Was ist EDR (Endpoint Detection and Response)?

Kurz erklärt

EDR (Endpoint Detection and Response) ist Sicherheitssoftware, die Endgeräte wie PCs, Laptops und Server laufend auf verdächtiges Verhalten überwacht und bei Angriffen Gegenmaßnahmen ermöglicht. „Endpoint“ bezeichnet dabei jedes einzelne Gerät, an dem gearbeitet wird. EDR erkennt nicht nur bekannte Schadsoftware, sondern auch ungewöhnliche Abläufe, die auf einen Angriff hindeuten.

Wie funktioniert EDR?

Ein herkömmlicher Virenschutz vergleicht Dateien vor allem mit einer Liste bekannter Schadprogramme. Neue oder gut getarnte Malware rutscht so leichter durch. EDR setzt zusätzlich auf Verhaltensanalyse:

• Aufzeichnen: Ein kleines Programm auf jedem Gerät protokolliert, welche Prozesse starten, welche Dateien geändert und welche Netzwerkverbindungen aufgebaut werden.
• Erkennen: Diese Daten werden – meist in einer Cloud-Plattform – auf verdächtige Muster untersucht. Ein Beispiel: Ein Word-Dokument startet plötzlich eine Kommandozeile, die ein Programm aus dem Internet nachlädt.
• Reagieren: Das System kann einen Prozess beenden, eine Datei in Quarantäne verschieben oder das Gerät vom Netzwerk isolieren, automatisch oder auf Knopfdruck.
• Untersuchen: Fachleute können im Nachhinein nachvollziehen, wie ein Angreifer vorgegangen ist und welche Geräte betroffen sind.

Erweiterte Varianten heißen XDR („Extended“), wenn zusätzlich E-Mail, Cloud-Konten und Netzwerk einbezogen werden, oder MDR („Managed“), wenn ein Dienstleister die Alarme rund um die Uhr betreut.

Was EDR für kleine Unternehmen bedeutet

EDR ist ein wirksames Werkzeug, hat für Betriebe ohne IT-Abteilung aber praktische Hürden. Die Software muss eingerichtet und abgestimmt werden, damit sie nicht laufend legitime Programme blockiert. Vor allem erzeugt sie Alarme, deren Bewertung Fachwissen verlangt. Ohne jemanden, der die Meldungen versteht und rasch reagiert, verpufft ein großer Teil des Nutzens. Vollwertige EDR- oder MDR-Lösungen sind daher für viele kleine KMU zu teuer oder zu komplex. Manche Virenschutzprodukte und Betriebssysteme enthalten inzwischen grundlegende EDR-Funktionen, die sich mit überschaubarem Aufwand nutzen lassen. Fragen Sie Ihren IT-Dienstleister, was in Ihrer vorhandenen Ausstattung bereits enthalten ist.

Ein typisches Beispiel aus dem KMU-Alltag

In einem Architekturbüro öffnet ein Mitarbeiter einen Anhang, hinter dem sich ein Trojaner verbirgt. Der Virenschutz kennt die neue Variante noch nicht. Ein EDR-System bemerkt jedoch, dass das Programm beginnt, in kurzer Zeit sehr viele Dateien auf dem Netzlaufwerk umzubenennen und zu verändern – ein typisches Muster von Ransomware. Das Gerät wird automatisch vom Netzwerk getrennt. Einige Dateien müssen aus der Sicherung wiederhergestellt werden, der Großteil des Büros arbeitet aber weiter.

So schützen Sie Ihr Unternehmen

• Grundschutz auf allen Geräten: Ein aktueller Virenschutz mit Verhaltenserkennung auf jedem PC, Laptop und Server – auch auf dem Rechner der Geschäftsführung.
• Vorhandene Funktionen prüfen: Klären Sie, welche erweiterten Schutzfunktionen Ihre bestehenden Lizenzen bereits bieten.
• Updates einspielen: EDR ersetzt kein Patch-Management; geschlossene Lücken sind der bessere Schutz als erkannte Angriffe.
• Alarmwege festlegen: Wer erhält Warnungen, und wer darf ein Gerät im Notfall vom Netz nehmen?
• Logs im Blick behalten: Ergänzend zur Geräteüberwachung hilft die zentrale Auswertung von Protokollen, wie sie ein SIEM leistet.
• Datensicherung: Getrennt aufbewahrte, getestete Backups bleiben unverzichtbar.

Was tun im Ernstfall?

Meldet Ihr Schutzprogramm einen Angriff oder isoliert es ein Gerät, schalten Sie das Gerät nicht einfach aus und heben Sie die Isolierung nicht eigenmächtig auf. Verständigen Sie Ihren IT-Dienstleister, damit er prüft, ob weitere Geräte oder Konten betroffen sind, und ändern Sie Passwörter von einem sauberen Gerät aus. Bei Datendiebstahl oder Erpressung erstatten Sie Anzeige, etwa über die Cybercrime-Meldestelle des BMI (against-cybercrime@bmi.gv.at), und prüfen Sie die DSGVO-Meldepflicht.

Xcubitor wird künftig ergänzend zu einem Virenschutz Server-Logs und Konto-Anmeldungen überwachen und Auffälligkeiten so erklären, dass Sie ohne IT-Fachwissen entscheiden können.