Angesichts der täglichen Schreckensmeldungen über Cyberattacken stellt sich die Frage, ob Schutzlösungen für Unternehmen überhaupt in der Lage sind, die aktuellen Bedrohungen und den stetigen Anstieg neuer Schadcodes zu meistern. Genau das haben Computerworld und das unabhängige Testinstitut AV-Test.org bei sechs Security-Produkten geprüft. Die Schutzpakete mussten sowohl Zero-Day-Mal­ware, also neueste Bedrohungen, wie auch bereits bekannte Schädlinge erkennen, isolieren und liquidieren.

Die sechs Programme kommen von den Herstellern Bitdefender, G-Data, Kaspersky Lab, Sophos, Symantec und Trend Micro. Sie wurden auf ihre Schutzleistung, die Systembelastung und Fehlalarme getestet. Alle Produkte setzen bereits auf Next-Generation-Funktionen - kurz Next Gen. Dazu gehört Machine Learning, um etwa Exploits oder Ransomware besser abzuwehren.

Datensicherheit im Unternehmen war - zumindest offiziell - schon immer ein hohes Gut. Durch die DSGVO ist sie noch weiter in den Fokus gerückt. Schliesslich müssen nach der neuesten Gesetzeslage auch kleinere Datendiebstähle an Kunden und Verantwortliche gemeldet werden. Das grosse Problem dabei: Wie können Unternehmen feststellen, wie die Attacke ablief und was konkret an Daten von Unbefugten gelesen beziehungsweise entwendet wurde?

Einige der Next-Gen-Produkte, zum Beispiel von Bitdefender oder Kaspersky, enthalten neue Module oder Emulationen, um Attacken nachzuverfolgen und den gesamten Vorgang visuell darzustellen. Zum Teil sind diese in den Grundmodulen der Endpoint-Lösungen integriert oder sie lassen sich, wie etwa bei Symantec, als Zusatzmodul nachrüsten.

Ein weiteres grosses Thema in den neuen Security-Versionen ist EDR. Die Abkürzung steht für Endpoint Detection and Response. Ein solches Modul analysiert zahlreiche Vorgänge im Netzwerk, um Attacken zu enttarnen, die oft mit speziellen Exploits ausgeführt werden. Das System kann die Angriffe verfolgen und auch Workstations oder Netzwerkbereiche absperren. Mit verhaltensbasierten und dynamischen Analysen, gestützt durch Machine Learning aus der Cloud des Anbieters, sollen sich so auch besonders aufwendig verschleierte Attacken aufdecken lassen.

Allerdings: Keine der im Test geprüften Endpoint-Versionen verfügt bereits in der Standard-Version über EDR. Aber fast jeder Hersteller bietet ein Modul zum Nachrüsten an oder bewirbt es als Bestandteil einer erweiterten Version.

Ganz zentral für einen Vergleichstest von Sicherheits-Software ist naturgemäss deren Schutzwirkung. Diesen wichtigsten Testbereich teilte das AV-Test-Labor in zwei Schritte auf:

Real-World-Test: Dabei musste jede Lösung über 220 sogenannte Zero-Day-Malware erkennen, blockieren und löschen. Die noch unbekannten Schädlinge wurden teils erst Stunden vor Testbeginn aus dem Internet gefischt. Die Erkennung dieser ganz neuen Malware ist besonders schwierig, da die Programme sie nicht mit Hilfe von Signaturen (Schablonen) erkennen können. Die Schutzprogramme müssen sie verhaltensbasiert oder mit Hilfe von Modellen erkennen, die in der Cloud per Machine Learning erstellt wurden.

Referenz-Set: Für diesen Testparcours greift AV-Test.org auf seine Sammlung von Programmen mit schädlichem Code zurück, die schon einmal aufgefallen sind. Die Datenbanken der Hersteller sollten diese über 5500 Schädlinge deshalb bereits kennen und per Signatur oder Machine-Learning-Modell identifizieren und löschen können.

Damit dieser wichtige Testabschnitt mehr Aussagekraft hat, wurde er zweimal in aufei­nanderfolgenden Monaten (im Mai und im Juni) durchgeführt.

Bewertet wurden auch Vorfälle, die Unternehmen nicht nur lästig sind, sondern teuer zu stehen kommen können, etwa wenn sie zu Produktionsausfällen führen: Fehlalarme. Es wurde geprüft, ob und wie viele False-Positive-Meldungen die jeweilige Software verursachte. Für den Test musste dazu jedes Produkt über 1,7 Millionen normale Dateien scannen, Programminstallationen überwachen und das Aufrufen  von Webseiten verfolgen. Der beste Wert in diesem Fall ist kein Alarm bei allen Punkten. Das schaffte im Vergleichstest nur die Lösung Endpoint Protection von Kaspersky Lab.

Schliesslich wurde auch noch erfasst, wie sehr die Software-Clients die benötigten Systemressourcen in Anspruch nahmen. Sind sie hier zu gierig, kann das gerade für ältere Office-PCs schwierig sein. Daher hat das Labor im Test jeweils die Systemlast aufgezeichnet und bewertet.

Zu erreichen waren maximal 100 Punkte. Für den Schutz vor neuesten Bedrohungen sowie vor bekannten Schädlingen wurden davon bis zu 70 Punkte vergeben. Im Bereich Fehl­alarme gab es bis zu 20 Punkte, für eine niedrige Systembelastung bis zu 10 Punkte.

Die gute Nachricht: Alle geprüften Produkte zeigten im Test eine sehr gute Schutzleistung. Fünf der Lösungen schafften sogar eine 100-prozentige Erkennung aller Schädlinge: Bitdefender, Kaspersky Lab, Sophos, Symantec und Trend Micro. Nur die Lösung von G-Data erkannte im Real-World-Test nicht alle Schädlinge und verlor so wichtige Punkte.

Auch bei den Fehlalarmen leisteten alle Hersteller sehr gute Arbeit. Die Lösung von Kaspersky Lab löste keinen einzigen falschen Alarm aus, die anderen Produkte einen bis vier.

Dass eine Schutz-Suite für Unternehmen Last am Office-PC verursacht, ist unvermeidlich. Dass diese aber trotz bester Erkennungsleistung nicht hoch sein muss, zeigten die Produkte von Bitdefender, Kaspersky Lab und Trend Micro. Die gemessene Last stufte AV-Test jeweils als sehr gering ein. Etwas mehr, aber immer noch eine geringe Last verursachten die Suiten von Sophos und Symantec. Lediglich das Produkt von G-Data ist nicht für ältere Office-PCs geeignet, da es eine deutlich messbare Last am Client zeigte.

Alles in allem gibt es im Test der sechs Endpoint-Security-Lösungen keine wirklichen Verlierer. Von den 100 möglichen Punkten erreichten Kaspersky Lab und Trend Micro jeweils 98 Punkte, gefolgt von Bitdefender und Sophos mit je 96 Punkten und Symantec mit 95 Punkten. Knapper geht es kaum noch. Alle fünf Produkte sind sehr empfehlenswert, auch wenn Kaspersky Lab und Trend Micro als Testsieger vom Feld gehen. Lediglich die Lösung von G-Data brachte es aufgrund kleiner Schwächen in der Schädlingserkennung nur auf eine Gesamtpunktzahl von 83 Punkten und die Testnote „Gut“.

Aus diesem Testergebnis lässt sich ein eindeutiges Fazit ziehen: Unternehmen, die einen verlässlichen Endpoint-Schutz suchen, haben eine breite Auswahl. Die Schutzwirkung der Endpoint-Security-Suiten ist so hoch, dass sich die Hersteller nun mehr auf die Ausstattung der Produkte und weitere Sicherheits-Module konzentrieren können.