Redaktionelle Vorauswahl
Die Vorauswahl beruht auf dokumentiertem Funktionsumfang und der beschriebenen Zielgruppe. Sie enthält keine eigenen Ergebnisbewertungen. Partnerstatus und Provisionshöhe sind kein Auswahlkriterium; in diesem Entwurf sind keine Partnerlinks hinterlegt.
- Microsoft Defender for Business: sinnvoller Ausgangspunkt für Microsoft-orientierte Teams bis 300 Nutzer, besonders wenn Identität, Endpoint und Sicherheitsverwaltung zusammengehören.
- CrowdStrike Falcon: interessant für Organisationen, die pro Gerät kalkulieren und den Schutzumfang von Basis-AV über EDR bis Threat Hunting staffeln möchten.
- SentinelOne Singularity: interessant, wenn automatisierte Reaktion, Endpoint-/Workload-Schutz und Paketunterschiede bei Aufbewahrung und Managed Hunting im Vordergrund stehen.
- Sophos Endpoint: interessant, wenn Sophos Central bereits bekannt ist oder neben Endpoint auch betreute Erkennung, XDR beziehungsweise Workload Protection geprüft werden soll.
Vergleichsbasis: Was ist wirklich vergleichbar?
Verglichen werden die öffentlich dokumentierten Angaben zu Prävention, EDR, automatisierter Untersuchung oder Reaktion, Plattformen, Serverbezug, Verwaltung, Preisbasis und Datenkontrollen. Nicht verglichen werden die tatsächliche Erkennungsrate, Fehlalarmquote, Bedienqualität, Supporterfahrung, Einführungsdauer oder Wirksamkeit in einer konkreten Umgebung.
Die Preisangaben stammen aus den jeweils verlinkten Anbieterquellen und sind nicht auf eine gemeinsame Teamgröße umgerechnet. Bei einem belastbaren Beschaffungsvorgang müssten mindestens Nutzerzahl, Endpointzahl, Server, Aufbewahrung, Add-ons, Supportmodell, Vertragsbindung, Steuern und Datenregion gemeinsam kalkuliert werden.
Microsoft Defender for Business
Microsoft nennt für Defender for Business 3 USD pro Nutzer und Monat bei jährlicher Zahlung, eine Auslegung bis 300 Nutzer, bis zu fünf Geräte pro Nutzer und eine 30-tägige Testphase. Der Preis ist nutzerbasiert und darf deshalb nicht direkt mit einem Gerätepreis von CrowdStrike oder SentinelOne gleichgesetzt werden. Microsoft weist Server-Schutz als separat zu lizenzierenden Baustein aus.
Zum dokumentierten Schutzumfang gehören Next-Generation-Antivirus, Endpoint Detection and Response, Schwachstellenmanagement sowie automatisierte Untersuchung und Remediation. Microsoft nennt Windows, macOS, iOS und Android als unterstützte Clientplattformen. Für Server, konkrete Client-Versionen, Richtlinien und Tenantvoraussetzungen ist die technische Anforderungsseite maßgeblich.
Die Stärke liegt in der Einordnung in das Microsoft-Sicherheitsportal und bestehende Microsoft-Identitäten. Das kann Verwaltung vereinfachen, setzt aber voraus, dass Rollen, Tenant, Intune-Verwendung, Gerätebestand und Offboarding sauber geplant sind. Der dokumentierte Preis ist kein Nachweis dafür, dass jede gewünschte Microsoft- oder Serverfunktion enthalten ist.
CrowdStrike Falcon
CrowdStrike nennt auf seiner US-Preisseite drei Pakete: Falcon Go 7,99 USD pro Gerät und Monat beziehungsweise 59,99 USD pro Gerät und Jahr, Pro 14,99 beziehungsweise 99,99 USD und Enterprise 19,99 beziehungsweise 184,99 USD. Die Seite nennt außerdem einen 15-tägigen Test ohne Kreditkarte. Add-ons, Steuern, regionale Konditionen, Mindestmengen und Partnerpreise sind separat zu prüfen.
Falcon Go wird mit Next-Generation-AV, Device Control, Mobile Protection und EDR beschrieben. Pro ergänzt Firewall Management; Enterprise ergänzt unter anderem kontinuierliche Endpoint-Sichtbarkeit, Priorisierung und Threat Hunting. Die Pakete eignen sich deshalb für eine gestufte Betrachtung, sind aber nicht automatisch identisch mit einer vollständigen SOC- oder Managed-Detection-Leistung.
CrowdStrike dokumentiert Windows, macOS und Linux. Welche Versionen, Server, Mobilgeräte und Zusatzmodule in einem konkreten Vertrag enthalten sind, muss anhand der aktuellen Plattform- und Modulmatrix geprüft werden. Die öffentliche Preisseite belegt keine pauschale EU-only-Verarbeitung; DPA/AVV, Unterauftragnehmer, Supportzugriffe und Datenregion bleiben Beschaffungspunkte.
SentinelOne Singularity
SentinelOne nennt für Singularity Complete 179,99 USD pro Endpoint und Jahr sowie für Singularity Commercial 229,99 USD pro Endpoint und Jahr. Complete weist 14 Tage Datenaufbewahrung aus; Commercial weist 90 Tage und zusätzliche Funktionen wie Identity Detection & Response und Managed Threat Hunting aus. Enterprise wird als Paket auf Anfrage beschrieben. Die öffentliche Darstellung bezieht sich auf 5 bis 100 Workstations; regionale Verfügbarkeit, Steuern und Partnerkonditionen können abweichen.
Die Paketübersicht führt EPP, EDR/XDR, automatisierte Reaktion, Rollenverwaltung und Multi-Tenant-Management auf. Je nach Paket kommen unter anderem Geräte- und Firewall-Kontrolle, Remote Shell, Identitätsschutz oder Managed Threat Hunting hinzu. Das ist für die Auswahl relevant, weil „Endpoint Security“ hier nicht nur einen Antivirus-Basisschutz meint, sondern auch unterschiedliche Reaktions- und Aufbewahrungsstufen.
SentinelOne deckt laut der herstellerseitigen Betriebssystemübersicht Windows, macOS und Linux ab. Die genaue Abdeckung von Distributionen, virtuellen Workloads und Servern gehört vor einer Bestellung in die technische Prüfung. Eine pauschale EU-only-Zusage ist aus der Paketdarstellung nicht ableitbar; DPA/AVV, Aufbewahrung, Datenregion und Unterauftragnehmer sind offen zu verifizieren.
Sophos Endpoint
Sophos nennt auf der geprüften Endpoint-Seite eine 30-tägige Testphase, aber keinen belastbaren einheitlichen öffentlichen Listenpreis für den Einstieg. Sophos Endpoint, EDR, XDR, MDR und Workload Protection müssen deshalb als unterschiedliche Leistungs- und Kostenbausteine behandelt werden. Ein individuelles Angebot ist nicht automatisch mit den veröffentlichten Geräte- oder Nutzerpreisen der anderen Anbieter vergleichbar.
Sophos beschreibt Endpoint-Schutz, Untersuchung und Reaktion sowie automatisierte Schutzmaßnahmen wie Ransomware Rollback. EDR erweitert die Erkennung und Untersuchung, XDR bezieht weitere Signale ein und MDR ist eine betreute Dienstleistung. Server und Linux werden über Workload Protection behandelt; Legacy-Plattformen und optionale Add-ons benötigen eine gesonderte Prüfung.
Die Verwaltung läuft über Sophos Central. Sophos nennt eine auswählbare Hostingregion bei der Kontoerstellung. Das ist keine pauschale EU-only-Zusage für Support, Zahlungen und alle Drittprozesse. Die öffentlich auffindbare Datenschutzunterlage für Central Endpoint and Server nennt umfangreiche Endpoint- und Telemetriedaten und ist mit März 2024 datiert. Dieser Punkt muss vor einer Veröffentlichung mit der aktuellen Vertrags- und Datenschutzdokumentation erneut geprüft werden.
Plattformen, Reaktion und Betriebsaufwand
Die Plattformliste allein entscheidet nicht über die Eignung. Für die Vorauswahl sollten folgende Fragen mit dem eigenen Bestand beantwortet werden:
1. Werden nur Windows-Clients geschützt oder auch macOS, Linux, Mobilgeräte und Server? 2. Reicht Prävention, oder werden EDR, forensische Aufbewahrung, automatisierte Remediation und Threat Hunting benötigt? 3. Wer triagiert Warnungen außerhalb der Geschäftszeiten: die eigene IT, ein internes SOC oder ein MDR-Dienst? 4. Welche Rollen, Freigaben, Sensor-Updates, Ausnahmen und Offboarding-Schritte müssen dokumentiert werden? 5. Welche Daten dürfen in der gewählten Region verarbeitet werden, und welche Unterauftragnehmer sind vertraglich relevant?
Diese Fragen zeigen auch die Grenze des Vergleichs: Ein umfangreicher Endpoint-Sensor ersetzt kein Patchmanagement, keine vollständige Schwachstellenpriorisierung, kein Backup und kein dauerhaft besetztes SOC. Dafür sind in der IT-Security-Übersicht eigene Bereiche vorgesehen.
Preis- und Datenregionshinweise
Die Preise sind nicht auf eine gemeinsame Bezugsgröße normiert. Defender for Business wird als Nutzerpreis genannt; CrowdStrike und SentinelOne veröffentlichen Geräte- beziehungsweise Endpointpreise; Sophos verweist im geprüften Einstieg auf ein Angebot. Jahrespreise sind nicht dasselbe wie eine flexible Monatszahlung. Testphase, dauerhaft kostenloses Angebot und Geld-zurück-Garantie werden ebenfalls nicht gleichgesetzt.
Bei der Datenverarbeitung nennen die Anbieter unterschiedliche Detailgrade. Eine DPA/AVV ist kein Beleg dafür, dass jede Telemetrie, jeder Supportzugriff und jedes Protokoll ausschließlich in der EU verarbeitet wird. Vor der Beschaffung sollten konkrete Dienste, Region, Unterauftragnehmer, Aufbewahrung, Löschung, Supportzugriffe und die Übermittlungsgrundlage gemeinsam dokumentiert werden.
Was vor einer Entscheidung offen bleibt
Der nächste sinnvolle Schritt ist kein pauschaler Test von vier Produkten, sondern ein identisches Anforderungsblatt mit Endpointzahl, Servern, Plattformen, gewünschter Aufbewahrung, Betriebsmodell und Datenregion. Erst damit lässt sich ein Angebot sinnvoll anfordern und auf derselben Grundlage vergleichen.
- Defender: konkrete Serverlizenz, Tenant-/Intune-Konfiguration und gewünschte Datenwege.
- CrowdStrike: aktuelle Modulmatrix, Mindestmengen, regionale Vertragskonditionen, DPA/AVV und Datenregion.
- SentinelOne: regionale Preis- und Vertragsbedingungen, Datenresidenz, DPA/AVV und genaue Workload-Abdeckung.
- Sophos: verbindliche Preisbasis, aktuelle Datenschutz- und Vertragsunterlagen sowie die Trennung von Endpoint, EDR, XDR, MDR und Workload Protection.
- Alle: tatsächliche Erkennungsqualität, Fehlalarme, Einführungsaufwand, Support und Reaktion im eigenen Netzwerk.
Quellen und Prüfstand
Die konkreten Produkt- und Preisaussagen sind im Datenbestand und in der Quellenliste einzelnen Anbieterquellen zugeordnet. Der Prüfstand dieses Entwurfs ist der 28.10.2026. Preise, Paketnamen, Plattformmatrizen und Datenschutzunterlagen können sich ändern und müssen vor Veröffentlichung beziehungsweise Bestellung erneut geprüft werden.