Fragt uns ein Kunde, welche EDR-Plattform die beste ist, Bitdefender GravityZone, SentinelOne oder CrowdStrike, antworten wir, dass die Frage falsch gestellt ist. Alle drei sind ernstzunehmend, alle drei stoppen moderne Angriffe, und wir setzen alle drei bei unseren Kunden ein. Der Unterschied liegt nicht darin, welche „stärker“ ist, sondern welche zu einem bestimmten Unternehmen, seiner Infrastruktur und den Menschen passt, die sie verwalten werden.
Dies ist kein Ranking. Unabhängige Tests veröffentlichen spezialisierte Labore, und ihre Ergebnisse ändern sich von Jahr zu Jahr. Wir schreiben über etwas anderes: über die Kriterien, die wir anwenden, wenn ein Unternehmen mit 30, 80 oder 300 Arbeitsplätzen uns bittet, einen Schutz vorzuschlagen.
In diesem Artikel beschreiben wir die fünf Fragen, die wir vor einem Angebot stellen, und wann wir welche Plattform in der Regel empfehlen.
Erste Frage: Wie viele Geräte und welcher Art
Die Zahl der Arbeitsplätze ist wichtig, ihr Mix noch mehr. Reine Windows-Rechner sind eine Situation. Eine gemischte Umgebung mit Macs, Linux-Servern, virtuellen Maschinen auf VMware und einigen Dutzend Mobilgeräten ist eine andere.
Alle drei Plattformen unterstützen die wichtigsten Betriebssysteme, aber die Tiefe unterscheidet sich. Bitdefender GravityZone unterstützt virtualisierte Umgebungen sehr ausgereift: Der Agent belastet den Hypervisor kaum, was wir in unserer eigenen Cloud schätzen. SentinelOne ist stark in Linux- und Container-Umgebungen, in denen Server und Arbeitsplätze denselben Agenten brauchen. CrowdStrike war historisch auf große, geografisch verteilte Umgebungen mit Tausenden Geräten und einen sehr leichten Agenten ausgerichtet.
Hat ein Kunde 40 Computer und zwei Server, passen alle drei, und andere Kriterien entscheiden. Bei 400 Geräten in fünf Ländern fällt die Bewertung anders aus.
Wir fragen auch nach Mitarbeitenden im Homeoffice. Arbeitet die Hälfte des Teams von zu Hause und verbinden sich die Rechner selten mit dem Firmennetz, muss der Agent Richtlinien empfangen und Ereignisse ohne VPN über das Internet senden. Das können alle drei, sie verhalten sich aber unterschiedlich, wenn mehrere Tage in Folge keine Verbindung besteht.
Zweite Frage: Wer verwaltet die Konsole
Für kleine und mittlere Unternehmen ist das meist das entscheidende Kriterium. Eine EDR-Plattform, deren Konsole niemand öffnet, ist nur ein teures Antivirenprogramm.
Nach unserer Erfahrung ist die GravityZone-Konsole für einen Einsteiger-Administrator die einfachste: Richtlinien, Berichte und Warnungen sind so angeordnet, dass man in einer Stunde versteht, was los ist. Deshalb bieten wir sie am häufigsten Unternehmen an, in denen ein IT-Spezialist für alles zuständig ist.
Die SentinelOne-Konsole ist leistungsfähiger, erfordert aber mehr Einarbeitung. Ihre Ereignisketten (Storyline) und die automatische Wiederherstellung nach einem Angriff (Rollback) sind sehr starke Werkzeuge, aber man muss sie zu lesen wissen und der Automatisierung vertrauen.
Die CrowdStrike-Falcon-Konsole ist für einen Sicherheitsanalysten gebaut, nicht für einen allgemeinen IT-Spezialisten. Ihr Wert zeigt sich, wenn jemand täglich mit Threat Hunting arbeitet. Für ein kleines Unternehmen ohne eine solche Person bleibt ein großer Teil der Möglichkeiten ungenutzt.
Verwalten wir die Konsole im Rahmen der IT-Betreuung, verliert dieses Kriterium an Gewicht, denn unser Team arbeitet täglich mit allen dreien.
Dritte Frage: Wie der Preis berechnet wird
Preise nennen wir hier nicht, aber die Berechnungslogik unterscheidet sich und ist es wert, verstanden zu werden, bevor Sie Angebote vergleichen.
Alle drei werden pro Gerät und Jahr lizenziert. Die Unterschiede:
- Die Pakete von Bitdefender GravityZone sind nach Funktionen gestaffelt, vom Basisschutz bis zu EDR, XDR und MDR. Server und Arbeitsplätze werden oft unterschiedlich gezählt, virtuelle Maschinen können nach Hypervisor-Kernen lizenziert werden.
- Die Stufen von SentinelOne unterscheiden sich im Funktionsumfang; höhere Stufen bringen Gerätekontrolle, USB-Kontrolle, Netzwerksichtbarkeit und längere Datenaufbewahrung.
- CrowdStrike wird in Modulen verkauft: Core EDR, Identitätsschutz, Schwachstellenmanagement, Threat Intelligence. Jedes Modul ist eine eigene Position, und die Summe hängt davon ab, wie viele Sie wählen.
Die praktische Schlussfolgerung: Vergleichen Sie bei Angeboten denselben Funktionsumfang, nicht nur den Preis pro Gerät. Das günstigste Basispaket ohne EDR ist keine Alternative zum EDR-Paket einer anderen Plattform, auch wenn es in einer Tabelle attraktiver aussieht.
Eine weitere Nuance ist die Laufzeit der Lizenz. Ein Dreijahresvertrag ist meist günstiger als ein Jahresvertrag, bindet das Unternehmen aber für einen Zeitraum an eine Plattform, in dem sich die Infrastruktur stark ändern kann. Wachsenden Unternehmen bieten wir Jahreslizenzen mit der Option, Geräte hinzuzufügen, stabilen Unternehmen längere Laufzeiten.
Vierte Frage: Womit sie sich integrieren muss
Lebt das Unternehmen in einer Microsoft-365-Umgebung, ist wichtig, wie sich die Plattform mit Entra ID und den Signalen von Microsoft Defender verbindet. Alle drei haben Integrationen, aber von unterschiedlicher Tiefe, und manche Funktionen überschneiden sich mit dem, was in der Microsoft-Lizenz bereits bezahlt ist.
Gibt es ein SIEM oder ist eines geplant, prüfen wir den Export der Protokolle. Wird Veeam-Backup eingesetzt, hilft es, wenn das EDR einen infizierten Wiederherstellungspunkt markieren kann. Verwaltet das Unternehmen Mobilgeräte, fragen wir, ob ein separates MDM nötig ist oder die Plattform das abdeckt.
GravityZone ist direkt in unsere Cloud integriert: Cloud-Server werden mit bereits installiertem Schutz bereitgestellt. Für einen Kunden, der Server zu uns verlagert, ist das die naheliegende Wahl, ohne zusätzliche Installation und ohne separate Konsole.
Fünfte Frage: Wird MDR benötigt
Alle drei Hersteller bieten einen eigenen MDR-Dienst an: Analysten, die Warnungen rund um die Uhr überwachen. Wünscht ein Kunde das MDR des Herstellers, liegen die Unterschiede in Reaktionszeit, Berichtsformat und der Sprache während eines Vorfalls.
Meist wählen unsere Kunden eine andere Option: Die Plattform wird von unserem Team verwaltet und überwacht, das die Umgebung kennt und weiß, welcher nächtliche Prozess der Monatsabschluss ist und welcher nicht. Dann kann die Plattform jede der drei sein, und unsere Reaktion ab 30 Minuten gilt gleichermaßen.
In beiden Fällen vereinbaren wir vorab, was der Analyst ohne Rückfrage tun darf: einen Arbeitsplatz isolieren, ja; einen Produktionsserver herunterfahren, nur nach einem Telefonat. Ohne eine solche Vereinbarung ist ein MDR-Dienst entweder zu vorsichtig oder zu eigenmächtig, und beides kostet den Kunden.
Wann wir welche anbieten
Zusammengefasst unsere Praxis:
- Bitdefender GravityZone: für Unternehmen bis etwa 150 Arbeitsplätze mit virtualisierten Servern, in denen die Konsole ein IT-Spezialist oder wir verwalten. Auch für alle unsere Cloud-Kunden.
- SentinelOne Singularity: für Unternehmen mit einem bedeutenden Linux- und Serveranteil, bei denen die automatische Wiederherstellung nach einem Verschlüsselungsangriff und ein einziger Agent für alle Plattformen zählen.
- CrowdStrike Falcon: für größere, internationale oder regulierte Unternehmen, die Kapazitäten für Sicherheitsanalysten haben (oder aufbauen) und eine modulare Plattform für die Verwaltung von Identitäten und Schwachstellen wollen.
Das sind keine Regeln, sondern ein Ausgangspunkt. Es gab Fälle, in denen sich ein Unternehmen mit 30 Mitarbeitenden wegen der Vorgaben der Muttergesellschaft für CrowdStrike entschied, und Fälle, in denen ein Werk mit 300 Arbeitsplätzen bei GravityZone blieb, weil es im Produktionsnetz mit älteren Betriebssystemen sehr gut funktionierte.
Wo anfangen
- Erstellen Sie eine Inventur Ihrer Geräte: wie viele Windows-, Mac- und Linux-Systeme, virtuelle Maschinen und Mobilgeräte. Ohne diese Liste bleibt jedes Angebot ungefähr.
- Entscheiden Sie, wer die Konsole verwaltet: ein interner Spezialist, das MDR des Herstellers oder ein IT-Partner.
- Prüfen Sie, welche Sicherheitsfunktionen Sie in Ihrer Microsoft-365-Lizenz bereits haben. Manchmal ist ein Teil davon schon bezahlt und muss nicht doppelt beschafft werden.
- Fordern Sie einen Test von zwei Plattformen an, nicht von einer, und lassen Sie Ihren IT-Spezialisten eine Woche mit beiden Konsolen arbeiten.
- Sprechen Sie uns an: Wir erstellen auf Grundlage Ihrer Inventur einen Vergleich und schlagen eine Variante vor, die im Rahmen der IT-Betreuung gepflegt wird.
