Was ist XDR? Der Unterschied zu EDR, SIEM und SOAR

Von EDR zu XDR

EDR sieht den Endpunkt. Aber ein Angriff hinterlässt Spuren an mehreren Stellen: eine Phishing-Mail im Mailgateway, eine Anmeldung aus einem ungewöhnlichen Land im Identity-Provider, ein Datenabfluss in den Firewall-Logs, ein neues Konto im Cloud-Tenant. Jedes System allein sieht ein schwaches Signal – zusammen ergibt sich ein klarer Vorfall.

XDR (Extended Detection and Response) führt genau diese Quellen in einer Plattform zusammen: Endpunkt, Identität, E-Mail, Netzwerk, Cloud-Workloads. Ziel ist nicht mehr Alarme, sondern weniger und bessere – korrelierte Vorfälle statt hunderter Einzelmeldungen.

Der Unterschied zu SIEM und SOAR

• SIEM ist eine Log-Plattform: Es nimmt praktisch jede Quelle auf, speichert langfristig und dient auch Compliance und Audit. Erkennung muss weitgehend selbst gebaut und gepflegt werden. Sehr flexibel, betriebsaufwendig.
• XDR ist vorintegriert: Der Hersteller liefert Sensoren, Normalisierung und Erkennungslogik als Paket. Schneller wirksam, dafür an das Ökosystem des Anbieters gebunden.
• SOAR automatisiert die Reaktion: Playbooks, Ticket-Anlage, automatisches Sperren von Konten. In modernen XDR-Plattformen ist ein Teil davon bereits enthalten.

Faustregel: XDR erkennt und reagiert, SIEM sammelt und beweist. Größere Organisationen betreiben beides – XDR für die Erkennung, SIEM für Aufbewahrung und regulatorische Nachweise.

Wann XDR sinnvoll ist

• Es gibt bereits EDR, aber Identitäts- und Cloud-Vorfälle bleiben unentdeckt.
• Das Team ertrinkt in unkorrelierten Alarmen aus fünf Konsolen.
• Es gibt keine Kapazität, ein SIEM inhaltlich zu betreiben.

Wann eher nicht: wenn eine sehr heterogene Landschaft mit vielen Nischenprodukten abzudecken ist oder lange Aufbewahrungsfristen im Vordergrund stehen. Dann führt am SIEM kein Weg vorbei.

Prüffragen an Anbieter

• Welche Quellen sind wirklich nativ integriert – und welche nur "unterstützt"?
• Wie lange bleibt Telemetrie durchsuchbar, und was kostet Verlängerung?
• Lassen sich eigene Erkennungsregeln schreiben?
• Gibt es einen 24/7-Betriebsservice, und mit welchen Reaktionszeiten?
• Wie sieht der Ausstieg aus – bleiben Daten exportierbar?

Nächster Schritt

Kein XDR sieht, was außerhalb Ihres Netzes passiert. Risikomonitor liefert genau diese externe Sicht: Leaksites, Darknet-Foren, Infostealer-Logs, Typosquatting-Domains.

[Domain-Monitoring testen](/domain-monitoring) · [Beratung anfragen](/kontakt)