als eine zusätzliche Produktfunktion. Vor Vertragsabschluss muss feststehen, wer Alarme entgegennimmt, welche Reaktionszeit vereinbart ist, wer Geräte isolieren darf und wie außerhalb der Geschäftszeiten eskaliert wird. Preis und Funktionsumfang sind erst vergleichbar, wenn diese Betriebsleistung mitbewertet wird.
Kontrolle nach der Einführung
Der Schutz ist erst einsatzbereit, wenn seine Wirkung sichtbar geprüft wurde. Die folgende Kontrolle verbindet technische Einrichtung und organisatorische Zuständigkeit:
- Alle Firmenrechner erscheinen vollständig in der vorgesehenen Verwaltungskonsole.
- Echtzeitschutz, Manipulationsschutz und cloudgestützte Schutzfunktionen zeigen den erwarteten Status, soweit sie zur gewählten Lösung gehören.
- Testwarnungen oder ungefährliche Prüfroutinen erreichen die verantwortliche Person.
- Ausgeschiedene Geräte und Konten werden aus den produktiven Zugängen entfernt.
- Administrationskonten sind von normalen Arbeitskonten getrennt und zusätzlich abgesichert.
- Schreibrechte auf gemeinsame Firmendaten sind auf den tatsächlichen Bedarf begrenzt.
- Mindestens eine Sicherung ist mit den normalen Benutzer- und Administrationszugängen nicht löschbar.
- Eine dokumentierte Wiederherstellung wurde erfolgreich durchgeführt.
- Für einen Alarm existiert eine erreichbare verantwortliche Person mit Befugnis zur Geräteisolation.
Bei der Auswahl zählt somit nicht das längste Datenblatt, sondern eine geschlossene Reaktionskette. Der Endgeräteschutz muss Angriffe erkennen, Berechtigungen müssen ihre Ausbreitung begrenzen und eine getrennte Sicherung muss den Geschäftsbetrieb wiederherstellen können. Fehlt eine dieser Ebenen, bleiben wichtige Firmendaten trotz installierter Sicherheitssoftware unnötig verwundbar.
