---
# source: src/content/solutions/de/endpoint-security/halcyon.md
# route:  /de/solutions/endpoint-security/halcyon/
title: Halcyon
tags: [endpoint-security, security, backup-recovery]
vendors: [halcyon]
summary: Für einen einzigen Angriff gebaut und für sonst nichts. Es ersetzt kein EDR, es steht daneben und geht davon aus, dass die Ransomware daran vorbeikam.
photoNeed: A security console on screen with real alerts in it, being triaged
stub: false
draft: false
kind: product
addon: false
sourceNote: Plattformseiten auf halcyon.ai, gelesen am 2026-08-30, für die Funktionen, das Ransomware Operations Center und die Garantie
vendorName: Halcyon Anti-Ransomware Platform
status: current
---

## Was es ist

Halcyon ist eine Anti-Ransomware-Plattform, und dieser Begriff verdient Genauigkeit. Es ist
kein Endpoint Protection, kein Detection and Response und kein Backup-Produkt. Es ist eine
Schicht für einen einzigen Angriff, und ihr eigenes Argument lautet, dass sie die Lücke
zwischen EPP und EDR schliesst, statt eines von beiden zu ersetzen.

Die Engine ist gezielt auf Ransomware-Verhalten trainiert: auf die Process Injections, die
Verschlüsselungsroutinen und die Exfiltrationsmuster, die Ransomware-Betreiber verwenden,
und nicht auf Schadsoftware allgemein.

## Der Teil, der wirklich anders ist

**Es rechnet damit, zu verlieren.** Neben den Präventionsschichten liegt eine
Resilienz-Schicht, die während des laufenden Angriffs die Schlüssel mitschneidet, mit denen
der Angreifer verschlüsselt. Werden Dateien trotzdem verschlüsselt, lassen sie sich aus
diesem Material entschlüsseln, statt aus einem Backup wiederhergestellt oder beim Betreiber
zurückgekauft zu werden.

Das ist eine andere Wette als bei allem anderen auf dieser Seite. Erkennung setzt voraus,
dass man es erwischt. Das hier setzt voraus, dass man es manchmal nicht erwischt.

## Was es sonst beobachtet

Den Missbrauch verwundbarer Treiber, über den Angreifer Sicherheitswerkzeuge aus dem Kernel
heraus abschalten. Manipulationen an den Sicherheitsagenten selbst, unter anderem Microsoft
Defender, CrowdStrike, SentinelOne und Cortex, weil der erste Zug gegen ein Endgerät oft
der Zug gegen dessen Wache ist. Living-off-the-Land-Aktivität über PowerShell und WMIC. Und
die Schattenkopien, die Ransomware löscht, bevor sie verschlüsselt, damit der lokale
Wiederherstellungsweg weg ist.

Dazu die Exfiltration, denn bei doppelter Erpressung ist die Verschlüsselung nur die halbe
Geschichte.

## Was zu prüfen ist, bevor es auf die Liste kommt

Zwei Dinge, und keines davon ist technisch.

Der Hersteller betreibt ein Ransomware Operations Center und legt es bei, und er gibt eine
Garantie, dass seine Leute bei einem erfolgreichen Angriff bei der Wiederherstellung
helfen. Beides liest man besser im Vertrag als auf der Website, denn was «bei der
Wiederherstellung helfen» abdeckt, ist die eigentliche Frage.

Das zweite ist die Überschneidung. Das ist ein zweiter Agent auf jedem Endgerät, neben
einem EDR, das Ransomware-Schutz bereits für sich beansprucht. Der Fall dafür steht und
fällt damit, ob die Recovery-Schicht hält, und genau das gehört getestet und nicht die
Erkennungsrate.