Zusammenfassung
Klassische, signaturbasierte Antivirenlösungen gelten angesichts wachsender Größe und Komplexität moderner IT-Infrastrukturen als überholt, weil sie der Raffinesse aktueller Angriffe nicht mehr standhalten. Zwar ergänzen Endpoint-Protection-Plattformen (EPP) den Schutz um Funktionen wie Anwendungs-Whitelisting, Gerätekontrolle und Firewalls, doch scheitern auch sie häufig an der zentralen Aufgabe, Malware vor oder während der Ausführung zuverlässig zu erkennen und Schäden zu verhindern. Daraus entstand der Paradigmenwechsel hin zu Endpoint Detection & Response (EDR): Statt nur bekannte Bedrohungen zu blockieren, erfassen EDR-Lösungen Telemetriedaten von Endgeräten, unterstützen die forensische Untersuchung und helfen, Ursachen zu identifizieren und zu beheben. In der Praxis zeigte sich jedoch, dass die Definition von „Endgerät“ durch Desktops, Mobile, VMs, Container und Cloud-Workloads stark erweitert wurde und dass mehr Telemetrie nicht automatisch mehr Sicherheit bedeutet: Alarmfluten überfordern Teams, weshalb Unternehmen auf Managed Services oder KI-gestützte Automatisierung setzen, ohne damit bereits echte Echtzeitreaktion zu erreichen.
SentinelOne (gegründet 2013, Sitz Mountain View) verfolgt die Vision einer integrierten Endgerätesicherheitsplattform, die mehrere Einzeltools ersetzt. Die Singularity Platform nutzt einen universellen, autonomen Agenten für Windows, macOS, Linux sowie virtualisierte und Cloud-Workloads. Sie analysiert alle Aktivitäten, kombiniert eine verhaltensbasierte KI-Engine zur Laufzeiterkennung mit einer statischen ML-Engine zur Vorabprüfung von Dateien und kann lokal ohne Cloud-Latenz reagieren, selbst offline. Der Agent kann Prozesse beenden, Quarantäne auslösen und bei Ransomware Dateien über Volume-Shadow-Copies wiederherstellen. Zentral speichert die Konsole Telemetrie standardmäßig 30 Tage (optional bis zu einem Jahr), unterstützt Storylines zur Rekonstruktion von Angriffsketten, Threat Hunting, Rollenkonzepte und Datenschutzfunktionen. Mit Ranger erweitert SentinelOne die Sichtbarkeit um Netzwerk-Scanning und ein Live-Geräteinventar; Integrationen und ein 24/7-Managed-Service (Vigilance) runden das Angebot ab, bei zugleich begrenzter „Wisdom-of-the-crowd“-Nutzung externer Threat Intelligence.
