Was ist MDR (Managed Detection and Response)?

Auf einen Blick: Managed Detection and Response (MDR) ist ein Sicherheitsdienst, bei dem ein externes Team die IT-Umgebung rund um die Uhr überwacht, Angriffe erkennt und aktiv abwehrt. MDR verbindet Technik mit Analysten und geht damit über reine Erkennungswerkzeuge hinaus.

Wie funktioniert Managed Detection and Response?

MDR kombiniert automatisierte Bedrohungserkennung mit menschlicher Bewertung. Sensoren auf Endgeräten, Servern und in der Netzwerkinfrastruktur melden auffälliges Verhalten an eine zentrale Auswertung. Dort verdichten Verhaltensanalysen und Threat Intelligence die Meldungen zu wenigen belastbaren Vorfällen.

Den Unterschied macht der zweite Schritt: Analysten prüfen die Vorfälle und leiten Gegenmaßnahmen ein. Ein Gerät wird isoliert, ein Konto gesperrt, ein Prozess beendet. Reine Erkennungswerkzeuge melden nur. MDR handelt.

Was unterscheidet MDR von EDR, SIEM und SOC?

Die vier Begriffe werden oft vermischt, bezeichnen aber verschiedene Ebenen.

• EDR ist die Technik auf dem Endgerät. Sie erkennt verdächtiges Verhalten und liefert die Datenbasis.
• SIEM sammelt und korreliert Protokolldaten aus vielen Quellen. Es zeigt Zusammenhänge, trifft aber keine Entscheidungen.
• SOC ist die Mannschaft und der Ort, an dem diese Meldungen bearbeitet werden. Ein Security Operations Center lässt sich selbst betreiben oder einkaufen.
• MDR ist das fertige Dienstleistungspaket aus Technik, Team und definierten Reaktionen, mit vereinbarten Reaktionszeiten.

Kurz gesagt: EDR und SIEM sind Werkzeuge, SOC ist die Organisation, MDR ist der Service, der beides zusammenbringt und Verantwortung für die Reaktion übernimmt.

Was bedeutet MDR in der Cloud?

Mit der Verlagerung von Anwendungen und Daten in die Cloud verschiebt sich auch die Angriffsfläche. Überwacht werden müssen nicht mehr nur Geräte im eigenen Netz, sondern ebenso Identitäten, Cloud-Konten, Berechtigungen und Anmeldevorgänge aus unbekannten Regionen.

Cloud-MDR bezieht diese Quellen mit ein. Typische Signale sind verdächtige Anmeldungen an Microsoft 365, plötzlich erweiterte Administratorrechte, ungewöhnliche Datenabflüsse aus einem Speicherdienst oder das Abschalten von Protokollierung. Wer nur Endgeräte überwacht, sieht einen Angriff auf die Business Cloud erst dann, wenn er bereits auf den Arbeitsplätzen ankommt.

Für welche Unternehmen lohnt sich MDR as a Service?

Angriffe folgen keinem Bürozeitenmodell. Viele beginnen nachts oder am Wochenende, weil dann niemand reagiert. Eine durchgehende Überwachung im eigenen Haus erfordert mehrere Analysten im Schichtbetrieb, was sich im Mittelstand selten rechnet.

MDR as a Service löst das auf: Statt ein eigenes Team aufzubauen, wird ein bestehendes mitgenutzt, zu planbaren monatlichen Kosten. Sinnvoll besonders dann, wenn geschäftskritische Daten verarbeitet werden, wenn Auflagen aus Kundenverträgen oder Audits nachzuweisen sind, oder wenn die interne IT bereits ausgelastet ist.

Worauf kommt es bei der Auswahl eines MDR-Anbieters an?

Die Leistungsbeschreibungen klingen ähnlich, die Unterschiede liegen im Detail.

• Reaktion statt Benachrichtigung. Darf der Anbieter selbst eingreifen oder schickt er nur eine Meldung? Das ist der wichtigste Unterschied.
• Vereinbarte Zeiten. Innerhalb welcher Frist wird ein kritischer Vorfall bearbeitet, und gilt das auch nachts?
• Abgedeckte Quellen. Nur Endgeräte oder auch Cloud-Identitäten, Server und Netzwerk?
• Standort der Daten. Wo werden die Protokolldaten gespeichert und verarbeitet? Für viele Unternehmen ist ein Rechenzentrum in Deutschland Voraussetzung.
• Nachvollziehbarkeit. Gibt es verständliche Berichte, die auch in einem Audit bestehen?

MDR bei NetPlans

NetPlans betreibt MDR als Teil der Managed Security aus eigenen Rechenzentren in Deutschland. Erkennung, Bewertung und Reaktion liegen in einer Hand. Den Gesamtzusammenhang zeigt die Übersicht zur IT-Sicherheit, die Entwicklung von SIEM hin zum gemanagten Betrieb der Ratgeber Von SIEM zu Managed SOC.

Häufige Fragen zu MDR

Wofür steht die Abkürzung MDR?

MDR steht für Managed Detection and Response, auf Deutsch etwa gemanagte Erkennung und Reaktion. Gemeint ist ein Dienst, der Bedrohungen nicht nur erkennt, sondern auch darauf reagiert.

Was ist der Unterschied zwischen MDR und EDR?

EDR ist eine Software auf dem Endgerät, die verdächtiges Verhalten erkennt. MDR ist der Dienst, der diese Erkennung auswertet und im Ernstfall eingreift. EDR ist häufig ein Baustein innerhalb von MDR.

Ersetzt MDR ein eigenes SOC?

Für die meisten mittelständischen Unternehmen ja. Ein eigenes Security Operations Center erfordert mehrere Analysten im Schichtbetrieb. MDR stellt dieselbe Leistung als Dienst bereit.

Überwacht MDR auch Microsoft 365 und Cloud-Konten?

Bei einem vollständigen MDR-Dienst ja. Neben Endgeräten werden Anmeldevorgänge, Berechtigungen und Datenzugriffe in der Cloud überwacht, weil Angriffe dort häufig beginnen.

Wie schnell wird bei einem Vorfall reagiert?

Das regelt die Vereinbarung mit dem Anbieter. Üblich sind wenige Minuten bei kritischen Vorfällen, rund um die Uhr.

Was kostet MDR?

Abgerechnet wird meist je überwachtem Gerät und Monat. Die Kosten hängen von der Zahl der Systeme, den einbezogenen Quellen und den vereinbarten Reaktionszeiten ab.