> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-de/mdr/management/uninstall.md).

# Deinstallation eines Hosts

Entfernen Sie den EDR-Agenten von einem überwachten Host: über Stoïk Protect auf einer Workstation oder einem Server oder direkt auf einem Mobilgerät.

## Voraussetzungen

* **Berechtigung für verwaltete Dienste**: `Tools für verwaltete Dienste anzeigen und bearbeiten` muss in Ihrem Konto aktiviert sein. Siehe [Benutzerzugriffsverwaltung](/help/help-de/onboarding/account/users.md).
* **MFA seit mindestens 2 Wochen aktiviert**: richten Sie es ein über `Benutzereinstellungen` > `Sicherheit`, im Menü in der unteren linken Ecke der App. Siehe [Ihr Konto sichern](/help/help-de/onboarding/account/mfa.md).

## Deinstallation auf einer Workstation oder einem Server

Gehen Sie zu `MDR` > `Überwachte Assets` > `Hosts`. Suchen Sie den Host und klicken Sie auf das **Deinstallieren** Symbol in seiner Zeile.

<figure><img src="https://243136008-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fgit-blob-e68f0edc93c96262237fea34f9f3b3f74e529f73%2FCapture%20d%E2%80%99%C3%A9cran%202026-05-07%20%C3%A0%2015.39.46.png?alt=media" alt=""><figcaption></figcaption></figure>

Die nächsten Schritte hängen vom auf dem Host ausgeführten EDR-Anbieter ab.

### CrowdStrike

Bei CrowdStrike wird die Deinstallation direkt auf dem Gerät ausgeführt. Durch Klicken auf **Deinstallieren** öffnet sich ein Modal mit einem einmaligen **Wartungstoken** den Sie benötigen, um den Agenten lokal zu entfernen.

{% stepper %}
{% step %}

#### Den Wartungstoken abrufen

Das Modal zeigt den Token automatisch an. Lassen Sie dieses Modal während der Deinstallation geöffnet.
{% endstep %}

{% step %}

#### Auf dem Gerät deinstallieren

{% tabs %}
{% tab title="Windows" %}

1. Laden Sie das [**Deinstallationswerkzeug für CrowdStrike Falcon**](https://drive.google.com/file/d/1a5RD8HvwsSl26viCYw_QWhoKRn9JfRD-/view?usp=sharing) herunter, das im Modal verlinkt ist.
2. Führen Sie das Tool aus. Wenn Sie dazu aufgefordert werden, geben Sie den im Modal angezeigten Namen des überwachten Assets und den Wartungsschlüssel ein.
3. Warten Sie, bis das Tool die Entfernung bestätigt.

<figure><img src="https://243136008-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FtxXFyLc9VfwvO8HR9Ag0%2FScreenshot%202026-05-18%20at%2018.46.10.png?alt=media&amp;token=9658ae55-c87f-429b-b43f-7a63569b9736" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="macOS" %}

1. Öffnen Sie das Terminal und führen Sie aus:

```bash
sudo /Applications/Falcon.app/Contents/Resources/falconctl uninstall -t
```

2. Wenn Sie dazu aufgefordert werden, geben Sie den im Modal angezeigten Namen des überwachten Assets und den Wartungsschlüssel ein.

<figure><img src="https://243136008-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FPiP5v7VYwNp1eyUcWVpy%2FScreenshot%202026-05-18%20at%2018.45.22.png?alt=media&amp;token=40cbe5d7-d329-4d10-8d33-8237587a46c4" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Linux" %}

1. Öffnen Sie ein Terminal.
2. Wenden Sie den Wartungstoken an:

```bash
sudo /opt/CrowdStrike/falconctl -s --maintenance-token=<maintenance_token>
```

3. Deinstallieren Sie den Falcon-Sensor:

   Debian / Ubuntu:

   ```bash
   sudo apt-get purge falcon-sensor
   ```

   RHEL / CentOS / Fedora:

   ```bash
   sudo yum remove falcon-sensor
   ```

<figure><img src="https://243136008-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FvJzzsFTWTgYVcAEbAQP7%2FScreenshot%202026-05-18%20at%2017.55.40.png?alt=media&amp;token=4db7f351-984d-46e9-840d-b95f3d955995" alt=""><figcaption></figcaption></figure>
{% endtab %}
{% endtabs %}
{% endstep %}

{% step %}

#### In Stoïk Protect bestätigen

Kehren Sie zum Modal zurück, aktivieren Sie "Ich habe die Deinstallation auf dem Gerät mit dem obigen Token abgeschlossen" und klicken Sie auf **Bestätigen**.

Der Host wechselt zu `Wird deinstalliert`. Siehe [Nach der Deinstallation](#after-uninstallation).

<details>

<summary>Token anzeigen / Deinstallation abbrechen</summary>

Sobald eine Deinstallation läuft, erscheinen zwei zusätzliche Symbole in der Zeile des Hosts:

* **Token anzeigen**: öffnet das Modal erneut im Nur-Lese-Modus, damit Sie den Wartungstoken bei Bedarf erneut kopieren können.

<figure><img src="https://243136008-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FlVfiiScfqZYmaiMXJHtc%2FScreenshot%202026-05-18%20at%2020.02.25.png?alt=media&amp;token=4dfde0f7-8673-4b61-91e1-dd4b9736706c" alt=""><figcaption></figcaption></figure>

* **Deinstallation abbrechen**: löscht den `Wird deinstalliert` Status in Stoïk Protect.

<figure><img src="https://243136008-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FVa3ttr1lpX3UcLYxOHtJ%2FScreenshot%202026-05-18%20at%2020.02.32.png?alt=media&amp;token=6a3ce76c-b131-470f-b88f-72def022bf4f" alt=""><figcaption></figcaption></figure>

{% hint style="warning" %}
Das Abbrechen installiert den Agenten auf dem Gerät nicht neu. Wenn Sie den Deinstallationsbefehl bereits ausgeführt haben, ist der Agent bereits entfernt: Das Abbrechen setzt den Host lediglich zurück auf `Aktiv` in der Tabelle, bis CrowdStrike ihn als `Inaktiv`.
{% endhint %}

</details>
{% endstep %}
{% endstepper %}

### SentinelOne

Bei SentinelOne wird die Deinstallation vollständig von Stoïk Protect verwaltet. Kein Befehl muss auf dem Gerät ausgeführt werden. Der Ablauf ist unter Windows, macOS und Linux identisch.

1. Klicken Sie auf die **Deinstallieren** Symbol in der Zeile des Hosts.
2. Überprüfen Sie den Asset-Namen im Modal und klicken Sie auf **Bestätigen**. Der Host wechselt `Wird deinstalliert` sofort, dann zu `Inaktiv` sobald SentinelOne den Agenten nicht mehr meldet.

{% hint style="warning" %}
SentinelOne-Deinstallationen können nicht abgebrochen werden. Der Auftrag wird in dem Moment an SentinelOne gesendet, in dem Sie auf **Bestätigen** klicken, und danach gibt es in der Zeile keinen Abbrechen-Button mehr. Überprüfen Sie den Host-Namen vor dem Bestätigen noch einmal.
{% endhint %}

## Auf einem Mobilgerät deinstallieren

Der mobile Ablauf verwendet Stoïk Protect nicht. Das EDR wird direkt auf dem Gerät entfernt.

{% tabs %}
{% tab title="Android" %}
Entfernen Sie die EDR-App über die App-Verwaltung oder die Einstellungen des Geräts, wie jede andere App auch.
{% endtab %}

{% tab title="iOS" %}
Öffnen Sie `Einstellungen` > `Allgemein` > `VPN & Geräteverwaltung` und löschen Sie das EDR-Profil, dann löschen Sie die EDR-App.
{% endtab %}
{% endtabs %}

## Nach der Deinstallation

Der Agent wird sofort vom Gerät entfernt, aber der Host-Datensatz bleibt in Stoïk Protect noch eine Weile sichtbar. Wie lange, hängt vom EDR ab.

{% tabs %}
{% tab title="CrowdStrike" %}
Der Host bleibt nach der Deinstallation 45 Tage lang in CrowdStrike. Während dieses Zeitraums ist sein Status in Stoïk Protect `Wird deinstalliert`. Nach 45 Tagen bereinigt CrowdStrike den Host und der Status wird `Inaktiv`.
{% endtab %}

{% tab title="SentinelOne" %}
Der Host bleibt in SentinelOne, bis das Gerät das nächste Mal online geht. Während es offline ist, ist sein Status in Stoïk Protect `Wird deinstalliert`; wenn es sich wieder verbindet, entfernt SentinelOne den Host und der Status wird `Inaktiv`. Wenn sich das Gerät nie wieder verbindet (verloren, gestohlen, außer Betrieb genommen), bleibt der Host `Wird deinstalliert` auf unbestimmte Zeit.
{% endtab %}
{% endtabs %}

Zu Host-Status siehe [Status](/help/help-de/mdr/management/hosts.md#statuses).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.stoik.io/help/help-de/mdr/management/uninstall.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.