Auf dieser Seite
Reicht ein Virenscan für ein kleines Team mit Macs?
Ein Scan ist ein solider Anfang, und auf einem Mac hast du schon einen. Er ist nicht die ganze Antwort. Ein Scan gleicht Dateien mit einer Liste bekannter schädlicher Software ab. Ein Programm, das letzte Woche geschrieben wurde, steht auf keiner Liste, und manche Angriffe hinterlassen keine Datei, die man abgleichen könnte.
Ein Tool, das Verhalten beobachtet, schließt diese Lücke, indem es ansieht, was Programme tun, sobald sie laufen. Für ein Team aus fünf oder zehn Personen mit Macs sieht der praktische Plan so aus: Apples Schutzfunktionen eingeschaltet lassen, etwas hinzufügen, das Verhalten beobachtet, und einen datierten Nachweis bereithalten, den du zeigen kannst, wenn ein Kunde fragt.
Was ist eine Signatur?
Was eine Signatur ist.
Eine Signatur ist der Fingerabdruck einer Software, die jemand schon untersucht hat: ein kurzes Muster, das sie kennzeichnet. Ein Scan vergleicht deine Dateien mit einer langen Liste solcher Muster. Ein Treffer bedeutet eine bekannte Bedrohung.
Kein Treffer heißt nur, dass der Scan für diese Datei kein Muster hat. Das ist etwas anderes, als zu sagen, die Datei sei sicher.
Was ist EDR?
Was EDR bedeutet.
EDR steht für Endpoint Detection and Response, also Erkennung und Reaktion am Endgerät. Ein Endgerät ist jeder Computer, an dem dein Team arbeitet. EDR ist der Name einer Produktkategorie: Software, die aufzeichnet, was Programme auf jedem Computer tun, Muster erkennt, die nach einem Angriff aussehen, und darauf reagiert.
Cybee übernimmt den Verhaltensteil auf Macs. Es hat kein EDR-Zertifikat, und niemand bei Cybee liest deine Warnungen für dich.
Was schützt Apple schon?
Mehr, als die meisten annehmen. Bevor ein Programm von außerhalb des App Store geöffnet wird, prüft macOS die Signatur des Entwicklers und erwartet standardmäßig, dass Apple das Programm vorher auf bekannte Malware gescannt hat, ein Schritt namens Notarisierung. Dieser Scan ist eine Prüfung zu einem Zeitpunkt, und Apple kann ein Programm widerrufen, das es später als schädlich einstuft. XProtect, Apples eigener Satz bekannter Malware-Muster, prüft Apps, wenn sie zum ersten Mal geöffnet werden, wenn sie sich ändern und wann immer Apple die Muster aktualisiert, was getrennt von den macOS-Updates geschieht. XProtect entfernt, was es erkennt, und weil seine Muster breiter sind als exakte Datei-Fingerabdrücke, kann es Varianten erfassen, die Apple noch nicht gesehen hat. Apples Leitfaden erwähnt außerdem ein Verhaltensmodul in XProtect, ohne zu beschreiben, wie es funktioniert.
Apple beschreibt diese Schichten als erste Verteidigungslinie, die verhindern soll, dass Malware überhaupt startet. Den Schaden von etwas zu begrenzen, das schon gestartet ist, ist im selben Leitfaden eine eigene Schicht. Und nichts davon ist dafür gedacht, dir zu sagen, bei welchen deiner Macs diese Schutzfunktionen letzten Monat an waren.
Was übersieht ein Scan nach bekannten Dateien?
Nimm eine Agentur mit fünf Personen. Eine Designerin öffnet eine Datei aus einer Nachricht, die wie von einem Kunden aussieht. Sie startet ein kurzes Skript, und das Skript benutzt nur Werkzeuge, die jeder Mac schon hat, darunter das Terminal. Es sorgt dafür, dass es bei jeder Anmeldung wieder startet, und sucht dann nach gespeicherten Passwörtern. Nichts davon steht auf einer Liste bekannter schädlicher Software, denn jedes Teil ist gewöhnlich.
Die US-Cybersicherheitsbehörde CISA veröffentlichte im Februar 2024 gemeinsame Leitlinien dazu. Sie betreffen Angreifer, die mit legitimen Werkzeugen arbeiten, die schon auf einem System sind, und sie sagen, dass Verteidiger diese Aktivität nur schwer von normaler Nutzung unterscheiden können.
Ein gestohlenes Passwort ist ein anderer Fall. Der Angreifer meldet sich von woanders bei deiner E-Mail oder Dateifreigabe an. Auf deinem Mac läuft nichts, also kann es weder ein Scan noch eine Verhaltensüberwachung auf dem Mac sehen. Das ist eine Aufgabe für das Konto selbst: ein zweiter Code bei der Anmeldung und das eigene Anmeldeprotokoll des Dienstes.
Ein Scan kann nur abgleichen, was jemand schon beschrieben hat.
Was ergänzt Verhaltensüberwachung?
Sie stellt eine andere Frage. Nicht „Was ist diese Datei?“, sondern „Was tut dieses Programm?“. Ein Programm, das innerhalb einer Minute hunderte Dokumente umschreibt, sieht anders aus als ein Mensch, der seine Arbeit speichert, egal wie das Programm heißt. Dasselbe gilt für ein Programm, das eine Schutzfunktion ausschaltet oder anfängt, nach Passwörtern zu suchen.
Der Preis ist Urteilsvermögen. Eine Überwachung kann etwas Harmloses melden, also muss jemand entscheiden, was eine Warnung bedeutet. Die Tabelle stellt die zwei Ansätze neben das, was Cybee auf einem Mac tut.
ein Mac, drei Sichtweisenfünf Zeilen
| Die Frage | Ein Scan nach bekannten Dateien | Ein Tool, das Verhalten beobachtet | Cybee auf einem Mac |
|---|---|---|---|
| Wie es eine Bedrohung findet | Vergleicht Dateien mit einer Liste bekannter schädlicher Software, wenn sie geöffnet werden oder nach Zeitplan. | Beobachtet, was Programme tun, während sie laufen: welche Dateien sie berühren, welche Einstellungen sie ändern, welche Programme sie starten. | Prüft auf bekannte Malware und beobachtet Verhalten, für das es noch keine Signatur gibt. Die Erkennung läuft auf dem Mac. |
| Ein Angriff ohne Datei oder ein gestohlenes Passwort | Nichts zum Abgleichen. Ein neues Programm oder eines, das aus gewöhnlichen Werkzeugen gebaut ist, kommt durch. | Kann gewöhnliche Werkzeuge bemerken, die auf ungewöhnliche Weise benutzt werden. Ein Passwort, das anderswo gestohlen und in einem Cloud-Dienst benutzt wird, berührt den Mac nie, also sieht kein Mac-Tool diese Anmeldung. | Achtet auf ein Programm, das sich bei jeder Anmeldung selbst starten lässt, gespeicherte Passwörter liest, Schutzfunktionen ausschaltet oder sich auf dem Mac umsieht. Anmeldungen bei deinen Cloud-Konten gehören nicht zu dem, was Cybee sieht. |
| Einrichtungszeit | Unterschiedlich. Meist eine App auf jedem Mac. | Unterschiedlich. Manche sind für ein Team gebaut, das jeden Tag Warnungen liest. | Etwa zwei Minuten pro Mac. Ein Befehl, kein Konto. |
| Was es auf dem Mac tut | Liest Dateien und kann einen Treffer in Quarantäne stellen oder löschen. | Läuft die ganze Zeit. Viele können ein Programm stoppen oder einen Mac vom Netzwerk trennen. | Handelt zuerst auf dem Mac: Es stellt eine Datei in Quarantäne, stoppt das Programm oder setzt eine Einstellung zurück. |
| Was du einem Kunden zeigen kannst | Einen Status im Tool. | Berichte und Exporte aus dem Tool. | Der Trust Passport: ein datierter Nachweis, wie deine Macs geschützt sind, geteilt über einen Link. Ein Fingerabdruck zeigt, dass er seit der Versiegelung durch Cybee unverändert ist. Die Fakten prüft der Trust Passport nicht ein zweites Mal, und er sagt, was er nicht abdeckt. |
Was kostet es an Geld und Aufwand?
Tools, die Verhalten beobachten, wurden zuerst für Firmen mit einem Sicherheitsteam gebaut: Jemand liest die Warnungen, stellt die Regeln ein und entscheidet, was zu tun ist. In einem Team von acht Leuten hat niemand diese Aufgabe. Die entscheidende Frage ist also weniger der Preis als: Wer liest die Warnung am Freitagabend? Die Preise unterscheiden sich je nach Paket und Angebot, deshalb nennt dieser Leitfaden keinen.
Cybee liest die Warnung nicht für dich. Schutz ist auf jedem Mac kostenlos, und wenn etwas falsch aussieht, erreicht dich die Warnung dort, wo du ohnehin bist: im Chat mit deinem KI-Assistenten, als macOS-Mitteilung, in Slack oder auf dem Telefon per WhatsApp oder SMS.
Wie sollte ein kleines Team wählen?
Lass das Etikett auf der Packung außer Acht. Antivirus, EDR und „Next Generation“ beschreiben eher das Marketing als das Produkt. Stell an jedes Tool fünf einfache Fragen, auch an Cybee.
bevor du wählstfünf Fragen
- Sagt es, was es beobachtet, in Worten, die du einem Kunden wiedergeben könntest?
- Kann es auf dem Mac selbst handeln, oder schickt es dir nur eine Nachricht?
- Wer liest die Warnung, und bis wann?
- Was sieht es nicht, und sagt das Tool das?
- Was kannst du einem Kunden hinterher zeigen, und trägt es Datumsangaben?
Wann reicht ein einfacher Scan? Ein Freelancer mit einem Mac, ohne Kundendaten und mit automatischen macOS-Updates ist mit dem, was Apple mitliefert, vielleicht gut bedient. Das ändert sich an dem Tag, an dem ein Kunde einen Fragebogen schickt oder ein Versicherer fragt, was auf jedem Laptop läuft. Ab dann muss die Antwort etwas sein, das du zeigen kannst, nicht etwas, das du glaubst.
Was du dir merken solltest.
- Apples Schutzfunktionen sind echt. Lass sie an und halte macOS aktuell.
- Ein Scan gleicht Bekanntes ab. Verhaltensüberwachung sieht an, was Programme tun. Ein gestohlenes Passwort in einem Cloud-Konto ist die Aufgabe von keinem der beiden.
- Wähle danach, was ein Tool beobachtet, wer seine Warnung liest und was du zeigen kannst.
Quellen.
Von Cybee für kleine Teams geschrieben. Die externen Seiten wurden am 28.10.2026 gelesen. Die Dokumentation sagt, was Cybee heute abdeckt.
Sieh dir an, wie eine Warnung aussieht.
Was das Programm getan hat, auf welchem Mac es lief und die eine Entscheidung, die dir bleibt.
