Wenn ein Unternehmen eine Lösung für Cybersicherheit kauft, hört es meist drei Abkürzungen: EDR, XDR und MDR. Anbieter verwenden sie, als wären sie selbsterklärend, und der Geschäftsführer oder der Finanzleiter bleibt mit einer Frage zurück: Brauchen wir alle drei oder reicht eine, und wie unterscheidet sich das vom Virenschutz, den wir ohnehin bezahlen?
Die Frage ist nicht nur aus technischen Gründen wichtig. NIS2 und DORA verlangen von Unternehmen nicht nur Schutz, sondern auch den Nachweis, dass Vorfälle erkannt werden und darauf reagiert wird. Ein installiertes Programm beweist das nicht. Jemand muss beobachten, was es anzeigt, und reagieren, wenn es rot zeigt.
In diesem Artikel erklären wir, was jede Abkürzung wirklich bedeutet, wo die Fähigkeiten der einen Lösung enden und die der nächsten beginnen und wie Sie für ein Unternehmen mit etwa 50 Mitarbeitenden ohne eigenes Sicherheitsteam die richtige Wahl treffen.
Virenschutz und EDR sind nicht dasselbe
Ein klassischer Virenschutz gleicht Dateien mit Signaturen bekannter Schadsoftware ab und blockiert, was er erkennt. Das funktioniert gegen massenhaft verbreitete, seit Langem bekannte Bedrohungen. Gegen Angreifer, die legitime Systemwerkzeuge nutzen, etwa PowerShell, Fernwartungssoftware und gewöhnliche Admin-Skripte, und keine Datei hinterlassen, die sich per Signatur erkennen ließe, funktioniert er nicht mehr.
EDR (Endpoint Detection and Response) betrachtet nicht Dateien, sondern Verhalten. Ein Agent auf dem Arbeitsplatz oder Server zeichnet Prozesse, Netzwerkverbindungen und Änderungen in der Registry auf und sucht nach verdächtigen Abfolgen: Zum Beispiel startet ein Word-Dokument eine Befehlszeile, die eine Datei herunterlädt und versucht, Backups zu deaktivieren. Jeder Schritt für sich wirkt harmlos, die Abfolge nicht.
Der zweite wichtige Teil von EDR ist die Reaktion. In der Konsole können Sie einen Computer vom Netzwerk isolieren, einen Prozess beenden, geänderte Dateien zurückrollen und die gesamte Ereigniskette sehen: wo sie begann und was berührt wurde. Ein Virenschutz zeigt das nicht, er meldet nur „erkannt und entfernt“.
Die praktische Folge: EDR erzeugt weit mehr Informationen als ein Virenschutz. Wenn niemand diese Informationen liest, wird EDR schlicht zu einem teureren Virenschutz.
XDR: Wenn ein Gerät nicht genügt
XDR (Extended Detection and Response) dehnt dasselbe Prinzip über den Arbeitsplatz hinaus aus. Daten aus E-Mail, Identitätssystem (zum Beispiel Microsoft Entra ID), Netzwerkgeräten, Cloud-Diensten und Servern werden zu einer einzigen Sicht zusammengeführt.
Warum ist das wichtig? Ein typischer moderner Vorfall beginnt nicht auf einem Computer. Zuerst erhält ein Mitarbeitender eine E-Mail, gibt dann ein Passwort auf einer gefälschten Anmeldeseite ein, der Angreifer meldet sich aus einem anderen Land bei Microsoft 365 an, und erst einige Tage später zeigt sich etwas auf einem Arbeitsplatz. EDR sieht nur den letzten Schritt. XDR verbindet alle vier zu einem einzigen Ereignis und zeigt, dass es sich um einen Angriff handelt und nicht um vier voneinander unabhängige Alarme.
Bitdefender GravityZone, SentinelOne und CrowdStrike bieten heute alle eine XDR-Ebene als Erweiterung von EDR an. Der Unterschied liegt darin, welche Quellen sie ohne zusätzlichen Aufwand anbinden und wie viel Konfiguration nötig ist. Über die Wahl zwischen diesen drei Plattformen schreiben wir in einem eigenen Artikel.
Eine wichtige Nuance: XDR vergrößert den Informationsfluss noch weiter. Je mehr Quellen, desto mehr Korrelationen und desto mehr Alarme, die jemand bewerten muss.
MDR: Menschen, die rund um die Uhr beobachten
MDR (Managed Detection and Response) ist keine Technik, sondern ein Service. Das Team von Sicherheitsanalysten des Dienstleisters überwacht die Alarme der EDR- oder XDR-Plattform rund um die Uhr, trennt echte von falschen Vorfällen, reagiert (isoliert ein Gerät, sperrt ein Konto) und meldet sich bei Ihnen nur, wenn Ihre Entscheidung gebraucht wird.
Warum ist das ein eigener Service? Weil Angreifer nachts und am Wochenende arbeiten, genau dann, wenn Ihr IT-Spezialist nicht auf die Konsole schaut. Ransomware-Angriffe werden meist am Freitagabend gestartet, damit bis Montagmorgen möglichst viel verschlüsselt ist. Ein EDR, das am Freitagabend einen roten Alarm zeigt, während niemand hinsieht, stoppt den Vorfall nicht.
MDR kann vom Plattformhersteller selbst erbracht werden oder von Ihrem IT-Partner mit den Werkzeugen des Herstellers. Beide Varianten sind sinnvoll. Der Unterschied liegt darin, wie gut der Dienstleister Ihre Umgebung kennt. Ein Analyst des Herstellers sieht nur Alarme. Ein Partner, der Ihre Server betreut, weiß, dass ein nächtliches Skript auf dem Buchhaltungsserver kein Angriff ist, sondern der Monatsabschluss.
Wie Sie nach Unternehmensgröße und Team wählen
Die Wahl bestimmt nicht die Größe, sondern wer die Alarme liest und wann. Nach unserer Erfahrung lassen sich Unternehmen grob so einteilen.
Bis zu 20 Mitarbeitende, kein IT-Spezialist
Sie brauchen EDR mit betreuter Überwachung. Sie brauchen die Konsole nicht, Sie brauchen jemanden, der sie beobachtet und reagiert. MDR ist hier meist Teil des IT-Supports und wird nicht separat gekauft.
20 bis 100 Mitarbeitende, ein IT-Spezialist oder ein externer Partner
Das typische Unternehmen mit 50 Mitarbeitenden. Der IT-Spezialist ist mit dem täglichen Support ausgelastet und hat keine Zeit (und oft keine Spezialisierung), Sicherheitsalarme zu untersuchen. Sie brauchen EDR und, wenn Sie Microsoft 365 nutzen, XDR mit Identitäts- und E-Mail-Signalen sowie MDR von einem Partner. Der interne Spezialist bleibt Entscheider und wird nicht zum Bereitschaftswächter.
Über 100 Mitarbeitende oder ein regulierter Betrieb
Wenn für Sie Pflichten nach NIS2 oder DORA gelten, wird XDR zur Notwendigkeit, denn Sie müssen nachweisen, dass Vorfälle in der gesamten Infrastruktur erkannt werden und nicht nur auf Computern. MDR mit klarem SLA und Vorfallberichten ist das, was Sie bei einem Audit vorzeigen.
| Frage | Virenschutz | EDR | XDR | MDR |
|---|---|---|---|---|
| Blockiert bekannte Viren | Ja | Ja | Ja | Ja |
| Erkennt verdächtiges Verhalten | Nein | Ja | Ja | Ja |
| Verbindet E-Mail, Identität, Server | Nein | Nein | Ja | Je nach Plattform |
| Wer reagiert nachts | Niemand | Ihre IT | Ihre IT | Die Analysten des Dienstleisters |
Was die Betreuung durch MDP CLOUD umfasst
In unserem IT-Support ist die Sicherheitsüberwachung kein separater Posten. Wir rollen auf jedem Arbeitsplatz und Server einen EDR- oder XDR-Agenten aus (Bitdefender GravityZone, SentinelOne oder CrowdStrike, je nach Umgebung des Kunden), unser Team beobachtet die Alarme, und die Reaktion beginnt innerhalb von 30 Minuten.
Konkret bedeutet das:
- Ausrollen des Agenten und Konfiguration der Richtlinien passend zur Arbeitsweise des Unternehmens, damit legitime Anwendungen nicht blockiert werden;
- Prüfung der Alarme und Aussortieren von Fehlalarmen, damit der Kunde nur das erhält, was seine Aufmerksamkeit braucht;
- Isolieren von Geräten und Sperren von Konten, sobald ein Vorfall bestätigt ist, noch bevor wir anrufen;
- ein monatlicher Bericht über erkannte Ereignisse, der der Dokumentation für NIS2 oder DORA beigefügt werden kann;
- Abstimmung mit den Backups, damit es nach einem Vorfall etwas zum Wiederherstellen gibt.
Für Server gilt dasselbe über unsere Server-Betreuung, und unsere Cloud-Server werden mit bereits installiertem GravityZone-Schutz vermietet.
Wo Sie anfangen
- Prüfen Sie, was derzeit installiert ist: Virenschutz oder EDR. Wenn Sie es nicht wissen, ist es höchstwahrscheinlich Virenschutz.
- Beantworten Sie die Frage, wer am Samstag um 3 Uhr nachts einen Alarm sieht. Lautet die Antwort „niemand“, fehlt nicht Technik, sondern MDR.
- Notieren Sie, wo Ihre Daten liegen: Computer, Server, Microsoft 365, Cloud-Dienste. Wenn nicht nur auf Computern, ziehen Sie XDR in Betracht.
- Wenn Sie in einem regulierten Sektor tätig sind, prüfen Sie, ob Ihre aktuelle Lösung Berichte liefert, die Sie bei einem Audit vorzeigen können.
- Nehmen Sie Kontakt mit uns auf. Wir bewerten Ihre aktuelle Umgebung und schlagen vor, was im IT-Support ohne Zusatzkosten enthalten ist, und wählen anhand Ihrer Gerätezahl die Lizenzen für Bitdefender GravityZone oder eine andere Plattform aus.
