Trend Vision One

Trend Vision One XDR ist die Unternehmens-Sicherheitsplattform von Trend Micro (die Unternehmenssparte firmiert seit März 2026 unter dem Namen TrendAI™), die Telemetrie aus sechs nativen Sicherheitssensoren – Endpoint, Server, E-Mail, Netzwerk, Cloud und Identität – in einer einzigen Datenschicht sammelt und korreliert (Trend Micro Newsroom, 2025). Erkennung und Reaktion (XDR), Angriffsflächen-Risikomanagement (ASRM / Cyber Risk Exposure Management), Automatisierung (SOAR) und der Managed Service für Detection und Response (MDR) laufen in derselben Konsole; ein Wechsel zwischen separaten Produktoberflächen entfällt.

Die Erkennungsstärke der Plattform lässt sich an unabhängigen Bewertungen ablesen: In der im Dezember 2024 veröffentlichten Runde der MITRE ATT&CK Evaluations erreichte Vision One in allen Hauptschritten des Angriffs 100 % und in allen Teilschritten 99 % analytische Abdeckung (Trend Micro Newsroom, 2024). Als Sora Yazılım verantworten wir in der Türkei als autorisierter Channel-Partner die Lizenzierung, die Inbetriebnahme, die Integration in Ihre bestehenden SIEM- und SOC-Umgebungen sowie den KVKK-konformen Betrieb dieser Plattform (KVKK: türkisches Datenschutzgesetz).

Was ist Trend Vision One und welche Telemetriequellen vereint es in einer Konsole?

Vision One ist eine XDR-Plattform, die statt der getrennten Prüfung einzelner Produktalarme deren Rohtelemetrie in einem gemeinsamen Datenmodell zusammenführt und als eine einzige Ereigniskette darstellt. Sechs native Sensoren – Endpoint, Server und Workload, E-Mail, Netzwerk, Cloud, Identität – werden von den eigenen Agenten von Trend gespeist. Drittanbieterquellen kommen über die Agentic-SIEM-Schicht hinzu: Diese am 1. August 2025 verfügbar gemachte Komponente unterstützt seit dem Start mehr als 900 Datenquellen und bietet bis zu 2 Jahre analytische sowie bis zu 7 Jahre Archivaufbewahrung (Trend Micro Newsroom, 2025).

Operativ wichtig ist ein Detail: die Zeit, die es braucht, bis ein neuer Log-Typ in der Plattform bekannt gemacht ist. Nach Angaben des Herstellers liegt diese Zeitspanne heute bei etwa drei Tagen; das Ziel ist, sie im Laufe des Jahres 2026 auf drei Stunden zu senken (Trend Micro Newsroom, 2025). In der Praxis bedeutet das, dass Sie kein separates Entwicklungsprojekt starten müssen, um die Protokolle einer intern genutzten Nischenanwendung in die Korrelation einzubeziehen. Sobald eine Datenquelle hinzugefügt ist, gelten dieselbe Abfragesprache, dieselbe Workbench und dieselben Automatisierungsregeln auch für diese Quelle.

Warum reichen einzelne Produktkonsolen heute nicht mehr aus?

Der Grund ist, dass Angriffsketten nicht auf einer Ebene bleiben. Der Verizon Data Breach Investigations Report 2025 untersuchte 12.195 bestätigte Sicherheitsverletzungen aus 139 Ländern; 60 % der Verletzungen enthalten einen menschlichen Faktor, und in 44 % ist Ransomware beteiligt (Verizon 2025 DBIR). Derselbe Bericht hält fest, dass die Ausnutzung von Schwachstellen als initialer Zugangsvektor um 34 % gewachsen ist und inzwischen 20 % der Verletzungen ausmacht. Auf europäischer Seite analysierte ENISA Threat Landscape 2025 im Zeitraum vom 1. Juli 2024 bis 30. Juni 2025 4.875 Vorfälle mit Zielen in der EU und bestimmte Phishing mit 60 % als häufigsten initialen Zugangsvektor; es folgt die Ausnutzung von Schwachstellen mit 21,3 % (ENISA Threat Landscape 2025).

Auch die Kostenseite stützt dieses Bild: Laut dem IBM Cost of a Data Breach Report 2025 beträgt der weltweite durchschnittliche Lebenszyklus einer Verletzung – die Zeit bis zur Erkennung und Eindämmung – 241 Tage, die durchschnittlichen Kosten einer Verletzung 4,44 Millionen US-Dollar (IBM Newsroom, 2025). Wenn ein Angriff mit einer E-Mail beginnt, auf dem Endpoint ein Werkzeug ausführt, auf der Identitätsebene Rechte ausweitet und auf dem Server Daten abfließen lässt, verkürzt es die 241 Tage nicht, diese vier Schritte einzeln in vier getrennten Konsolen zu betrachten. Genau das ist das Problem, das Vision One lösen will: die Schritte miteinander zu verbinden und auf eine einzige Reaktionsentscheidung zu reduzieren.

Wie ist Trend Vision One XDR in unabhängigen Analysten- und technischen Bewertungen positioniert?

Die kurze Antwort: Die Plattform steht sowohl in der Kategorie Endpoint-Schutz als auch im Angriffsflächenmanagement in Leader-Positionen und hat in den MITRE ATT&CK Evaluations vollständige Abdeckungswerte veröffentlicht. Die folgende Tabelle enthält ausschließlich überprüfbare, vom Hersteller oder von Analysten publizierte Ergebnisse.

Der in der Managed-Services-Runde von MITRE bewertete Service war der unmittelbar über Vision One erbrachte MDR; das Szenario ahmte die Taktiken, Techniken und Prozeduren der staatsnahen Gruppe menuPass (APT10) und des Ransomware-as-a-Service-Kollektivs BlackCat/AlphV nach (Trend Micro Newsroom, 2024). In der Runde vom Dezember 2024 wurde in allen Teilschritten unter Linux und macOS sowie auf der Windows-/Linux-Serverplattform 100 % analytische Abdeckung erreicht; diese Runde umfasste Ransomware-Angriffe gegen Linux und macOS sowie nordkoreanisch zugeordnete Angriffe auf macOS (Trend Micro Newsroom, 2024). Der Hersteller gibt an, dass seine Produkte seit 2020 in den MITRE Engenuity ATT&CK Evaluations eine Erkennungsrate von 100 % erreichen.

Woher stammt die Schwachstellen-Intelligence hinter der Plattform?

An erster Stelle der Quellen, die die Erkennungsinhalte speisen, steht das 2005 gegründete Programm Zero Day Initiative (ZDI). Die ZDI arbeitet heute mit Forschungsteams in 14 globalen Threat Centern und mehr als 19.000 unabhängigen Forschern; das Programm hat seit 2007 über 15.000 Schwachstellen offengelegt und nach Daten von Omdia Research allein 73 % aller weltweiten Offenlegungen des Jahres 2024 verantwortet (Zero Day Initiative, 2024). Beim Wettbewerb Pwn2Own Ireland 2025 wurden 73 einzigartige Zero-Day-Schwachstellen aufgedeckt und insgesamt 1.024.750 US-Dollar an Preisgeldern ausgeschüttet; der Hersteller gibt an, seine Kunden dank dieser Forschung im Branchenvergleich durchschnittlich 71 Tage früher vor Zero-Day-Exploits schützen zu können (Trend Micro Newsroom, 2025).

Warum wurde der Markenname zu TrendAI geändert?

Die Unternehmenssparte für Sicherheit von Trend Micro erhielt am 23. März 2026 den Namen TrendAI; die Muttergesellschaft behielt den Namen Trend Micro Incorporated (Trend Micro Newsroom, 2026). Auf den offiziellen Seiten lautet der Produktname nun "TrendAI Vision One". Es handelt sich um eine Änderung des Markennamens; Konsole, Mandantenstruktur, Credit-Guthaben und laufende Verträge sind davon nicht betroffen. In der Türkei wird die gesamte Trend Micro Lösungsfamilie weiterhin über dieselbe Channel-Struktur lizenziert; dass Sie in Dokumenten und Angeboten beide Namen nebeneinander sehen, ist normal.

In welchem Verhältnis stehen Apex One und Deep Security zu Trend Vision One?

Vision One ist eine Plattform, Apex One und Deep Security sind Sensoren, die dieser Plattform Telemetrie liefern; sie sind keine Alternativen, sondern Ergänzungen zueinander. Apex One Endpoint-Schutz übernimmt auf Desktop- und Notebook-Rechnern die Aufgabe von EPP und EDR. Deep Security Server- und Workload-Schutz führt auf physischen, virtuellen und Cloud-Servern die acht in der offiziellen Dokumentation definierten Schutzmodule aus: Intrusion Prevention, Anti-Malware, Firewall, Web Reputation, Integrity Monitoring, Log Inspection, Application Control und Device Control (Deep Security 20 Help Center, 2024).

Ohne Vision One laufen diese Produkte in ihren eigenen Konsolen und erfüllen ihren Zweck eigenständig. Mit Vision One werden der Endpoint-, der Server- und der E-Mail-Strang desselben Vorfalls in einer Kette sichtbar; auch die Reaktionsentscheidung fällt an einer Stelle. Die folgende Tabelle vergleicht die Rollen der drei Produkte.

Dieselbe Logik gilt für die Netzwerk- und E-Mail-Ebene. Die Lösung Deep Discovery Netzwerkerkennung und -reaktion überwacht alle Netzwerkports und mehr als 100 Netzwerkprotokolle und deckt damit sowohl Nord-Süd- als auch Ost-West-Verkehr ab (Deep Discovery Inspector Datenblatt, 2024). Kunden von TippingPoint Next-Generation IPS sind bei Schwachstellen aus der ZDI im Durchschnitt 96 Tage vor dem Hersteller-Patch geschützt (Omdia Research, 2025). Auf der Seite von Trend Email Security erkannte und blockierte die Plattform im Jahr 2024 57 Millionen hochriskante E-Mail-Bedrohungen; das ist ein Anstieg von 27 % gegenüber 45 Millionen im Jahr 2023 (Trend 2025 Cyber Risk Report). Jeder dieser Sensoren ist einzeln beschaffbar; Vision One ist die Schicht, die sie in einer gemeinsamen Ereigniskette zusammenführt.

Was bringen der KI-Assistent Companion und Agentic SIEM dem SOC-Team?

Companion ist ein in die Konsole eingebetteter generativer KI-Assistent: Er fasst Alarme in natürlicher Sprache zusammen, erklärt komplexe Befehlszeilen und Skripte, erzeugt Abfragen und schlägt Reaktionsschritte vor. Laut der Ankündigung des Herstellers zum Marktstart kann Companion Reaktionszeiten bei Sicherheitsvorfällen um 30 % beschleunigen, pro Vorfallbericht bis zu zwei Stunden einsparen und den Zeitaufwand für manuelle Risikobewertung und Bedrohungsrecherche um 50 % oder mehr senken (Trend Micro Newsroom, 2023).

Praktisch bedeutet das: Die Aufgaben, für die Analysten der ersten und zweiten Ebene am meisten Zeit aufwenden – einen verschleierten PowerShell-Befehl entschlüsseln, herausfinden, welcher MITRE-ATT&CK-Technik ein Alarm entspricht, die Vorfallzusammenfassung für das Management schreiben – werden vom Assistenten als erster Entwurf erzeugt. Die endgültige Entscheidung bleibt beim Analysten; der Assistent ist keine Freigabeinstanz, sondern eine Vorbereitungsschicht. Fragen lassen sich auf Türkisch stellen, technische Berichtsausgaben werden jedoch überwiegend auf Englisch erzeugt. Für Teams, die KI-gestützte Arbeitsabläufe im Unternehmen ausbreiten wollen, kommt unsere Leistung KI- und LLM-Beratung zum Einsatz, um Companion-Ausgaben an unternehmensinterne Reporting- und Freigabeprozesse anzubinden.

Ersetzt Agentic SIEM unsere bestehende SIEM-Investition?

Das kommt darauf an. Agentic SIEM ist die Komponente, die der Datenschicht von Vision One Log-Quellen von Drittanbietern hinzufügt und sie in derselben Engine wie die XDR-Korrelation auswertet; mit Unterstützung für mehr als 900 Datenquellen sowie 2 Jahren analytischer und 7 Jahren Archivaufbewahrung kommt sie dem Umfang eines klassischen SIEM nahe (Trend Micro Newsroom, 2025). Wenn in Ihrer Organisation dagegen eine seit Langem betriebene, mit eigenen Korrelationsregeln und Compliance-Berichten gereifte Installation von Splunk, Microsoft Sentinel oder QRadar existiert, besteht der verbreitete Ansatz darin, Vision One als Quelle zu positionieren, die diesem SIEM hochwertige Ereignisse zuliefert. Welches Modell richtig ist, bestimmen Ihr Log-Volumen, Ihre Aufbewahrungspflichten und Ihre laufenden Lizenzverträge; diese Entscheidung treffen wir zu Projektbeginn gemeinsam.

Was misst das Angriffsflächen-Risikomanagement (CREM) und wie senkt man den Risiko-Score?

Cyber Risk Exposure Management (CREM) – in der Plattform die Fortführung von ASRM – führt Asset-Inventar, Schwachstellendaten, Fehlkonfigurationen und Identitätsrisiken zusammen und erzeugt daraus einen laufend aktualisierten Risiko-Score für die Organisation. Dieses Modul wurde in der Bewertung IDC MarketScape: Worldwide Exposure Management als Leader positioniert (TrendAI, 2025); die Angriffsflächen-Management-Fähigkeiten der Plattform wurden im Bericht The Forrester Wave: Attack Surface Management Solutions, Q3 2024 als Leader bewertet, wobei der Bericht hervorhebt, dass sie Identitäten, Netzwerke und ein breites Gerätespektrum abdecken (Forrester Wave ASM Report, 2024).

Damit ein Risiko-Score aussagekräftig ist, braucht es eine Vergleichsbasis. Bei der aus der eigenen Telemetrie von Trend berechneten Messung des Cyber Risk Index fiel der Durchschnitt der Organisationen für das Jahr 2024 auf einer Skala von 0 bis 100 mit 38,4 in das Band "mittleres Risiko"; der Index verbesserte sich im Jahresverlauf von 42,5 im Februar auf 36,3 im Dezember und damit um 6,2 Punkte (Trend 2025 Cyber Risk Report). Den eigenen Score mit diesem Durchschnitt zu vergleichen liefert einen konkreten Ausgangspunkt für die Budgetpriorisierung: Liegen Sie deutlich über dem Durchschnitt, liegt das Problem höchstwahrscheinlich nicht an fehlenden Produkten, sondern an ungeschlossenen Grundlagen der Sicherheitshygiene.

Tatsächlich erfordert ein erheblicher Teil der Maßnahmen, die den Risiko-Score senken, kein neues Sicherheitsprodukt, sondern Infrastrukturdisziplin: ungepatchte Server, ins Internet offene Verwaltungsports, herrenlose Dienstkonten, abgelaufene Zertifikate, Administratorkonten ohne Mehrfaktor-Authentifizierung. Auf dieser Seite verbinden wir mit unseren DevOps- und Infrastrukturleistungen die CREM-Befunde mit Patch-, Konfigurations- und Zugriffsautomatisierung; so wird aus der Liste im Bericht eine dauerhafte Verbesserung. Für Systeme, die sich nicht patchen lassen, kommt Virtual Patching zum Einsatz: Das Modul Intrusion Prevention von Deep Security schirmt bekannte Schwachstellen regelbasiert ab, bis der Patch eingespielt ist (Deep Security 20 Help Center, 2024).

Wie funktionieren Lizenzierung, Bereitstellung und Managed-Service-Optionen bei Trend Vision One?

Was ist die kreditbasierte Flex-Lizenzierung?

Vision One wird über ein kreditbasiertes Modell namens Flex lizenziert. Credits werden für einen bestimmten Zeitraum erworben, für eine Lösung aktiviert und monatlich nach tatsächlicher Nutzung abgezogen; nicht genutzte Credits können innerhalb der Vertragslaufzeit auf eine andere Lösung übertragen werden, und es müssen keine separaten Lizenzschlüssel je Produkt verwaltet werden. Das Modell macht mehr als 30 Vision-One-Lösungen unter einer einzigen Vertragsposition nutzbar (TrendAI Flex Licensing).

Der praktische Nutzen dieses Modells liegt darin, dass sich der Bedarf im Jahresverlauf ändern kann. Eine Organisation, die im Pilotbetrieb schwerpunktmäßig mit Endpoints startet, kann sechs Monate später den Schwerpunkt auf den E-Mail- oder Cloud-Sensor verlagern; das Credit-Guthaben lässt diesen Wechsel zu und macht einen neuen Beschaffungsprozess überflüssig. Der Stückpreis je Credit hängt von der Unternehmensgröße, der Vertragslaufzeit und der gewählten Lösungskombination ab; deshalb erstellen wir statt eines Listenpreises eine Verbrauchsprognose für Credits und ein individuelles Angebot auf Basis Ihres Inventars.

Läuft Vision One ausschließlich in der Cloud?

Nein. Die im Markt häufig gehörte Aussage "Vision One ist nur SaaS" trifft nicht mehr zu. Die Plattform kann sowohl in der von TrendAI betriebenen Cloud als auch in der eigenen privaten Cloud der Organisation, im eigenen Rechenzentrum und in isolierten Umgebungen ohne Außenanbindung positioniert werden (TrendAI Deployment Options, 2026).

Bei der souveränen und privaten Cloud-Bereitstellung bleiben alle Daten, Metadaten und Betriebsvorgänge innerhalb der Souveränitätsgrenze der Organisation; Schlüsselverwaltung, Auditprozesse und operative Kontrollen verbleiben beim Kunden (TrendAI Sovereign and Private Cloud, 2026). Für Organisationen mit strikten Vorgaben zur Datenresidenz bedeutet das, dass die größte Hürde entfällt, die Vision One bislang ausgeschlossen hat.

Für wen eignet sich Service One (MDR)?

Die kurze Antwort: für Organisationen, die keine Analystenmannschaft für den 24/7-Betrieb aufbauen können, aber Erkennung und Reaktion auf Unternehmensniveau erwarten. Service One ist der über die Plattform Vision One erbrachte Managed Service für Detection und Response. Genau dieser Service wurde in der Managed-Services-Runde der MITRE Engenuity ATT&CK Evaluations bewertet: Alle 15 Hauptschritte des Angriffs wurden erkannt, und 86 % dieser Schritte wurden handlungsrelevant analysiert (Trend Micro Newsroom, 2024). Der Hersteller gibt zudem an, in der Bewertung 2026 IDC MarketScape for MDR for Midmarket als "Major Player" benannt worden zu sein (TrendAI, 2026).

In der Türkei erbringen wir diesen Service zweistufig: Das globale MDR-Team übernimmt die durchgängige Überwachung und das Threat Hunting, während Sora Yazılım während der lokalen Geschäftszeiten Inbetriebnahme, Richtlinienänderungen, Ursachenanalyse nach Vorfällen und das interne Reporting verantwortet. In Organisationen, die ihr eigenes Security Operations Center aufbauen, kehrt sich das Modell um: Plattform und Entscheidungshoheit bleiben bei Ihnen, wir liefern Inbetriebnahme, Skalierung und regelmäßige Health-Checks.

Was leistet Vision One in der Türkei mit Blick auf KVKK- und PCI-DSS-Compliance?

Artikel 12 des türkischen Gesetzes Nr. 6698 zum Schutz personenbezogener Daten (KVKK) verpflichtet den Verantwortlichen, "alle erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus zu treffen", um die rechtswidrige Verarbeitung personenbezogener Daten und den rechtswidrigen Zugriff darauf zu verhindern sowie deren Aufbewahrung sicherzustellen (KVKK, Pflichten zur Datensicherheit). Der Leitfaden der Behörde zur Sicherheit personenbezogener Daten führt Systeme zur Angriffserkennung und -abwehr, Protokolldaten, Firewalls und aktuelle Virenschutzsysteme ausdrücklich unter den möglichen technischen Maßnahmen auf (KVKK Leitfaden zur Sicherheit personenbezogener Daten).

Derselbe Leitfaden empfiehlt mit der Feststellung, dass die Auffassung, vollständige Sicherheit lasse sich mit dem Einsatz eines einzigen Cybersicherheitsprodukts erreichen, nicht immer zutrifft, die Umsetzung mehrschichtiger und regelmäßig überprüfter ergänzender Maßnahmen (KVKK-Leitfaden). Genau hier liegt der Compliance-Wert von Vision One: Es ersetzt die mehrschichtigen Maßnahmen nicht, sondern führt sie in einer einzigen, prüfbaren Nachweiskette zusammen. Für Audits mit langen Aufbewahrungsfristen lässt sich die Archivaufbewahrung von Agentic SIEM nutzen, für Organisationen mit Anforderungen an die Datenresidenz die Bereitstellung in souveräner Cloud oder On-Premises.

In Organisationen, die Kartendaten verarbeiten, greift der Rahmen PCI DSS v4.0 unmittelbar. Anforderung 11.5.1 verpflichtet dazu, mit Techniken zur Angriffserkennung und/oder -abwehr den gesamten Verkehr am Perimeter der Karteninhaberdaten-Umgebung und an kritischen Punkten darin zu überwachen und die Signaturen aktuell zu halten; 11.5.2 fordert die Einrichtung eines Mechanismus zur Änderungserkennung wie die Integritätsüberwachung von Dateien und einen Vergleich kritischer Dateien mindestens einmal wöchentlich. Anforderung 6.3.3 verlangt zudem, dass kritische oder hoch eingestufte Sicherheitspatches innerhalb eines Monats nach ihrer Veröffentlichung installiert werden (PCI DSS v4.0 SAQ D for Service Providers). Die ersten beiden Anforderungen haben eine direkte Produktentsprechung: für 11.5.1 TippingPoint oder das Modul Intrusion Prevention von Deep Security, für 11.5.2 das Modul Integrity Monitoring. Die Entsprechung zu 6.3.3 ist der Patch selbst; Virtual Patching ist eine ergänzende Kontrolle, die das Risiko bis zum Einspielen des Patches senkt, aber die Anforderung nicht ersetzt. Der PCI SSC genehmigt keine Technologie vorab als kompensierende Kontrolle – der Einsatz kompensierender Kontrollen erfordert eine dokumentierte technische oder geschäftliche Einschränkung sowie die Beurteilung eines QSA. Vision One führt die Ergebnisse dieser Kontrollen in einer einzigen Reporting-Schicht zusammen.

Je kleiner die Organisation, desto anders die Rechnung. Für Unternehmen mit zehn bis wenigen hundert Anwendern und ohne eigenes Sicherheitsteam kann Worry-Free Business Security der geeignetere Ausgangspunkt sein; die Entscheidung für Vision One wird in der Regel dann sinnvoll, wenn eine Struktur mit mehreren Standorten, eine regulierte Branche oder das Ziel eines internen Sicherheitsbetriebs ins Spiel kommt.

Zusammengefasst ist Trend Vision One XDR eine Sicherheitsplattform, welche die Telemetrie von sechs nativen Sensoren in einer Datenschicht vereint, mit dem KI-Assistenten Companion und Agentic SIEM die Analystenlast senkt, mit CREM die Angriffsfläche laufend bewertet und über das kreditbasierte Flex-Modell lizenziert wird. Die Bereitstellungsoptionen von SaaS bis zur isolierten (Air-Gapped) Installation machen sie auch für Organisationen mit Anforderungen an die Datenresidenz umsetzbar. Sie ersetzt Apex One und Deep Security nicht, sondern führt sie in derselben Ereigniskette zusammen.

Als Sora Yazılım führen wir als autorisierter Channel-Partner von Trend Micro Inventarerhebung, Credit-Dimensionierung, Pilotbereitstellung, Integration von SIEM und Verzeichnisdienst, KVKK-konformes Richtliniendesign, Analystenschulung und Unterstützung bei Sicherheitsvorfällen aus einer Hand durch. Teilen Sie uns Ihr bestehendes Endpoint-, Server- und E-Mail-Inventar mit; wir erstellen ein Angebot mit Umfang, Credit-Schätzung und Zeitplan für die Inbetriebnahme – fordern Sie ein Angebot an.