Apex One

Apex One EDR ist das Endpoint-Schutzprodukt von Trend Micro für Unternehmen (die Unternehmenssparte firmiert seit März 2026 unter dem Namen TrendAI™): Es vereint die Schichten EPP (Endpoint Protection Platform) und EDR (Endpoint Detection and Response) unter einem einzigen Security Agent, wird über einen On-Premises-Server oder eine SaaS-Konsole verwaltet und dient der XDR-Plattform Trend Vision One als Endpoint-Sensor. Positioniert ist es für mittlere und große Endpoint-Flotten mit Bedarf an einer detaillierten Richtlinienhierarchie, Virtual Patching, Anwendungskontrolle und rückwirkendem Threat Hunting.

Die Position des Produkts in unabhängigen Bewertungen ist messbar. Das Endpoint-Schutzportfolio von Trend wurde im Bericht 2026 Gartner Magic Quadrant for Endpoint Protection Platforms zum 21. Mal in Folge als Leader positioniert, und in dieser Kategorie gibt es keinen weiteren Hersteller, der 21 Mal in Folge als Leader eingestuft wurde (Trend Micro Newsroom, 2026). Im Bericht Gartner Critical Capabilities for EPP aus demselben Jahr erzielte es in zwei von drei Anwendungsszenarien – Workspace Security und On-premises Endpoint Protection Management – die höchste Punktzahl unter allen Herstellern und im dritten (Core Endpoint Protection) die zweithöchste (Trend Micro Newsroom, 2026). Der Name des zweiten Szenarios ist bemerkenswert: Die On-Premises-Verwaltung von Endpoints bleibt trotz der Verbreitung von Cloud-Konsolen eine eigene Bewertungskategorie.

Warum diese Schutzschicht gebraucht wird, zeigt sich klar in den Bedrohungsdaten. Im Verizon Data Breach Investigations Report 2025 war in 44 % der untersuchten Sicherheitsverletzungen Ransomware beteiligt, und dieser Anteil stieg gegenüber dem Vorjahr um 37 %; das gezahlte Lösegeld lag im Median bei 115.000 US-Dollar, während 64 % der betroffenen Organisationen nicht zahlten (Verizon 2025 DBIR). In der im selben Jahr veröffentlichten Messung von IBM beträgt die weltweite Durchschnittszeit bis zur Erkennung und Eindämmung einer Verletzung 241 Tage (IBM Newsroom, 2025). Den Abstand zwischen Erkennung und Reaktion auf dem Endpoint zu verkürzen bedeutet in der Praxis, dieses Fenster von 241 Tagen zu verengen.

Aus welchen Schutzschichten besteht Apex One?

Apex One führt unter einem einzigen Security Agent einander ergänzende Schichten aus: signaturbasiertes Scannen auf Schadsoftware, Datei- und Web-Reputationsdienste, Datei- und Prozessanalyse mit Predictive Machine Learning, Verhaltensüberwachung (Behavior Monitoring), Ransomware-Schutz mit Rollback für verschlüsselte Dateien, Speicher- und Exploit-Schutz, Anwendungskontrolle, Gerätekontrolle, Endpoint-Firewall sowie ein optionales DLP-Modul. Die EDR-Seite von Apex One wird über die Komponente Endpoint Sensor bereitgestellt; sie protokolliert auf Ebene von Prozessbaum, Befehlszeilenargumenten und Netzwerkverbindungen und ermöglicht damit rückwirkende Threat-Hunting-Abfragen.

Der mehrschichtige Aufbau ist nicht nur eine Designentscheidung des Produkts, sondern auch eine Erwartung des Gesetzgebers. Der Leitfaden zur Sicherheit personenbezogener Daten der KVKK (türkisches Datenschutzgesetz) empfiehlt mehrschichtige und regelmäßig überprüfte ergänzende Maßnahmen mit der Feststellung, dass die Annahme, ein einziges Cybersicherheitsprodukt sorge für vollständige Sicherheit, nicht immer zutrifft; derselbe Leitfaden führt aktuell gehaltene Antiviren- und Antispam-Produkte unter den technischen Maßnahmen auf und betont, dass deren bloße Installation nicht genügt, sondern sie aktuell gehalten und die erforderlichen Dateien regelmäßig gescannt werden müssen (KVKK Leitfaden zur Sicherheit personenbezogener Daten).

Wie viel Sichtbarkeit die Schichten in realen Angriffsketten erzeugen, wird mit den MITRE ATT&CK Evaluations gemessen. In der im Dezember 2024 veröffentlichten Runde erreichte Trend Vision One in allen Hauptschritten des Angriffs 100 % und in allen Teilschritten 99 % analytische Abdeckung; dieselbe Runde zeigte unter Linux und macOS in allen Teilschritten 100 % analytische Abdeckung und umfasste Ransomware-Szenarien gegen Linux und macOS (Trend Micro Newsroom, 2024). Die Produkte von Trend erreichen in diesen Bewertungen seit 2020 eine Erkennungsrate von 100 % (Trend Micro Newsroom, 2024). Diese Ergebnisse wurden auf Plattformebene gemessen; die Telemetriequalität am Endpoint ist die Grundlage dieser Werte.

Was ist der Unterschied zwischen der On-Premises- und der SaaS-Bereitstellung von Apex One?

Die kurze Antwort: Die Schutz-Engines kommen aus demselben Agenten, der Unterschied liegt darin, wo die Verwaltungsebene läuft und wer die Infrastrukturlast trägt. Bei der On-Premises-Installation betreibt die Organisation den Apex-One-Server, die Datenbank, die Sicherung, das Zertifikat und die Versions-Upgrades selbst; im SaaS-Modell wird die Konsole beim Hersteller gehostet, und die Wartungsverantwortung geht an den Anbieter über. Organisationen, bei denen die Konsole aufgrund von Datenlokalität, isolierten Netzen oder bestehenden internen Verwaltungsstandards im Haus bleiben muss, wählen das On-Premises-Modell.

Die konkrete Last der On-Premises-Installation zeigt sich in den offiziellen Systemanforderungen: Der Server von Apex One Service Pack 1 Patch 4 verlangt mindestens 3 GB RAM und 7,0 GB Festplattenspeicher; in Kombination mit Endpoint Sensor steigen diese Werte auf 8 GB RAM und 8,0 GB Festplatte, zudem ist für Endpoint Sensor SQL Server 2016 SP1 (Enterprise oder Standard) oder höher erforderlich, und SQL Server Express wird nicht unterstützt (Apex One SP1 Patch 4 Systemanforderungen, offizielle Trend Micro Dokumentation). Apex One EDR im eigenen Haus zu betreiben bringt also auch eine SQL-Server-Lizenz und die Verantwortung für die Datenbankwartung mit sich. Den Betrieb dieser Schicht können wir im Rahmen unserer DevOps- und Infrastrukturleistungen übernehmen.

Organisationen, die Notebooks außerhalb des Büros (off-premises) über die interne Konsole verwalten wollen, positionieren die Komponente Edge Relay Server. Diese Komponente wird unter Windows Server 2016, 2019 oder 2022 installiert und benötigt einen Zweikernprozessor mit 2 GHz, 1 GB Arbeitsspeicher, 60 GB Festplattenspeicher und zwei Netzwerkkarten (Apex One SP1 Patch 4 Systemanforderungen, offizielle Trend Micro Dokumentation). Wird diese Komponente im hybriden Arbeitsmodell ausgelassen, erhalten Endpoints ohne VPN-Verbindung keine Richtlinien- und Pattern-Updates; das tatsächliche Schutzniveau im Feld weicht dann vom Bericht in der Konsole ab.

Auf der SaaS-Seite wird keine dieser Komponenten installiert, die Agenten verbinden sich direkt mit der Cloud-Verwaltungsebene, und Versions-Upgrades erfolgen beim Anbieter. Dabei sollte man jedoch nicht annehmen, dass der Funktionsumfang beider Modelle exakt identisch ist; welches Modul in welchem Modell enthalten ist, muss aus der offiziellen Dokumentation der eingesetzten Version bestätigt werden. In der Sizing-Arbeit halten wir diesen Unterschied Zeile für Zeile schriftlich fest, damit mitten im Projekt kein unerwartet fehlendes Modul auftaucht.

Was löst Virtual Patching in Apex One?

Die direkte Antwort: Virtual Patching ist ein hostbasierter Ansatz zur Angriffsprävention, der die Ausnutzung einer bekannten Schwachstelle regelbasiert verhindert, bis der Hersteller-Patch installiert ist. In Apex One übernimmt diese Funktion das Modul Vulnerability Protection; der Agent erkennt Exploit-Versuche gegen bekannte Schwachstellen und stoppt den Angriff, während das Betriebssystem noch ungepatcht ist. Es ersetzt das Patch-Management nicht, sondern schließt das Patch-Fenster.

Die Breite dieses Fensters ist gemessen. Laut Verizon 2025 DBIR wuchs die Ausnutzung von Schwachstellen als initialer Zugangsschritt innerhalb eines Jahres um 34 % und macht inzwischen 20 % der Sicherheitsverletzungen aus; nur rund 54 % der Schwachstellen in Perimeter-Geräten wurden vollständig geschlossen, und dieser Vorgang dauerte im Median 32 Tage (Verizon 2025 DBIR). Auf der Compliance-Seite verlangt PCI DSS v4.0 Anforderung 6.3.3, dass kritische oder hoch eingestufte Sicherheitspatches innerhalb eines Monats nach ihrer Veröffentlichung installiert werden (PCI Security Standards Council, PCI DSS v4.0). Virtual Patching ist eine technische Maßnahme, die das Risiko in diesem Zwischenraum senkt; in PCI DSS wird jedoch keine Technologie vorab als kompensierende Kontrolle anerkannt – der Einsatz kompensierender Kontrollen ist nur für Organisationen mit dokumentierter technischer oder geschäftlicher Einschränkung und nur mit Beurteilung eines QSA möglich.

Die Quelle der Regeln ist das Programm Zero Day Initiative (ZDI) von Trend. Die ZDI hat seit 2007 mehr als 15.000 Schwachstellen koordiniert offengelegt – nach Daten von Omdia allein 73 % aller weltweiten Offenlegungen des Jahres 2024 – und hinter dem Programm stehen mehr als 19.000 unabhängige Forscher sowie 14 globale Threat Center (Zero Day Initiative, 2026). Die Offenlegungsrichtlinie der ZDI räumt dem Hersteller eine Standardfrist von 120 Tagen für den Patch ein und hält zugleich ausdrücklich fest, dass Schutzfilter zeitgleich mit der Meldung an den Hersteller an Kunden ausgeliefert werden dürfen (ZDI Disclosure Policy, 2026). Darauf beruht, dass Virtual Patching vor dem Hersteller-Patch greifen kann; dank der Forschung im Rahmen von Pwn2Own gibt Trend an, seine Kunden im Branchenvergleich durchschnittlich 71 Tage früher vor Zero-Day-Exploits schützen zu können (Trend Micro Newsroom, 2025).

Bei Ransomware funktioniert die Kette genauso: Nach Daten der ZDI wurden bei Ransomware-Angriffen seit 2020 59 Zero-Day-Schwachstellen genutzt; vor 2020 war es äußerst selten, dass Ransomware-Gruppen Zero-Day-Schwachstellen einsetzten (Trend 2025 Cyber Risk Report). TippingPoint Next-Generation IPS, das dieselbe Filterforschung auf der Netzwerkebene nutzt, und Deep Security Serverschutz, das Virtual Patching auf der Server- und Workload-Seite bereitstellt, speisen sich aus demselben Intelligence-Pool wie die Endpoint-Ebene. Werden alle drei Ebenen gemeinsam positioniert, wird dieselbe Schwachstelle sowohl auf Netzwerk- als auch auf Endpoint-Ebene abgeschirmt.

Welche Rolle übernimmt Apex One in der Architektur von Trend Vision One XDR?

Die direkte Antwort: Apex One ist der Endpoint-Sensor von Vision One. Trend Vision One verfügt über sechs native Sicherheitssensoren – Endpoint, Cloud, E-Mail, Netzwerk, Server und Identität (Trend Micro Newsroom, 2025) –, und der Endpoint-Strang dieser Architektur wird vom Agenten Apex One / Trend Vision One Endpoint Security gespeist. Der Agent am Endpoint ist derselbe; was sich ändert, ist, wohin die Telemetrie fließt und in welche Korrelation sie eingeht.

Eigenständig betrieben sieht Apex One EDR die Ereigniskette innerhalb des Endpoints und reagiert in diesem Rahmen. Kommt Vision One hinzu, verbindet sich dasselbe Ereignis mit den Phishing-Erkennungen der E-Mail-Sicherheit für Unternehmen sowie den Aufzeichnungen der Netzwerk- und Serversensoren zu einer einzigen Zeitleiste. Der Unterschied ist der zwischen "auf diesem Rechner lief ein verdächtiges PowerShell" und "die Kette, die vor 40 Minuten mit einem Anhang an denselben Benutzer begann, hat auf diesem Rechner PowerShell ausgeführt" – und genau dort beginnt der Teil, der die Reaktionsentscheidung verändert.

Auf der Lizenzseite unterstützt Vision One das Flex-Credit-Modell: Credits werden für eine Lösung aktiviert, für einen bestimmten Zeitraum erworben und monatlich nach tatsächlicher Nutzung abgezogen; nicht genutzte Credits können innerhalb der Vertragslaufzeit auf eine andere Lösung übertragen werden, und es ist kein separater Lizenzschlüssel je Produkt erforderlich (TrendAI Flex Licensing, 2026). Für Organisationen, die vom Endpoint aus auf E-Mail-, Server- oder Identitätsmodule ausweiten wollen, macht dieses Modell einen neuen Beschaffungsprozess bei jedem Schritt überflüssig.

Beim operativen Nutzen gibt der Hersteller an, dass der KI-Assistent Vision One Companion Reaktionszeiten bei Sicherheitsvorfällen um 30 % beschleunigen, pro Vorfallbericht bis zu zwei Stunden einsparen und den Zeitaufwand für manuelle Risikobewertung und Bedrohungsrecherche um 50 % oder mehr senken kann (Trend Micro Newsroom, 2023). Das sind Herstellerangaben; wir empfehlen, ihre Entsprechung in Ihrer eigenen Umgebung im Pilotbetrieb zu messen.

Apex One oder Worry-Free Business Security – was sollte man wählen?

Die kurze Antwort: Ihre Verwaltungsressourcen und Ihr Bedarf an Richtlinientiefe entscheiden. Worry-Free Business Security ist ein schnell installiertes Paket mit vorkonfigurierten Richtlinien für kleine und mittlere Unternehmen ohne eigenes Sicherheitsteam. Apex One richtet sich dagegen an Unternehmensflotten, die eine detaillierte Richtlinienhierarchie, Virtual Patching, Anwendungskontrolle, die Option auf On-Premises-Installation und die Rolle als XDR-Sensor benötigen. Die folgende Tabelle fasst die Unterscheidungen zusammen, nach denen in der Angebotsphase am häufigsten gefragt wird.

Auf einen Satz gebracht: Entscheidend ist nicht die Anzahl der Endpoints, sondern das Verwaltungsmodell. Wenn Sie Ihre Richtlinien nach Abteilung, Standort und Geräterolle trennen müssen, wenn Sie Systeme haben, die sich nicht patchen lassen, oder wenn Sie die Endpoint-Telemetrie in eine XDR- oder SIEM-Plattform überführen wollen, ist Apex One die richtige Schicht. Der E-Mail-Schutz bleibt in beiden Fällen eine eigene Entscheidungsposition; auf der Worry-Free-Seite läuft die Komponente Messaging Security Agent auf dem Microsoft Exchange Server (Worry-Free Business Security 10.0 SP1 System Requirements), auf der Unternehmensseite wird ein eigenständiges Produkt für E-Mail-Sicherheit positioniert.

Welche Systemanforderungen stellt eine Apex-One-Installation?

Die direkte Antwort: Für die On-Premises-Installation werden ein unterstützter Windows Server, bei Einsatz von EDR eine geeignete SQL-Server-Instanz und auf der Agentenseite unterstützte Windows-Versionen benötigt. Alle Werte in der folgenden Tabelle stammen aus dem offiziellen Dokument der Systemanforderungen von Apex One Service Pack 1 Patch 4 (Apex One SP1 Patch 4 Systemanforderungen, offizielle Trend Micro Dokumentation).

Ein Punkt im Dokument verdient besondere Aufmerksamkeit: Die Systemanforderungen von Apex One SP1 Patch 4 führen für den Security Agent keine macOS- oder Linux-Plattform auf (Apex One SP1 Patch 4 Systemanforderungen, offizielle Trend Micro Dokumentation). In Organisationen mit einer macOS-Flotte muss der Mac-Schutz über eine separate Komponente oder über den Umfang von Trend Vision One Endpoint Security geplant und zu Projektbeginn anhand der offiziellen Kompatibilitätsmatrix der eingesetzten Version bestätigt werden. Für Server-Betriebssysteme und Cloud-Workloads wird statt des Endpoint-Agenten die serverorientierte Schutzlinie bevorzugt.

In Umgebungen mit virtuellen Desktops (VDI) kommt die Komponente Virtual Desktop Support zum Einsatz; sie reiht Scan- und Aktualisierungsvorgänge der virtuellen Maschinen auf demselben physischen Server in eine Warteschlange ein und verhindert so Ressourcenspitzen. Ebenfalls nicht zu vergessen: Die Installation des Security Agent auf Windows-Systemen mit aktiviertem Unified Write Filter wird nicht unterstützt – in Kiosk- und Thin-Client-Szenarien wirkt sich diese Einschränkung unmittelbar auf die Architektur aus und erfordert einen alternativen Schutzansatz.

Was leistet Apex One in KVKK- und branchenspezifischen Compliance-Audits?

Die direkte Antwort: Apex One bedeutet für sich allein keine "KVKK-Compliance"; es macht einige der im Gesetz und im Leitfaden der Behörde genannten technischen Maßnahmen umsetzbar und nachweisbar. Artikel 12 des Gesetzes Nr. 6698 verpflichtet den Verantwortlichen dazu, die rechtswidrige Verarbeitung personenbezogener Daten und den rechtswidrigen Zugriff darauf zu verhindern sowie deren Aufbewahrung sicherzustellen; dafür sind alle technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus zu treffen (KVKK — Pflichten zur Datensicherheit).

Die Entsprechungen auf der Apex-One-Seite sind konkret: Scannen auf Schadsoftware mit aktuellem Pattern, hostbasierte Angriffsprävention mit Vulnerability Protection, Ereignisprotokollierung und rückwirkende Abfragen mit Endpoint Sensor, Einschränkung von USB und externen Medien mit der Gerätekontrolle sowie Klassifizierung sensibler Daten und Kontrolle des Datenabflusses mit dem DLP-Modul. Der KVKK-Leitfaden hält fest, dass die bloße Installation dieser Maßnahmen nicht genügt, sondern sichergestellt sein muss, dass sie aktuell gehalten und regelmäßige Scans durchgeführt werden (KVKK Leitfaden zur Sicherheit personenbezogener Daten). Ausschlaggebend im Audit ist nicht das Vorhandensein des Produkts, sondern dass die Richtlinie schriftlich vorliegt und Nachweise erzeugt; Pattern- und Versions-Compliance-Berichte, Aufzeichnungen zu Richtlinienausnahmen und die Ereigniszeitleiste bilden diesen Nachweis. Diese Dokumentation erstellen wir als Teil der Projektlieferung.

Die Planung der Log-Aufbewahrung ist ein eigenes Thema. Die Agentic-SIEM-Komponente von Vision One bietet bis zu 2 Jahre analytische und bis zu 7 Jahre Archivaufbewahrung (Trend Micro Newsroom, 2025). Branchenspezifische Aufbewahrungserwartungen und der Bedarf an forensischer Untersuchung nach einem Vorfall werden an diesem Fenster ausgerichtet geplant. In Karteninhaberdaten-Umgebungen im Geltungsbereich von PCI DSS reichen die Anforderungen an Angriffsprävention und Änderungserkennung über die Endpoint-Ebene hinaus, weshalb die Geltungsbereichsbestimmung zu Projektbeginn erfolgen muss.

Auch das Risiko außerhalb des Geltungsbereichs sollte klar benannt werden: Apex One sieht nur verwaltete Endpoints. In der Infostealer-Analyse des Verizon 2025 DBIR zeigte sich, dass 46 % der Systeme mit Unternehmens-Anmeldedaten nicht verwaltete private Geräte waren und 30 % der kompromittierten Systeme unternehmenslizenzierte Geräte (Verizon 2025 DBIR). Für private Geräte und die mobile Flotte muss Mobile Security for Enterprise gesondert geplant werden; andernfalls bildet der Compliance-Bericht nicht die tatsächliche Angriffsfläche ab.

Welche Leistungen erbringt Sora Yazılım in Apex-One-Projekten?

Als autorisierter Channel-Partner von Trend Micro führen wir in Apex-One-Projekten Lizenzierung, Sizing, Installation, Richtliniendesign, SIEM- und SOAR-Integration sowie das laufende Betriebsmanagement aus einer Hand durch. Der Ablauf verläuft in dieser Reihenfolge: Inventarerhebung und Erfassung vorhandener Agenten, Sizing und Auswahl des Lizenzmodells, Bereitstellung in einer Pilotgruppe, Feinabstimmung der Richtlinien und Bereinigung von False Positives, stufenweiser Rollout und anschließend monatlicher Health-Report mit Unterstützung bei Sicherheitsvorfällen. Bei einer Migration von einer bestehenden Antivirenlösung sind das Entfernen des alten Agenten, die Übernahme der Ausschlusslisten und die Planung des Wartungsfensters eine eigene Arbeitsposition.

Wir verfolgen auch die Position der Produktlinie im Unternehmenssegment: Im Bericht Gartner Magic Quadrant for Endpoint Protection Platforms vom 14. Juli 2025 war das bewertete Produkt Trend Vision One Endpoint Security, und Trend war in diesem Bericht zum 20. Mal in Folge als Leader positioniert (Trend Micro Newsroom, 2025). Auf der Markenseite erhielt die Unternehmenssparte für Sicherheit von Trend Micro am 23. März 2026 den Namen TrendAI; das Unternehmen arbeitet mit 6.000 TrendAI-Fachleuten in 75 Ländern (Trend Micro Newsroom, 2026). Die Auswirkungen dieses Übergangs in der Benennung von Lizenzen, Support und Dokumentation auf Ihre Verträge prüfen wir vor der Verlängerung gemeinsam. Für die gesamte Trend Micro Lösungsfamilie steht dieselbe Ingenieursmannschaft zur Verfügung.

Zusammengefasst ist Apex One eine Unternehmensschutzschicht, die EPP und EDR in einem Agenten vereint, mit Virtual Patching und Anwendungskontrolle auch nicht patchbare Systeme schützen kann, On-Premises oder als SaaS läuft und Trend Vision One XDR als Endpoint-Sensor dient. Sobald die Größe Ihrer Flotte, der Ort der Konsole, Ihr Bedarf an EDR-Aufbewahrung und Ihre Erwartungen an die SIEM-Integration geklärt sind, können wir das passende Lizenzmodell und den Installationsplan ableiten. Die Lizenzkosten richten sich nach der Anzahl der Anwender und Geräte, den gewählten Modulen und der Lizenzlaufzeit; teilen Sie uns Ihr Inventar mit und fordern Sie ein Angebot an – den Plan für die Pilotinstallation erstellen wir gemeinsam.