Auf einen Blick: EDR (Endpoint Detection and Response) ist eine Sicherheitssoftware auf Endgeräten, die verdächtiges Verhalten erkennt, aufzeichnet und darauf reagiert. Anders als ein klassischer Virenschutz sucht EDR nicht nach bekannten Schaddateien, sondern nach auffälligen Abläufen auf dem System.

Wie funktioniert EDR?

Auf jedem Endgerät läuft ein kleines Programm, der Agent. Er beobachtet fortlaufend, was auf dem System passiert: welche Prozesse starten, welche Dateien geschrieben werden, welche Netzwerkverbindungen aufgebaut werden, welche Befehle ein Nutzer oder ein Skript ausführt.

Diese Beobachtungen gehen an eine zentrale Auswertung. Dort werden sie mit bekannten Angriffsmustern verglichen und in einen Zusammenhang gestellt. Ein einzelner Vorgang ist selten verdächtig. Die Kette macht den Unterschied: Ein Office-Dokument startet eine Kommandozeile, die lädt ein Skript nach, das Skript greift auf Anmeldedaten zu. Jeder Schritt für sich ist unauffällig, die Abfolge nicht.

Erkennt das System eine solche Kette, kann es eingreifen: den Prozess beenden, die Datei in Quarantäne verschieben oder das Gerät vom Netzwerk trennen, damit sich der Angriff nicht ausbreitet.

Was unterscheidet EDR von einem klassischen Virenschutz?

Ein Virenschutz arbeitet mit Signaturen. Er kennt Merkmale bekannter Schadsoftware und schlägt an, wenn eine Datei dazu passt. Das funktioniert zuverlässig bei verbreiteten Schädlingen, versagt aber bei allem, was neu ist oder sich bei jedem Einsatz leicht verändert.

EDR setzt eine Ebene höher an. Es bewertet Verhalten statt Dateien. Damit erkennt es auch Angriffe, bei denen gar keine Schadsoftware zum Einsatz kommt, etwa wenn Angreifer mit gestohlenen Zugangsdaten arbeiten und ausschließlich Bordmittel des Betriebssystems nutzen. Der zweite Unterschied ist die Aufzeichnung: EDR protokolliert den Verlauf, sodass sich nach einem Vorfall nachvollziehen lässt, wie der Angreifer hereinkam und was er angefasst hat.

Worin unterscheiden sich EDR, XDR und MDR?

Die drei Abkürzungen beschreiben keine konkurrierenden Produkte, sondern unterschiedliche Reichweiten.

  • EDR beobachtet Endgeräte: Notebooks, Arbeitsplatzrechner, Server.
  • XDR erweitert diesen Blick auf weitere Quellen, etwa Firewall, E-Mail-Dienste und Cloud-Identitäten. Dadurch werden Angriffe sichtbar, die über mehrere Ebenen laufen.
  • MDR ist keine Technik, sondern eine Dienstleistung. Ein externes Team betreibt die Erkennung, bewertet die Meldungen und reagiert im Ernstfall.

EDR und XDR sind also Werkzeuge, MDR ist der Betrieb dieser Werkzeuge durch Fachleute. Wer EDR einführt, aber niemanden hat, der die Meldungen rund um die Uhr prüft, nutzt nur einen Teil der Wirkung.

Warum reicht Virenschutz allein nicht mehr aus?

Ein großer Teil heutiger Angriffe läuft ohne klassische Schaddatei ab. Angreifer melden sich mit erbeuteten Zugangsdaten an und bewegen sich mit den Werkzeugen, die ohnehin auf dem System vorhanden sind. Für einen signaturbasierten Schutz sieht das aus wie normale Arbeit.

Hinzu kommt der Zeitfaktor. Zwischen dem ersten Zugriff und der Verschlüsselung durch Ransomware liegen oft Stunden oder Tage, in denen sich ein Angriff noch stoppen ließe. Diese Phase sichtbar zu machen, ist die eigentliche Leistung von EDR. Ergänzend sorgen ein konsequentes Patch Management und ein Zugriffsmodell nach Zero Trust dafür, dass Angreifer von vornherein weniger Angriffsfläche finden.

EDR bei NetPlans

NetPlans betreibt Endpoint Detection and Response als Baustein der Managed Security. Die Auswertung der Meldungen übernimmt ein Security Operations Center, sodass auffällige Vorgänge auch außerhalb der Geschäftszeiten bearbeitet werden. Den Überblick über alle Schutzebenen gibt die Seite zur IT-Sicherheit.

Häufige Fragen zu EDR

Wofür steht die Abkürzung EDR?

EDR steht für Endpoint Detection and Response, auf Deutsch etwa Erkennung und Reaktion auf Endgeräten. Gemeint ist Software, die verdächtiges Verhalten auf Rechnern und Servern erkennt und darauf reagiert.

Ersetzt EDR den Virenschutz?

In den meisten Lösungen ist der Virenschutz bereits enthalten. EDR tritt also nicht neben ein Antivirenprogramm, sondern erweitert es um Verhaltenserkennung und Aufzeichnung.

Was ist der Unterschied zwischen EDR und MDR?

EDR ist die Technik, MDR der Dienst. Bei MDR übernimmt ein externes Team die Überwachung und reagiert auf Vorfälle. EDR ist dabei häufig der technische Unterbau.

Verlangsamt EDR die Endgeräte?

Moderne Agenten sind für den Dauerbetrieb ausgelegt und benötigen wenig Ressourcen. Spürbare Einbußen entstehen meist nur bei falsch konfigurierten Ausnahmen oder wenn mehrere Sicherheitsprogramme parallel laufen.

Werden mit EDR Mitarbeiter überwacht?

EDR wertet technische Vorgänge aus, nicht Arbeitsinhalte. Welche Daten erhoben werden, lässt sich konfigurieren. In der Praxis gehört eine Abstimmung mit dem Betriebsrat und dem Datenschutz zur Einführung dazu.