Endpoint- und Mail-Security mit Trend Micro in Berlin

• Welches Produkt für wen
• Apex One
• Worry-Free
• ScanMail
• Cloud
• Wie lange trägt on-prem?
• Wann wir abraten
• Betrieb
• Häufige Fragen

Welches Produkt für wen – und wo die Konsole steht

Trend Micro schützt bei unseren Kunden Arbeitsplätze, Server und den Exchange Server. Die Schutztechnik ist in allen Produkten eng verwandt. Der Unterschied liegt darin, wie groß die Umgebung ist, wie viel Kontrolle Sie brauchen – und ob die Verwaltung auf einem Server bei Ihnen läuft oder beim Hersteller.

Produkt	Passt für	Schützt	Verwaltung
Apex One	Umgebungen, die mehr Kontrolle und Zusatzmodule brauchen	Windows-Arbeitsplätze und -Server, Macs	Server im eigenen Haus, mehrere Server und ScanMail gemeinsam über Apex Central
Worry-Free Business Security Advanced	kleinere Umgebungen, die es schlank mögen	Windows-Arbeitsplätze und -Server, zusätzlich den Exchange Server	Security Server im eigenen Haus
ScanMail for Microsoft Exchange	alle, die Exchange Server selbst betreiben	Mailfluss und Postfächer auf dem Exchange Server	eigene Webkonsole, optional über Apex Central
Worry-Free Services	kleinere Umgebungen ohne eigenen Verwaltungsserver	Windows, Mac, mobile Geräte; in der Advanced-Stufe auch Microsoft 365	Cloud-Konsole des Herstellers
TrendAI Vision One Endpoint Security	Apex-One-Kunden, die die Konsole abgeben oder XDR nutzen wollen	Windows, Mac, Server	Cloud-Plattform des Herstellers

Apex One: Endpoint-Schutz mit der Konsole im eigenen Haus

Apex One ist das Endpoint-Produkt von Trend Micro für Umgebungen, die mehr brauchen als einen Virenscanner mit Standardeinstellungen. Der Server läuft bei Ihnen, die Agenten auf Windows-Arbeitsplätzen, Windows-Servern und Macs. Mehrere Apex-One-Server – oder Apex One und ScanMail zusammen – lassen sich über Apex Central in einer gemeinsamen Konsole führen, mit einem Dashboard und einheitlichen Berichten.

Mehrere Erkennungsschichten statt nur Signaturen

Neben klassischen Mustern prüft Apex One Dateien per maschinellem Lernen vor und während der Ausführung, beobachtet das Verhalten von Skripten und Prozessen, bewertet Dateien und Webadressen nach ihrem Ruf und blockiert Verbindungen zu bekannten Steuerservern. Gegen Ransomware überwacht der Agent auffällige Verschlüsselungsvorgänge, beendet sie und kann betroffene Dateien wiederherstellen. Das ersetzt kein Backup, verkleinert aber den Schaden, bevor das Backup gebraucht wird.

Virtuelles Patchen

Mit Vulnerability Protection schirmt Apex One bekannte Schwachstellen auf Netzwerkebene ab, bevor der Patch des Softwareherstellers installiert ist – oder wenn es für ein System keinen mehr gibt. Wir nutzen das als Überbrückung: für die Zeit zwischen Bekanntwerden einer Lücke und Ihrem Wartungsfenster, und für die eine Maschine mit Altsoftware, die sich nicht sofort ablösen lässt. Als Dauerlösung für ein veraltetes Betriebssystem empfehlen wir es nicht.

Programme und Geräte kontrollieren

Application Control legt fest, welche Programme überhaupt starten dürfen – nach Name, Pfad, Zertifikat oder anhand eines Katalogs des Herstellers. Die Gerätekontrolle regelt USB-Speicher und andere Wechselmedien. Beides ist in der Praxis wirksamer als jede Erkennung, braucht aber eine saubere Einführung: Wir stellen die Regeln zunächst auf Protokollieren und sperren erst, wenn klar ist, was im Alltag gebraucht wird. Vulnerability Protection und Application Control sind je nach Lizenz enthalten oder als Zusatz zu buchen – im Angebot stellen wir das einzeln dar.

Notebooks außerhalb des Büros

Über einen Edge Relay erreichen Notebooks die Apex-One-Konsole auch von unterwegs und aus dem Homeoffice, ohne dass dafür ein VPN aufgebaut sein muss. Richtlinien und Updates kommen an, Meldungen laufen zurück. Den Edge Relay stellen wir in die DMZ hinter Ihrer Firewall.

Worry-Free Business Security: schlank für kleinere Umgebungen

Worry-Free Business Security ist die kleinere Schwester von Apex One: ein Security Server auf einem vorhandenen Windows Server, Agenten auf Arbeitsplätzen und Servern, eine übersichtliche Webkonsole. Wir setzen die Advanced-Fassung ein. Sie schützt zusätzlich einen Exchange Server im Haus vor Schadsoftware und Spam und filtert Inhalte, ohne dass dafür ein zweites Produkt nötig ist.

Worry-Free passt, wenn die Anforderungen überschaubar sind: Virenschutz, Verhaltensüberwachung, Webfilter, Gerätekontrolle, Firewall auf dem Client und zentrale Meldungen. Wer virtuelles Patchen, Anwendungskontrolle oder XDR braucht, ist bei Apex One oder Vision One besser aufgehoben.

Zur Ehrlichkeit gehört: Trend Micro entwickelt die On-Premises-Fassung nur noch zurückhaltend weiter und bewirbt auf seiner Website inzwischen nur die Cloud-Variante Worry-Free Services. Unterstützt und gepatcht wird sie weiterhin – mehr dazu im Abschnitt Wie lange trägt on-prem noch?

ScanMail for Microsoft Exchange: prüfen, wo die E-Mail ankommt

Wer Exchange Server selbst betreibt, sollte Nachrichten dort prüfen, wo sie zugestellt werden. ScanMail for Microsoft Exchange läuft direkt auf den Exchange-Servern und prüft eingehende, ausgehende und interne E-Mails sowie die Inhalte der Postfächer. Wir setzen die Suite-Fassung ein. Sie bringt neben dem Virenschutz mit:

• einen Spamfilter, der greift, bevor die Nachricht im Postfach liegt,
• die Prüfung von Links in Nachrichten anhand ihres Rufs,
• die Erkennung präparierter PDF- und Office-Dokumente, die Sicherheitslücken ausnutzen,
• Inhaltsfilter und Regeln gegen den Abfluss vertraulicher Daten für ausgehende E-Mails.

Interne E-Mails sind der Weg, den ein vorgeschaltetes Gateway nicht sieht: Hat sich ein Angreifer einmal ein Postfach verschafft, verschickt er seine Anhänge von innen. ScanMail prüft auch diesen Weg. Der Schutz an der Grenze zum Internet bleibt trotzdem sinnvoll – bei uns übernimmt das die Firewall von WatchGuard.

Exchange 2016 und 2019 laufen aus

Microsoft hat den Support für Exchange Server 2016 und 2019 im Oktober 2025 beendet, das kostenpflichtige Programm für Sicherheitsupdates endet im Oktober 2026. Wer Exchange weiter im eigenen Haus betreiben will, wechselt auf Exchange Server Subscription Edition (SE). ScanMail 14.0 ist nach Angaben des Herstellers für Exchange 2016, 2019 und SE freigegeben – der Umstieg auf SE gelingt also ohne Wechsel des Mailschutzes. Die Freigabeliste deckt nicht jedes kumulative Update sofort ab; wir prüfen sie deshalb vor jedem Exchange-Update.

Für Exchange Online ist ScanMail nicht gedacht. Liegen Ihre Postfächer in Microsoft 365, übernimmt Worry-Free Services Advanced den Mailschutz – siehe E-Mail-Schutz für Microsoft 365.

Wenn die Verwaltung in die Cloud soll

Nicht jeder möchte einen Verwaltungsserver betreiben, patchen und sichern. Für diese Kunden setzen wir die Cloud-Varianten von Trend Micro ein. Der Schutz auf den Geräten ist vergleichbar, der Server im Haus entfällt, und Notebooks bleiben erreichbar, egal wo sie gerade sind.

Worry-Free Services

Das Gegenstück zu Worry-Free Business Security, verwaltet über eine Konsole beim Hersteller. Es gibt vier Stufen: Worry-Free Services für Arbeitsplätze, Server und mobile Geräte; Services Advanced zusätzlich mit E-Mail-Schutz; Worry-Free XDR, das Ereignisse aus E-Mail und Endgeräten zusammenführt und verdächtige Dateien in einer Sandbox analysiert; und eine Co-Managed-Variante, bei der die Sicherheitsanalysten des Herstellers rund um die Uhr mitschauen. Bestehende Worry-Free-Installationen übernehmen wir mit einem Migrationswerkzeug des Herstellers samt Agenten und Einstellungen.

E-Mail-Schutz für Microsoft 365

Liegen die Postfächer in Exchange Online, laufen die E-Mails weder über Ihren Exchange Server noch über Ihre Firewall. Ab der Stufe Services Advanced prüft Worry-Free die Post direkt in Microsoft 365 auf Schadsoftware, Phishing und gefälschte Absender und schützt auch Dateien in OneDrive, SharePoint und Teams. Das ist der Weg, den wir Kunden empfehlen, die ihre Arbeitsplätze ohnehin mit Worry-Free schützen – dann laufen Endpoint- und Mailschutz in einer Konsole.

TrendAI Vision One Endpoint Security

Die Cloud-Fassung von Apex One ist in der Plattform TrendAI Vision One aufgegangen. Wer Apex One nutzt und den Verwaltungsserver nicht mehr selbst betreiben will, zieht die Agenten aus der vorhandenen Apex-One-Konsole heraus dorthin um. Vision One bringt außerdem Erkennung und Reaktion über mehrere Quellen hinweg (XDR) mit. Für europäische Kunden gibt es eine EU-Region, deren Rechenzentrum laut Hersteller in Deutschland liegt. Den Umzug planen wir wie eine Migration: Richtlinien übernehmen, eine Pilotgruppe umstellen, dann den Rest.

Welche Variante wirtschaftlich passt, hängt an der Gerätezahl, der Laufzeit und daran, ob die Meldungen aus XDR tatsächlich jemand auswertet. Wir rechnen on-prem und Cloud für Sie nebeneinander.

Wie lange trägt on-prem noch?

Die Frage stellen uns Kunden zu Recht. Trend Micro investiert erkennbar vor allem in die Cloud. Die On-Premises-Produkte werden gepflegt, aber nur noch wenig weiterentwickelt. Abgekündigt ist keins der drei.

Produkt	Aktueller Stand	Supportende angekündigt?	Unsere Einschätzung
Apex One (on-prem)	Apex One 2019 SP1, Aktualisierungen zweimal im Jahr, zuletzt ein Sicherheitsupdate im Mai 2026; unterstützt Windows 11 25H2 und Windows Server 2025	nein	solide Grundlage für die nächsten Jahre
Worry-Free Business Security	aktuelle Fassung zuletzt im Februar 2026 gepatcht, mit Unterstützung für Windows 11 25H2 und Windows Server 2025	für die europäische Fassung nein; in Japan endete der Support im März 2026	Wartungsmodus – bei der nächsten Verlängerung den Umstieg mitdenken
ScanMail for Microsoft Exchange	Version 14.0, freigegeben für Exchange 2016, 2019 und SE	nein	läuft stabil, neue Funktionen kommen kaum noch

Was das für Sie heißt: Wir prüfen vor jedem größeren Betriebssystem-Update – dem nächsten Windows-11-Release, einem neuen Windows Server, einem kumulativen Exchange-Update –, ob Ihre Trend-Micro-Version dafür freigegeben ist. Und wir sagen Ihnen vor jeder Verlängerung, ob sich der Wechsel auf die Cloud-Fassung lohnt. Wer Worry-Free im Haus betreibt, muss nicht sofort handeln, sollte aber nicht erst reagieren, wenn eine Abkündigung kommt.

Wann wir von Trend Micro abraten

• Microsoft Defender ist schon bezahlt. Mit Microsoft 365 Business Premium oder E5 ist Defender for Business bzw. Defender for Endpoint bereits lizenziert. Ein zweites Produkt daneben ergibt nur Sinn, wenn es eine konkrete Lücke schließt – sonst zahlen Sie doppelt und pflegen zwei Konsolen.
• Niemand schaut auf die Meldungen. XDR und Erkennung auf dem Endgerät helfen nur, wenn jemand die Alarme bewertet. Ohne eigene IT und ohne Betreuungsvertrag ist der einfachere Schutz die ehrlichere Wahl – oder die Co-Managed-Variante, bei der der Hersteller mitschaut.
• Linux-Server und Container. Apex One und Worry-Free schützen Windows und macOS. Für Linux-Server und Container-Umgebungen hat der Hersteller eigene Produkte; das ist ein eigenes Thema, das wir getrennt betrachten.
• Exchange Online ohne lokalen Exchange. Dann ist ScanMail das falsche Produkt. Der Mailschutz kommt in diesem Fall aus Worry-Free Services Advanced oder aus Microsoft 365 selbst.

Einrichtung und Betrieb

Eine Umstellung beginnt bei uns mit einer Bestandsaufnahme: Welcher Virenschutz läuft heute, welche Server und Anwendungen brauchen Ausnahmen – Datenbanken, Backup-Software, Branchenlösungen –, und welche Geräte sind überwiegend außer Haus? Den alten Schutz entfernen wir sauber, bevor der neue kommt. Zwei aktive Virenscanner auf einem Rechner sind eine verlässliche Quelle für Störungen.

Sie entscheiden über den Betrieb:

• Sie betreiben selbst. Wir beraten, lizenzieren, richten ein, übergeben mit Dokumentation und kümmern uns um Verlängerungen und Versions-Upgrades.
• Wir betreiben für Sie. Als Managed Service halten wir Konsole, Agenten und Muster aktuell, werten die Meldungen aus und melden uns, wenn auf einem Rechner etwas gefunden wurde – nicht erst, wenn Sie danach fragen.

Endpoint-Schutz ist eine Schicht von mehreren. An der Grenze zum Internet arbeitet bei uns die Firewall von WatchGuard, und wenn trotzdem etwas durchkommt, entscheidet das Backup mit Veeam darüber, wie schnell Sie wieder arbeiten.

Wir betreuen Berliner Unternehmen seit 1990, typischerweise mit 10 bis 200 Arbeitsplätzen. Sie erreichen bei uns feste Ansprechpartner statt wechselnder Projektteams, und wir garantieren eine Reaktionszeit von vier Stunden.

Managed IT im Überblick

Häufige Fragen

Heißt Trend Micro jetzt TrendAI?

Zum Teil. Seit März 2026 tritt das Unternehmensgeschäft von Trend Micro unter dem Namen TrendAI auf, die Plattform heißt TrendAI Vision One. In Konsolen, Dokumentation und Supportseiten steht deshalb zunehmend „TrendAI“ vor den Produktnamen, auch bei Apex One. Hersteller und Produkte sind dieselben, an bestehenden Installationen ändert der neue Name nichts.

Wird Apex One on-prem abgekündigt?

Stand September 2026 nicht. Trend Micro liefert für die On-Premises-Fassung zweimal im Jahr Aktualisierungen, zuletzt ein Sicherheitsupdate im Mai 2026, und unterstützt Windows 11 25H2 und Windows Server 2025. Wichtig für den Betrieb: Der Hersteller unterstützt jeden Build 18 Monate lang. Wer Apex One einsetzt, muss also regelmäßig aktualisieren – das gehört bei uns zur Betreuung.

Wir haben Worry-Free Business Security im Haus – müssen wir wechseln?

Nicht sofort. Die europäische Fassung wird weiter unterstützt und hat im Februar 2026 noch Unterstützung für Windows 11 25H2 und Windows Server 2025 bekommen. Der Hersteller entwickelt sie aber kaum noch weiter und bewirbt nur noch die Cloud-Variante. Wir empfehlen, die Frage bei der nächsten Verlängerung zu stellen und nicht erst, wenn eine Abkündigung kommt. Der Umzug zu Worry-Free Services ist mit einem Werkzeug des Herstellers gut machbar.

Brauchen wir ScanMail, wenn die Firewall die E-Mails schon prüft?

Die Firewall sieht nur, was von außen kommt. Nachrichten zwischen Ihren eigenen Postfächern laufen nie über sie – und genau diesen Weg nutzt ein Angreifer, der sich ein Postfach verschafft hat. ScanMail prüft auf dem Exchange Server auch die interne Post und die Postfachinhalte. Beides zusammen ergibt den Schutz, eins allein nicht.

Funktioniert ScanMail mit Exchange Server SE?

Ja. Nach Angaben des Herstellers ist ScanMail for Microsoft Exchange 14.0 für Exchange Server 2016, 2019 und die Subscription Edition freigegeben. Die Freigabe gilt allerdings für bestimmte kumulative Updates. Wir prüfen sie deshalb vor jedem Exchange-Update und spielen ScanMail-Patches vorher ein, wenn der Hersteller das verlangt.

On-prem oder Cloud – was ist günstiger?

Das lässt sich nicht pauschal sagen. On-prem kommen zur Lizenz der Verwaltungsserver, seine Windows-Lizenz, Patches, Sicherung und die Zeit für Versions-Upgrades hinzu. In der Cloud entfällt das, dafür hängt die Lizenz an der Laufzeit und der gewählten Stufe. Wir rechnen beides für Ihre Gerätezahl nebeneinander und weisen die Positionen einzeln aus.

Können Trend Micro und Microsoft Defender nebeneinander laufen?

Zwei aktive Virenscanner auf einem Rechner führen zu Störungen, deshalb entscheiden wir uns für einen. Auf Windows-Arbeitsplätzen schaltet sich Microsoft Defender Antivirus von selbst zurück, sobald Trend Micro installiert ist. Auf Windows-Servern geschieht das nicht automatisch – das erledigen wir bei der Einrichtung. Ist Defender über Ihre Microsoft-365-Lizenz ohnehin bezahlt, sprechen wir vorher darüber, ob sich ein zweites Produkt lohnt.

Alle Hersteller und Partner im Überblick