Das Wichtigste vorweg
macOS bringt einen eigenen Malware-Schutz mit: Gatekeeper und Notarisierung prüfen Software beim ersten Öffnen, XProtect sucht beim Start einer App nach bekannten Schädlingen [1]. Für einen kleinen Betrieb mit wenigen Macs reicht das in vielen Fällen, zusammen mit FileVault, automatischen Updates und getrennten Konten [3][4]. Ein zusätzliches Schutzprogramm lohnt sich vor allem dann, wenn du Kunden- und Zahlungsdaten verarbeitest, Nachweise gegenüber Kunden oder Versicherung brauchst oder mehrere Geräte zentral überwachen willst (Einschätzung).
01 / Was macOS mitbringt
Was macOS von Haus aus gegen Malware tut.
Apple beschreibt den Schutz in drei Verteidigungslinien: verhindern, dass Schadsoftware überhaupt startet, verhindern, dass sie läuft, und bereits ausgeführte Malware wieder entfernen [1].
Gatekeeper und Notarisierung
Beim ersten Öffnen einer App prüft Gatekeeper, ob die Software von einem identifizierten Entwickler stammt, von Apple notarisiert und seit der Notarisierung nicht verändert wurde. Das Ergebnis dieser Prüfung protokolliert macOS samt Herkunft der Software [1]. Standardmäßig wird jede heruntergeladene Software beim ersten Öffnen geprüft, egal wie sie auf den Mac kam [1].
Die Notarisierung ist Apples Malware-Scan für Apps, die nicht über den App Store kommen. Apple stellt dafür ein Ticket aus, und wenn eine notarisierte App später als schädlich auffällt, kann Apple das Ticket zurückziehen. Diese Rücknahmen gleicht macOS deutlich häufiger ab als die XProtect-Signaturen [1].
XProtect: der eingebaute Scanner
XProtect ist Apples Antivirus-Technik im System. Sie arbeitet mit YARA-Signaturen und wird automatisch aktualisiert, unabhängig von großen Systemupdates; standardmäßig prüft macOS einmal am Tag nach neuen Signaturen [1]. Findet XProtect etwas, wird die Datei blockiert und in den Papierkorb verschoben, mit einem Hinweis im Finder [1]. Neben den Signaturen gibt es eine Bereinigungs-Engine und eine verhaltensbasierte Erkennung, die auch unbekannte Malware erkennen soll [1].
Dazu kommen die Hintergrund-Sicherheitsverbesserungen: kleinere Sicherheitsupdates zwischen den großen Softwareupdates, etwa für Safari und Systembibliotheken. Sie sind ab iOS, iPadOS und macOS 26.1 standardmäßig aktiv und lassen sich unter Systemeinstellungen > Datenschutz & Sicherheit > Hintergrund-Sicherheitsverbesserungen prüfen [4]. Auf dem Mac stehen sie nur zur Verfügung, wenn das System vom internen Speicher startet [4].
02 / Die Basisschichten
Die vier Basisschichten, die im Büro zuerst dran sind.
Bevor du über Zusatzsoftware nachdenkst, sollten diese vier Punkte sitzen. Sie kosten nichts.
- FileVault einschalten. Bei Macs mit Apple-Chip oder T2-Chip sind die Daten automatisch verschlüsselt; FileVault legt eine zusätzliche Stufe darüber, sodass niemand die Daten ohne dein Anmeldepasswort entschlüsseln kann [3]. Du aktivierst es als Administrator unter Systemeinstellungen > Datenschutz & Sicherheit > FileVault. Bei älteren Macs ohne diese Chips wird erst durch FileVault überhaupt verschlüsselt [3].
- Wiederherstellung bewusst einrichten. FileVault erlaubt die Wiederherstellung über den iCloud-Account oder über einen Wiederherstellungsschlüssel. Apple warnt ausdrücklich: Wer den Schlüssel vergisst, kommt nicht mehr an die Daten [3]. Im Büro heißt das: Schlüssel nicht in einer Notiz auf demselben Mac ablegen.
- Updates automatisch installieren. Unter Systemeinstellungen > Allgemein > Softwareupdate sicherst du, dass Sicherheitsupdates durchlaufen; in macOS Tahoe 26 oder neuer findest du die Option „Systemdateien und Sicherheitsupdates installieren“ über „Weitere Informationen“ [5]. Zusätzlich die Hintergrund-Sicherheitsverbesserungen aktiv lassen [4]. Wie du Updates im Team durchsetzt, steht in Neue iPhone-Spyware über verseuchte Werbung.
- Alltagskonto und Admin-Konto trennen. Wer täglich als Administrator arbeitet, gibt jedem Fehlklick volle Rechte (Einschätzung). Ein eigenes Administratorkonto plus ein Standardkonto für die Arbeit ist wenig Aufwand und bremst die meisten Installationen aus dem Nichts.
Dazu gehören eine Bildschirmsperre, die nach kurzer Zeit ein Passwort verlangt (Einschätzung), und ein sauberer Umgang mit Zugängen. Wenn mehrere Personen dieselben Dienste nutzen, ist ein gemeinsamer Passwort-Tresor statt Zettel und Chat der nächste Schritt; wie das mit Apples App geht, steht in Passwörter im Team teilen.
03 / Grenzen
Wo die eingebauten Schutzfunktionen an ihre Grenzen kommen.
Der eingebaute Schutz ist gut, aber auf ein einzelnes Gerät gedacht. Daraus entstehen im Betrieb vier Lücken.
- Geprüft wird beim Start, nicht dauerhaft. XProtect sieht sich eine App beim ersten Start an oder wenn sie sich im Dateisystem geändert hat [1]. Eine laufende Prüfung aller Dateien im Betrieb gibt es nicht (Einschätzung).
- Keine zentrale Übersicht. macOS selbst bietet keine Konsole, in der du siehst, ob auf fünf Macs im Büro etwas gefunden wurde (Einschätzung). Genau dafür gibt es die Endpoint-Security-API für Sicherheitssoftware von Drittanbietern; ab macOS 15 erhalten Entwickler dort Ereignisse, wenn ein Nutzer Gatekeeper umgeht, und Einblick in XProtect-Funde [2]. Diese Auswertung musst du einkaufen.
- Keine Echtzeit-Warnung bei auffälligem Verhalten. Wer bemerkt, dass ein Programm im Hintergrund Daten nach außen schickt, ist im Zweifel der Mensch davor (Einschätzung). Ein Werkzeug, das solche Muster meldet, bringt der Mac nicht mit.
- Gatekeeper lässt sich aushebeln. Ein Nutzer kann eine blockierte App im Dialog trotzdem öffnen, wenn er die Rechte dazu hat [1]. Organisationen können die Prüfung per Geräteverwaltung sperren oder auf „nur App Store“ beschränken [1] – ohne Verwaltung fehlt diese Bremse.
Für einen einzelnen Mac an einem festen Platz ist das selten ein Problem.
04 / Wann Zusatzsoftware
Wann ein zusätzliches Schutzprogramm sinnvoll ist.
Ein zweiter Scanner ist kein Ersatz für die Basisschichten, sondern eine Ergänzung. Sinnvoll wird er in diesen Situationen:
- Kunden- und Zahlungsdaten: Wer Rechnungen, Adressen und Zahlungsdaten von Kunden auf dem Mac hat, trägt ein Risiko über den eigenen Rechner hinaus (Einschätzung).
- Mehrere Personen an einem Gerät: Wechselnde Konten, Aushilfen, Freelancer – je mehr Hände, desto schwerer ist der Überblick (Einschätzung).
- Nachweispflichten: Wenn Kunden, Versicherung oder ein größerer Auftraggeber technische Schutzmaßnahmen belegt haben wollen, reicht „macOS macht das von allein“ meist nicht (Einschätzung).
- DSGVO: Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen. Für kleine Büros ist das keine Pflicht zu einer bestimmten Software, aber ein Grund, die eigenen Maßnahmen nachvollziehbar zu dokumentieren (Einschätzung).
- Windows im Haus: Auf Windows-Rechnern ist die Lage eine andere als auf dem Mac. Was dort ansteht, habe ich in Windows 10 Support-Ende im Büro aufgeschrieben.
Ein Punkt kommt unabhängig von der Software dazu: Verwaltung. Wenn die Macs über Apple Business und ein MDM laufen, kannst du Gatekeeper-Einstellungen, Updates und FileVault zentral vorgeben. Was Apple Business leistet, steht in Apple Business Manager heißt jetzt Apple Business.
05 / Entscheidungshilfe
Wie du in wenigen Minuten entscheidest.
Meine Faustregel (Einschätzung): Ein bis drei Macs, alle mit Apple-Chip, ein festes Team, keine Kundenzahlungsdaten auf dem Rechner und keine Nachweispflichten – dann reichen die eingebauten Schichten plus die vier Basics.
Sobald zwei dieser Punkte zutreffen, würde ich über ein zusätzliches Programm nachdenken: Zahlungs- oder Gesundheitsdaten auf dem Gerät, mehr als drei Personen mit Zugriff, Geräte, die das Büro verlassen, oder eine Versicherung, die Maßnahmen abfragt (Einschätzung).
Die Reihenfolge ist wichtiger als das Produkt: erst FileVault, Updates und getrennte Konten, dann eine Geräteverwaltung, die diese Einstellungen hält, und erst danach ein Endpoint-Schutz. Ein Schutzprogramm ohne zentrale Auswertung kauft dir Anzeigen, die niemand liest (Einschätzung).
Sicherheit im Büro
Soll ich mir deine Macs im Büro ansehen?
Ich gehe mit dir durch, was auf deinen Geräten schon eingerichtet ist, setze FileVault, Updates und getrennte Konten sauber auf oder sage dir ehrlich, dass du kein zusätzliches Programm brauchst.
FAQ
Häufige Fragen zum Virenschutz auf dem Büro-Mac.
Brauche ich auf dem Mac überhaupt einen Virenscanner?
Für viele kleine Büros nicht zwingend. macOS prüft heruntergeladene Software beim ersten Öffnen, scannt Apps beim Start und entfernt Funde [1]. Sinnvoll wird ein Zusatzprogramm, wenn Daten, Personen oder Nachweispflichten dazukommen (Einschätzung).
Kann ich zwei Schutzprogramme parallel laufen lassen?
Ich würde bei einem bleiben (Einschätzung). Zwei Werkzeuge, die dieselben Dateien prüfen, erzeugen doppelte Meldungen und machen die Frage „wer hat das gemeldet“ unnötig kompliziert.
Reicht FileVault, wenn der Mac gestohlen wird?
FileVault verhindert, dass jemand ohne dein Anmeldepasswort an die Daten kommt [3]. Es ersetzt keine Bildschirmsperre, ist aber die wichtigste Maßnahme für ein Gerät, das das Büro verlässt (Einschätzung).
Quellen
Quellen
- Apple, Apple Platform Security: „Protecting against malware in macOS“, laufend aktualisiert – support.apple.com · abgerufen 20.10.2026.
- Apple, Apple Platform Security: „Protecting against malware in macOS“, Abschnitt zur Endpoint-Security-API und zu Ereignissen ab macOS 15, laufend aktualisiert – support.apple.com · abgerufen 20.10.2026.
- Apple Support: „Daten auf deinem Mac mit FileVault schützen“, ohne Datumsangabe – support.apple.com · abgerufen 20.10.2026.
- Apple Support: „About Background Security Improvements“, ohne Datumsangabe – support.apple.com · abgerufen 20.10.2026.
- Apple Support: „About background updates in macOS“, ohne Datumsangabe – support.apple.com · abgerufen 20.10.2026.
Alle Quellen am 20. Oktober 2026 abgerufen. Aussagen ohne belastbare Quelle sind im Text als Einschätzung gekennzeichnet; die Ziffern in eckigen Klammern verweisen auf die Nummern dieser Liste.