Was ist EDR? Endpoint Detection and Response einfach erklärt

Virenschutz vs. EDR

Klassischer Virenschutz vergleicht Dateien mit bekannten Signaturen. Moderne Angriffe kommen ohne verdächtige Datei aus: Sie nutzen legitime Bordmittel – PowerShell, WMI, PsExec, RMM-Software – oder laden Schadcode direkt in den Arbeitsspeicher. Für eine Signatur gibt es nichts zu vergleichen.

EDR (Endpoint Detection and Response) setzt eine Stufe darüber an: Ein Agent zeichnet fortlaufend Prozessstarts, Kommandozeilen, Netzverbindungen, Registry- und Dateiänderungen auf und bewertet Verhalten statt Dateien.

Was EDR konkret tut

• Telemetrie sammeln: vollständige Prozessbäume mit Elternprozess und Argumenten.
• Verhalten erkennen: etwa Word startet PowerShell, das eine Base64-Zeichenkette ausführt und nach außen verbindet – jeder Schritt legitim, die Kette nicht.
• Reagieren: Prozess beenden, Endpunkt vom Netz isolieren (Verwaltungszugang bleibt), Datei in Quarantäne, Änderungen zurückrollen.
• Untersuchen: Rückblick über Wochen. Wann kam der Zugang herein, was wurde ausgeführt, welche Systeme sind betroffen.
• Suchen: aktive Suche nach Indikatoren über die gesamte Flotte, statt auf Alarme zu warten.

Die Falle: Werkzeug ohne Betrieb

EDR erzeugt Alarme. Alarme brauchen jemanden, der sie liest – rund um die Uhr. Ransomware wird bevorzugt Freitagnacht ausgerollt, weil dann niemand hinsieht. Ein EDR, dessen Konsole montags geöffnet wird, dokumentiert den Angriff sauber, verhindert ihn aber nicht.

Deshalb setzen die meisten mittelständischen Unternehmen auf MDR (Managed Detection and Response): dieselbe Technik, aber mit externem 24/7-Betrieb und definierten Reaktionsrechten.

Zweiter typischer Fehler: Abdeckungslücken. Server, ESXi-Hosts, Linux-Systeme und Geräte von Dienstleistern bleiben oft außen vor – genau dort läuft die Verschlüsselung.

Auswahlkriterien

• Abdeckung für Windows, Linux und macOS, idealerweise mit Sichtbarkeit auf Hypervisor-Ebene.
• Manipulationsschutz: Der Agent darf sich nicht mit lokalen Adminrechten deaktivieren lassen.
• Aufbewahrungsdauer der Telemetrie – 30 Tage sind das Minimum, 90 Tage besser.
• Klar geregelte Reaktionsrechte, wenn ein Dienstleister mitbetreibt.
• Nachweisbare Erkennungsleistung, etwa aus MITRE-ATT&CK-Evaluierungen.

Nächster Schritt

EDR erkennt den Angriff auf dem Endpunkt. Risikomonitor erkennt die Vorstufe: geleakte Zugangsdaten, Erwähnungen in Darknet-Foren, kompromittierte Lieferanten.

[Kostenlose Erstanalyse anfordern](/kontakt) · [Lieferantenmonitoring](/lieferantenmonitoring)