Endpoint Security für Mac im Unternehmen: Worauf es bei macOS wirklich ankommt

Endpoint Security für Mac im Unternehmen scheitert in der Praxis oft schon an drei Klicks. Ohne Systemerweiterung, Netzwerkerweiterung und Festplattenvollzugriff läuft der Schutz auf macOS nur halb, und genau diese drei Freigaben verlangt Apple ausdrücklich vom Administrator. Wer 30 MacBooks ohne MDM ausrollt, sammelt 30 Rückfragen. Am Ende zeigen einige Agenten Grün und sehen trotzdem nicht alles. Kurz gesagt braucht ein Firmen-Mac einen zentral verwalteten Agenten, drei Freigaben und am besten ein MDM. Dieser Ratgeber zeigt, was macOS anders macht, welche Endpoint Security Mac und Windows aus einer Konsole schützt und woran Sie eine taugliche Mac-Unterstützung erkennen. Passende Lizenzen finden Sie in unserer Kategorie Endpoint Security.

Brauchen Macs im Unternehmen einen eigenen Endpoint-Schutz?

Ja. macOS bringt mit Gatekeeper und XProtect einen Grundschutz mit, aber keine zentrale Verwaltung, keine Alarmierung an die IT und keine Vorfallanalyse. Sobald Macs auf dieselben Dateiserver, Cloud-Konten und E-Mail-Postfächer zugreifen wie Windows-Rechner, gehören sie in dieselbe Sicherheitskonsole. Sonst bleibt genau dort eine Lücke, wo niemand hinschaut.

Gatekeeper prüft beim Start, ob eine App signiert und von Apple beglaubigt ist. XProtect ist Apples eingebauter Scanner für bekannte Schadsoftware. Beide arbeiten auf dem einzelnen Gerät und melden nichts an die IT.

Was macOS anders macht: Systemerweiterungen statt Kernel-Treiber

Unter Windows genügt für den Endpoint-Agenten meist eine einzige Installation mit Adminrechten. macOS arbeitet anders. Apple rät von Kernel-Erweiterungen ab und setzt auf Systemerweiterungen, die außerhalb des Systemkerns laufen (Apple Plattformbereitstellung). Ohne Verwaltung muss ein Administrator jede neue Erweiterung in einem Dialog bestätigen. Kernel-Erweiterungen verlangen auf Macs mit Apple-Prozessor zusätzlich eine Admin-Freigabe, einen Neustart und die Sicherheitsstufe „Reduzierte Sicherheit“.

Für den Endpoint-Schutz heißt das: Achten Sie auf Agenten, die ohne Kernel-Erweiterung auskommen. SentinelOne beschreibt seinen Mac-Agenten zum Beispiel als „kextless“, also ohne Kernel-Erweiterung.

Drei Freigaben braucht praktisch jede Lösung:

1. Systemerweiterung (Endpoint Security): erlaubt dem Agenten, Prozesse und Dateizugriffe zu überwachen.
2. Netzwerkerweiterung: nötig für Webschutz, URL-Filter und Netzwerkkontrolle.
3. Festplattenvollzugriff (Full Disk Access): ohne ihn darf der Scanner geschützte Ordner wie Mail, Dokumente oder Schreibtisch nicht lesen.

Sophos nennt für Sophos Endpoint auf dem Mac genau diese drei Freigaben. Unter macOS 14 und 15 kann zusätzlich der Update-Dienst den Festplattenvollzugriff brauchen, mit den aktualisierten MDM-Profilen von Sophos ist er abgedeckt (Sophos Sicherheitsberechtigungen für macOS). WatchGuard verlangt laut Installationsanforderungen ebenfalls Netzwerk- und Systemerweiterungen sowie Festplattenvollzugriff.

Ohne MDM wird der Rollout zur Klickarbeit

Ein MDM (Mobile Device Management) wie Microsoft Intune oder Jamf Pro verteilt Konfigurationsprofile, die diese Freigaben vorab setzen. Der Agent startet dann ohne Dialog, und der Nutzer kann die Freigabe nicht versehentlich ablehnen. Apple sieht dafür vor, dass ein MDM einzelne Erweiterungen, alle Erweiterungen eines Herstellers oder ganze Erweiterungstypen freigibt.

Die Hersteller liefern dafür fertige Bausteine. Sophos legt seinen Mac-Installationswerkzeugen MDM-Profile bei und beschreibt die Verteilung über Jamf Pro. WatchGuard dokumentiert die Bereitstellung über Intune und über Jamf Pro. Prüfen Sie vor dem Kauf, ob es für Ihr MDM eine solche Anleitung gibt.

Ohne MDM bleibt nur die Installation von Hand: Ein Administrator meldet sich an jedem Mac an und bestätigt jede Freigabe einzeln. Das geht bei fünf Geräten. Ab etwa zehn Macs wird jede vergessene Freigabe zum Risiko.

Endpoint Security Mac: Lösungen im Vergleich

Die Tabelle fasst zusammen, was Hersteller und Produktseiten zum Mac sagen (Stand 14.11.2026). Funktionsumfang und unterstützte macOS-Versionen ändern sich mit jeder Agentenversion, die Herstellerdokumentation hat Vorrang.

Nicht jede Funktion der Windows-Version gibt es auch auf dem Mac. Fragen Sie bei Zusatzmodulen wie Patch Management, Verschlüsselung oder Gerätekontrolle gezielt nach der macOS-Fassung.

Für ein passendes Angebot reichen vier Angaben: Anzahl der Windows-Geräte, Anzahl der Macs, eingesetztes MDM und älteste macOS-Version. Schicken Sie uns diese über das Kontaktformular. Wir klären dann das Lizenzmodell (je Benutzer oder je Gerät) und die macOS-Funktionen beim Hersteller.

Gemischte Flotten: eine Konsole für Windows und Mac

Die meisten Unternehmen haben keine reine Mac-Umgebung. Typisch sind Windows-Rechner in Verwaltung und Produktion, dazu Macs in Marketing, Design oder Geschäftsführung. Eine eigene Mac-Lösung neben dem Windows-Schutz verdoppelt Konsolen, Richtlinien und Alarmwege.

Besser ist ein Hersteller, der beide Systeme in einer Konsole verwaltet. Dann gelten dieselben Ausnahmen, dieselben Alarmregeln und derselbe Bericht für alle Geräte. Bei Sophos hilft die Lizenz je Benutzer: Wer Windows-Laptop und MacBook nutzt, braucht dafür keine zweite Lizenzart.

Für Teams ohne eigene Analysten lohnt der Blick auf EDR und MDR. EDR (Endpoint Detection and Response) zeichnet auf, was auf dem Rechner passiert, und erlaubt Isolierung und Analyse. MDR (Managed Detection and Response) ergänzt ein externes Team, das Alarme rund um die Uhr bewertet. Den Unterschied erklärt unser Beitrag EDR, XDR und MDR. Lösungen mit Mac-Unterstützung finden Sie in der Kategorie EDR-Lösungen.

Checkliste vor dem Kauf: 6 Prüfpunkte für macOS

• macOS-Versionen: Unterstützt der Agent Ihre ältesten und Ihre jüngsten Macs, auch die nächste macOS-Version im Herbst? WatchGuard führt macOS 26 Tahoe zum Beispiel mit eigener Mindestversion des Agenten.
• Apple Silicon: Läuft der Agent nativ auf Apple Silicon, also Apples eigenen M-Prozessoren, und weiter auf vorhandenen Intel-Macs?
• Ohne Kernel-Erweiterung: Arbeitet der Agent mit Systemerweiterungen statt Kernel-Treibern?
• MDM-Profile: Gibt es fertige Profile oder eine Anleitung für Intune, Jamf Pro oder Ihr MDM?
• Funktionsgleichheit: Welche Module fehlen auf dem Mac im Vergleich zu Windows?
• Eine Konsole: Sehen Sie Windows, Mac und Server in derselben Oberfläche, mit gemeinsamen Richtlinien?

Allgemeine Auswahlkriterien jenseits von macOS fasst unser Ratgeber Endpoint Protection kaufen zusammen. iPhones und iPads deckt ein MDM ab, nicht der Mac-Agent, siehe Sophos Mobile für BYOD.

Häufige Fragen zu Endpoint Security auf dem Mac

Reicht XProtect als Virenschutz für Firmen-Macs?

XProtect erkennt bekannte Schadsoftware, meldet aber nichts an eine zentrale Konsole. Für Firmen-Macs fehlen damit Übersicht, Alarmierung und Reaktion aus der Ferne.

Warum fragt der Mac nach der Installation nach Berechtigungen?

macOS lässt Systemerweiterungen, Netzwerkerweiterungen und Festplattenvollzugriff nur nach Zustimmung eines Administrators zu. Ein MDM-Profil setzt Systemerweiterung, Netzwerkerweiterung und Festplattenvollzugriff vorab, dann erscheint kein Dialog.

Brauche ich für Macs eine eigene Lizenz?

Das hängt vom Hersteller ab. Bei Sophos gilt die Lizenz je Benutzer, bei anderen Herstellern zählt jedes Gerät. Klären Sie das vor dem Angebot.

Funktioniert Endpoint Security auf Macs mit Apple-Prozessor?

Ja, für Apple Silicon gibt es native Agenten. WatchGuard nennt etwa ausdrücklich macOS auf Intel und ARM. Prüfen Sie für Ihr Produkt die Mindestversion des Agenten für Ihre macOS-Version in der Herstellerdokumentation.

Kann ich Macs ohne MDM schützen?

Ja, aber jede Freigabe muss dann ein Administrator am Gerät bestätigen. Schon bei einer zweistelligen Zahl an Macs lohnt ein MDM meist, weil jede neue Freigabe sonst an jedem Gerät einzeln bestätigt werden muss.

Fazit: erst den Rollout planen, dann die Lizenz wählen

Auf dem Mac entscheidet sich die Eignung oft weniger an der Erkennung als an Freigaben, MDM-Unterstützung und einer gemeinsamen Konsole für Windows und Mac. Welche Lösung passt zu Ihrer Mischung aus Geräten? Unser Produktberater grenzt die Auswahl in wenigen Schritten ein. Für ein konkretes Angebot mit Geräteanzahl erreichen Sie uns über das Kontaktformular.