Was sind EDR und XDR?

EDR und XDR einfach erklärt

Ein klassischer Virenscanner arbeitet wie ein Türsteher mit Fahndungsliste: Wer auf der Liste steht, kommt nicht herein. Wer nicht draufsteht, kommt durch. EDR arbeitet eher wie eine Videoüberwachung mit aufmerksamem Sicherheitspersonal. Es achtet nicht nur darauf, wer hereinkommt, sondern auch darauf, was danach passiert – und greift ein, wenn sich jemand verdächtig verhält.

EDR steht für „Endpoint Detection and Response“, also Erkennung und Reaktion auf Endgeräten. Endgeräte (Endpoints) sind Laptops, Desktop-PCs und Server. XDR steht für „Extended Detection and Response“. „Erweitert“ heißt: Zusätzlich fließen Daten aus weiteren Quellen ein – aus Netzwerk, E-Mail, Cloud-Diensten und Identitätsdiensten, die Benutzerkonten und Anmeldungen verwalten.

So funktionieren EDR und XDR

1. Aufzeichnen: Ein kleines Programm auf jedem Endgerät, der sogenannte Agent, protokolliert laufend Ereignisse: gestartete Programme, Dateiänderungen, Netzwerkverbindungen und Anmeldungen.
2. Erkennen: Die Lösung vergleicht diese Ereignisse mit bekannten Angriffsmustern und sucht nach auffälligem Verhalten. Beispiele: Eine Textverarbeitung startet plötzlich eine Kommandozeile und lädt Code aus dem Internet nach. Oder ein Prozess versucht, Passwörter aus dem Arbeitsspeicher auszulesen.
3. Alarmieren: Verdächtige Vorgänge meldet das System an das Sicherheitsteam – mit Einordnung und Zusammenhang.
4. Reagieren: Je nach Einstellung beendet die Lösung schädliche Prozesse, verschiebt Dateien in Quarantäne oder trennt einen Rechner vom Netz.
5. Aufklären: Die gespeicherten Daten zeigen später, wie ein Angreifer vorgegangen ist. Das ist eine wichtige Grundlage für die IT-Forensik.

XDR verknüpft diese Daten mit weiteren Quellen. So wird erkennbar, dass etwa eine Phishing-Mail, eine verdächtige Cloud-Anmeldung und ein ungewöhnlicher Prozess auf einem Laptop zum selben Angriff gehören. Verwandt ist das SIEM, das Protokolle aus vielen Systemen zentral sammelt und auswertet.

Ein Beispiel aus der Praxis

Ein typisches Szenario: Ein Bauzulieferer mit mehreren Standorten hat auf allen Rechnern eine EDR-Lösung installiert. Bei einer Red-Teaming-Übung verschafft sich das Prüfteam über eine präparierte E-Mail Zugriff auf einen Arbeitsplatzrechner und versucht, Zugangsdaten auszulesen. Das EDR erkennt den Versuch und schlägt Alarm – an einem Freitagabend.

Die Meldung landet in einem Postfach, das am Wochenende niemand liest. Weil niemand reagiert, kann das Prüfteam in Ruhe andere Wege ausprobieren. Am Montag ist es bereits bis zum Server der Buchhaltung vorgedrungen; Fachleute sprechen von Lateral Movement, der Seitwärtsbewegung durch das Netz. Die Technik hat funktioniert, der Prozess dahinter nicht. Das Unternehmen regelt daraufhin die Alarmierung neu und lässt Alarme auch außerhalb der Geschäftszeiten bewerten.

Warum ist das für Unternehmen wichtig?

Angreifer setzen häufig keine auffällige Schadsoftware mehr ein, sondern Werkzeuge, die ohnehin auf den meisten Rechnern vorhanden sind, etwa Verwaltungsprogramme des Betriebssystems. Klassische Virenscanner erkennen solche Angriffe oft nicht. EDR setzt am Verhalten an und kann so auch neue Angriffsmuster entdecken. Regelwerke wie NIS2 verlangen zudem, Sicherheitsvorfälle zu bewältigen – dafür muss man sie erst einmal bemerken.

Doch EDR ist kein Selbstläufer. Es sieht nur Geräte, auf denen sein Agent läuft. Drucker, Netzwerkgeräte, VPN-Gateways oder Maschinensteuerungen bleiben häufig blinde Flecken. Angreifer versuchen außerdem gezielt, Schutzsoftware abzuschalten. Und jeder Alarm ist nur so gut wie die Reaktion darauf. Viele Unternehmen lassen Alarme deshalb von einem SOC bewerten, einem Team, das die IT-Umgebung kontinuierlich überwacht – intern oder als Dienstleistung.

So schützen Sie sich

• Vollständig ausrollen: Installieren Sie den Agenten auf allen Laptops, PCs und Servern. Lücken in der Abdeckung sind Einfallstore.
• Schutzmodus prüfen: Klären Sie, ob die Lösung nur meldet oder auch automatisch eingreift.
• Ausnahmen begrenzen: Halten Sie Ausnahmelisten kurz und überprüfen Sie sie regelmäßig.
• Manipulation verhindern: Schützen Sie den Agenten gegen Deinstallation und Abschalten.
• Alarmierung regeln: Legen Sie fest, wer Alarme bewertet und reagiert – auch nachts und am Wochenende.
• Wirksamkeit testen: Prüfen Sie mit realistischen Angriffen, ob die Erkennung greift, zum Beispiel im Purple Teaming, bei dem Angreifer und Verteidiger offen zusammenarbeiten.

Wie Rootsektor unterstützt

Ob Ihre Angriffserkennung im Ernstfall greift, zeigt eine realistische Übung. Bei Red Teaming & APT-Simulation setzen wir Techniken echter Angreifer ein und prüfen, ob EDR, SIEM und Ihr Team sie erkennen und richtig reagieren. Als Variante bzw. Ergänzung des Red Teamings bieten wir Purple Teaming an: Wir gehen die Techniken gemeinsam mit Ihren Verteidigern Schritt für Schritt durch, sodass sich Erkennungslücken direkt schließen lassen. Bei einem akuten Sicherheitsvorfall hilft Ihnen unsere IT-Notfall & Soforthilfe – außerhalb der Geschäftszeiten über die 24/7-Notfall-Hotline unter +49 2932 465265-0.