Deep Security / Server & Workload Protection

Trend Deep Security (der Enterprise-Sicherheitsbereich des Herstellers firmiert seit dem 23. März 2026 unter dem Namen TrendAI™; der Produktname Deep Security ist unverändert) ist eine Hybrid-Cloud-Workload-Security-Plattform, die physische Server, virtuelle Maschinen auf VMware und Hyper-V sowie Cloud-Workloads auf AWS, Azure und Google Cloud mit einem einzigen Agenten und einer einzigen Konsole schützt. Sie vereint servertypische Kontrollen wie hostbasierte Intrusion Prevention (IPS), virtuelles Patching, Dateiintegritätsüberwachung (FIM) und Log Inspection; Ziel ist es, die Ausnutzung eines Servers in dem Zeitfenster zu verhindern, das bis zum Einspielen des Patches offen bleibt.

Dieses Zeitfenster ist ein messbares Risiko. Laut dem Verizon Data Breach Investigations Report 2025 ist die Ausnutzung von Schwachstellen als Erstzugriffsvektor binnen eines Jahres um 34 % gewachsen und macht inzwischen 20 % der Sicherheitsverletzungen aus; derselbe Bericht zeigt, dass nur rund 54 % der Schwachstellen in Perimeter-Geräten vollständig behoben wurden und dieser Vorgang im Median 32 Tage dauerte (Verizon DBIR, 2025). Auch wenn sich diese Messung auf Perimeter-Geräte bezieht, ist der Mechanismus auf der Serverseite derselbe: Die Verzögerung zwischen der Veröffentlichung eines Patches und seiner tatsächlichen Anwendung ist das Zeitfenster, in dem der Angreifer arbeitet. Deep Security schließt in diesem Zeitraum nicht die Schwachstelle, sondern den Weg zu ihrer Ausnutzung.

Welche Schutzmodule enthält Trend Deep Security?

Die offizielle Dokumentation zu Deep Security 20 definiert acht Schutzmodule: Intrusion Prevention, Anti-Malware, Firewall, Web Reputation, Integrity Monitoring, Log Inspection, Application Control und Device Control (Deep Security 20 Help Center, 2024). Sämtliche Module laufen auf demselben Agenten; welches Modul auf welchem Server aktiv ist, wird auf Richtlinienebene festgelegt. So lassen sich ein Webserver und ein Datenbankserver aus derselben Konsole mit voneinander unabhängigen Regelsätzen verwalten.

• Intrusion Prevention (Host-IPS): Schirmt bekannte Schwachstellen regelbasiert ab, bis der Hersteller-Patch eingespielt ist. Die offizielle Dokumentation bezeichnet diese Funktion direkt als virtuelles Patching (Virtual Patching).
• Anti-Malware: Erkennt Schadsoftware auf dem Server signatur-, verhaltens- und Machine-Learning-basiert.
• Firewall: Bietet zustandsbehaftete (stateful) Paketfilterung auf Serverebene; isoliert den Workload unabhängig vom Netzwerksegment, in dem er sich befindet.
• Web Reputation: Prüft die Reputation der vom Server ausgehenden Verbindungen; erschwert den Abfluss von Command-and-Control-Verkehr.
• Integrity Monitoring (FIM): Überwacht sämtliche autorisierten und unautorisierten Änderungen an Dateien, Verzeichnissen, Registry und Diensten und erzeugt Alarme.
• Log Inspection: Sammelt und analysiert Systemprotokolle und erzeugt Auditnachweise für PCI DSS oder interne Anforderungen.
• Application Control: Erstellt ein Inventar der ausführbaren Dateien auf dem Server und verhindert die Ausführung nicht zugelassener Software.
• Device Control: Beschränkt an Server angeschlossene Wechselmedien und Peripheriegeräte.

Diese Unterscheidung ist in der Praxis wichtig: Integritätsüberwachung und Log Inspection erzeugen Auditnachweise, die ein klassischer Server-Virenschutz nicht liefern kann. Laut der offiziellen Dokumentation protokolliert Integrity Monitoring nicht nur durch Angreifer verursachte, sondern auch autorisierte Änderungen. Dadurch lassen sich Änderungsmanagementprozess und Sicherheitstelemetrie über dieselbe Datenmenge abgleichen; ein ungeplanter Eingriff fällt in dem Moment auf, in dem er nicht zu den Wartungsaufzeichnungen passt.

Was ist virtuelles Patching und ersetzt es einen echten Patch?

Nein — virtuelles Patching ersetzt den Patch nicht, es macht den Patch-Zeitplan umsetzbar. Das Intrusion-Prevention-Modul blockiert auf Regelebene das Netzwerkmuster oder den Aufrufpfad, über den die Schwachstelle ausgenutzt wird; die Lücke bleibt auf dem Server bestehen, ist aber nicht mehr ausnutzbar. Für Systeme ohne Wartungsfenster, für Server, die aus Gründen der Anwendungskompatibilität nicht aktualisiert werden können, und für abgekündigte Betriebssysteme, für die der Hersteller keine Patches mehr veröffentlicht, ist dies häufig die einzige umsetzbare technische Kontrolle.

Die geschäftliche Begründung kommt direkt aus den Compliance-Vorgaben. PCI DSS v4.0 Anforderung 6.3.3 schreibt vor, dass kritische oder hoch eingestufte Sicherheitspatches innerhalb eines Monats nach Veröffentlichung installiert werden (PCI Security Standards Council, 2022). Für Organisationen, die dieses Ein-Monats-Fenster allein mit Änderungsmanagement nicht einhalten können, ist virtuelles Patching die Zwischenkontrolle, die das Risiko in diesem Zeitraum auf ein tragbares Niveau senkt.

Die Intelligence-Quelle hinter dem Regelsatz ist das Zero Day Initiative (ZDI) Programm von Trend. Die ZDI gibt an, seit 2007 mehr als 15.000 Sicherheitslücken koordiniert offengelegt zu haben; zum Programm tragen neben den Forschungsteams in 14 globalen Threat-Centern mehr als 19.000 unabhängige Forscher bei (Zero Day Initiative, 2026). Laut der Omdia-Studie „Quantifying the Public Vulnerability Market: 2025 Edition“ meldete Trend im Kalenderjahr 2024 allein 73 % der weltweit offengelegten Schwachstellen (Zero Day Initiative / Omdia Research, Daten von 2024).

Das entscheidende Detail steht in der Offenlegungsrichtlinie der ZDI: Die Richtlinie räumt dem Hersteller eine Standardfrist von 120 Tagen für den Patch ein, hält aber ausdrücklich fest, dass Schutzfilter zeitgleich mit der Meldung an den Hersteller an Trend-Kunden ausgeliefert werden können (ZDI Disclosure Policy, 2026). Das ist die offizielle Grundlage dafür, dass virtuelles Patching vor dem Hersteller-Patch greift. Dank derselben Intelligence-Kette sind Kunden von TippingPoint Netzwerk-IPS laut offiziellem Datenblatt über mehr als 1.211 im Jahr 2023 veröffentlichte Schwachstellen im Durchschnitt 96 Tage vor dem Erscheinen des Hersteller-Patches geschützt (Datenblatt TippingPoint TXE Series, 2025).

Auch die Entsprechung dieses Vorsprungs auf der Ransomware-Seite ist gemessen. Laut dem Cyber Risk Report 2025 von Trend wurden seit 2020 bei Ransomware-Angriffen 59 Zero-Day-Schwachstellen eingesetzt; vor 2020 war die Nutzung von Zero-Day-Lücken durch Ransomware-Gruppen ausgesprochen selten (Trend 2025 Cyber Risk Report). Dass Zero-Day-Exploits Eingang in die Ransomware-Ökonomie gefunden haben, macht aus einem Schutz, der vor dem Hersteller-Patch greift, eine Grundanforderung statt einer optionalen Verbesserung.

In welchen Virtualisierungs- und Cloud-Umgebungen läuft Deep Security?

Deep Security arbeitet sowohl agentenbasiert als auch — unter bestimmten Bedingungen — agentenlos. Wird in einer VMware-NSX-Umgebung die Deep Security Virtual Appliance eingesetzt, können die Module Anti-Malware, Integritätsüberwachung, Firewall, Intrusion Prevention und Web-Reputation agentenlos (agentless) betrieben werden; in der älteren vShield-Umgebung beschränkt sich der agentenlose Umfang auf Anti-Malware und Integritätsüberwachung (Deep Security 20 Help Center, 2024). In Rechenzentren mit hoher VM-Dichte ist dies der Weg, Schutz zu bieten, ohne auf jeder VM einen Agenten zu installieren; bei kurzlebigen, aus Vorlagen erzeugten Maschinen entfällt zudem der Aufwand für die Verwaltung des Agent-Lebenszyklus.

Auf der Cloud-Seite lässt sich der Deep Security Agent auf den unterstützten Plattformen installieren, die auf Amazon AWS, Google Cloud Platform und Microsoft Azure laufen — mit vollem Support (Deep Security Agent platforms, 2024). Die Inventarverwaltung wird über Konnektoren automatisiert: Wird dem Deep Security Manager ein AWS-Konto hinzugefügt, werden alle EC2- und WorkSpaces-Instanzen übernommen, bei einem GCP-Konto alle GCP-VM-Instanzen; der Azure-Konnektor synchronisiert das VM-Inventar alle 10 Minuten (Deep Security 20 Help Center, 2024). In automatisch skalierenden Cloud-Umgebungen hängt es von diesem Mechanismus ab, dass ein neu hochgefahrener Server nicht ohne Richtlinie bleibt.

Beim Thema Container stellen wir den Umfang nicht größer dar, als er ist. Die offizielle Dokumentation zur Agent-Kompatibilität beschreibt die Unterstützung von Docker-Hosts und -Containern auf Linux-Distributionen. Kubernetes-Schutz auf Clusterebene — Registry-Image-Scan, Admission Control, Richtlinien auf Pod-Ebene — ist in der aktuellen Dokumentation zu Deep Security 20 LTS nicht ausgewiesen, weshalb wir diesen Umfang als eigene Komponente über das Container-Security-Modul der Plattform Trend Vision One positionieren. Wenn Sie eine Architektur auf EKS, AKS oder GKE betreiben, klären wir den Umfang zu Projektbeginn schriftlich.

Was leistet Deep Security in PCI-DSS- und KVKK-Audits?

Der Compliance-Wert von Deep Security besteht nicht darin, eine einzelne Anforderung abzudecken, sondern für mehrere Anforderungen zugleich technische Kontrolle und auditierbaren Nachweis zu liefern. PCI DSS v4.0 Anforderung 11.5.1 verlangt, dass Techniken zur Angriffserkennung und/oder -abwehr den gesamten Verkehr am Perimeter der Karteninhaberdatenumgebung (CDE) und an kritischen Punkten darin überwachen und dass Signaturen und Baselines aktuell gehalten werden; 11.5.1.1 macht für Dienstleister die Erkennung verdeckter bösartiger Kommunikationskanäle ab dem 31. März 2025 verpflichtend. Anforderung 11.5.2 schreibt die Einrichtung eines Mechanismus zur Änderungserkennung wie Dateiintegritätsüberwachung sowie mindestens wöchentliche Vergleiche kritischer Dateien vor (PCI Security Standards Council, 2022).

Ein häufig anzutreffendes Missverständnis sei ebenfalls korrigiert: Virtuelles Patching ist in PCI DSS keine „genehmigte kompensierende Kontrolle“. Der PCI SSC genehmigt in keinem seiner Dokumente eine bestimmte Technologie als kompensierende Kontrolle; Anhang B des Standards besagt lediglich, dass nur Organisationen mit einer legitimen und dokumentierten technischen oder geschäftlichen Einschränkung diesen Weg über das Compensating Controls Worksheet (CCW) beschreiten können, und die Anerkennung liegt vollständig im Ermessen des QSA. Der korrekte Rahmen lautet: Intrusion Prevention ist ohnehin eine direkte Anforderung aus 11.5.1 und Dateiintegritätsüberwachung eine direkte Anforderung aus 11.5.2. Die Diskussion über kompensierende Kontrollen kommt nur dann auf, wenn das Ein-Monats-Patchfenster aus 6.3.3 nicht eingehalten werden kann; auch dann muss die Organisation die Begründung selbst dokumentieren.

Auf der KVKK-Seite ist Artikel 12 des türkischen Gesetzes Nr. 6698 (KVKK, türkisches Datenschutzgesetz) die Grundlage: Der Verantwortliche ist verpflichtet, alle technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus zu ergreifen, um die rechtswidrige Verarbeitung personenbezogener Daten und den rechtswidrigen Zugriff darauf zu verhindern sowie deren Aufbewahrung sicherzustellen (KVKK, 2016). In Tabelle 4.1 „Übersicht der technischen Maßnahmen“ des Leitfadens der Behörde zur Sicherheit personenbezogener Daten werden Angriffserkennungs- und -abwehrsysteme, Protokollaufzeichnungen, Firewalls und aktuelle Antivirensysteme ausdrücklich genannt; derselbe Leitfaden definiert Patch-Management und Software-Updates als notwendige Elemente zum Schließen möglicher Sicherheitslücken (KVKK Leitfaden zur Sicherheit personenbezogener Daten). Genau diese Punkte deckt Deep Security auf der Serverebene ab.

Der Leitfaden empfiehlt zudem mehrschichtige und regelmäßig überprüfte ergänzende Maßnahmen und hält fest, dass „die Auffassung, mit dem Einsatz eines einzigen Cybersicherheitsprodukts lasse sich vollständige Sicherheit erreichen, nicht immer zutrifft“. Deshalb positionieren wir Deep Security nicht isoliert, sondern zusammen mit den Ebenen Endpoint, Netzwerk und E-Mail innerhalb der gesamten Trend Micro Lösungsfamilie. Auch in Europa besteht ein vergleichbarer regulatorischer Druck: Laut ENISA Threat Landscape 2025 betreffen 53,7 % der in der EU analysierten Vorfälle wesentliche Einrichtungen im Anwendungsbereich der NIS2-Richtlinie, und der am häufigsten angegriffene Sektor ist mit 38,2 % die öffentliche Verwaltung (ENISA, 2025).

Worin unterscheiden sich Deep Security, Apex One und TippingPoint?

Die drei schützen unterschiedliche Ebenen und ersetzen einander nicht. Deep Security wirkt auf der Server- und Workload-Ebene, Apex One Endpoint-Schutz auf der Ebene der Anwendergeräte und TippingPoint inline im Netzwerksegment. Das typische Problem beim Einsatz eines Endpoint-Agenten auf Servern besteht darin, dass servertypische Kontrollen — Integritätsüberwachung, Log Inspection, serverbasierte Firewall und virtuelles Patching — fehlen; genau diese Lücke schließt Deep Security.

Besteht Bedarf an tiefer Sichtbarkeit auf Netzwerkebene, wird die Architektur durch Deep Discovery mit Netzwerkerkennung und Sandbox-Analyse ergänzt; in Organisationen, die die Perimeter-Firewall-Ebene mit einem anderen Hersteller betreiben, lässt sich ein Design entwerfen, das mit der bestehenden Firewall zusammenarbeitet. Durch seine Position auf dem Host protokolliert Deep Security auch serverinterne Ereignisse im Ost-West-Verkehr, die ein Netzwerkgerät nicht sehen kann — bei verschlüsseltem internem Verkehr wird dieser Unterschied entscheidend.

Wie fügt sich Deep Security mit Trend Vision One XDR zusammen?

Deep Security kann eigenständig mit seiner eigenen Konsole betrieben werden, gewinnt aber an Wert, wenn seine Telemetrie in die XDR-Korrelation einfließt. Trend Vision One verfügt über sechs native Sicherheitssensoren: Endpoint, Cloud, E-Mail, Netzwerk, Server und Identität (Trend Micro Newsroom, 2025). Dank des Serversensors lässt sich der Sprung einer Kette, die mit einer Phishing-Mail beginnt, vom Endpoint auf den Server in einem einzigen Ereignisgraphen nachvollziehen. Andernfalls bleiben die IPS-Blockade auf dem Server und der verdächtige Prozess auf dem Endpoint zwei getrennt untersuchte und meist nicht miteinander verknüpfte Warnungen.

Auf der Log-Seite wurde die Komponente Agentic SIEM von Vision One am 1. August 2025 verfügbar gemacht; sie unterstützt mehr als 900 Datenquellen und bietet eine Datenaufbewahrung von bis zu 2 Jahren für Analytik und bis zu 7 Jahren im Archiv (Trend Micro Newsroom, 2025). In Organisationen, die Auditnachweise langfristig vorhalten müssen, sollte zu Projektbeginn als Architekturentscheidung geklärt werden, wohin die Ausgaben der Log Inspection geschrieben werden — in das eigene SIEM der Organisation oder auf die Vision-One-Seite. Ein weiterer Grund, auf der Serverebene einen eigenständigen Audit-Trail zu führen, ist das Lieferkettenrisiko: Laut Verizon 2025 DBIR hat sich der Anteil der Sicherheitsverletzungen mit Beteiligung Dritter binnen eines Jahres von 15 % auf 30 % verdoppelt (Verizon DBIR, 2025). Dass Änderungen eines externen Dienstleisters, der zu Wartungs- oder Supportzwecken auf den Server zugreift, in den Aufzeichnungen der Integritätsüberwachung und der Log Inspection sichtbar werden, ist die Grundlage jeder nachträglichen Untersuchung.

Wie funktioniert die Lizenzierung von Trend Deep Security und wo wird es bezogen?

Die Lizenzierung erfolgt über die Anzahl der geschützten Server und Workloads, den aktivierten Modulsatz und die Vertragslaufzeit. Die On-Premises-Installation von Deep Security und das Abonnement für Workload Security auf der Cloud-Seite werden mit unterschiedlichen kommerziellen Modellen angeboten. Auf dieser Seite veröffentlichen wir keine Preise; die richtige Zahl ergibt sich erst, wenn Inventar (physische Server, virtuelle Maschinen, Cloud-Instanzen), Modulumfang und Supportlevel geklärt sind. Lassen Sie uns gemeinsam das Inventar Ihrer Umgebung erstellen und fordern Sie ein Angebot an — eine Zahl ohne vorherige Erhebung wäre irreführend.

Sora Yazılım liefert als autorisierter Trend Micro Channel-Partner Lizenzierung, Installation, KVKK-konformen Betrieb und Incident-Response-Unterstützung aus einer Hand. Die globale Supportkapazität auf Herstellerseite stützt sich auf 6.000 TrendAI-Experten in 75 Ländern (Trend Micro Newsroom, 2026). Da die Produktbezeichnungen mit dem Markenwechsel im März 2026 aktualisiert wurden, lassen wir in Verträgen schriftlich bestätigen, welche SKU welches Modul abdeckt; der Modulumfang darf im Nachhinein keine Überraschung sein.

Wie läuft der Einführungsprozess ab?

Wir führen den Prozess in vier Schritten durch. Im ersten Schritt werden Inventar und Umfang erhoben: Welche Server liegen in der Karteninhaberdatenumgebung, welche laufen mit abgekündigten Betriebssystemen, welche lassen sich wegen einer Anwendungszertifizierung nicht patchen? Im zweiten Schritt wird der Agent in einer begrenzten Pilotgruppe installiert und die IPS-Regeln werden zunächst nur im Erkennungsmodus betrieben; keine Regel wird in den Blockiermodus versetzt, bevor bestätigt ist, dass sie im Produktivverkehr keine Fehlalarme erzeugt. Im dritten Schritt werden die Richtliniensätze nach Serverrolle differenziert. Im vierten Schritt werden die Ausgaben der Log Inspection an das SIEM weitergeleitet und das Compliance-Reporting automatisiert.

In Cloud- und Hybridarchitekturen führen wir die Installation im Rahmen unserer DevOps- und Infrastrukturleistungen automatisiert durch: Die Agent-Installation wird in das Maschinenimage oder in die Konfigurationsmanagement-Werkzeuge eingebettet, damit in automatisch skalierenden Gruppen kein neu gestarteter Server ohne Richtlinie bleibt. Bei Projekten, die eine Hardware-Erneuerung erfordern, gehen wir gemeinsam mit der Kapazitätsplanung auf Seiten der HP Serverlösungen vor. Um im Ransomware-Szenario die Wiederherstellungsseite zu stärken, empfehlen wir einen integrierten Plan mit Acronis Cyber Protect Backup; Schutzebene und Wiederherstellungsebene müssen getrennt voneinander getestet werden.

Zusammenfassung: Trend Deep Security macht mit Host-IPS und virtuellem Patching das Patch-Zeitfenster bei Server-Workloads beherrschbar, erzeugt mit Dateiintegritätsüberwachung und Log Inspection Nachweise für PCI-DSS- und KVKK-Audits und wendet dieselbe Richtlinienlogik agentenlos in VMware NSX und agentenbasiert in AWS/Azure/GCP an. Lassen Sie uns gemeinsam Ihr Serverinventar, Ihren Compliance-Umfang und Ihre nicht patchbaren Systeme bewerten und einen modulbezogenen Umfangs- und Lizenzplan erstellen: fordern Sie über das Kontaktformular ein Angebot an, damit unser technisches Team mit der Inventarisierung beginnen kann.