EDR (Endpoint Detection and Response): Erkennung statt reiner Abwehr

Endpoint Detection and Response bezeichnet Sicherheitslösungen, die Vorgänge auf Arbeitsplatzrechnern und Servern fortlaufend aufzeichnen, auf verdächtige Muster prüfen und Eingriffe ermöglichen. Der Ansatz geht davon aus, dass Angriffe nicht vollständig verhindert werden können, und verlagert den Schwerpunkt auf frühzeitiges Erkennen und schnelles Eindämmen. Damit unterscheidet er sich grundlegend vom klassischen Virenschutz.

Abgrenzung zum klassischen Virenschutz

Signaturbasierte Erkennung vergleicht Dateien mit bekannten Schadmustern. Das funktioniert zuverlässig bei verbreiteter Schadsoftware, versagt jedoch bei neuen Varianten und bei Angriffen, die ausschließlich legitime Bordmittel verwenden. Wenn ein Angreifer über gestohlene Zugangsdaten mit PowerShell, geplanten Aufgaben und Windows-Verwaltungsdiensten arbeitet, gibt es keine schädliche Datei, die erkannt werden könnte.

EDR setzt stattdessen am Verhalten an. Aufgezeichnet werden Prozessstarts und deren Abstammung, Netzwerkverbindungen, Änderungen an Registrierung und Autostart, Zugriffe auf den Speicher anderer Prozesse und Anmeldevorgänge. Auffällig ist dann nicht eine Datei, sondern etwa der Umstand, dass ein Office-Programm eine Kommandozeile startet, die anschließend eine Verbindung ins Internet aufbaut.

Relevanz für mittelständische Unternehmen

Angriffe auf den Mittelstand erfolgen weitgehend automatisiert und opportunistisch. Zwischen der ersten Kompromittierung und der eigentlichen Verschlüsselung liegt jedoch regelmäßig eine Phase, in der Angreifer das Netz erkunden, Rechte ausweiten und Sicherungen suchen. Genau diese Phase ist der Ansatzpunkt für EDR: Sie ist beobachtbar, und sie bietet ein Zeitfenster für Reaktion.

Der zweite Nutzen liegt in der Nachvollziehbarkeit. Nach einem Vorfall ist die Frage, welche Systeme betroffen waren und ob Daten abgeflossen sind, ohne Aufzeichnungen kaum zu beantworten. Diese Frage stellt sich nicht nur intern, sondern auch gegenüber Aufsichtsbehörden, Versicherern und Kunden.

Worauf es bei Auswahl und Betrieb ankommt

Die Software allein erzeugt keinen Schutz. Entscheidend ist, dass Meldungen zeitnah bewertet und beantwortet werden.

• Wer wertet Meldungen aus, und in welchem Zeitfenster, auch nachts und am Wochenende
• Welche Reaktionen sind vorgesehen, etwa Netzwerkisolation eines Geräts oder Prozessbeendigung
• Wie lange werden Telemetriedaten aufbewahrt, denn Angriffe werden oft erst Wochen später bemerkt
• Abdeckung aller relevanten Betriebssysteme einschließlich Servern und mobiler Geräte
• Datenschutzrechtliche Einordnung, da Verhaltensdaten von Beschäftigten erfasst werden

Der letzte Punkt ist in Deutschland regelmäßig unterschätzt. Da EDR-Systeme Aktivitäten an Arbeitsplätzen protokollieren, sind bei bestehendem Betriebsrat Mitbestimmungsrechte zu beachten und die Verarbeitung ist im Verarbeitungsverzeichnis abzubilden. Eine frühzeitige Abstimmung vermeidet spätere Einführungsblockaden.

Typische Fehler und Grenzen

Viele Einführungen scheitern nicht an der Technik, sondern an fehlender Betriebsorganisation. Ohne festgelegte Zuständigkeit sammeln sich Meldungen an, und nach einigen Wochen werden sie pauschal ignoriert oder Ausnahmen so weit gefasst, dass die Erkennung faktisch abgeschaltet ist.

• Betrieb im reinen Beobachtungsmodus ohne jemals aktivierte Blockierung
• Server ausgenommen, weil dort Fehlalarme befürchtet wurden
• Keine Vereinbarung mit dem Dienstleister über Reaktionszeiten außerhalb der Geschäftszeiten
• Annahme, EDR ersetze Patchmanagement, Rechtebeschränkung und Datensicherung

Die Grenzen sollten klar benannt werden: EDR erkennt Angriffe auf Endgeräten. Kompromittierte Cloud-Konten, Schwachstellen in exponierten Diensten oder Manipulationen an Netzwerkkomponenten liegen außerhalb des Sichtfelds. EDR ist eine wirksame Schicht, aber nur eine unter mehreren.

• EDR erkennt Angriffe am Verhalten und wirkt dort, wo Signaturerkennung versagt
• Der Nutzen entsteht erst durch zeitnahe Auswertung und festgelegte Reaktionswege
• Aufbewahrungsdauer der Telemetrie bestimmt, ob Vorfälle später rekonstruierbar sind
• Mitbestimmung und Datenschutz vor der Einführung klären, nicht danach
• EDR ergänzt Patchmanagement, Rechtekonzept und Backup, ersetzt sie aber nicht