Tre navne dominerer i dag samtalen, når danske og nordiske sikkerhedschefer skal vælge platform til endpoint detection and response: CrowdStrike Falcon, SentinelOne Singularity og Microsoft Defender for Endpoint. Valget koster ikke kun penge. Det afgør, hvor hurtigt et angreb bliver opdaget, hvor mange analytikere der skal bemande et SOC, og hvordan organisationen dokumenterer sin indsats over for NIS2-tilsynet. CrowdStrike afsluttede regnskabsåret 2026 (ultimo januar 2026) med en annualiseret tilbagevendende omsætning (ARR) på 5,25 milliarder dollar, en stigning på 24 procent år for år, mens SentinelOne landede på 1,1191 milliarder dollar i ARR, op 22 procent. Begge vokser altså hurtigere end det samlede marked for traditionel antivirus, men de konkurrerer om de samme budgetter som Microsoft Defender for Endpoint, der følger med i stort set enhver Microsoft 365 E5-aftale.
Denne sammenligning går i dybden med arkitektur, priser, benchmarks og reelle brugsscenarier for alle tre platforme, så it-sikkerhedsansvarlige i Danmark og resten af Norden kan træffe et beslutningsgrundlag, der holder, når revisionen banker på.
Mange organisationer ender med at sammenligne platformene på et enkelt, overfladisk kriterium, typisk prisen pr. enhed i det billigste niveau, og opdager først efter underskrift, at den reelle funktionalitet kræver et dyrere niveau eller et ekstra tilkøbsmodul. Denne gennemgang holder derfor hele tiden tre spørgsmål op mod hinanden samtidig: hvad platformen rent faktisk kan ud af boksen, hvad den koster på det niveau, der giver den funktionalitet, og hvilken dokumentation leverandøren selv kan fremlægge for den påstand.
Gå ikke glip af nye tech-historier på Google
Tilføj Shattered én gang i Google-appen, så dukker vores artikler op i dine forslag.
Derfor er EDR-valget strategisk vigtigt i 2026
Klassisk antivirus stoppede en kendt fil. Moderne angreb bruger i stedet legitime værktøjer, stjålne adgangskoder og fileless teknikker, der aldrig rammer disken som en genkendelig signatur. Det er grunden til, at endpoint detection and response (EDR) og den bredere kategori extended detection and response (XDR) er blevet et krav snarere end et nice-to-have for virksomheder, der er omfattet af NIS2-direktivet i Danmark, hvor op mod 6.000 virksomheder nu skal kunne dokumentere, hvordan de opdager og reagerer på hændelser inden for få timer.
Markedet er samtidig blevet sværere at sammenligne. CrowdStrike sælger pr. enhed, Microsoft sælger pr. bruger som en del af en større licenspakke, og SentinelOne opererer med flere pakketrin, hvor de mest avancerede funktioner kun findes i de dyreste niveauer. Det betyder, at to organisationer med nøjagtig samme antal medarbejdere kan ende med vidt forskellige regninger, afhængigt af om de allerede har Microsoft 365 E5, om de har brug for Linux- og containersikkerhed, eller om de ønsker en fuldt administreret detection-service oven på selve softwaren.
Samtidig mangler Danmark og Norden hænder til at drive de sikkerhedscentre, som skal bruge værktøjerne. Det World Economic Forum beskriver som en global kompetencekrise i cybersikkerhed, rammer også danske organisationer, der ifølge tal citeret i artiklen om WEF’s Cybersecurity Outlook 2026 mangler omkring 7.000 sikkerhedseksperter. Når der er færre analytikere til at kigge på alarmer, bliver platformens evne til selv at korrelere, prioritere og i nogle tilfælde automatisk rulle et angreb tilbage langt vigtigere end for fem år siden. Det er præcis her, de tre platforme adskiller sig mest fra hinanden.
Antivirus, EDR og XDR: hvad er egentlig forskellen
Traditionel antivirus arbejder stadig primært med signaturer og heuristik. Den sammenligner en fil mod en database over kendt skadelig kode og blokerer, hvad den genkender. Problemet er, at angribere i 2026 sjældent skriver ny malware fra bunden. De misbruger i stedet PowerShell, WMI, fjernskrivebordsværktøjer og stjålne legitimationsoplysninger, altså helt almindelige administrationsværktøjer, som en signaturbaseret motor aldrig vil flage som farlige.
EDR løser det ved at logge adfærd kontinuerligt: hvilke processer der starter hvilke andre processer, hvilke netværksforbindelser der oprettes, og hvilke filer der læses eller ændres. CrowdStrike kalder sin tilgang for “indicators of attack”, altså mønstre af adfærd snarere end enkeltstående filer. Den tilgang gør det muligt at opdage et angreb, før det har nået at kryptere en eneste fil, fordi platformen reagerer på rækkefølgen af handlinger og ikke kun på slutresultatet.
XDR tager konceptet et skridt videre ved at samle telemetri fra ikke kun endpoints, men også identitet, cloud-arbejdsbelastninger, e-mail og netværk i én korreleret visning. Alle tre leverandører i denne sammenligning markedsfører sig i dag som XDR-platforme, selv om kernen historisk har været endpoint-sikkerhed. Microsoft binder sin XDR-historie sammen med Microsoft Sentinel som SIEM-lag, CrowdStrike bygger videre på sin Falcon-platform med moduler til cloud og identitet, og SentinelOne samler alt i det, de kalder Singularity Data Lake.
Forskellen mellem EDR og XDR er i praksis mest relevant for organisationer, der allerede har et modent sikkerhedscenter med flere specialiserede analytikere. En mindre organisation med én deltids-it-medarbejder har sjældent gavn af at betale ekstra for XDR-korrelation på tværs af fem forskellige datakilder, hvis der alligevel ikke er nogen til at handle på den ekstra kontekst. Her giver det ofte bedre mening at starte med ren EDR på endpoints og identitet, og først tilkøbe de bredere XDR-moduler, i takt med at sikkerhedsorganisationen vokser.
CrowdStrike Falcon: arkitektur og AI-detektion
CrowdStrike Falcon er bygget op omkring en enkelt, let agent, der sendes til platformens sky, hvor al analyse foregår. Det betyder i praksis, at endpointet ikke selv skal udføre tung signaturscanning, og at nye detektionsregler kan rulles ud til hele kundebasen uden at opdatere agenten lokalt. CrowdStrike har markedsført denne arkitektur som en afgørende fordel siden lanceringen og har siden udvidet platformen med moduler til identitetsbeskyttelse, cloud-sikkerhed og den generative AI-assistent Charlotte AI, der hjælper analytikere med at opsummere hændelser på almindeligt sprog.
Selskabet har i mange år brugt sin deltagelse i MITREs ATT&CK Enterprise Evaluations som sit vigtigste salgsargument. I den seneste runde, Enterprise Evaluation 7 fra 2025, som emulerede angrebsgrupperne Scattered Spider og Mustang Panda, opnår CrowdStrike efter eget udsagn 100 procent detektion, 100 procent beskyttelse og nul falske positiver på tværs af de testede teknikker. Det er vigtigt at holde fast i, at tallet er leverandørens egen fortolkning af MITREs rådata, og at hverken SentinelOne eller Microsoft optræder som deltagere i netop denne runde ifølge MITREs offentlige meddelelse om evalueringen, hvilket gør en direkte trevejssammenligning umulig for 2025-runden.
CrowdStrike beskriver sig selv som udnævnt til Leader i Gartners Magic Quadrant for Endpoint Protection Platforms for sjette år i træk, ifølge selskabets egen gennemgang af 2025-rapporten. Falcon-platformen understøtter Windows, macOS og en bred vifte af Linux-distributioner, og selskabet tilbyder desuden en fuldt administreret service, Falcon Complete, hvor CrowdStrikes eget team overvåger og reagerer på hændelser på kundens vegne døgnet rundt.
Den typiske CrowdStrike-kunde er en mellemstor til stor organisation, der allerede har et dedikeret sikkerhedsteam eller en klar plan om at bygge et, og som værdsætter en bred, sammenhængende platform frem for at samle flere enkeltprodukter fra forskellige leverandører. Den brede ARR-vækst på 24 procent år for år i regnskabsåret 2026 afspejler i høj grad, at eksisterende kunder løbende tilkøber flere moduler, såsom cloud-sikkerhed og identitetsbeskyttelse, oven på den oprindelige endpoint-licens, snarere end udelukkende at afspejle en tilgang af helt nye kunder.
SentinelOne Singularity: autonom respons og Purple AI
SentinelOne skiller sig historisk ud ved at lægge mere beslutningskraft lokalt på selve enheden. Mens CrowdStrike primært analyserer i skyen, kan SentinelOnes agent selv genkende og stoppe et angreb, selv hvis enheden er offline, og efterfølgende rulle alle filændringer tilbage til tilstanden lige før angrebet, uden at en administrator først skal godkende handlingen. Den automatiske rollback-funktion er stadig et af selskabets mest fremhævede argumenter over for ransomware, hvor hvert sekunds forsinkelse kan betyde flere krypterede filer.
Selskabet har i de seneste år bygget Purple AI oven på platformen, en AI-drevet analytiker, der kan omsætte almindelige spørgsmål til forespørgsler i det underliggende Singularity Data Lake og dermed gøre trusselsjagt tilgængelig for analytikere uden dyb erfaring med forespørgselssprog. For regnskabsåret 2026, der sluttede 31. januar 2026, rapporterede SentinelOne en ARR på 1,1191 milliarder dollar, en stigning på 22 procent år for år, og en samlet omsætning på omkring 1,001 milliarder dollar. Det er fortsat langt under CrowdStrikes volumen, men væksttakten ligger tæt på CrowdStrikes egne 24 procent, hvilket tyder på, at SentinelOne fortsat vinder markedsandele snarere end at blive hægtet af.
Prissætningen er opdelt i flere pakker, fra det grundlæggende Singularity Control til den mere fuldstændige Singularity Complete, der tilføjer udvidet trusselsjagt og Ranger-funktioner til enhedsopdagelse på netværket. Den lagdelte model minder om CrowdStrikes, men SentinelOne har traditionelt positioneret sig som det billigere alternativ i mellemsegmentet, en strategi der matcher selskabets historiske markedsandel, som ifølge ældre IDC-tal lå væsentligt under CrowdStrikes og Microsofts.
Den typiske SentinelOne-kunde er ofte en organisation, der tidligere har oplevet et ransomware-forsøg eller en nærmiljø-hændelse, og som derfor lægger ekstra vægt på, at skaden kan rulles tilbage automatisk inden for sekunder frem for minutter. Selskabets fortsatte tocifrede ARR-vækst i 2026 tyder på, at den historie fortsat vinder gehør, særligt blandt mellemstore virksomheder, der ikke har ressourcer til at bemande et døgndækkende SOC, men som stadig ønsker en platform, der kan handle selvstændigt uden konstant menneskelig overvågning.
Microsoft Defender for Endpoint: dybt integreret i Microsoft 365
Microsoft Defender for Endpoint har den fordel, som ingen konkurrent kan matche: det er allerede indbygget i Windows, og det følger ofte automatisk med, når en organisation i forvejen betaler for Microsoft 365 E5 eller tilkøber Defender-tillæg. For mange danske kommuner, uddannelsesinstitutioner og mellemstore virksomheder, der i forvejen er dybt forankret i Microsofts økosystem, betyder det, at den reelle ekstraomkostning ved at aktivere avanceret EDR kan være langt lavere end at indkøbe og implementere en helt ny tredjepartsplatform.
Platformen er opdelt i to niveauer. Defender for Endpoint Plan 1 dækker grundlæggende beskyttelse som angrebsoverfladereduktion og manuel trusselsreaktion, mens Plan 2 tilføjer den fulde EDR-funktionalitet, automatiseret undersøgelse og trusselsjagt via Microsoft 365 Defender-portalen. Microsoft har i sin egen gennemgang af 2025-udgaven af Gartners Magic Quadrant fremhævet, at selskabet igen er udnævnt til Leader i kategorien Endpoint Protection Platforms, en rapport der ifølge begge selskabers blogindlæg evaluerede 15 leverandører i alt, heriblandt både CrowdStrike og Sophos, som også blev navngivet Leaders.
Den store styrke er altså licensøkonomi og dyb integration med Windows, Entra ID og Microsoft Sentinel. Svagheden, som mange sikkerhedsarkitekter stadig peger på, er, at dele af funktionaliteten historisk har båret præg af at være udviklet til et Windows-først-økosystem, selv om Microsoft de seneste år har investeret kraftigt i at løfte macOS- og Linux-understøttelsen op på niveau med konkurrenterne.
Den typiske Defender for Endpoint-kunde er en organisation, hvor it-afdelingen allerede administrerer Windows-enheder via Intune og identitet via Entra ID, og hvor sikkerhedsbudgettet skal strække sig over mange forskellige formål samtidig, ikke kun endpoint-beskyttelse. For den slags organisationer er spørgsmålet sjældent, om Defender er “godt nok” i isolation, men om den samlede Microsoft-sikkerhedsstak, inklusive Sentinel og Purview, dækker behovet bedre end at sammensætte flere separate leverandører, der hver skal integreres og vedligeholdes enkeltvis.
Specifikationer side om side: tolv parametre sammenlignet
Nedenstående tabel samler de vigtigste tekniske og forretningsmæssige parametre for de tre platforme, baseret på selskabernes egne publicerede oplysninger og de analyserapporter, der er citeret gennem artiklen. Brug den som et udgangspunkt for et kravspecifikationsdokument, ikke som den endelige facitliste, da flere af felterne, særligt prisniveau og tilkøbsmoduler, ændrer sig løbende i takt med at leverandørerne opdaterer deres pakker.
| Parameter | CrowdStrike Falcon | SentinelOne Singularity | Microsoft Defender for Endpoint |
|---|---|---|---|
| Ejerselskab | CrowdStrike Holdings | SentinelOne Inc. | Microsoft Corporation |
| Kernearkitektur | Cloud-nativ sensor, analyse i skyen | Lokal AI-beslutningstagning på enheden, sky til korrelation | Indbygget i Windows, cloud-tjeneste til administration |
| Primær detektionsmetode | Indicators of Attack (adfærdsbaseret) | Statisk AI plus adfærdsbaseret ActiveEDR | Adfærdsbaseret plus cloudbeskyttelse via Microsoft Defender Antivirus-motor |
| Automatisk tilbagerulning | Via tilføjelsesmoduler | Indbygget rollback-funktion som kernefunktion | Automatiseret undersøgelse og oprydning (Plan 2) |
| Seneste MITRE ATT&CK-deltagelse | Enterprise Evaluation 7, 2025 (Scattered Spider/Mustang Panda) | Ikke bekræftet som deltager i Round 7, 2025 | Ikke bekræftet som deltager i Round 7, 2025 |
| Gartner Magic Quadrant 2025 (EPP) | Navngivet Leader | Placering ikke uafhængigt bekræftet i gennemgåede kilder | Navngivet Leader |
| ARR, regnskabsår 2026 | 5,25 mia. dollar (+24% å/å) | 1,1191 mia. dollar (+22% å/å) | Rapporteres ikke separat (del af Microsoft Security) |
| Omsætning, regnskabsår 2026 | Cirka 4,81 mia. dollar | Cirka 1,001 mia. dollar | Rapporteres ikke separat |
| Understøttede OS | Windows, macOS, bred Linux-understøttelse | Windows, macOS, Linux, containere | Windows, macOS, Linux, Android, iOS |
| Indbygget AI-analytikerfunktion | Charlotte AI | Purple AI | Security Copilot (tilkøb) |
| Fuldt administreret MDR-tilbud | Falcon Complete | Vigilance Respond | Microsoft Defender Experts |
| Licensmodel | Pr. enhed/endpoint | Pr. enhed/endpoint | Pr. bruger, ofte bundlet i M365 E5 |
| Selvstændigt produkt | Ja, sælges separat | Ja, sælges separat | Ja, men billigst når det bundles |
Priser i 2026: fra Falcon Go til Defender P2
Prissammenligning på tværs af EDR-markedet er notorisk svært, fordi leverandørerne ikke bruger samme enhed. CrowdStrike og SentinelOne fakturerer typisk pr. enhed om måneden, mens Microsoft fakturerer pr. bruger, hvilket betyder, at én Microsoft-licens kan dække flere enheder, som den samme medarbejder logger ind fra. Tabellen herunder viser de offentligt tilgængelige, vejledende listepriser, men bemærk, at virksomhedsaftaler i praksis typisk forhandles individuelt og kan afvige betydeligt fra listeprisen.
| Platform og niveau | Cirka pris pr. måned | Faktureringsenhed | Dækker |
|---|---|---|---|
| CrowdStrike Falcon Go | 5,00 dollar | Pr. enhed | Antivirus næste generation til små virksomheder, op til 100 enheder |
| CrowdStrike Falcon Pro | 8,33 dollar | Pr. enhed | Tilføjer fuld EDR og trusselsjagt |
| CrowdStrike Falcon Enterprise | 15,42 dollar | Pr. enhed | Fuld XDR, identitetsbeskyttelse og cloud-moduler |
| SentinelOne Singularity Control | 6,67 dollar | Pr. enhed | Basal EPP og EDR |
| SentinelOne Singularity Complete | Variabel, typisk højere end Control | Pr. enhed | Udvidet trusselsjagt, Storyline-korrelation og Ranger-netværksopdagelse |
| Microsoft Defender for Endpoint P1 | 2,50-3,00 dollar | Pr. bruger | Grundlæggende beskyttelse og angrebsoverfladereduktion |
| Microsoft Defender for Endpoint P2 | Cirka 5,20 dollar | Pr. bruger | Fuld EDR, automatiseret undersøgelse og trusselsjagt |
| Microsoft 365 E5 (bundle) | Variabel, inkluderer Defender P2 | Pr. bruger | Defender P2 samt Entra ID P2, Purview og andre sikkerhedsmoduler |
Sættes de to yderpunkter op mod hinanden, koster CrowdStrikes mest avancerede Enterprise-niveau omkring seks gange så meget pr. måned som Microsofts billigste Defender-niveau. Forskellen skal dog læses med forbehold: CrowdStrikes pris dækker en komplet, selvstændig XDR-pakke med identitetsbeskyttelse, mens Defender P1 alene er grundlæggende beskyttelse uden den fulde EDR-funktionalitet. Sammenlignes i stedet CrowdStrikes laveste niveau, Falcon Go, med Microsofts fulde Defender for Endpoint P2, er forskellen under to gange, hvilket viser, hvor afgørende det er at sammenligne niveau med niveau og ikke bare laveste pris med laveste pris.
Implementering og driftstid: hvor hurtigt kommer platformen i drift
Prisen på en licens fortæller kun halvdelen af historien. Den anden halvdel er, hvor mange interne timer der går med at få platformen fra underskrevet kontrakt til reel, overvåget beskyttelse på hver eneste enhed. CrowdStrikes letvægtsagent fremhæves ofte som hurtig at rulle ud, netop fordi den ikke kræver en lokal signaturdatabase, der skal downloades og vedligeholdes på hver enkelt maskine. I praksis betyder det, at en pilotgruppe på nogle hundrede enheder typisk kan være oppe at køre på under en uge, forudsat at virksomhedens eksisterende værktøj til softwaredistribution, for eksempel Intune eller et traditionelt GPO-opsæt, allerede er på plads.
SentinelOnes agent kræver typisk en smule mere lokal konfiguration, fordi en del af beslutningslogikken skal initialiseres og tilpasses direkte på enheden for at kunne reagere, selv når forbindelsen til skyen er nede. Til gengæld oplever mange administratorer, at selve konsolopsætningen, herunder politikker for automatisk rollback, er hurtigere at få meningsfuldt konfigureret, fordi standardindstillingerne allerede er tunet til at minimere manuel indgriben.
Microsoft Defender for Endpoint har den klare fordel, at agenten på Windows 10 og Windows 11 allerede er indbygget i styresystemet og blot skal aktiveres og licenseres, hvilket for mange it-afdelinger betyder, at der reelt ikke er nogen separat “installation” på klientsiden. Til gengæld bruger mange organisationer længere tid på at konfigurere de tilhørende politikker i Microsoft 365 Defender-portalen korrekt, især hvis virksomheden samtidig er i gang med at rulle Entra ID og betinget adgang ud, da de tre områder i praksis hænger tæt sammen i Microsofts sikkerhedsmodel.
Databehandling, GDPR og hosting i EU
For danske og nordiske organisationer er spørgsmålet om, hvor telemetridata fysisk opbevares og behandles, sjældent et teoretisk spørgsmål. Endpoint-telemetri indeholder i praksis brugernavne, IP-adresser, filstier og i nogle tilfælde indhold af dokumenter, der er blevet scannet eller karantænesat, hvilket gør den til persondata i GDPR-forstand, så snart den kan kobles til en identificerbar person.
Alle tre leverandører har i dag mulighed for at vælge en europæisk datacenterregion til den primære lagring af kundedata, men den konkrete aftaletekst varierer. CrowdStrike og SentinelOne opererer begge med regionsvalg som en del af kontraktforhandlingen, mens Microsofts tilgang er tættere flettet sammen med den bredere Microsoft 365-databehandleraftale, som mange danske organisationer allerede har på plads via deres eksisterende Microsoft-licensaftale. Det betyder i praksis, at en organisation, der allerede har forhandlet sin Microsoft-databehandleraftale grundigt igennem med egen jurist, ofte kan aktivere Defender for Endpoint uden at skulle forhandle en helt ny aftale fra bunden, mens et skifte til en ny tredjepartsleverandør kræver, at den samme juridiske proces køres igen.
Ingen af de tre platforme løser automatisk kravet om en opdateret databehandleraftale eller en vurdering af tredjelandsoverførsler. Det ansvar ligger fortsat hos den dataansvarlige organisation selv, og det bør indgå som et fast punkt i ethvert udbud eller enhver migrering, uanset hvor overbevisende en leverandørs markedsføringsmateriale om “EU-hosting” lyder.
MITRE ATT&CK, Gartner og markedsdata: benchmarks fra fire kilder
Ingen enkelt benchmark giver et fuldstændigt billede af, hvilken platform der er “bedst”. De fire kilder herunder, MITRE, Gartner, IDC og Forrester, måler forskellige ting på forskellige tidspunkter, og de bør derfor læses som komplementære datapunkter snarere end en endelig rangliste.
| Kilde | År | Hvad den måler | Resultat |
|---|---|---|---|
| MITRE ATT&CK Enterprise Evaluation 7 | 2025 | Detektion og beskyttelse mod Scattered Spider og Mustang Panda | CrowdStrike rapporterer 100% detektion, 100% beskyttelse, 0 falske positiver. SentinelOne og Microsoft deltog ikke i denne specifikke runde ifølge MITREs deltagerliste |
| Gartner Magic Quadrant for Endpoint Protection Platforms | 2025 | Vision og eksekveringsevne blandt 15 evaluerede leverandører | Microsoft, CrowdStrike og Sophos navngivet Leaders. SentinelOnes placering er ikke uafhængigt bekræftet i de kilder, denne artikel har kunnet gennemgå |
| IDC Worldwide Modern Endpoint Security Market Shares | Data fra juli 2021 til juni 2022, udgivet 2022/2023 | Global markedsandel af moderne endpoint-sikkerhed | CrowdStrike 17,7%, Microsoft 16,4%, SentinelOne 2,8% |
| Forrester Wave: Endpoint Detection and Response Providers | Q2 2022 | 20-kriterie evaluering af 15 EDR-leverandører | CrowdStrike, Microsoft og SentinelOne indgik alle blandt de evaluerede leverandører |
Det er værd at understrege, hvad denne artikel bevidst ikke gør: den opstiller ikke en fabrikeret 2026-markedsandelstabel for de tre leverandører, fordi der ikke findes en offentligt verificerbar, opdateret Gartner- eller IDC-markedsandelsrapport for alle tre samtidigt på udgivelsestidspunktet. De ældre IDC- og Forrester-tal fra 2022 er stadig nyttige som retningsgivende historik, især fordi de viser et marked, hvor CrowdStrike allerede dengang lå foran på andel, mens SentinelOne startede fra et lavt niveau men siden har vokset ARR med over 20 procent årligt flere år i træk.
Tilsvarende findes der ikke en frisk, direkte sammenlignelig 2026-test fra uafhængige laboratorier som AV-Comparatives eller SE Labs, der stiller alle tre platforme op mod hinanden i samme testrunde med offentliggjorte falsk-positiv-rater. Organisationer, der lægger afgørende vægt på lav falsk-positiv-rate i deres eget miljø, bør derfor supplere denne sammenligning med et konkret proof-of-concept hos egne endpoints, snarere end at stole blindt på en enkelt leverandørs markedsføringstal.
Falske positiver koster mere end blot irritation i en travl it-afdeling. Hver gang en platform fejlagtigt karantænesætter et legitimt program, skal en administrator bruge tid på at undersøge og frigive filen, og for mange falske alarmer over tid får analytikere en tendens til at klikke alarmer væk hurtigere, hvilket øger risikoen for, at et reelt angreb overses i mængden. Det er en af de vigtigste, men sværest målbare, kvaliteter ved enhver EDR-platform, og netop derfor bør den altid testes i egen drift over mindst to til fire uger, før en bredere udrulning besluttes endeligt.
Hvad branchen siger om EDR-markedet
Selv om de nyeste tal fra 2026 fortæller historien om vækst, er det nyttigt at se på, hvordan analysehusene historisk har vurderet de tre spillere, fordi det giver konteksten for, hvorfor markedet ser ud, som det gør i dag. IDC skrev i sin rapport om det globale marked for moderne endpoint-sikkerhed, at “CrowdStrike held 17.7% of the worldwide modern endpoint security market, compared with 16.4% for Microsoft and 2.8% for SentinelOne”, baseret på data fra juli 2021 til juni 2022, som gengivet i rapporten tilgængelig via ESETs publicerede kopi af IDC-dataene.
Samme rapport bemærkede, at “CrowdStrike’s modern endpoint security market share increased from 13.8% to 17.7%, a gain of 3.8 percentage points”, mens “Microsoft’s modern endpoint security market share increased from 13.1% to 16.4%, a gain of 3.3 percentage points”. For SentinelOne lød konklusionen, at “SentinelOne’s modern endpoint security market share increased from 1.7% to 2.8%, a gain of 1.1 percentage points”, hvilket på papiret er en mindre absolut stigning, men procentuelt den kraftigste relative vækst af de tre, en tendens der stemmer godt overens med selskabets fortsatte tocifrede ARR-vækst i 2026.
Forrester konkluderede i sin evaluering af EDR-markedet, at “In its 20-criterion evaluation of 15 endpoint detection and response providers, Forrester included CrowdStrike, Microsoft, and SentinelOne among the evaluated vendors”, ifølge The Forrester Wave: Endpoint Detection And Response Providers, Q2 2022. At alle tre leverandører konsekvent optræder side om side i de store analysehuses rapporter, år efter år, er i sig selv et stærkt signal om, at ingen af dem reelt kan afskrives som et “B-hold” sammenlignet med de to andre, uanset hvilken leverandør den enkelte organisation i sidste ende vælger.
Fem virkelige brugsscenarier fra dansk og nordisk erhvervsliv
I stedet for at pege på enkeltstående, navngivne hændelser, der ikke kan verificeres uafhængigt, giver det mere værdi at se på de typiske organisationsprofiler, hvor valget mellem de tre platforme faktisk gør en forskel i praksis.
Sundhedssektoren. Hospitaler og regioner kører ofte en blanding af ældre medicinsk udstyr, Windows-servere og moderne klientenheder. Her vejer evnen til at køre agenten på ældre, ikke-understøttede operativsystemer tungt, og mange sundhedsorganisationer vælger en platform med en etableret Falcon Complete- eller tilsvarende MDR-aftale, fordi interne it-afdelinger sjældent har kapacitet til at bemande et døgndækkende SOC selv, særligt når ransomware mod sundhedssektoren fortsat er en af de mest udbredte trusselskategorier ifølge de trends, der ligger til grund for WEF’s globale cybersikkerhedsrapport for 2026.
Finanssektoren. Banker og forsikringsselskaber har typisk modne, velbemandede sikkerhedscentre og stiller krav om dyb API-adgang til rå telemetri, så de kan integrere EDR-data i deres egen SIEM-løsning. Her er den afgørende faktor ofte, hvor hurtigt platformen kan levere strukturerede data til et eksternt analyseværktøj, snarere end hvor “automatisk” platformens egen brugerflade er.
Uddannelsesinstitutioner. Universiteter og erhvervsskoler har ofte tusindvis af studerendes egne enheder, der forbinder til netværket, kombineret med stramme budgetter. Her er licensmodellen typisk den afgørende faktor, og en organisation, der i forvejen betaler for Microsoft 365 til undervisningsbrug, kan ofte aktivere Defender for Endpoint til en marginalomkostning, der er svær at matche med en tredjepartsplatform.
Offentlige myndigheder omfattet af NIS2. Kommuner og statslige styrelser skal dokumentere konkrete tekniske og organisatoriske foranstaltninger over for tilsynet. Her vægter mange en platform med en klar, revisionsvenlig hændelseslog og en leverandør, der aktivt dokumenterer sin egen compliance-historik, hvilket har gjort både CrowdStrikes og Microsofts gentagne Gartner Leader-placeringer til et argument i udbudsmateriale, selv om en Leader-placering i sig selv ikke er en garanti for compliance.
Detailhandel og e-handel. Butikskæder med point-of-sale-systemer og sæsonbetonede spidsbelastninger har ofte brug for en agent med minimal systembelastning, fordi en kasseterminal, der sidder fast under julehandlen, er lige så kostbar som et sikkerhedsbrud. Her fremhæver flere leverandører, heriblandt SentinelOne, en let, lokal beslutningsmotor som en fordel, fordi enheden fortsat kan reagere på et angreb, selv hvis internetforbindelsen til butikken falder ud midlertidigt.
IT-konsulenthuse og managed service-udbydere. MSSP’er, der overvåger hundredvis af kundemiljøer fra én central konsol, prioriterer ofte en platform med stærk multi-tenant-styring og klare API’er til at automatisere onboarding af nye kunder. Her vejer det tungt, hvor nemt platformen lader MSSP’en opsætte ensartede basispolitikker på tværs af kunder, samtidig med at hver enkelt kunde kan få individuelle tilpasninger uden at bryde den centrale overvågning.
Anbefalinger efter virksomhedstype
- Lille virksomhed uden eget sikkerhedsteam: Microsoft Defender for Endpoint P2, især hvis organisationen allerede har eller overvejer Microsoft 365 E5, da marginalomkostningen typisk er lavest her.
- Mellemstor virksomhed med NIS2-forpligtelser men begrænset SOC-bemanding: SentinelOne Singularity Complete, på grund af den indbyggede automatiske rollback og lavere krav til manuel analytikerindgriben.
- Global koncern eller finanssektor med modent SOC: CrowdStrike Falcon Enterprise, drevet af den brede modulportefølje, den dokumenterede MITRE-deltagelse og den dybe API-adgang til egen SIEM.
- MSP/MSSP, der betjener mange kundevirksomheder samtidig: SentinelOnes eller CrowdStrikes multi-tenant-konsoller er begge bygget til managed service-udbydere, men vælges typisk ud fra, hvilken platform MSSP’ens eget analytikerteam allerede er certificeret i.
- Organisation uden internt SOC, der ønsker fuld outsourcing: Falcon Complete fra CrowdStrike eller Microsoft Defender Experts, da begge er fuldt administrerede MDR-tjenester oven på platformen, hvor leverandørens eget team overvåger og reagerer.
- Sundheds- og produktionsvirksomheder med ældre, skrøbeligt udstyr: En platform med dokumenteret lav ressourcebelastning og bred OS-understøttelse, hvor alle tre leverandører kan komme i betragtning, men hvor et konkret proof-of-concept på det specifikke udstyr bør afgøre valget frem for listetal.
- Virksomhed med spredt, international medarbejderstab og mange personlige enheder: En platform med stærk mobil- og krydsplatformunderstøttelse, hvor Microsoft Defender for Endpoints indbyggede dækning af Android og iOS i samme konsol som Windows og macOS ofte reducerer antallet af separate værktøjer, en organisation skal administrere.
Fordele og ulemper ved hver platform
CrowdStrike Falcon
- Fordel: Stærkt dokumenteret 2025 MITRE-resultat og syv år i træk som Gartner-Leader ifølge selskabets egne gennemgange.
- Fordel: Bred modulportefølje, der dækker identitet, cloud og endpoint i én konsol.
- Fordel: Letvægtsagent med analyse flyttet til skyen, hvilket begrænser lokal ressourcebelastning.
- Ulempe: Prisniveauet på de øverste tiers er det højeste af de tre platforme pr. enhed.
- Ulempe: Fuld funktionalitet kræver typisk flere tilkøbte moduler oven på grundpakken.
SentinelOne Singularity
- Fordel: Indbygget automatisk rollback-funktion som standard, ikke som tilkøb.
- Fordel: Hurtigst voksende ARR i procent blandt de tre i de seneste regnskabsår.
- Fordel: Lokal beslutningstagning gør agenten mindre afhængig af konstant cloud-forbindelse.
- Ulempe: Mindre markedsandel historisk set betyder færre tredjepartsintegrationer ud af boksen end CrowdStrike.
- Ulempe: 2025 Gartner- og MITRE-placeringerne kunne ikke bekræftes uafhængigt i de kilder, der ligger til grund for denne artikel.
Microsoft Defender for Endpoint
- Fordel: Lavest marginalomkostning for organisationer, der allerede har Microsoft 365 E5.
- Fordel: Navngivet Gartner Leader i 2025 og dyb native integration med Windows og Entra ID.
- Fordel: Bredt platformsupport inklusive Android og iOS i samme konsol som desktopenheder.
- Ulempe: Pris pr. bruger frem for pr. enhed gør det sværere at sammenligne direkte med de to andre.
- Ulempe: Fuld EDR-funktionalitet kræver Plan 2 eller en bredere Microsoft 365 E5-aftale, ikke bare selve Windows-licensen.
Sådan migrerer du fra én EDR-platform til en anden
At skifte EDR-leverandør er ikke en simpel afinstallation og geninstallation. Et dårligt planlagt skifte efterlader i en periode enheder helt uden beskyttelse, og det er netop det vindue, som angribere udnytter. Følgende rækkefølge er en forsigtig, afprøvet tilgang, som de fleste virksomheder bør følge uanset hvilken retning skiftet går.
Tidsrammen for en fuld migrering afhænger mest af organisationens størrelse og antallet af enhedstyper, der skal understøttes. En organisation med nogle hundrede ensartede Windows-klienter kan ofte gennemføre hele forløbet, fra pilot til fuld udrulning, på fire til seks uger. En organisation med en bredere vifte af servere, Linux-arbejdsbelastninger og ældre specialudstyr bør regne med flere måneder, særligt hvis kernel-driver-konflikter først opdages sent i pilotfasen og kræver en dialog med leverandørens support, før udrulningen kan fortsætte til resten af flåden.
- Kortlæg samtlige enheder, der i dag kører den gamle agent, inklusive servere, virtuelle maskiner og enheder, der sjældent er online.
- Udrul den nye agent side om side med den gamle på en pilotgruppe på 5-10 procent af enhederne, og lad begge køre samtidig i mindst to uger.
- Sammenlign detektionslogge mellem de to platforme i pilotperioden for at identificere falske positiver, før den nye politik rulles bredt ud.
- Tilpas detektions- og forebyggelsespolitikker i den nye konsol, så de matcher organisationens risikoprofil, før den fulde udrulning startes.
- Udrul den nye agent til resten af organisationen via eksisterende værktøjer som Intune, gruppepolitik eller et RMM-værktøj.
- Afinstaller den gamle agent først, når den nye er bekræftet aktiv og rapporterende på hver enkelt enhed, ikke bare på gennemsnittet.
- Opsig den gamle licens, og dokumenter hele forløbet til brug i den næste NIS2- eller ISO 27001-revision.
# Eksempel på et typisk udrulningsmønster via et RMM- eller GPO-værktøj
# Trin 1: installer ny agent uden at fjerne den gamle
msiexec /i NewAgentInstaller.msi /quiet GROUPTAG="Pilot" /norestart
# Trin 2: bekræft at begge agenter rapporterer til deres respektive konsoller
Get-Service -Name "OldAgentService","NewAgentService" | Select-Object Name, Status
# Trin 3: fjern den gamle agent først når den nye er bekræftet aktiv
msiexec /x {GAMMEL-AGENT-PRODUKT-KODE} /quiet /norestartTjekliste før et platformsskifte: fire spørgsmål bør være besvaret, før den gamle agent fjernes permanent fra en eneste produktionsenhed.
- Er der konflikter mellem den nye agents kernel-driver og andre sikkerhedsværktøjer, der allerede kører på enhederne?
- Har organisationen eksporteret mindst 90 dages historisk hændelsesdata fra den gamle konsol til arkivering før opsigelse?
- Er SOC-teamet eller MSSP’en trænet i den nye konsols alarmformat, før den gamle slukkes helt?
- Er integrationer til SIEM, ticketsystem og identitetsplatform genetableret og testet mod den nye platform?
Konklusion: hvilken platform vinder i 2026
Der findes ikke ét entydigt svar, og enhver leverandør, der hævder det modsatte, bør mødes med skepsis. Data peger dog på tre klare mønstre. For det første er CrowdStrike den eneste af de tre, der offentligt har dokumenteret et 100 procent-resultat i den seneste MITRE ATT&CK-evaluering fra 2025, kombineret med den højeste ARR i dollar og den bredeste modulportefølje, hvilket gør Falcon til standardvalget for organisationer med modne, velbemandede sikkerhedscentre, der har råd til prisniveauet.
For det andet er SentinelOne den platform, hvis vækstkurve er stejlest i procent, med 22 procent ARR-vækst i 2026 og en teknisk arkitektur, hvor den automatiske rollback-funktion er indbygget frem for et tilkøb. Det gør Singularity til et stærkt valg for organisationer, der prioriterer automatisk inddæmning af ransomware over den dybeste integration med én enkelt branchestandard-SIEM.
For det tredje vinder Microsoft Defender for Endpoint på ren licensøkonomi for enhver organisation, der allerede betaler for Microsoft 365 E5. Her er den reelle ekstraomkostning ved fuld EDR ofte markant lavere end at indkøbe en helt ny platform, og med en bekræftet Gartner Leader-placering i 2025 kan Defender ikke længere affærdiges som “bare” det indbyggede alternativ. Den endelige beslutning bør derfor tage udgangspunkt i, hvilken af de tre faktorer, der vejer tungest for den konkrete organisation: dokumenteret detektionsevne, automatiseret respons, eller samlet licensomkostning.
Uanset hvilken platform der ender øverst på listen, bør konklusionen aldrig stå alene på baggrund af en artikel, en leverandørs eget pressemateriale eller en enkelt analytikerrapport. De data, der er samlet her, dækker officielle regnskabstal, selskabernes egne gennemgange af Gartners vurderinger og de MITRE-resultater, CrowdStrike selv har offentliggjort, men hverken Gartners fulde rapport, et direkte sammenligneligt MITRE-resultat for alle tre platforme, eller en frisk, uafhængig test af falske positiver var tilgængelig på tværs af alle tre produkter på udgivelsestidspunktet. Det betyder i praksis, at ethvert seriøst indkøb bør følges op af et konkret proof-of-concept i egen drift, før den endelige kontrakt underskrives.
Ofte stillede spørgsmål
Hvad er den vigtigste forskel på CrowdStrike, SentinelOne og Microsoft Defender for Endpoint? CrowdStrike analyserer primært i skyen og har den bredeste modulportefølje, SentinelOne lægger mere beslutningskraft lokalt på enheden med indbygget automatisk tilbagerulning, og Microsoft Defender for Endpoint er dybt integreret i Windows og Microsoft 365, hvilket gør licensøkonomien til dets største styrke.
Hvilken platform er billigst for en lille virksomhed? Rent listepris-mæssigt ligger Microsoft Defender for Endpoint Plan 1 lavest med 2,50-3,00 dollar pr. bruger om måneden, men organisationer uden Microsoft 365 i forvejen bør lægge hele migrationsomkostningen oveni, før de konkluderer, at det er billigst i praksis. CrowdStrikes Falcon Go-niveau er til gengæld bygget specifikt til virksomheder med op til 100 enheder og kræver ingen eksisterende Microsoft-aftale for at give mening.
Er Microsoft Defender for Endpoint godt nok uden CrowdStrike eller SentinelOne? Defender for Endpoint Plan 2 regnes af Gartner som et Leader-produkt i 2025-udgaven af Magic Quadrant for Endpoint Protection Platforms, og mange organisationer kører det som deres eneste EDR-løsning. Om det er “godt nok” afhænger af, hvor meget avanceret trusselsjagt og tredjepartsintegration organisationen reelt har brug for, og hvor ofte sikkerhedsteamet selv skal kunne skrive forespørgsler mod rå telemetri frem for at læse en færdig alarm.
Hvad betyder MITRE ATT&CK-resultaterne i praksis? MITREs evalueringer viser, hvordan en platform reagerer på nøje definerede angrebsteknikker udført af MITREs eget røde hold. De er ikke en garanti for, at platformen fanger ethvert fremtidigt, ukendt angreb, og tallene, leverandørerne fremhæver, er typisk deres egen fortolkning af de rå data, som MITRE offentliggør separat og uden en samlet “vinder”.
Kan man køre to EDR-platforme samtidig under en migrering? Ja, og det anbefales faktisk som en sikkerhedsforanstaltning i en overgangsperiode, så længe de to agenter er testet for kernel-niveau-konflikter på en pilotgruppe, før hele organisationen skifter. De fleste leverandører fraråder dog, at to fulde EDR-agenter kører permanent side om side, fordi det kan give dobbelt ressourceforbrug og modstridende alarmer over tid.
Hvilken platform er bedst til NIS2-compliance i Danmark? NIS2 stiller krav om dokumenterede tekniske og organisatoriske foranstaltninger, ikke om et bestemt produktnavn. Alle tre platforme kan understøtte kravene, men organisationer bør vælge ud fra, hvilken leverandørs hændelseslog og rapporteringsformat der er lettest at dokumentere over for det danske tilsyn, og om data kan opbevares inden for EU i den aftalte periode.
Hvad koster det typisk at skifte EDR-leverandør? Den direkte licensomkostning er ofte den mindste post. Den største omkostning er typisk interne timer til pilotafprøvning, politikopsætning og genintegration med SIEM og identitetsplatform, hvorfor en velplanlagt migrering over flere uger næsten altid er billigere end et hastigt skifte presset frem af en opsagt licens.
Er SentinelOne et godt alternativ til CrowdStrike for en mellemstor virksomhed? For mange mellemstore virksomheder med begrænset SOC-bemanding kan SentinelOnes indbyggede automatiske rollback-funktion reducere behovet for manuel analytikerindgriben sammenlignet med CrowdStrikes mere modulopbyggede tilgang, men organisationer med store, modne sikkerhedscentre vælger ofte stadig CrowdStrike for den bredere modulportefølje og dybere API-adgang.
Skal data fra EDR-platformen opbevares i EU for at overholde GDPR? GDPR kræver ikke nødvendigvis, at data aldrig forlader EU, men det kræver et gyldigt overførselsgrundlag, hvis telemetri sendes til servere uden for EU/EØS. Alle tre leverandører tilbyder i dag muligheden for at vælge en europæisk dataregion til lagring af endpoint-telemetri, men organisationer bør selv bekræfte den konkrete databehandleraftale frem for at antage, at “EU-region” automatisk løser hele det juridiske spørgsmål.