EDR, MDR und XDR: Angriffe erkennen und stoppen

Was EDR anders macht als Virenschutz

Klassischer Virenschutz vergleicht Dateien mit bekannten Schadmustern. EDR beobachtet dagegen das Verhalten: Welcher Prozess startet welchen, wer verschlüsselt plötzlich Tausende Dateien, wer greift auf Anmeldedaten zu? Auffälligkeiten meldet EDR an eine zentrale Konsole und kann betroffene Geräte isolieren oder Prozesse beenden.

Damit erkennt EDR auch Angriffe ohne bekannte Schadsoftware, etwa wenn Angreifer legitime Werkzeuge wie PowerShell missbrauchen. Der Preis: EDR erzeugt viele Meldungen, und jemand muss sie bewerten.

EDR, XDR und MDR im Vergleich

Warum MDR für viele Unternehmen der realistische Weg ist

Angriffe passieren häufig nachts, am Wochenende oder an Feiertagen. Ein eigenes Team, das rund um die Uhr Meldungen bewertet, ist für die meisten mittelständischen Unternehmen kaum zu besetzen. MDR-Anbieter übernehmen genau das: Sie betreiben ein Security Operations Center (SOC), prüfen Alarme, grenzen Vorfälle ein und leiten Gegenmaßnahmen ein.

Wichtig beim Vergleich von Angeboten: Wer darf im Ernstfall eingreifen, etwa ein Gerät isolieren? Wie schnell wird reagiert? Und ist Unterstützung bei der Bewältigung eines Vorfalls (Incident Response) enthalten oder kostet sie extra?

Erkennung ersetzt kein Backup

EDR und MDR verkürzen die Zeit, bis ein Angriff bemerkt wird. Verhindern können sie ihn nicht immer: Angreifer versuchen gezielt, Sicherheitssoftware abzuschalten, bevor sie Daten verschlüsseln. Deshalb braucht es zusätzlich unveränderliche Backups, die auch mit gestohlenen Administratorrechten nicht gelöscht werden können, und eine geübte Wiederherstellung.

Worauf es bei der Einführung ankommt

Erstens vollständige Abdeckung: Ein EDR-Agent schützt nur Geräte, auf denen er läuft, also auch Server und Backup-Systeme einbinden. Zweitens klare Zuständigkeiten für die Reaktion. Drittens die Anbindung an den IT-Notfallplan. Und viertens regelmäßige Tests, ob Alarme tatsächlich ankommen und bearbeitet werden.

EDR, MDR und NIS2

NIS2 verlangt von betroffenen Unternehmen unter anderem Maßnahmen zur Bewältigung von Sicherheitsvorfällen und strenge Meldefristen. Ohne zuverlässige Erkennung lassen sich diese Fristen kaum einhalten. EDR und MDR sind dafür ein naheliegender Baustein. Mehr im Eintrag NIS2.