Erkennen, isolieren, zurücksetzen: ohne Administrator.
Ein Virenscanner alter Schule vergleicht Dateien mit bekannten Mustern. Moderne Endpoint-Lösungen beobachten, wie sich Programme verhalten. Nach einem Angriff setzen sie verschlüsselte Dateien zurück. Ein befallenes Gerät nehmen sie über die zentrale Verwaltung vom Netz. Genau diese Handgriffe braucht ein kleiner oder mittlerer Betrieb in Deutschland, Österreich und der Schweiz, wenn niemand im Haus ist, der sie von Hand ausführen könnte. Dazu gehört, bekannte Lücken zu schließen. Das BSI hält für das Berichtsjahr fest, dass bekannte Schwachstellen in Perimetersystemen „viel zu oft" zu spät oder gar nicht per Update geschlossen werden.3 Perimetersysteme sind die Übergänge ins Internet, etwa Firewalls und VPN-Zugänge. Der Marktkompass zählt deshalb, ob eine Lösung Schwachstellen auf den Endgeräten findet und schließt: Eine Schwachstellen- oder Patch-Funktion ist hier ein eigenes Merkmal.
Der DWC-Marktkompass fragt nach benannten Funktionen in der Herstellerdokumentation. „Mehrschichtiger Schutz" zählt nicht. Eine dokumentierte Rollback-Funktion zählt.
5 Merkmale, jedes an der Dokumentation belegt.
Gezählt wird, was der Hersteller selbst zur bewerteten Lösung dokumentiert. Je Merkmal gilt: erfüllt, wenn die Dokumentation eine benannte Funktion führt.
- Verhaltensbasierte Erkennung oder Exploit-Schutz dokumentiert. Eine benannte verhaltens- oder heuristikbasierte Komponente oder ein Exploit-Schutz als Funktion. Formeln wie „modernste KI-Erkennung" ohne benannte Funktion zählen nicht.
- Ransomware-Schutz mit Wiederherstellung veränderter Dateien. Eine benannte Funktion, die Dateien nach einem Angriff zurücksetzt: Rollback oder geschützte Ordner mit Sicherungskopien.
- Ein betroffenes Gerät lässt sich aus der Verwaltung isolieren. Die Dokumentation benennt, dass sich ein Gerät aus der zentralen Verwaltung isolieren oder in Quarantäne setzen lässt.
- Unterstützt Windows, macOS und mindestens ein weiteres Betriebssystem. Linux, iOS/Android oder ein Server-Betriebssystem, belegt über die dokumentierten Systemanforderungen.
- Schwachstellen- oder Patch-Management dokumentiert. Vulnerability Assessment oder Patch Management, auch als benanntes Zusatzmodul, sofern es unter der bewerteten Lösung geführt wird.
Was das Gebiet nicht misst: ob die Funktionen wirksam sind. Dafür stehen die unabhängigen Tests. Eine Marktempfehlung ist die Merkmalszählung ebenso wenig.
3 Institute prüfen Endpoint-Schutz vergleichbar.
Für Endpoint-Lösungen wertet die Redaktion die veröffentlichten Testrunden von AV-TEST, AV-Comparatives und SE Labs aus den 24 Monaten vor der Erhebung aus. Gewertet wird, wie breit, aktuell und konsistent ein Anbieter dort geprüft wurde; die Erkennungsrate einer einzelnen Runde geht nicht ein. Eine Runde, in der ein Produkt die Zertifizierung oder Auszeichnung des Instituts verfehlt hat, gilt als Ausreißer und wird ausgewiesen.
Wurde ein Anbieter im Fenster von keinem Institut getestet, erhält er in diesem Kriterium keine Note. Die Gesamtnote wird dann ohne dieses Kriterium berechnet. Der Fall steht sichtbar dabei.
So geht Endpoint in die Gesamtnote ein.
Die Merkmalszählung gehört zum Kriterium Schutzumfang in den vier Gebieten (8 Prozent der Gesamtnote), die Testrunden zum Kriterium Unabhängige Testevidenz (12 Prozent). Eine eigene Note je Gebiet gibt es nicht; veröffentlicht werden je Anbieter die Platznummer, die Gesamtnote und die acht Kriteriumsnoten. Ob ein Anbieter das Gebiet überhaupt mit eigener Leistung abdeckt, steht als Tatsache dabei und wird nicht benotet.
Anbieter mit eigener Endpoint-Leistung
Platz und Note stammen aus der Gesamtrangfolge über alle acht Kriterien. Eine eigene Note für dieses Gebiet gibt es nicht. Aufgeführt sind die Anbieter, die das Gebiet mit einem eigenen Produkt abdecken.
| Platz | Lösung | Produkt in diesem Gebiet | Gesamtnote |
|---|---|---|---|
| 1 | Bitdefender GravityZone | Small Business Security, Business Security Premium | 4,41 |
| 2 | ESET PROTECT | PROTECT Entry, Advanced, Complete | 4,26 |
| 3 | Securepoint | Antivirus Pro | 4,19 |
| 3 | Sophos Central | Intercept X | 4,19 |
| 5 | Fortinet | FortiEndpoint, FortiClient, FortiEDR | 3,97 |
| 6 | G DATA | Endpoint Protection Business, Endpoint Security | 3,96 |
| 7 | TrendAI (Trend Micro) | TrendAI Vision One, Worry-Free Services, Apex One | 3,89 |
| 8 | Microsoft Defender | Defender for Business, Defender for Endpoint | 3,61 |
| 9 | Trellix | Endpoint Security (ENS), EDR | 3,57 |
Securepoint und Sophos haben auf zwei Nachkommastellen dieselbe Gesamtnote und teilen sich Platz 3; Platz 4 entfällt.
Barracuda (Platz 10) führt eine Kategorie „Endpoint Security". Dahinter steht ein Managed-Service, also ein Dienst, den der Anbieter für den Kunden betreibt. Ein eigenes Schutzprodukt, das der Kunde selbst betreibt, ist nicht belegt. Das Gebiet gilt deshalb als nicht abgedeckt.
Die vollständige Methodik mit allen acht Kriterien, Gewichten, Stichtagen und der Prüfkette steht auf der Hauptseite.
Weiter zu den anderen Gebieten.
Woher die Aussagen stammen.
- Bitkom, Wirtschaftsschutz 2025, Studienbericht (Bitkom Research, 1.002 Unternehmen ab 10 Beschäftigten), Abschnitt 3.2: „Unternehmen berichten am häufigsten von Schäden durch Ransomware: 34 Prozent der Befragten gaben an, in den letzten 12 Monaten betroffen gewesen zu sein." bitkom.org (PDF), abgerufen 07.09.2026.
- BSI, Die Lage der IT-Sicherheit in Deutschland 2025, Kurzfassung: „rund 80 Prozent der angezeigten Angriffe, zum Beispiel mit Ransomware, richteten sich gegen kleine und mittlere Unternehmen (KMU), denen häufig die Mittel und das Wissen fehlen, um sich selbstständig zu schützen." bsi.bund.de (PDF), abgerufen 07.09.2026.
- BSI, ebenda: „So werden beispielsweise viel zu oft bekannte Schwachstellen in Perimetersystemen zu spät oder gar nicht gepatcht."
- Merkmale und Testinstitute: Methodik des DWC-Marktkompass, Kriterien „Schutzumfang in den vier Gebieten" und „Unabhängige Testevidenz" (Hauptseite). Testinstitute: AV-TEST, AV-Comparatives, SE Labs; Auswertungsfenster 24 Monate vor der Erhebung.