Wer 2026 einen 24/7-Sicherheitsdienst für sein Netzwerk sucht, landet fast automatisch bei drei Namen: Arctic Wolf, Sophos MDR und ESET MDR. Alle drei versprechen, Angriffe zu erkennen, während die eigene IT-Abteilung schläft. Der Markt für Managed Detection and Response liegt laut MarketsandMarkets 2026 bei rund 6,28 Milliarden US-Dollar (etwa 5,46 Milliarden Euro) und wächst mit knapp 23 Prozent pro Jahr. Für deutsche, österreichische und Schweizer Unternehmen ist das kein abstrakter Trend, sondern eine akute Personalfrage: Laut einer Bitkom-Erhebung fehlen in Deutschland 2026 rund 104.000 IT-Sicherheitsfachkräfte, und eine offene Stelle für Security Engineers bleibt im Schnitt 8 bis 11 Monate unbesetzt. Wer kein eigenes Security Operations Center aufbauen kann, mietet eines. Dieser Vergleich zeigt, was Arctic Wolf, Sophos MDR und ESET MDR technisch, vertraglich und preislich tatsächlich unterscheidet.

Was ein MDR-Dienst 2026 wirklich leisten muss

Managed Detection and Response ist mehr als ein Antivirenprogramm mit Abo-Modell. Ein MDR-Anbieter übernimmt die Überwachung von Endgeräten, Netzwerken, Cloud-Konten und E-Mail-Postfächern, wertet die Signale in einem eigenen SOC aus und greift bei einem Vorfall aktiv ein, statt nur eine Warnmeldung zu schicken. Gartner beschreibt MDR in seinem aktuellen Marktleitfaden als extern erbrachte SOC-Funktion, die Erkennung, Analyse, Untersuchung und Reaktion auf Bedrohungen bündelt. Der Unterschied zu klassischem EDR liegt im Personal: Ein EDR-Tool liefert Daten, ein MDR-Dienst liefert Menschen, die diese Daten rund um die Uhr auswerten. Ohne diese menschliche Schicht bleibt selbst die beste Erkennungssoftware nur so gut wie die Person, die um drei Uhr nachts entscheidet, ob ein Alarm echt ist oder ignoriert werden kann.

Für ein Unternehmen im Mittelstand bedeutet das konkret: kein Schichtdienst für die eigene IT, keine Rufbereitschaft am Wochenende, aber auch keine vollständige Kontrolle mehr über die erste Reaktion auf einen Alarm. Genau an diesem Punkt unterscheiden sich Arctic Wolf, Sophos und ESET am stärksten, denn sie lösen das Vertrauensproblem auf drei unterschiedliche Arten. Arctic Wolf setzt auf ein zugewiesenes Team aus Sicherheitsexperten, das den Kunden über Monate hinweg kennt. Sophos bündelt seinen Dienst inzwischen mit der Threat-Intelligence-Einheit von Secureworks. ESET verlängert sein eigenes Erkennungsmodul ESET Inspect um einen Analystendienst. Alle drei Wege funktionieren, aber sie passen zu unterschiedlichen IT-Landschaften.

Die drei Anbieter im Porträt: Herkunft, Größe, Strategie

Arctic Wolf wurde 2012 in Kalifornien gegründet und hat sich komplett auf Security Operations als Dienstleistung spezialisiert, ohne eine eigene Endpoint-Software zu verkaufen. Das Unternehmen eröffnete im November 2021 sein erstes europäisches SOC in Frankfurt am Main und expandierte seither über Vertriebspartner wie medocino aus Hamburg, DextraData und sysmind in den deutschsprachigen Markt. Laut Schätzungen von Sacra liegt der Jahresumsatz von Arctic Wolf 2026 bei etwa 541 Millionen US-Dollar (rund 470 Millionen Euro), das Unternehmen bleibt privat und plant seit Jahren einen Börsengang, ohne ein festes Datum zu nennen.

Sophos verfolgt die entgegengesetzte Strategie: erst Endpoint-Software verkaufen, dann den Analystendienst drauflegen. Mit dem Kauf von Secureworks für 859 Millionen US-Dollar (rund 745 Millionen Euro) in bar, abgeschlossen am 3. Februar 2025, hat Sophos nach eigenen Angaben rund 26.000 Kundenorganisationen weltweit unter einem Dach vereint und sich zum größten reinen MDR-Anbieter gemacht. Die Threat-Intelligence-Einheit von Secureworks, die Counter Threat Unit, läuft seither unter der Marke Sophos X-Ops weiter. Für Kunden bedeutet das eine laufende Integration zweier vorher getrennter Sicherheitsstacks, was in der Übergangszeit zusätzliche Abstimmung erfordert.

ESET kommt aus Bratislava und ist im DACH-Raum vor allem über sein Antivirenprodukt bekannt, hat sein Portfolio aber über die PROTECT-Plattform in Richtung XDR und MDR erweitert. Der MDR-Dienst baut technisch auf ESET Inspect auf und wird erst ab den Lizenzstufen Enterprise oder Elite gebucht, MDR ist bei ESET also ein Zusatzmodul und kein eigenständiges Produkt. Im G2-Bericht für XDR-Plattformen (Winter 2026) belegte ESET PROTECT Platz 2 und schlug damit XDR-fokussierte Anbieter wie CrowdStrike und SentinelOne in der Nutzerbewertung.

Die drei Firmengeschichten erklären auch, warum die Preismodelle so unterschiedlich ausfallen. Arctic Wolf finanziert sich fast ausschließlich über Servicegebühren und hat deshalb ein Interesse daran, möglichst viele verschiedene Endpoint-Werkzeuge zu unterstützen, denn jede zusätzliche Kompatibilität vergrößert den adressierbaren Markt. Sophos verdient zusätzlich am Verkauf von Intercept X und anderen Produkten, MDR ist dort ein Baustein in einem größeren Lizenzökosystem. ESET wiederum betrachtet MDR in erster Linie als Kundenbindungsinstrument für seine bereits sehr breite Installationsbasis im Mittelstand, weniger als eigenständiges Wachstumsgeschäft. Diese unterschiedliche Motivation zeigt sich auch daran, wie aggressiv jeder Anbieter neue, plattformfremde Kunden akquiriert: Arctic Wolf am aktivsten, ESET am zurückhaltendsten.

Architektur im Vergleich: toolagnostisch, Eigenlösung oder Zusatzmodul

Der wichtigste architektonische Unterschied betrifft die Frage, wessen Agenten auf den Endgeräten laufen. Arctic Wolf verzichtet bewusst auf ein eigenes Endpoint-Produkt und integriert sich stattdessen in vorhandene Werkzeuge wie Microsoft Defender, CrowdStrike Falcon oder SentinelOne. Für Unternehmen mit einer bereits gewachsenen, heterogenen Toollandschaft ist das ein klarer Vorteil, weil kein zusätzlicher Agent installiert werden muss und bestehende Lizenzen weiterverwendet werden. Der Nachteil: Die Erkennungsqualität hängt teilweise davon ab, wie gut das zugrunde liegende Drittanbieter-Tool bereits Daten liefert.

Sophos MDR verlangt dagegen die eigene Intercept-X-Agentensoftware auf jedem Endpoint, akzeptiert aber inzwischen auch Telemetrie von Drittanbietern als Ergänzung. Das schafft engere Kontrolle über die Erkennungslogik, bindet Kunden aber stärker an das Sophos-Ökosystem. ESET fährt einen ähnlichen Weg wie Sophos: ESET Inspect ist die Voraussetzung für den MDR-Dienst, wodurch Unternehmen, die bereits ESET-Endpoint-Lizenzen im Einsatz haben, den Umstieg besonders günstig gestalten können, während Unternehmen mit fremden Endpoint-Tools zuerst migrieren müssten. In der Praxis heißt das: Wer schon eine der drei Endpoint-Welten nutzt, spart beim Wechsel zum passenden MDR-Dienst Zeit und Geld, wer komplett neu aufsetzt, sollte die Architekturfrage vor der Preisfrage klären.

Die Architekturfrage wirkt sich auch auf die Time-to-Value aus, also darauf, wie schnell ein neuer Kunde tatsächlich vollständigen Schutz erhält. Weil Arctic Wolf auf bestehende Telemetrie zurückgreift, kann die Grundüberwachung oft innerhalb weniger Tage starten, während Feinabstimmung und individuelle Erkennungsregeln über mehrere Wochen weiterlaufen. Sophos und ESET benötigen naturgemäß etwas länger, weil der eigene Agent erst vollständig auf allen Endpunkten ausgerollt sein muss, bevor die volle Erkennungstiefe greift, dafür ist die Erkennungslogik danach unabhängiger von der Datenqualität eines fremden Systems. Für Unternehmen unter akutem regulatorischem Druck, etwa kurz vor einer NIS2-Prüfung, kann dieser Zeitunterschied bei der Anbieterwahl schwerer wiegen als der Preis selbst.

Threat Intelligence und Erkennungstiefe: Wie die drei SOCs tatsächlich arbeiten

Die Marketingfolien aller drei Anbieter klingen ähnlich, die Datenbasis dahinter unterscheidet sich aber deutlich. Arctic Wolf betreibt seine eigene Sicherheitsplattform namens Aurora, die Telemetrie aus angebundenen Drittsystemen zusammenführt und mit einer wachsenden Bibliothek an Erkennungsregeln abgleicht, gepflegt vom Arctic Wolf Labs Team. Weil Arctic Wolf kein eigenes Endpoint-Produkt verkauft, stammt der Rohdatenstrom fast vollständig von Partnersystemen, wodurch die Erkennungsqualität in der Praxis auch davon abhängt, wie granular das jeweils angebundene Tool protokolliert. Bei Kunden mit Microsoft Defender als Basis berichten Systemhäuser von einer soliden, aber nicht immer maximalen Abdeckung im Vergleich zu spezialisierten EDR-Suiten.

Sophos X-Ops bündelt seit der Secureworks-Integration zwei vorher getrennte Threat-Intelligence-Teams: das ursprüngliche SophosLabs-Team und die Counter Threat Unit von Secureworks, die seit Jahren für ihre Forschung zu Ransomware-Gruppen bekannt ist. Diese Zusammenlegung verspricht mehr Kontext bei komplexen Angriffsketten, bringt aber auch das Risiko doppelter Prozesse mit sich, solange beide Teams ihre Werkzeuge und Playbooks noch nicht vollständig vereinheitlicht haben. ESET wiederum stützt sich auf sein globales Netz aus Telemetriesensoren, das über Jahrzehnte im Antiviren-Geschäft gewachsen ist, und speist diese Daten in ESET Inspect als zentrales Korrelationswerkzeug für den MDR-Analysten. Der Vorteil: ESET sieht durch seine breite Konsumenten- und Unternehmensbasis weltweit sehr viele Rohsignale, bevor eine Bedrohung überhaupt bei einem Geschäftskunden ankommt. Der Nachteil: Die Tiefe der Analyse für hochkomplexe, gezielte Angriffe auf einzelne Großunternehmen wird von Marktbeobachtern tendenziell unterhalb der auf Enterprise-Vorfälle spezialisierten Secureworks-Einheit eingeordnet.

Die Vergleichstabelle: Arctic Wolf vs. Sophos MDR vs. ESET MDR in zwölf Kategorien

KategorieArctic WolfSophos MDRESET MDR
Gegründet2012, Kalifornien1985, Abingdon (UK)1992, Bratislava
ArchitekturToolagnostisch, kein eigener Agent zwingendEigener Intercept-X-Agent, Drittdaten optionalEigener Agent via ESET Inspect zwingend
Europäisches SOCFrankfurt am Main (seit Nov. 2021)Mehrere EU-Standorte über Secureworks-IntegrationBratislava (Slowakei, EU)
ServicemodellFestes “Concierge”-Team pro KundeEssentials- und Complete-StufeZusatzmodul zu Enterprise/Elite-Lizenz
Breach-WarrantyVerfügbar bei qualifizierten VerträgenBis zu 1 Mio. USD bei MDR CompleteNicht öffentlich beworben
G2-Bewertung4,7 / 5 (276 Bewertungen)4,7 / 5 (504 Bewertungen)4,6 / 5 (971 Bewertungen, Gesamtplattform)
Gartner Peer Insights4,9 / 5,0 (241 Bewertungen), Customers’ Choice 2026Kein separates MDR-Ranking 2026 gelistetKein separates MDR-Ranking 2026 gelistet
MindestvertragsgrößeAb ca. 100 Endpunkten praktikabelAb kleinen Teams, Server separat lizenziertAb Enterprise/Elite-Lizenzstufe
PreistransparenzMarketplace-Richtwerte öffentlich einsehbarDistributor-Preislisten kursieren, kein festes Rate-CardAusschließlich individuelles Angebot
Threat-HuntingProaktiv, Teil des GrundpaketsNur in MDR Complete enthaltenTeil des MDR-Zusatzmoduls
Kompatible FremdsystemeBreite Liste inkl. Defender, CrowdStrike, SentinelOneWachsende Liste seit Secureworks-IntegrationEingeschränkt, Fokus auf ESET-Stack
ZielgruppeMittelstand ohne eigenes SOC, toolunabhängigUnternehmen mit bestehendem Sophos-StackBestandskunden von ESET PROTECT Enterprise/Elite

Bewertungen aus drei unabhängigen Quellen

Weil es für MDR-Dienste keinen standardisierten Labortest wie bei Antiviren-Engines gibt, stützt sich dieser Vergleich auf drei unabhängige Bewertungsquellen: die Nutzerbewertungsplattform G2, Gartner Peer Insights und PeerSpot. Alle drei sammeln verifizierte Kundenstimmen, wenden aber unterschiedliche Gewichtungen an, weshalb sich die Werte leicht unterscheiden. Auf G2 liegen Arctic Wolf und Sophos MDR mit jeweils 4,7 von 5 Sternen praktisch gleichauf, wobei Sophos mit 504 Bewertungen fast doppelt so viele Stimmen wie Arctic Wolf mit 276 Bewertungen gesammelt hat. ESET PROTECT kommt auf 4,6 von 5 Sternen bei 971 Bewertungen, wobei sich dieser Wert auf die gesamte PROTECT-Plattform bezieht und nicht ausschließlich auf den MDR-Zusatzdienst.

Bei Gartner Peer Insights sticht Arctic Wolf 2026 besonders heraus: Das Unternehmen wurde als Customers’ Choice für Managed Detection and Response ausgezeichnet, mit einer Durchschnittsbewertung von 4,9 von 5,0 aus 241 Kundenbewertungen. Für Sophos und ESET liegt 2026 kein separates MDR-spezifisches Gartner-Ranking vor, beide Anbieter werden dort primär über ihre Endpoint- beziehungsweise XDR-Plattform bewertet. PeerSpot wiederum bewertet den Arctic-Wolf-MDR-Dienst mit 8,8 von 10 Punkten und reiht das Unternehmen unter den am häufigsten verglichenen Anbietern der Kategorie ein. In der Summe zeigt sich: Arctic Wolf sammelt in reinen MDR-Kategorien die konsistentesten Bestnoten, während Sophos von der schieren Kundenzahl nach der Secureworks-Übernahme profitiert und ESET vor allem für seine Erkennungstechnologie und weniger für den Servicecharakter gelobt wird.

Für die Interpretation dieser Zahlen lohnt sich ein Blick auf die Stichprobengröße. 241 Bewertungen bei Gartner Peer Insights oder 276 bei G2 sind für ein Nischensegment wie MDR bereits eine solide Basis, verglichen mit Massenprodukten wie Antivirensoftware bleibt die absolute Zahl aber klein. Einzelne sehr positive oder sehr negative Erfahrungsberichte können den Durchschnitt daher stärker verschieben als bei breiter genutzten Kategorien. Käufer sollten deshalb nicht nur auf die Sternebewertung schauen, sondern die Freitextkommentare zu Reaktionszeit und Eskalationsverhalten lesen, weil genau dort die praxisrelevanten Unterschiede zwischen den drei Anbietern sichtbar werden.

Preismodelle im Detail: Was Arctic Wolf, Sophos und ESET wirklich kosten

Keiner der drei Anbieter veröffentlicht eine vollständige Preisliste, alle drei verhandeln Verträge je nach Unternehmensgröße individuell. Trotzdem lassen sich aus Marketplace-Angeboten, Distributor-Preislisten und Käuferberichten belastbare Richtwerte ableiten. Arctic Wolf listet im AWS Marketplace ein MDR-Basispaket für bis zu 100 Nutzer bei 44.000 US-Dollar pro Jahr (rund 38.300 Euro), reale Vertragsabschlüsse bewegen sich laut Käuferberichten zwischen 24.000 und 320.000 US-Dollar jährlich (rund 20.900 bis 278.400 Euro), mit einem Median zwischen 80.000 und 96.000 US-Dollar (rund 69.600 bis 83.500 Euro). Pro Endpunkt sind das grob 12 bis 18 US-Dollar im Monat bei 100 bis 500 Endpunkten und 8 bis 14 US-Dollar bei mehr als 1.000 Endpunkten, also ein klassischer Mengenrabatt.

Sophos MDR kalkuliert nutzerbasiert statt pauschal. Distributor-Preislisten für 2026 zeigen für die Einstiegsstufe MDR Essentials 74,65 bis 144,24 US-Dollar pro Nutzer und Jahr (rund 65 bis 125 Euro), für MDR Complete 135,20 bis 227,66 US-Dollar pro Nutzer und Jahr (rund 118 bis 198 Euro). Serverabdeckung wird separat berechnet und kann den Gesamtpreis deutlich erhöhen, insbesondere bei Unternehmen mit vielen virtuellen Maschinen. Umgerechnet auf Endpunkte landet Sophos MDR bei etwa 8 bis 12 US-Dollar pro Monat, also in einer ähnlichen Größenordnung wie Arctic Wolf im oberen Volumenbereich, allerdings mit dem zusätzlichen Vorteil der bis zu 1 Million US-Dollar hohen Breach-Warranty in der Complete-Stufe.

ESET MDR ist preislich am intransparentesten der drei. Der Dienst setzt eine bestehende ESET-PROTECT-Enterprise- oder Elite-Lizenz voraus, die selbst schon eine eigene Kostenposition darstellt, bevor der MDR-Aufschlag überhaupt verhandelt wird. Öffentlich zugängliche Preislisten für den MDR-Baustein existieren nicht, jedes Angebot wird laut Reseller-Auskünften individuell auf Nutzerzahl und Branche zugeschnitten. Für preissensible Unternehmen im deutschen Mittelstand, die bereits ESET-Lizenzen im Einsatz haben, kann das trotzdem der günstigere Weg sein, weil kein Wechsel der Endpoint-Basis nötig wird, wer aber komplett neu vergleichen will, muss für ESET zwingend ein individuelles Angebot einholen.

AnbieterPreismodellRichtwert pro JahrBesonderheit
Arctic WolfPauschalpaket nach Nutzerzahl44.000 – 320.000 USD (ca. 38.300 – 278.400 EUR)Median 80.000–96.000 USD laut Käuferdaten
Sophos MDR EssentialsPro Nutzer/Jahr74,65 – 144,24 USD (ca. 65 – 125 EUR)Ohne Threat-Hunting
Sophos MDR CompletePro Nutzer/Jahr135,20 – 227,66 USD (ca. 118 – 198 EUR)Inkl. bis zu 1 Mio. USD Breach-Warranty
ESET MDRIndividuelles AngebotKein öffentlicher RichtwertErfordert Enterprise- oder Elite-Basislizenz

Ein Rechenbeispiel macht die Unterschiede greifbarer. Ein mittelständisches Unternehmen mit 300 Mitarbeitenden und rund 350 Endpunkten zahlt bei Arctic Wolf je nach Verhandlungsergebnis zwischen 42.000 und 63.000 US-Dollar pro Jahr (etwa 36.400 bis 54.800 Euro), wenn man die genannten 12 bis 18 US-Dollar pro Endpunkt und Monat zugrunde legt. Bei Sophos MDR Complete mit 300 lizenzierten Nutzern liegt die Jahresrechnung zwischen rund 40.560 und 68.300 US-Dollar (etwa 35.300 bis 59.400 Euro), wobei Serverkosten noch hinzukommen. Für ESET lässt sich ohne konkretes Angebot keine verlässliche Zahl nennen, Reseller nennen inoffiziell aber häufig eine Größenordnung unterhalb von Sophos, sofern die Basis-PROTECT-Lizenz bereits vorhanden ist. Wichtig für die Kalkulation: Alle drei Anbieter verlangen in der Regel eine Mindestvertragslaufzeit von zwölf Monaten, Rabatte für mehrjährige Verträge sind verhandelbar, aber nicht öffentlich gelistet.

Compliance und Zertifizierungen: ISO 27001, SOC 2 und BSI C5

Für DACH-Einkäufer ist der Preis selten der einzige Filter, Compliance-Nachweise entscheiden oft schon in der Vorauswahl. Alle drei Anbieter verfügen über SOC-2-Type-II-Testate für ihre eigene Dienstleistungserbringung, was mittlerweile als Mindeststandard für externe SOC-Dienste gilt. Arctic Wolf weist zusätzlich eine ISO-27001-Zertifizierung für sein Informationssicherheits-Managementsystem aus und hat mit dem Frankfurter Standort eine dedizierte europäische Verarbeitungsbasis für Kunden, die eine Verarbeitung außerhalb der EU vertraglich ausschließen müssen. Sophos bringt durch die Secureworks-Integration zusätzliche behördliche Referenzen mit, weil Secureworks in der Vergangenheit auch für US-Bundesbehörden tätig war, was für global agierende DACH-Konzerne mit US-Töchtern relevant sein kann.

Der BSI C5-Kriterienkatalog, an dem sich viele deutsche Behörden und KRITIS-Betreiber bei der Auswahl von Cloud- und Sicherheitsdienstleistern orientieren, wird von keinem der drei Anbieter mit einem eigenständigen, öffentlich gelisteten C5-Testat abgedeckt, da C5 primär auf Cloud-Infrastrukturanbieter statt auf MDR-Dienste zugeschnitten ist. Unternehmen, die eine C5-Konformität vertraglich benötigen, sollten das explizit in der Angebotsphase klären, weil sich die Antwort zwischen den drei Anbietern in der Praxis unterscheidet und sich schneller ändert als andere Vertragsdetails. Für die meisten Mittelständler außerhalb strenger KRITIS-Regulierung reicht ein SOC-2-Testat in Kombination mit einer klaren Auftragsverarbeitungsvereinbarung nach Artikel 28 DSGVO in der Regel aus.

Ein weiterer Punkt, der bei der Vertragsprüfung oft vergessen wird, sind Subunternehmer und Audit-Rechte. Weil Sophos MDR seit der Secureworks-Integration teilweise auf zwei vorher getrennte Infrastrukturen zugreift, lohnt sich eine genaue Nachfrage, welche Subprozessoren konkret Zugriff auf Kundendaten erhalten und an welchem Standort diese sitzen. Arctic Wolf und ESET haben historisch weniger große Übernahmen hinter sich und damit tendenziell einfachere Subprozessor-Ketten, was die Vertragsprüfung verkürzt. Unabhängig vom Anbieter sollten Einkäufer ein vertragliches Audit-Recht verhandeln, das erlaubt, die Einhaltung der zugesagten Reaktionszeiten und Datenschutzmaßnahmen mindestens einmal jährlich unabhängig zu überprüfen, statt sich allein auf die Zertifikate des Anbieters zu verlassen.

5 Praxisbeispiele aus dem Unternehmensalltag

Die folgenden fünf Beispiele stammen nicht aus Marketingmaterial, sondern aus öffentlich nachvollziehbaren Ereignissen der vergangenen zwei Jahre. Sie zeigen, wie sich Marktbewegungen bei Arctic Wolf, Sophos und ESET konkret auf Kunden auswirken, von der Vertriebsstruktur über Übernahmen bis zum Fachkräftemangel als eigentlichem Nachfragetreiber.

Erstens: Arctic Wolf baute seine DACH-Präsenz nicht über eigene Vertriebsmitarbeiter, sondern über etablierte deutsche IT-Dienstleister wie medocino aus Hamburg, DextraData und sysmind auf. Für Mittelständler bedeutet das, dass der erste Ansprechpartner oft ein bekannter regionaler Systemhauspartner ist und nicht ein Callcenter in Kalifornien, was die Einstiegshürde in der Praxis senkt.

Zweitens: Die Übernahme von Secureworks durch Sophos für 859 Millionen US-Dollar hat den MDR-Markt strukturell verändert. Kunden, die vorher bei Secureworks Taegis unter Vertrag standen, wurden 2025 in die Sophos-Infrastruktur überführt, ein Vorgang, der zeigt, wie schnell sich die Vertragsgrundlage eines MDR-Dienstes durch eine Übernahme ändern kann, ohne dass der Kunde selbst etwas entschieden hätte.

Drittens: Die Auszeichnung von Arctic Wolf als Gartner Peer Insights Customers’ Choice 2026 basiert auf 241 echten Kundenbewertungen und nicht auf einer Analystenmeinung, was für Einkaufsabteilungen ein greifbareres Signal ist als eine reine Marketingaussage.

Viertens: ESET PROTECT landete im G2-Bericht für XDR-Plattformen (Winter 2026) auf Platz 2 und damit vor CrowdStrike und SentinelOne in der Nutzerbewertung, was zeigt, dass die technische Erkennungsbasis für den MDR-Aufsatz solide ist, selbst wenn der Servicecharakter des MDR-Zusatzmoduls selbst seltener öffentlich bewertet wird.

Fünftens: Der Fachkräftemangel von rund 104.000 unbesetzten IT-Sicherheitsstellen in Deutschland ist der eigentliche Treiber hinter allen drei Angeboten. Unternehmen, die vor drei Jahren noch versucht haben, ein eigenes Zwei-Schicht-SOC aufzubauen, brechen dieses Vorhaben zunehmend ab und schreiben MDR-Verträge aus, weil die Stellen für Security Engineers im Schnitt 8 bis 11 Monate offen bleiben.

Für wen eignet sich welcher MDR-Anbieter? Fünf Anwendungsfälle

  • Mittelständischer Fertigungsbetrieb mit gemischter IT-Landschaft: Arctic Wolf passt am besten, weil der Dienst keinen neuen Agenten erzwingt und sich in vorhandene Windows-, Linux- und OT-nahe Systeme einfügt. Gerade in der Fertigung, wo Produktionssysteme selten kurzfristig neue Software vertragen, ist dieser Verzicht auf einen Zusatzagenten oft das entscheidende Auswahlkriterium.
  • Unternehmen mit bestehendem Sophos-Intercept-X-Rollout: Sophos MDR Complete lohnt sich, weil die Endpoint-Basis schon steht und die Breach-Warranty bis zu 1 Million US-Dollar zusätzliche Absicherung bietet. Der Umstieg reduziert sich hier auf ein Lizenz-Upgrade statt auf ein technisches Migrationsprojekt.
  • Kleinere Firma mit laufender ESET-PROTECT-Lizenz: ESET MDR ist der naheliegende Zusatzschritt, sofern bereits eine Enterprise- oder Elite-Lizenz existiert, da kein Wechsel der Endpoint-Software nötig wird. Für Betriebe mit weniger als 20 IT-Mitarbeitenden ist das oft der pragmatischste Einstieg in einen 24/7-Dienst.
  • KRITIS-Betreiber unter NIS2 und KRITIS-Dachgesetz mit kurzen Meldefristen: Hier zählt vor allem ein fest zugewiesenes Ansprechteam, wie es Arctic Wolf mit seinem Concierge-Modell anbietet, weil im Ernstfall schnelle, persönliche Eskalation über ein Ticketsystem hinaus zählt. Die gesetzliche Meldefrist lässt wenig Raum für lange interne Abstimmungsschleifen mit einem anonymen Support-Postfach.
  • Scale-up mit Schwerpunkt auf Multi-Cloud statt Endpoints: Keiner der drei Dienste ist hier optimal, weil alle drei primär auf Endpoint- und Netzwerktelemetrie ausgelegt sind, für reine Cloud-Fehlkonfigurationen braucht es eher ein dediziertes CNAPP-Werkzeug. Wer beides braucht, sollte MDR und CNAPP als zwei getrennte Verträge planen statt einen Anbieter für beides zu suchen.
  • Konzern mit eigenem Tier-1-SOC, aber Personallücke in der Nachtschicht: Hier eignet sich ein hybrides Modell, in dem das interne Team tagsüber die Feinanalyse übernimmt und einer der drei Anbieter ausschließlich die Nacht- und Wochenendabdeckung liefert, was in der Regel günstiger ist als eine Rundum-Betreuung.

Migrations-Guide: So wechseln Unternehmen zwischen MDR-Anbietern

Ein MDR-Wechsel ist kein Software-Update über Nacht, sondern ein Projekt mit mehreren Wochen Vorlauf. Der erste Schritt ist eine vollständige Bestandsaufnahme aller aktuell angebundenen Telemetriequellen, also Endpoints, Firewalls, Identity-Provider und E-Mail-Gateways, damit der neue Anbieter genau weiß, welche Datenquellen er einbinden muss. Parallel dazu sollte die Kündigungsfrist des laufenden Vertrags geprüft werden, viele MDR-Verträge laufen über zwölf oder 24 Monate mit automatischer Verlängerung, wenn nicht rechtzeitig gekündigt wird. Wer diesen Schritt verschläft, zahlt im schlechtesten Fall für zwei MDR-Verträge gleichzeitig, ohne dass der doppelte Schutz einen zusätzlichen Nutzen bringt.

Danach folgt die Architekturentscheidung: Wechselt ein Unternehmen zu Sophos oder ESET, muss zuerst der neue Agent auf allen Endpunkten ausgerollt werden, bevor der alte deinstalliert wird, damit keine Erkennungslücke entsteht. Beim Wechsel zu Arctic Wolf entfällt dieser Schritt meist, weil der Dienst mit der vorhandenen Endpoint-Software weiterarbeitet. In jedem Fall empfiehlt sich eine Parallelbetriebsphase von zwei bis vier Wochen, in der beide Anbieter gleichzeitig Alarme erhalten, um Fehlalarme und blinde Flecken vor der endgültigen Umstellung zu identifizieren.

Checkliste MDR-Migration (Auszug): 1. Telemetriequellen inventarisieren (Endpoints, Firewall, IdP, E-Mail) 2. Kuendigungsfrist des Altvertrags pruefen (meist 60-90 Tage vor Ablauf) 3. Datenexport frueherer Vorfaelle und Playbooks anfordern 4. Neuen Agenten in Testgruppe (5-10% der Endpoints) ausrollen 5. Parallelbetrieb 2-4 Wochen, Alarme beider Anbieter vergleichen 6. DPA/AVV und Serverstandort (EU-Datenresidenz) rechtlich pruefen 7. Eskalationswege und Rufbereitschaft intern neu dokumentieren 8. Cutover, alten Agenten erst nach 30 Tagen Stabilitaet entfernen 9. Nachaudit nach 90 Tagen: Reaktionszeiten und Fehlalarmquote messen

Ein Punkt wird in der Praxis oft unterschätzt: die rechtliche Prüfung von Datenverarbeitungsverträgen und Serverstandorten. Arctic Wolf verarbeitet europäische Kundendaten seit 2021 auch über das Frankfurter SOC, Sophos hat durch die Secureworks-Integration mehrere EU-Standorte, ESET verarbeitet Daten unter anderem in Bratislava und damit ebenfalls innerhalb der EU. Für Unternehmen mit strengen Datenresidenzanforderungen unter NIS2 oder dem KRITIS-Dachgesetz lohnt sich trotzdem eine schriftliche Bestätigung des exakten Verarbeitungsorts, weil sich Standorte nach Übernahmen wie im Fall Sophos-Secureworks ändern können.

Häufig unterschätzt wird zudem der interne Kommunikationsaufwand während der Migration. Mitarbeitende, die bisher Warnmeldungen vom alten Anbieter gewohnt waren, müssen wissen, ab welchem Stichtag Meldungen vom neuen Dienst kommen und über welchen Kanal echte Eskalationen laufen, damit im Zweifel niemand eine echte Warnung für einen Systemtest hält. Ein kurzer interner Leitfaden mit den neuen Kontaktwegen, verteilt an IT-Support und Fachbereichsleitungen, verhindert in der Praxis mehr Verwirrung als jede technische Detailplanung. Größere Organisationen legen dafür üblicherweise einen festen Cutover-Termin außerhalb der Hauptgeschäftszeiten fest, etwa an einem Freitagabend, um genug Zeit für Nachjustierungen zu haben, bevor am folgenden Montag der reguläre Betrieb wieder anläuft.

Vor- und Nachteile im direkten Vergleich

Arctic Wolf

Arctic Wolf eignet sich am besten für Unternehmen, die bereits Geld in Endpoint- und Netzwerktools investiert haben und keinen weiteren Agenten wollen. Die Stärke liegt im persönlichen Servicemodell, die Schwäche in der Abhängigkeit von der Qualität angebundener Drittsysteme.

  • Vorteil: Toolagnostisch, funktioniert mit vorhandenem Sicherheitsstack
  • Vorteil: Festes Concierge-Team pro Kunde statt wechselnder Analysten
  • Vorteil: Höchste Bewertung bei Gartner Peer Insights (4,9/5,0) unter den dreien
  • Nachteil: Kein eigenes Erkennungsmodul, Qualität hängt teils vom Drittanbieter-Tool ab
  • Nachteil: Preislich in der Mitte, bei sehr kleinen Teams oft zu teuer

Sophos MDR

Sophos passt zu Unternehmen, die bereits Intercept X einsetzen oder die eine finanziell abgesicherte Reaktion im Ernstfall über die Breach-Warranty priorisieren. Die Integration von Secureworks bringt zusätzliche Erfahrung bei Enterprise-Vorfällen mit, aber auch eine gewisse organisatorische Übergangsunsicherheit.

  • Vorteil: Größte Kundenbasis nach Secureworks-Integration (28.000 Organisationen)
  • Vorteil: Bis zu 1 Mio. USD Breach-Warranty in der Complete-Stufe
  • Vorteil: Eigener Agent erlaubt tiefere Erkennungslogik ohne Abhängigkeit von Drittsoftware
  • Nachteil: Zwingt zur Sophos-Endpoint-Basis, weniger flexibel bei bestehenden Fremdtools
  • Nachteil: Serverlizenzierung separat, Gesamtkosten in der Praxis schwer vorab kalkulierbar

ESET MDR

ESET ist der naheliegende Weg für Unternehmen, die bereits ESET-Lizenzen im Einsatz haben und keinen kompletten Anbieterwechsel wollen. Die fehlende öffentliche Preisliste macht einen schnellen Kostenvergleich schwerer, dafür bleibt die Erkennungstechnologie im Hintergrund nachweislich konkurrenzfähig.

  • Vorteil: Günstiger Zusatzschritt für bestehende ESET-PROTECT-Enterprise-Kunden
  • Vorteil: Starke Erkennungsbasis, Platz 2 im G2-XDR-Bericht Winter 2026
  • Vorteil: EU-Wurzeln in Bratislava, für manche DACH-Kunden ein Vertrauensargument
  • Nachteil: Keine öffentliche Preisliste, jede Kalkulation erfordert ein individuelles Angebot
  • Nachteil: MDR nur als Zusatzmodul zu höheren Lizenzstufen verfügbar, kein eigenständiges Produkt

Einkauf und Vertragsverhandlung: Worauf DACH-Einkäufer achten sollten

MDR-Verträge werden selten über eine einzelne Preisliste abgeschlossen, sondern über ein Angebot, das sich an Endpunktzahl, Branche und Risikoprofil orientiert. Wer mit Arctic Wolf, Sophos oder ESET verhandelt, sollte vor dem ersten Gespräch die eigene Endpunktzahl, die Anzahl kritischer Server und die geforderte Reaktionszeit im Vorfall genau kennen, weil diese drei Werte die Preisspanne stärker beeinflussen als jede Verhandlungstaktik. Wichtig ist außerdem die Frage nach der Eskalationskette: Wie schnell wird ein menschlicher Analyst eingebunden, wenn ein automatisiertes System einen kritischen Alarm auslöst, und über welchen Kanal läuft diese Eskalation außerhalb der üblichen Geschäftszeiten.

Ein zweiter Punkt, der in Vertragsverhandlungen häufig untergeht, ist die Reaktionsfähigkeit bei einem tatsächlichen Ransomware-Vorfall außerhalb des reinen Monitorings. Sophos MDR Complete bewirbt hier seine Breach-Warranty als finanzielle Absicherung, Arctic Wolf verweist auf sein Incident-Command-Team, das im Ernstfall zusätzlich zum laufenden Concierge-Team hinzugezogen wird, und ESET bindet forensische Zusatzleistungen oft über Partner statt über ein eigenes internes Team ein. Einkaufsabteilungen sollten sich diese Eskalationsstufen schriftlich im Vertrag oder im Service-Level-Dokument bestätigen lassen, statt sich auf mündliche Zusagen im Verkaufsgespräch zu verlassen, denn genau diese Details entscheiden im echten Vorfall über Reaktionszeit und Schadenshöhe.

NIS2, KRITIS-Dachgesetz und der Fachkräftemangel: Warum DACH-Unternehmen jetzt handeln

Der regulatorische Druck verstärkt die Nachfrage nach MDR-Diensten zusätzlich. Mit der Umsetzung von NIS2 in deutsches Recht und dem KRITIS-Dachgesetz müssen deutlich mehr Unternehmen als bisher Sicherheitsvorfälle innerhalb enger Fristen melden und nachweisen, dass sie überhaupt in der Lage sind, einen Angriff zeitnah zu erkennen. Ein Unternehmen ohne 24/7-Überwachung kann diese Nachweispflicht faktisch nicht erfüllen, ohne einen externen Dienst hinzuzuziehen. Das erklärt, warum alle drei hier verglichenen Anbieter in den vergangenen zwei Jahren gezielt in ihre DACH-Präsenz investiert haben, von Arctic Wolfs Frankfurter SOC bis zu ESETs Nähe zum mitteleuropäischen Markt über den Hauptsitz in Bratislava.

Gleichzeitig bleibt der Fachkräftemangel die eigentliche Triebfeder. Mit rund 104.000 unbesetzten IT-Sicherheitsstellen in Deutschland und einer durchschnittlichen Besetzungsdauer von 8 bis 11 Monaten für Security-Engineer-Rollen ist der Aufbau eines eigenen Zwei- oder Drei-Schicht-SOC für die meisten Mittelständler schlicht keine realistische Option mehr. MDR-Verträge verschieben das Personalproblem nicht, sie lösen es, indem sie die Kapazität mehrerer Kunden über ein zentrales SOC teilen. Für Einkaufsabteilungen heißt das: Der Vergleich zwischen Arctic Wolf, Sophos und ESET ist inzwischen weniger eine Frage von “brauchen wir das”, sondern von “welcher Vertrag passt zu unserer bestehenden IT und unserem regulatorischen Rahmen”. Die Verschiebung von einer freiwilligen Sicherheitsinvestition zu einer regulatorisch abgeleiteten Pflichtausgabe verändert dabei auch, wer im Unternehmen die Kaufentscheidung trifft, häufig sitzt inzwischen die Rechts- oder Compliance-Abteilung mit am Tisch, nicht mehr nur die IT-Leitung.

Das Urteil: Welcher MDR-Anbieter gewinnt 2026?

Eine einzelne Gewinnerin gibt es nicht, die Datenlage zeigt aber klare Tendenzen. Arctic Wolf führt bei der Kundenzufriedenheit in reinen MDR-Bewertungen, mit 4,9 von 5,0 Punkten bei Gartner Peer Insights und dem Status als Customers’ Choice 2026, und punktet vor allem durch die Unabhängigkeit von einer bestimmten Endpoint-Software. Für Unternehmen, die bereits in einen Sicherheitsstack investiert haben und keinen weiteren Agenten wollen, ist das der naheliegende Weg, auch wenn die Preise im mittleren bis oberen Segment liegen.

Sophos MDR gewinnt dort, wo Unternehmen bereits Intercept X einsetzen und von der finanziellen Absicherung durch die Breach-Warranty profitieren wollen. Die Integration von Secureworks hat die Kundenbasis auf 28.000 Organisationen anwachsen lassen, was Sophos kurzfristig zum größten reinen MDR-Anbieter macht, auch wenn die technische Zusammenführung beider Plattformen noch nicht vollständig abgeschlossen ist. ESET MDR schließlich ist die richtige Wahl für kleinere und mittlere Unternehmen, die schon ESET-Lizenzen besitzen und einen kosteneffizienten nächsten Schritt suchen, ohne gleich den gesamten Endpoint-Stack zu tauschen. Wer bei null anfängt und maximale Flexibilität will, startet mit Arctic Wolf, wer bereits Sophos oder ESET im Einsatz hat, prüft zuerst das jeweils passende MDR-Upgrade, bevor er den Anbieter wechselt.

Ein Faktor bleibt bei allen drei Optionen gleich: Ein MDR-Vertrag ersetzt keine funktionierende interne IT-Grundhygiene. Patch-Management, Backup-Strategie und Zugriffskontrollen bleiben Aufgabe des Kunden, der MDR-Anbieter erkennt und reagiert auf Bedrohungen, verhindert aber nicht die zugrunde liegenden Schwachstellen. Unternehmen, die MDR als alleinige Sicherheitsmaßnahme einkaufen, ohne diese Grundlagen zu pflegen, werden auch mit dem besten Anbieter enttäuscht sein.

Häufig gestellte Fragen

Was kostet Arctic Wolf im Vergleich zu Sophos MDR und ESET MDR?

Arctic Wolf bewegt sich laut Käuferberichten zwischen 24.000 und 320.000 US-Dollar pro Jahr, mit einem Median um 80.000 bis 96.000 US-Dollar. Sophos MDR rechnet pro Nutzer ab, zwischen rund 75 und 228 US-Dollar jährlich je nach Stufe. ESET MDR veröffentlicht keine Preisliste, der Dienst setzt zudem eine Enterprise- oder Elite-Basislizenz voraus.

Brauche ich für Arctic Wolf einen neuen Endpoint-Agenten?

Nein, Arctic Wolf ist bewusst toolagnostisch aufgebaut und integriert sich in bereits vorhandene Lösungen wie Microsoft Defender, CrowdStrike Falcon oder SentinelOne, statt einen eigenen Agenten zu erzwingen.

Was ändert sich für Secureworks-Kunden nach der Sophos-Übernahme?

Secureworks wurde am 3. Februar 2025 für 859 Millionen US-Dollar von Sophos übernommen. Die Threat-Intelligence-Einheit läuft seither unter der Marke Sophos X-Ops, Kunden werden sukzessive in die Sophos-Infrastruktur überführt.

Ist ESET MDR auch ohne bestehende ESET-Lizenz erhältlich?

Nein, ESET MDR ist ein Zusatzmodul zur ESET-PROTECT-Plattform und erfordert mindestens die Lizenzstufe Enterprise oder Elite als Basis, bevor der MDR-Baustein überhaupt gebucht werden kann.

Welcher Anbieter passt zu Unternehmen unter NIS2 oder dem KRITIS-Dachgesetz?

Alle drei erfüllen grundsätzlich die technische Grundvoraussetzung einer 24/7-Überwachung. Arctic Wolf bietet durch sein festes Concierge-Team einen etwas persönlicheren Eskalationsweg, was bei kurzen Meldefristen ein praktischer Vorteil sein kann. Unternehmen sollten in jedem Fall den genauen Verarbeitungsstandort der Daten schriftlich bestätigen lassen.

Wie lange dauert ein Wechsel zwischen zwei MDR-Anbietern?

Realistisch sollten Unternehmen sechs bis zehn Wochen einplanen, inklusive Bestandsaufnahme, Agenten-Rollout bei Bedarf, einer zwei- bis vierwöchigen Parallelbetriebsphase und einem Nachaudit nach 90 Tagen. Unternehmen mit mehr als 1.000 Endpunkten oder komplexer OT-Infrastruktur sollten eher am oberen Ende dieser Spanne planen, weil der Rollout eines neuen Agenten bei Sophos oder ESET in solchen Umgebungen selten in wenigen Tagen abgeschlossen ist.

Warum ist ESET PROTECT im G2-Bericht vor CrowdStrike gelandet?

Im G2 Winter 2026 Grid-Report für XDR-Plattformen erzielte ESET PROTECT Platz 2 unter anderem durch hohe Nutzerzufriedenheit bei Erkennungsfunktionen wie automatisierter Reaktion und Threat-Hunting, während CrowdStrike und SentinelOne in derselben Kategorie dahinter platziert wurden.

Lohnt sich MDR für kleine Unternehmen mit unter 50 Mitarbeitern überhaupt?

Bei sehr kleinen Teams lohnt sich meist zuerst ESET MDR über eine vorhandene PROTECT-Lizenz oder die günstigere Sophos-Essentials-Stufe, da Arctic Wolfs Vertragsstrukturen eher auf Unternehmen ab etwa 100 Endpunkten ausgelegt sind.

Kann ich Arctic Wolf, Sophos oder ESET parallel zu meinem bestehenden internen SOC nutzen?

Ja, alle drei Anbieter unterstützen ein hybrides Modell, bei dem das interne Team bestimmte Systeme selbst überwacht und den MDR-Dienst nur für Randzeiten oder ausgewählte Systeme hinzuzieht. In der Praxis verlangt das aber eine klare Aufgabenteilung im Vertrag, damit im Vorfall nicht beide Seiten davon ausgehen, dass die andere Seite zuerst reagiert.