Viele Angreifer kommen heute ohne klassische Schadsoftware aus. Sie arbeiten mit gestohlenen Zugangsdaten und missbrauchen Bordmittel des Betriebssystems, um unauffällig von System zu System zu wandern. Ein Virenscanner, der auf bekannte Dateien wartet, bekommt davon wenig mit. Für genau dieses Szenario wurde Endpoint Detection and Response entwickelt: Die Technologie beobachtet, was auf Endgeräten tatsächlich passiert, und macht Angriffe sichtbar, die keine eindeutige Signatur hinterlassen.
Was ist Endpoint Detection and Response (EDR)?
EDR ist eine Sicherheitstechnologie, die Endgeräte fortlaufend überwacht und Sicherheitsverantwortliche im Ernstfall handlungsfähig macht. Ein Agent auf dem Gerät sammelt Telemetriedaten und übermittelt sie an eine zentrale Plattform. Dort werden die Ereignisse ausgewertet, mit Wissen über aktuelle Angriffstechniken angereichert und zu Vorfällen verdichtet. Der wesentliche Unterschied zu reiner Prävention: EDR kalkuliert ein, dass Angriffe trotz aller Schutzmaßnahmen gelingen können, und richtet den Fokus auf frühe Erkennung und Eindämmung. Innerhalb weniger Jahre hat sich der Ansatz als fester Baustein moderner Sicherheitsarchitekturen etabliert. Meist ist EDR heute Teil einer kombinierten Plattform, die Prävention (EPP) und Erkennung in einem Agenten vereint und aus der Cloud verwaltet wird. Ein Bild zur Einordnung: Eine Alarmanlage schlägt im Moment des Einbruchs an; die Videoaufzeichnung zeigt darüber hinaus, wie der Täter vorging und welche Räume er betrat. EDR leistet beides, Alarm und Aufzeichnung.
Funktionsweise
Der Ablauf folgt einer durchgehenden Kette von der Datensammlung bis zur Reaktion:
- Telemetrie: Der Agent protokolliert sicherheitsrelevante Ereignisse wie Prozessstarts, Dateiänderungen, Registry-Zugriffe und Netzwerkverbindungen und überträgt sie an die Analyseplattform.
- Erkennung: Verhaltensanalysen und Threat Intelligence identifizieren verdächtige Ereignisketten, etwa wenn aus einem geöffneten Dokument heraus Systemwerkzeuge starten.
- Korrelation: Einzelalarme werden zu einem Vorfall mit Zeitachse zusammengeführt, sodass Analysten den Ablauf eines Angriffs vollständig rekonstruieren können.
- Response: Betroffene Systeme lassen sich aus der Ferne vom Netz trennen, schädliche Prozesse beenden, Dateien in Quarantäne verschieben und einzelne Änderungen zurückrollen.
- Forensik: Die Aufzeichnungen zeigen Ursprung und Verlauf eines Vorfalls und klären, welche Systeme und Konten betroffen sind.
- Threat Hunting: Analysten durchsuchen historische Telemetrie gezielt nach Spuren, die zum Zeitpunkt der Aufzeichnung noch niemand als Angriff bewertet hat.
Warum EDR wichtig ist
- Sichtbarkeit: Ohne Aufzeichnung am Endpoint bleiben dateilose Angriffe und der Missbrauch legitimer Werkzeuge weitgehend verborgen.
- Reaktionstempo: Die Fernisolation eines kompromittierten Systems verkürzt die Spanne zwischen Erkennung und Eindämmung erheblich.
- Aufklärung: Nach einem Vorfall liefert EDR die Datenbasis, um Einfallstor und Ausmaß zu bestimmen, auch mit Blick auf Meldepflichten nach NIS-2 oder DSGVO.
- Erwartung von Prüfern und Versicherern: Erkennungs- und Reaktionsfähigkeit auf Endgeräten gilt vielen Cyberversicherern und Auditoren inzwischen als Voraussetzung.
- Wirtschaftlichkeit: Ein früh eingedämmter Vorfall bleibt ein Betriebsereignis; ein spät entdeckter wächst zum Unternehmensrisiko.
Typische Einsatzszenarien
- Ransomware-Abwehr: Verschlüsselungsversuche fallen am Verhalten auf; betroffene Systeme werden automatisch isoliert, bevor sich die Schadsoftware weiter ausbreitet.
- Verteilte Arbeitsplätze: Notebooks im Homeoffice bleiben über die Cloud-Anbindung des Agenten überwacht und steuerbar, auch ohne Verbindung zum Firmennetz.
- Serverüberwachung: Kritische Systeme im Rechenzentrum liefern Telemetrie, die Einbrüche und ungewöhnliche Zugriffe früh erkennbar macht.
- Managed Detection and Response: Ohne eigenes Sicherheitsteam lassen Unternehmen die EDR-Plattform rund um die Uhr durch externe Analysten überwachen.
Abgrenzung: EDR, Antivirus und XDR
Klassischer Virenschutz vergleicht Dateien mit Signaturen bekannter Schadsoftware und blockiert Treffer. Bei weit verbreiteter Massenware funktioniert das, bei neuen Varianten und Angriffen ganz ohne Datei versagt es. EDR bewertet stattdessen Verhalten über die Zeit und behält den gesamten Verlauf im Blick. Wo Antivirus eine einzelne Entscheidung im Moment des Zugriffs trifft, entsteht bei EDR ein fortlaufendes Protokoll, das nachträgliche Analyse und gezielte Reaktion erlaubt. Extended Detection and Response (XDR) dehnt dieses Prinzip über den Endpoint aus: Telemetrie aus E-Mail, Identitäten, Netzwerk und Cloud-Diensten fließt in eine gemeinsame Auswertung. XDR ist damit Ausbaustufe, kein Ersatz; die Grundlage bleibt eine sauber betriebene EDR-Funktion. Wer in Endgeräteschutz investiert, bewertet Prävention und Erkennungsqualität deshalb gemeinsam statt getrennt.
Nach der Erkennung stellt sich stets die Anschlussfrage, wohin sich ein Angreifer vom kompromittierten Host aus bewegen kann. Diese Eindämmung leistet das Netzwerk: Mikrosegmentierung beschränkt die erreichbaren Kommunikationswege jedes Systems auf das betriebsnotwendige Maß, kontrollierte Zugänge nach dem ZTNA-Prinzip sichern mobile Arbeitsplätze ab. In der Praxis wird diese Netzwerkseite oft als Managed Service betrieben, etwa in Form gemanagter Mikrosegmentierung: EDR erkennt den Vorfall, das Netz begrenzt seine Reichweite.
Häufige Fragen
Was unterscheidet EDR von klassischem Virenschutz?
Virenschutz entscheidet im Moment des Dateizugriffs anhand von Signaturen und Heuristiken. EDR beobachtet das Systemverhalten über die Zeit, zeichnet Ereignisse auf und erkennt so auch Angriffe ohne Schadsoftware, etwa den Missbrauch legitimer Administrationswerkzeuge. Hinzu kommen Reaktionsmöglichkeiten wie Isolation oder Prozessabbruch. Praktisch ergänzen sich beide Funktionen in einer gemeinsamen Plattform.
Welche Daten erfasst ein EDR-Agent?
Üblich sind Prozessstarts samt Befehlszeilen, Dateiänderungen, Netzwerkverbindungen, Anmeldeereignisse und Eingriffe in die Systemkonfiguration. Die Telemetrie fließt an eine zentrale Plattform und wird dort für Erkennung und Analyse aufbereitet. Weil auch personenbeziehbare Daten anfallen, gehören Datenschutz und Mitbestimmung früh in die Planung, mit klaren Regeln zu Zweckbindung und Speicherfristen.
Worin unterscheiden sich EDR und XDR?
EDR konzentriert sich auf Endgeräte und deren Telemetrie. XDR verknüpft zusätzliche Quellen in einer gemeinsamen Auswertung, darunter E-Mail-Sicherheit, Identitätsdienste, Netzwerksensoren und Cloud-Protokolle, um ein vollständigeres Bild eines Angriffs über mehrere Ebenen zu zeichnen. Sinnvoll wird XDR, sobald die EDR-Basis steht und die zusätzlichen Datenquellen auch betrieben und ausgewertet werden.
Ersetzt EDR die Segmentierung des Netzwerks?
Nein, beide adressieren unterschiedliche Phasen eines Angriffs. EDR erkennt die Kompromittierung eines Systems und ermöglicht die Reaktion darauf. Segmentierung legt vorab fest, welche Wege einem Angreifer nach der Übernahme eines Systems überhaupt offenstehen. Versagt die Erkennung oder kommt sie zu spät, bleibt die Begrenzung durch das Netz bestehen. Robuste Architekturen kombinieren daher beide Ebenen.
Funktioniert EDR ohne eigenes Security-Team?
Nur eingeschränkt. Eine EDR-Plattform erzeugt Alarme, die bewertet und in Maßnahmen übersetzt werden müssen, auch nachts und am Wochenende. Fehlt das Personal, bietet sich Managed Detection and Response an: Externe Analysten überwachen die Plattform durchgehend und stoßen bei bestätigten Vorfällen die Reaktion an. Intern verbleiben Entscheidungen über kritische Eingriffe und die eigenen Meldeprozesse.