Was ist Endpoint Detection and Response (EDR)?

Verhalten statt Signatur

Ein klassischer Virenscanner vergleicht Dateien mit bekannten Mustern. Viele Angriffe kommen aber ohne bekannte Schadsoftware aus: Sie nutzen gestohlene Zugangsdaten und die Bordmittel des Systems wie PowerShell oder Fernwartungswerkzeuge. EDR beobachtet deshalb Abläufe. Ein Office-Dokument startet eine Kommandozeile, die ein Skript nachlädt, das sich in den Autostart einträgt: Jeder einzelne Schritt wäre für sich unauffällig, die Kette ist es nicht.

Diese Ereignisse landen in einer zentralen Ablage und bleiben dort abfragbar. Dadurch lässt sich Wochen später noch feststellen, ob eine gerade bekannt gewordene Angriffstechnik im eigenen Bestand vorkam. Diese aktive Suche nach Spuren heißt Threat Hunting, und für sie zählen Speicherdauer und Suchgeschwindigkeit mehr als die Zahl der mitgelieferten Regeln.

So arbeitet ein EDR-System

Technisch besteht EDR aus einem Agenten auf jedem Gerät und einer zentralen Plattform, heute meist als Cloud-Dienst des Herstellers. Ein Vorfall durchläuft typischerweise diese Schritte:

1. 1

   Aufzeichnen

   Der Agent protokolliert Prozessstarts, Dateizugriffe, Registry-Änderungen, Netzwerkverbindungen und Anmeldungen und schickt diese Telemetrie an die Plattform.

2. 2

   Erkennen

   Regeln, Verhaltensanalysen und Modelle des maschinellen Lernens suchen nach verdächtigen Mustern. Viele Produkte ordnen Funde den Angriffstechniken der Wissensbasis MITRE ATT&CK zu, damit sichtbar wird, in welcher Phase ein Angriff steckt.

3. 3

   Melden

   Zusammengehörige Ereignisse werden zu einem Alarm verdichtet, mit Prozessbaum und Zeitachse, damit die Auswertung nicht bei null beginnt.

4. 4

   Untersuchen

   Das Team prüft, ob ein echter Angriff vorliegt, welche Geräte betroffen sind und wie der Angreifer hereingekommen ist.

5. 5

   Reagieren

   Gerät isolieren, Prozess beenden, Datei sperren oder Änderungen zurückrollen, manuell oder bei eindeutigen Fällen automatisch.

Was Response konkret bedeutet

Reaktion heißt hier nicht nur Löschen. Üblicherweise kannst du ein Gerät vom Netz abschneiden, wobei die Verbindung zur Verwaltungskonsole bestehen bleibt, einzelne Prozesse gezielt beenden, eine Datei auf allen anderen Geräten sperren, aus der Ferne eine Kommandozeile auf dem Gerät öffnen und in Teilen zurückrollen, was eine Verschlüsselung angerichtet hat.

Wichtig ist die Vorabklärung, wer diese Eingriffe auslösen darf. Ein isolierter Produktionsserver ist ein Betriebsausfall, und diese Entscheidung sollte nicht nachts spontan getroffen werden. Wer die Freigabewege vorher schriftlich festhält, verliert im Ernstfall keine Stunden in Abstimmungen.

EPP, EDR, XDR, MDR: die Abkürzungen im Vergleich

Rund um EDR haben Hersteller eine ganze Familie von Begriffen geschaffen. Sie bauen aufeinander auf:

Bekannte EDR-Produkte sind etwa Microsoft Defender for Endpoint, CrowdStrike Falcon, SentinelOne oder Trellix EDR. Die meisten liefern EPP und EDR im selben Agenten und bieten eine XDR-Erweiterung an.

Der laufende Aufwand wird regelmäßig unterschätzt

Nach dem Ausrollen kommt die Feinarbeit: Eigenentwicklungen, Verwaltungswerkzeuge und Backup-Software verhalten sich für die Erkennung wie Schadsoftware und lösen Fehlalarme aus. Diese Abstimmung dauert in der Regel einige Wochen, in denen viele Produkte zunächst nur melden statt blockieren.

Dazu kommt die Frage, wer die Meldungen ansieht. Alarme außerhalb der Bürozeiten sind der Regelfall, nicht die Ausnahme. Für Organisationen, die unter NIS2 fallen, ist eine funktionierende Erkennung und Bewältigung von Sicherheitsvorfällen außerdem Pflicht, und EDR ist dafür auf den Endgeräten das wichtigste Werkzeug.