Schutz der Endgeräte

Was ist Endpoint Detection and Response (EDR)?

EDR

Endpoint Detection and Response, kurz EDR, ist Sicherheitssoftware auf Arbeitsplätzen und Servern, die Prozess-, Datei- und Netzwerkereignisse fortlaufend aufzeichnet, verdächtiges Verhalten meldet und dem Sicherheitsteam Eingriffe wie das Isolieren eines Geräts aus der Ferne erlaubt.

Wenn Schadsoftware nicht mehr als bekannte Datei ankommt, sondern über gekaperte Konten und die Bordmittel des Systems arbeitet, reicht der klassische Virenschutz nicht mehr aus.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Läuft auf: Arbeitsplätzen, Notebooks und Servern
Erkennt: Verdächtiges Verhalten statt bekannter Dateien
Kann: Geräte aus der Ferne isolieren
Verwechselt mit: Virenschutz und XDR

Verhalten statt Signatur

Ein klassischer Virenscanner vergleicht Dateien mit bekannten Mustern. EDR beobachtet stattdessen Abläufe: Ein Office-Dokument startet eine Kommandozeile, die ein Skript nachlädt, das sich in den Autostart einträgt. Jeder einzelne Schritt wäre für sich unauffällig, die Kette ist es nicht.

Diese Ereignisse landen in einer zentralen Ablage und bleiben dort abfragbar. Dadurch lässt sich Wochen später noch feststellen, ob eine gerade bekannt gewordene Angriffstechnik im eigenen Bestand vorkam. Genau das ist der Grund, warum Speicherdauer und Suchgeschwindigkeit bei der Auswahl mehr zählen als die Zahl der mitgelieferten Regeln.

Was Response konkret bedeutet

Reaktion heißt hier nicht nur Löschen. Üblicherweise kannst du ein Gerät vom Netz abschneiden, solange es noch mit der Verwaltungskonsole spricht, einzelne Prozesse gezielt beenden, eine Datei auf allen anderen Geräten sperren und in Teilen zurückrollen, was eine Verschlüsselung angerichtet hat.

Wichtig ist die Vorabklärung, wer diese Eingriffe auslösen darf. Ein isolierter Produktionsserver ist ein Betriebsausfall, und diese Entscheidung sollte nicht nachts spontan getroffen werden. Wer die Freigabewege vorher schriftlich festhält, verliert im Ernstfall keine Stunden in Abstimmungen.

Der laufende Aufwand wird regelmäßig unterschätzt

Nach dem Ausrollen kommt die Feinarbeit: Eigenentwicklungen, Verwaltungswerkzeuge und Backup-Software verhalten sich für die Erkennung wie Schadsoftware und lösen Fehlalarme aus. Ohne Ausnahmen mit Begründung und Ablaufdatum wächst eine Liste, die niemand mehr prüft, und in genau dieser Lücke bewegt sich später ein echter Angreifer.

Dazu kommt die Frage, wer die Meldungen ansieht. Alarme außerhalb der Bürozeiten sind der Regelfall, nicht die Ausnahme. Wer keine Bereitschaft stellen kann, sollte die Auswertung an einen Dienstleister geben, statt eine Konsole zu betreiben, in die montags jemand hineinschaut.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

Endpoint Detection and Response und was oft damit gleichgesetzt wird

Endpoint Detection and Response gegen Virenschutz und EPP

Eine Endpoint Protection Platform blockt Bekanntes, bevor es startet. EDR geht davon aus, dass etwas durchkommt, und macht es nachträglich sichtbar. In heutigen Produkten stecken beide Funktionen in einem Agenten, gemeint sind trotzdem zwei verschiedene Aufgaben.

Endpoint Detection and Response gegen XDR

XDR erweitert die Auswertung über den Endpunkt hinaus auf E-Mail, Identitäten, Netzwerk und Cloud-Dienste und verknüpft diese Quellen zu einem Vorfall. Ohne saubere Endpunktdaten bringt diese Erweiterung wenig.

Endpoint Detection and Response gegen SIEM

Ein SIEM sammelt Protokolle aus allen Systemen und korreliert sie regelbasiert. Es sieht mehr Quellen, aber weniger Tiefe am Gerät und kann dort auch nicht eingreifen.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Die Lizenz ist beschafft, die Schicht dahinter fehlt

EDR meldet Verdachtsfälle, es entscheidet sie nicht. Eine Meldung über ein Skript, das nachts Anmeldedaten ausliest, nützt nur, wenn jemand sie innerhalb von Minuten sieht und auch handeln darf. Ohne eigene Bereitschaft rund um die Uhr ist die Auslagerung an einen Dienstleister die ehrlichere Antwort als der Vorsatz, morgens als Erstes nachzusehen.

Der zweite Punkt sind Ausnahmen. Anwendungshersteller verlangen regelmäßig, ganze Verzeichnisse von der Prüfung auszunehmen, damit ihre Software zuverlässig läuft. Jede dieser Ausnahmen ist ein blinder Fleck, und Angreifer suchen genau danach. Wer sie zulässt, hält sie schriftlich fest, begrenzt sie auf einzelne Pfade statt auf ganze Laufwerke und prüft sie in festen Abständen nach.

Und dann die Abdeckung. Der Rollout erreicht die verwalteten Geräte, während die alten Server, der Sonderrechner an einer Anlage und die Notebooks externer Kräfte außen vor bleiben, also genau die Stellen, an denen ein Angriff später beginnt. Eine Gegenüberstellung von Inventar und tatsächlich meldenden Geräten deckt diese Lücke auf, und sie gehört wiederholt, nicht einmalig gemacht.

Endpoint Detection and Response lernen

Wie sich Erkennung, Ausnahmen und Reaktionen sauber einstellen lassen, zeigen die Trainings zur Trellix-Produktwelt am laufenden System.

Den größeren Zusammenhang von Erkennung, Protokollierung und Abwehr behandeln die Weiterbildungen rund um Angriffserkennung .

Wissen prüfen

Sitzt Endpoint Detection and Response schon?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest SC-900 Quiz - Security, Compliance & Identity FundamentalsBereite dich auf die Microsoft SC-900 Zertifizierungsprüfung vor. Teste dein Wissen zu Security, Compliance und Identity. Quiz starten

Kurse, die Endpoint Detection and Response behandeln

Häufige Fragen

Ersetzt EDR den Virenscanner?

In der Praxis nicht, es ergänzt ihn. Die vorbeugende Blockade bekannter Schadsoftware bleibt sinnvoll, weil sie Aufwand vom Team fernhält. Moderne Produkte liefern beides im selben Agenten, du solltest bei der Auswahl aber prüfen, ob die vorbeugende Komponente wirklich enthalten ist.

Brauche ich ein Team rund um die Uhr?

Angriffe laufen bevorzugt nachts und an Feiertagen, weil dann niemand hinsieht. Entweder es gibt eine Bereitschaft, oder die Auswertung liegt bei einem Dienstleister. Eine dritte Möglichkeit ist, ausgewählte Reaktionen zu automatisieren, etwa das sofortige Isolieren bei eindeutigen Erkennungen.

Wie weit sollte die Aufzeichnung auf dem Endgerät zurückreichen?

Je länger, desto besser, denn Angriffe fallen oft erst Wochen nach dem ersten Zugriff auf. Sechs Monate sind ein brauchbarer Richtwert, sofern Datenschutz und Speicherkosten das hergeben. Kürzere Fristen machen die spätere Aufklärung schwer bis unmöglich.

Persönlich für dich da