Cyber Security
für den Mittelstand:Wer schützt wirklich?

Nicht getestet. Securepoint und Barracuda wurden in den 24 Monaten vor der Erhebung von keinem der ausgewerteten Institute getestet. Das Kriterium zählt bei beiden gekennzeichnet nicht mit; die Note stützt sich auf die übrigen sieben. Das ist eine Eigenschaft der Datenquelle, keine Abwertung.

TrendAI, Bestandsprüfung. Zwei Merkmale dieses Kriteriums wurden für diese Ausgabe nicht neu erhoben. Sie beruhen auf der Bestandsprüfung vom 29. Juli 2026. Es sind die Bestätigung durch ein zweites unabhängiges Testinstitut und Testergebnisse aus mindestens zwei der vier Gebiete. Bei TrendAI (Trend Micro) ist das Merkmal „Bestätigung durch ein zweites unabhängiges Testinstitut" erfüllt. Es stützt sich auf Prüfungen vor dem 24-Monats-Fenster; die letzte Business-Runde bei AV-TEST fand im April 2024 statt.

Bitdefender und G DATA, Fehlalarme. Bei Bitdefender und G DATA ist das Merkmal „Fehlalarmquote ausgewiesen und im oberen Drittel" ein Grenzfall. Im Real-World Protection Test von AV-Comparatives (März bis Juni 2025, 17 Produkte) hatten beide je einen Fehlalarm, gleichauf mit zwei weiteren Produkten auf den Positionen 3 bis 6. Das obere Drittel endet bei Position 5. Bei Gleichstand zählt die beste gemeinsame Position, hier Position 3; das Merkmal ist damit erfüllt. Weil der Gleichstand über die Grenze des oberen Drittels hinausreicht, ist der Fall hier ausgewiesen.

Sophos, Höchstpunktzahl. In den Testrunden von AV-TEST erreichen regelmäßig 8 bis 12 von 16 bis 18 Produkten die Höchstpunktzahl von 18 Punkten und teilen sich die erste Position. Ein Wert im oberen Drittel unterscheidet dort wenig zwischen den Produkten. Bei Sophos stützt sich das Merkmal „Ergebnis im oberen Drittel eines unabhängigen Tests" auf einen solchen Wert: AV-TEST, Oktober 2025, 18 von 18 Punkten, gemeinsam mit neun weiteren von 18 Produkten. Der Fall ist als Grenzfall ausgewiesen. Einen zweiten Beleg liefert die Auszeichnung von SE Labs im Enterprise-Test des vierten Quartals 2024 mit einer Gesamtgenauigkeit von 100 Prozent.

Trellix, Position 5. Bei Trellix trägt das Ergebnis im Real-World Protection Test von AV-Comparatives (März bis Juni 2025) das Merkmal „Ergebnis im oberen Drittel eines unabhängigen Tests": 99,2 Prozent, Position 5 von 17, ohne Gleichstand. Das obere Drittel endet bei Position 5; der Wert liegt knapp innerhalb.

Ausreißer nach unten, Sophos. Im Business Security Test von AV-Comparatives für März bis Juni 2026 hat Sophos als einziges von 16 Produkten die Zertifizierung verfehlt. Grund war die Systembelastung: Der Performance-Wert lag bei 49,1, zertifiziert werden Produkte unter 40. Die Schutzwerte derselben Runde lagen bei 98,3 und 96,6 Prozent. Nach der Regel dieses Kriteriums ist die Runde ein Ausreißer nach unten, und ein einziger Ausreißer im Fenster genügt. Das Merkmal „Mindestens zwei Runden in den letzten 24 Monaten, beide ohne Ausreißer nach unten" ist deshalb nicht erfüllt, obwohl weitere Runden ohne Ausreißer vorliegen. Umgekehrt gilt eine schwache Runde mit erreichter Zertifizierung nicht als Ausreißer.

ESET, weiteres Produkt durchgesehen. Bei ESET hat die Redaktion im Gebiet E-Mail über das bewertete Produkt ESET Mail Security hinaus die Funktionsliste von ESET Cloud Office Security durchgesehen, zuletzt am 15. September 2026.

Securepoint, E-Mail. Bei Securepoint dokumentiert der Hersteller die Prüfung von SPF, DKIM und DMARC für sein UTM-Produkt. Für das bewertete Produkt Mail Security nennt die Dokumentation die SPF-Prüfung; DKIM und DMARC erscheinen dort nur als Statusanzeige der DNS-Einträge der eigenen Domain. Nach der Belegregel dieses Kriteriums ist das Merkmal „Prüfung von SPF, DKIM und DMARC" deshalb nicht erfüllt. Der Hersteller bietet diese Prüfung in seiner UTM-Firewall an, nicht im bewerteten Produkt Mail Security.

Bitdefender, E-Mail. Bei Bitdefender sind im Gebiet E-Mail (GravityZone Extended Email Security) zwei Merkmale mit Einschränkung erfüllt. Das Merkmal „Anti-Phishing mit Prüfung von Links" trägt die Funktion Link Rewrite Protection; ihre Dokumentationsseite weist sie als Beta aus. Das Merkmal „Verschlüsselung oder erzwungenes TLS für ausgehende Mails" steht nach Angabe des Herstellers nur in den Bereitstellungsvarianten Mesh Gateway und Mesh Unified zur Verfügung. Stand der Dokumentation: 1. September 2026.

TrendAI, Awareness. Bei TrendAI ist im Gebiet Awareness das Merkmal „Phishing-Simulation" erfüllt. Die Dokumentation begrenzt die Simulation auf 12 Kampagnen im Jahr mit höchstens 200 Empfängern, solange kein Upgrade erfolgt.

Microsoft, Backup. Bei Microsoft ist im Gebiet Backup (Microsoft 365 Backup) das Merkmal „Unveränderliche Sicherung (Immutable oder WORM)" erfüllt. Der Hersteller macht dazu einen Vorbehalt: Die Sicherungen bleiben unveränderlich, solange die Administration sie nicht ausdrücklich löscht, indem sie das Produkt abmeldet (Offboarding).

Fortinet, Awareness. Bei Fortinet ist im Gebiet Awareness das Merkmal „Schulungsinhalte auf Deutsch" erfüllt; Deutsch steht in der Sprachliste des Herstellers. Dieselbe Seite schränkt ein: Nicht alle Inhalte sind in allen Sprachen der Oberfläche verfügbar.

Belege über Fachhändler. Wo der Hersteller keine eigene Staffel oder Preisliste veröffentlicht, zählen Angaben von Fachhändlern. Dann sind zwei Hinweise nötig: eine Preis- oder Staffelstruktur (Preise nach Stückzahl), die sich auf den Hersteller bezieht, und eine zweite, unabhängige Quelle. Bei G DATA sind die Beziehbarkeit in kleinen Stückzahlen und der öffentliche Preis auf diesem Weg belegt. Drei Fachhändler führen Staffeln ab fünf Lizenzen. Eine Preisliste des Herstellers für Unternehmenskunden hat die Redaktion nicht gefunden. Bei TrendAI (Trend Micro) ist die Beziehbarkeit in kleinen Stückzahlen über zwei Fachhändler belegt, die übereinstimmend eine Staffel für zwei bis fünf Nutzer führen.

Händlersuchen mit Umkreis. Zwei Händlersuchen arbeiten mit einem Umkreis um einen Ort. Sie sind öffentlich und zeigen Firmennamen und Orte, eine Zahl je Land ergeben sie nicht. Für das Merkmal „Öffentliches Partner- oder Händlerverzeichnis" genügt die Einsehbarkeit, belegt an Stichproben. Bei ESET verlangt die Suche nach der Wahl des Landes einen Ort und einen Umkreis von höchstens 50 Kilometern. Bei Securepoint erscheinen Ergebnisse erst, wenn der Nutzer einer Datenübertragung an Google Maps zustimmt. Für diese eine Suche hat die Redaktion die Einwilligung allein für Google Maps erteilt, alle übrigen Dienste blieben abgewählt. Im Umkreis von 150 Kilometern um Lüneburg zeigte die Liste am 2. September 2026 50 Fachhändler mit Anschrift.

Microsoft, Zugriffslage am Stichtag. Microsoft verlinkt von seiner Website auf ein Verzeichnis seiner Fachhändler. Im Erhebungsweg der Redaktion zeigte die Seite am Stichtag nur Kopf- und Fußzeile. Der Inhalt des Verzeichnisses lud auch nach Ablehnung der Cookies und einer Wartezeit nicht. An diesem Verzeichnis hängen drei Merkmale: „Öffentliches Partner- oder Händlerverzeichnis" bei Beratung, Bezug & Kostenklarheit, „Partnerverzeichnis weist Servicepartner oder Zertifizierungen aus" bei Service & Betreuung und „Partnernetz in DACH landesweit auszählbar" bei der DACH-Verankerung. Sie gelten als nicht belegt. Das beschreibt den Zugang am Stichtag. Ob Microsoft ein Netz von Fachhändlern hat und wie groß es ist, sagt es nicht.

Support ohne Aufpreis. Für das Merkmal „Support ohne Aufpreis" zählt, was ein offizielles Produkt- oder Bedingungsdokument als Teil der Standardlizenz ausweist. Allgemeine Vorbehalte zu Haftung, Freiwilligkeit oder Widerruf nehmen diese Aussage nicht zurück. Eine konkrete Regel, nach der der Standard-Support extra bezahlt werden muss, nimmt die Aussage dagegen zurück. Die Vorbehalte stehen hier je Anbieter.

G DATA: Lizenzmodell und Produktblatt nennen den Support als Teil der Lizenz. Die Lizenzvereinbarung schließt eine Pflicht zum Support aus und nennt ihn freiwillig.

ESET: Die Geschäftsbedingungen des Onlineshops sagen kostenfreien technischen Support zu und behalten sich vor, dieses Angebot jederzeit zu beenden. Nach den Lizenzbedingungen entscheidet der Hersteller selbst, ob er Support leistet.

TrendAI: Die Readme-Datei zur bewerteten Lösung sagt, eine Lizenz enthalte üblicherweise grundlegenden technischen Support für ein Jahr. Das Wort „üblicherweise" schränkt die Aussage ein.

Sophos: Die Seite zu den Supportplänen nennt den erweiterten Support bei Endpoint-Produkten als Teil der Basislizenz. Die Leistungsbeschreibung dieses Plans wiederholt das nicht und knüpft den Service an entrichtete Wartungsgebühren. Gewertet wird die ausdrückliche Aussage der Planseite; der Punkt ist ein Grenzfall.

Veröffentlichte Zeiten. Veröffentlichte Reaktions- und Servicezeiten zählen, wenn der Hersteller sie selbst nennt. Bei G DATA steht die Servicezeit rund um die Uhr an allen Tagen des Jahres in einem Produktblatt zur Vorversion 14.1. Die aktuelle Seite zur Hilfe im Ernstfall bestätigt die Erreichbarkeit rund um die Uhr. Die Seiten zum Premium-Service lieferten am Stichtag eine Fehlerseite. Trellix veröffentlicht Reaktionszeiten je Dringlichkeitsstufe in seiner Leistungsbeschreibung und bezeichnet sie dort als angestrebte Werte ohne Garantie. Auch TrendAI nennt seine Reaktionszeiten Zielwerte. Beide werden gleich gewertet.

Microsoft, Seite während der Erhebung geändert. Microsoft hat seine Seite zu den Supportoptionen während der Erhebung überarbeitet. Am Stichtag nannte sie grundlegenden Support als Teil jedes Abonnements von Microsoft 365. Die neue Fassung führt Standard Support ausdrücklich als enthalten. Es gilt der Stand des Stichtags. Das Merkmal „Support ohne Aufpreis" ist in beiden Fassungen erfüllt.

Support-Standort. Als Support-Standort zählt ein Ort, den der Hersteller als solchen benennt. Ob dort Support auf Deutsch zugesagt ist, misst das Kriterium Service & Betreuung. Hier zählt der Ort. So ist es bei Fortinet: Der Hersteller führt Kelsterbach als Support-Standort; eine Zusage für deutschsprachigen Support hat die Redaktion nicht gefunden. Bei Bitdefender und ESET ergibt sich der Standort aus zwei Angaben des Herstellers, die zusammen gelesen werden. Bitdefender nennt in seiner Support-Richtlinie eine Präsenz in Deutschland mit Betreuung in Landessprache und führt Schwerte als einzigen deutschen Standort. ESET nennt auf der Support-Kontaktseite die Anschrift der ESET Deutschland GmbH in Jena und verortet den Kundendienst in den Geschäftsbedingungen des Onlineshops bei dieser Gesellschaft. Zwei Angaben werden nur verknüpft, wenn die Verbindung zwingend ist. Eine Vorwahl allein zählt nie. Ebenso wenig zählt eine Rufnummer unter einem Länderetikett. Bei Barracuda steht eine Nummer als Support-Center Deutschland im Block der europäischen Support-Center, ein Ort ist dort nicht genannt.

Auszählbares Partnernetz. Beim Merkmal „Partnernetz in DACH landesweit auszählbar" zählt nur ein Verzeichnis, das die Partner eines ganzen Landes auflistet und sich damit für ein Land auszählen lässt. Eine Suche im Umkreis um einen Ort genügt dafür nicht. Das kostet zwei Anbieter mit Sitz in Deutschland die volle Note dieses Kriteriums. Securepoints Händlersuche arbeitet mit einem Umkreis. Auf der Website von G DATA hat die Redaktion kein öffentliches Händlerverzeichnis gefunden; durchsucht wurden Navigation, Unternehmensbereich und die vollständige Sitemap. Dieselbe Auslegung trifft ESET, dessen Suche ebenfalls mit einem Umkreis arbeitet. Sie gilt für alle zehn Anbieter gleich. Bei zwei Anbietern hat die Zählung eine Grenze. Bei Sophos ergab sie für Österreich am 1. September 2026 genau 171 Einträge. Für Deutschland brach sie an der Seitenmechanik des Verzeichnisses ab; belegt sind mehr als 90. Bei Bitdefender lieferte die Suche für Deutschland vier Ergebnisseiten, die erste mit 24, die letzte mit einem Eintrag. Eine genaue Zahl ließ sich nicht ermitteln, weil das Verzeichnis weitere Seiten nur über ein Formular nachlädt. Für das Merkmal genügen beide Befunde.

Deutschsprachige Dokumentation. Beim Merkmal „deutschsprachige Dokumentation" zählt, ob die Dokumentation auf Deutsch vorliegt, nicht wie sie entstanden ist. Microsofts deutsche Produktdokumentation ist maschinell übersetzt, und der Hersteller kennzeichnet das selbst in den Seiten. Das Merkmal ist erfüllt. Eine deutsche Oberfläche mit englischen Einträgen genügt dagegen nicht. Für die bewertete Lösung von TrendAI hat die Redaktion keine eigene Anleitung für die ersten Schritte gefunden, auch nicht auf Englisch. Geprüft wurde deshalb am vorhandenen Bestand; an die Stelle der fehlenden Anleitung tritt das Dokument mit der nächstliegenden Funktion. Online-Hilfe und Readme-Datei liegen auf Deutsch vor. Das Merkmal ist erfüllt.

Referenz aus dem Mittelstand. Beim Merkmal „Belegte Referenz eines Mittelständlers aus DACH (bis 250 Mitarbeitende)" endet die Prüfung beim ersten passenden Treffer. Passend ist ein Unternehmen, das namentlich genannt ist, im deutschsprachigen Raum sitzt und nachweislich höchstens 250 Mitarbeitende hat. Durchsucht werden die deutschsprachigen Referenz- und Fallstudienseiten des Herstellers, die ersten Treffer. Weitere Referenzen konnten die Anbieter im Stellungnahmeverfahren benennen. Ein Treffer ist gesondert ausgewiesen: Bei ESET ist die Referenz, die SysTec Computer GmbH in Ingolstadt mit rund 40 Mitarbeitenden, zugleich als Managed Service Provider für ESET tätig. Die Referenzseite des Herstellers führt sie als Kundengeschichte; sie zählt.

Zusammenhang mit der Datensouveränität. Die Noten der DACH-Verankerung und der Datensouveränität hängen zusammen; beide berühren die Frage nach dem Standort. Wie eng zwei Noten zusammenhängen, misst der Korrelationskoeffizient nach Pearson. Je näher der Wert an 1 liegt, desto enger ist der Zusammenhang. Über die zehn Anbieter liegt er hier bei 0,583. Höher liegt nur das Paar Service & Betreuung in DACH und Datensouveränität & Compliance mit 0,646. Läge der Wert über 0,8, wäre vorgemerkt worden, beide Kriterien in der nächsten Ausgabe zusammenzulegen. Der Wert liegt darunter, beide Kriterien bleiben getrennt. Die Datenhaltung zählt allein bei der Datensouveränität.

Länderauftritte. Beim Weg zur Produktinformation zählt der beste der drei Länderauftritte für Deutschland, Österreich und die Schweiz. G DATA und Securepoint leiten ihre Adressen für Österreich und die Schweiz auf den deutschen Auftritt um. Auf die Note wirkt das nicht. Manche Länderadressen, die wie ein Anbietername lauten, gehören Dritten, etwa einem Distributor oder Unternehmen anderer Branchen. Sie sind kein Merkmal des Anbieters und gehen in keine Bewertung ein.

Worauf die Öffentlichen Bewertungen ruhen. Für jeden Anbieter ist ausgewiesen, aus wie vielen Quellen seine Öffentlichen Bewertungen stammen, wie viele Bewertungen es insgesamt sind und welche Quelle den größten Teil trägt. Für diese Quelle stehen zwei Anteile dabei: ihr Anteil an allen Bewertungen und ihr Anteil an der Kriteriumsnote. Die beiden Zahlen fallen auseinander, weil die drei Teilnoten feste Gewichte haben und Standortprofile begrenzt werden können. Auf die Note wirkt diese Angabe nicht. Sie zeigt, wie breit die Grundlage einer Note ist.

Eine einzige Quelle. Wo eine Teilnote auf einer einzigen Quelle ruht, steht das dabei. Die Arbeitgeberbewertungen stammen bei allen acht Anbietern mit Bestand allein von Glassdoor. Bitdefender und Trellix haben dort keine Bewertungen. Ihre Note in diesem Kriterium setzt sich deshalb je zur Hälfte aus Produkt- und Unternehmensbewertungen zusammen. Die Unternehmensbewertungen von Securepoint und Trellix ruhen allein auf einem Google-Standortprofil. Bei Securepoint tragen die Produktportale zusammen 6 Bewertungen, das Standortprofil gilt deshalb als einzige belastbare Quelle. Die Produktbewertungen von Barracuda, ESET, G DATA und Sophos stammen allein von G2.

Indeed. Indeed weist für Deutschland die Zahl der Arbeitgeberbewertungen aus, als Note aber nur einen weltweiten Wert. Diese Bestände werden mit ihrer Zahl und ohne Note geführt; in die Rechnung gehen sie nicht ein. Betroffen sind Microsoft mit 53 Bewertungen, G DATA mit 6, Fortinet mit 2 und Sophos mit 2. Die Arbeitgeberbewertungen rechnen allein mit den Landesnoten von Glassdoor.

Standortprofile zählen höchstens mit einem Drittel. Google-Unternehmensprofile und Verzeichnisportale bewerten einen Standort oder das Unternehmen, nicht die Lösung. Ihr Anteil an den Unternehmensbewertungen eines Anbieters ist deshalb auf ein Drittel begrenzt, sofern der Anbieter auf Software- und Verbraucherportalen zusammen mindestens 15 Bewertungen hat. Die Regel gilt seit dem 14. August 2026 für alle Anbieter. Sie greift bei vier: Barracuda, Fortinet, Microsoft und Sophos. Bei G DATA liegt der Anteil der Standortprofile mit 27,6 Prozent unter einem Drittel, bei Bitdefender, ESET und TrendAI (Trend Micro) deutlich darunter. Bei Securepoint und Trellix ist das Standortprofil die einzige Quelle der Unternehmensbewertungen und zählt voll.

Bei Barracuda greift die Begrenzung einer einzelnen Quelle. Die größte Quelle der Unternehmensbewertungen, das Google-Profil des Standorts Innsbruck, stellt 22 von 28 Bewertungen und geht deshalb nur mit einem Drittel in die Teilnote ein. Ohne die Begrenzung läge Barracuda bei 3,54 und bliebe auf Platz 10. Die Regel gilt seit dem 14.08.2026 für alle Anbieter; der Beleg aus Innsbruck kam erst am 10.09.2026 durch eine eigene Nachprüfung der Redaktion dazu.

Wie viele Bewertungen aus Profilen für Deutschland, Österreich und die Schweiz stammen, steht je Anbieter in der Tabelle. In die Note geht das nicht ein. Jede Bewertung zählt gleich, woher sie auch kommt.

Fallzahl. Neben jeder Note steht die Zahl der Bewertungen, auf der sie beruht. Bei Google-Profilen stehen zusätzlich Note und Zahl der letzten 24 Monate. Ein Beispiel: Das Profil von Barracuda in Innsbruck trägt 22 Bewertungen mit der Note 4,7, davon 3 aus den letzten 24 Monaten mit der Note 5,0. Es zählt mit 4,7.

Wann die jüngere Note gilt. Bei Google-Profilen gilt die Note der letzten 24 Monate, wenn zwei Bedingungen erfüllt sind: In diesem Zeitraum liegen mindestens 15 Bewertungen vor, und diese Note weicht um mehr als 0,5 von der Gesamtnote ab. Sonst gilt die Gesamtnote und die Abweichung steht dabei. Die Grenze ist scharf, und drei Standorte von Microsoft liegen nahe an ihr: In Berlin beträgt die Abweichung 0,501 und die jüngere Note gilt, in Stuttgart 0,539 und sie gilt ebenfalls, in München 0,495 und es gilt die Gesamtnote.

Die Mindestzahl hat einen Preis, der hier offen genannt wird. Bei drei Anbietern ist die Gesamtnote eines Standorts besser als die jüngere Note aus wenigen Bewertungen: Sophos in Wiesbaden 4,5 gegen 2,7 aus 6 Bewertungen, Bitdefender in Schwerte 2,0 gegen 1,4 aus 10, TrendAI (Trend Micro) in Garching 3,8 gegen 2,5 aus 2. Die Regel wirkt auch in die Gegenrichtung: Fortinet in Dietlikon hätte sich mit der jüngeren Note von 3,9 auf 4,7 verbessert, bei 3 Bewertungen.

Geschlossener Standort. Ein Google-Profil von Microsoft in Bad Homburg ist als dauerhaft geschlossen gekennzeichnet. Es zählt mit 63 Bewertungen und der Note 4,1 wie jeder andere Standort; die Schließung ist ausgewiesen. Die jüngste Bewertung dort ist vier Jahre alt. Die Note liegt über dem Durchschnitt der übrigen deutschen Standorte von Microsoft und hebt dessen Unternehmensbewertung damit leicht an.

SourceForge zählt höchstens mit 4,0. Eine Plattformnote über 4,0 geht nur voll ein, wenn die Plattform offenlegt, wie sie ihre Note bildet. Google, Trustpilot, G2, OMR Reviews und Glassdoor tun das. Für SourceForge hat die Redaktion eine solche Beschreibung auf der Plattform und über eine Suchmaschine gesucht und nicht gefunden (Stand 28. August 2026). Fünf Profile gehen deshalb mit 4,0 ein, ihre Originalnote steht dabei: Bitdefender GravityZone 4,5 aus 2 Bewertungen, Fortinet 5,0 aus 1, Vision One von TrendAI (Trend Micro) 5,0 aus 3, Securepoint Antivirus Pro 4,5 aus 2, Trellix Endpoint Security 4,2 aus 4.

Glassdoor. Glassdoor legt sein Verfahren offen (Zeitgewichtung neuerer Bewertungen, Eingangsdaten, Filterregeln); den exakten Rechenweg bezeichnet die Plattform als proprietär.

Wo die Unterschiede entstehen. Die Unterschiede zwischen den Anbietern entstehen in diesem Kriterium vor allem bei den Unternehmensbewertungen. Diese Teilnote hat 40 Prozent Gewicht und bewirkt 63,9 Prozent der Unterschiede in der Kriteriumsnote. Die Produktbewertungen liegen eng beieinander und bewirken 15,8 Prozent, die Arbeitgeberbewertungen 20,3 Prozent.

Bestandsart. Nicht jede Bewertung entsteht auf dieselbe Weise. Auf G2 und SourceForge sind Bewertungen teils auf Einladung oder gegen eine Aufmerksamkeit wie einen Gutschein entstanden. Auf Trustpilot gibt es eingeladene Bewertungen und Unternehmen mit bezahltem Abonnement. Verzeichnisportale übernehmen Bewertungen anderer Portale; solche übernommenen Bestände werden nie gezählt. Diese Merkmale sind ausgewiesen, auf die Note wirken sie nicht.

Zuordnung von Trustpilot. Trustpilot hat die Redaktion vor Beginn der Erhebung den Verbraucherportalen zugeordnet, nicht den Standortprofilen. Das ist nicht die einzig denkbare Zuordnung, denn auch Trustpilot bewertet das Unternehmen. An ihr hängt bei einem Anbieter, ob die Begrenzung der Standortprofile anwendbar ist: bei G DATA. Ohne Trustpilot stünden dort 10 Bewertungen auf G2 gegen 232 auf Google. Die Zuordnung wurde nach Kenntnis der Noten nicht mehr geändert, in keine Richtung.

Quellen sind Plattformen; mehrere Google-Standorte eines Anbieters bilden eine Quelle. Die Bewertungen insgesamt umfassen auch Bestände ohne Note, etwa auf Indeed, einzelne Bewertungen auf SourceForge und Verzeichnisportale. Profile anderer Produkte sind nicht enthalten. Wo ein Standortprofil begrenzt ist, trägt es ein Drittel der Unternehmensbewertungen und damit 13,3 Prozent der Kriteriumsnote. Stichtage 24. bis 28. August 2026, für das Profil von Barracuda in Innsbruck 10. September 2026. Auf die Note wirkt keine dieser Angaben.

TrendAI (Trend Micro), Konzernsitz Japan. Die Konzernmutter Trend Micro Incorporated hat ihren Sitz in Tokio. Belegt ist das im japanischen Körperschaftsregister und bei der Tokioter Börse; dort ist kein beherrschender Aktionär ausgewiesen. Für Japan besteht ein Angemessenheitsbeschluss der EU. Er regelt, ob Daten dorthin übermittelt werden dürfen. Die Zugriffslage im Land hebt er nicht auf. Das Merkmal „Keine Zugriffslage eines Drittstaats über die Konzern- oder Eigentümerstruktur" ist deshalb nicht erfüllt. Dasselbe Maß gilt für alle: Auch kein Anbieter mit Konzernsitz in den USA hat das Merkmal erhalten.