Endpoint Detection and Response (EDR)

Endpoint Detection and Response (EDR) zeichnet Aktivitäten auf Endgeräten kontinuierlich auf und erkennt darin verdächtige Abläufe. Bei einem Vorfall ermöglicht es schnelle Gegenmaßnahmen wie die Isolation betroffener Systeme. Der Artikel erklärt die Funktionsweise von EDR und grenzt die Technologie von klassischem Antivirus und von XDR ab.

Moderne Angreifer verzichten häufig auf klassische Schadsoftware. Sie arbeiten mit gestohlenen Zugangsdaten und missbrauchen Bordmittel des Betriebssystems, um sich unauffällig von System zu System zu bewegen. Ein Virenscanner, der auf bekannte Dateien wartet, sieht davon wenig. Endpoint Detection and Response wurde für genau dieses Szenario entwickelt: Die Technologie beobachtet, was auf Endgeräten tatsächlich geschieht, und macht Angriffe sichtbar, die keine eindeutige Signatur hinterlassen.

Was ist Endpoint Detection and Response (EDR)?

EDR ist eine Sicherheitstechnologie, die Endgeräte kontinuierlich überwacht und Sicherheitsverantwortliche im Ernstfall handlungsfähig macht. Ein Agent auf dem Gerät sammelt Telemetriedaten und sendet sie an eine zentrale Plattform. Dort werden die Ereignisse ausgewertet und zu Vorfällen verdichtet, angereichert mit Wissen über aktuelle Angriffstechniken. Der entscheidende Unterschied zu reiner Prävention: EDR geht davon aus, dass Angriffe trotz aller Schutzmaßnahmen gelingen können, und konzentriert sich darauf, sie früh zu erkennen und einzudämmen. Der Ansatz hat sich innerhalb weniger Jahre als fester Bestandteil moderner Sicherheitsarchitekturen etabliert. Heute ist EDR meist Teil einer kombinierten Plattform, die Prävention (EPP) und Erkennung in einem Agenten vereint und aus der Cloud verwaltet wird. Ein Vergleich hilft bei der Einordnung: Eine Alarmanlage löst im Moment des Einbruchs aus. Die Videoaufzeichnung zeigt darüber hinaus, wie der Täter vorgegangen ist und welche Räume er betreten hat. EDR ist beides zugleich, Alarm und Aufzeichnung.

Wie funktioniert EDR?

Der Ablauf folgt einer durchgehenden Kette von der Datensammlung bis zur Reaktion:

Telemetrie: Der Agent protokolliert sicherheitsrelevante Ereignisse wie Prozessstarts, Dateiänderungen, Registry-Zugriffe und Netzwerkverbindungen und überträgt sie an die Analyseplattform.
Erkennung: Verhaltensanalysen und Threat Intelligence identifizieren verdächtige Ereignisketten, etwa wenn aus einem geöffneten Dokument heraus Systemwerkzeuge gestartet werden.
Korrelation: Einzelalarme werden zu einem Vorfall mit Zeitachse zusammengeführt, damit Analysten den Ablauf eines Angriffs vollständig nachvollziehen können.
Response: Betroffene Systeme lassen sich aus der Ferne vom Netz isolieren, schädliche Prozesse beenden, Dateien in Quarantäne verschieben und einzelne Änderungen zurückrollen.
Forensik: Die aufgezeichneten Daten zeigen Ursprung und Verlauf eines Vorfalls und beantworten die Frage, welche Systeme und Konten betroffen sind.
Threat Hunting: Analysten durchsuchen historische Telemetrie gezielt nach Spuren, die zum Zeitpunkt der Aufzeichnung noch niemand als Angriff eingestuft hat.

Warum EDR wichtig ist

Sichtbarkeit: Ohne Aufzeichnung am Endpoint bleiben dateilose Angriffe und der Missbrauch legitimer Werkzeuge weitgehend unsichtbar.
Reaktionsgeschwindigkeit: Die Isolation eines kompromittierten Systems aus der Ferne verkürzt die Zeit zwischen Erkennung und Eindämmung erheblich.
Aufklärung: Nach einem Vorfall liefert EDR die Datenbasis, um Einfallstor und Ausmaß zu bestimmen, auch mit Blick auf Meldepflichten nach NIS2 oder DSGVO.
Erwartung von Prüfern und Versicherern: Viele Cyberversicherer und Auditoren setzen Erkennungs- und Reaktionsfähigkeiten auf Endgeräten inzwischen voraus.
Wirtschaftlichkeit: Ein früh eingedämmter Vorfall bleibt ein Betriebsereignis, ein spät entdeckter wächst zum Unternehmensrisiko.

Typische Einsatzszenarien

Ransomware-Abwehr: Verschlüsselungsversuche werden am Verhalten erkannt, betroffene Systeme automatisch isoliert, bevor sich die Schadsoftware weiter ausbreitet.
Verteilte Arbeitsplätze: Notebooks im Homeoffice bleiben über die Cloud-Anbindung des Agenten überwacht und steuerbar, auch ohne Verbindung zum Firmennetz.
Serverüberwachung: Kritische Systeme im Rechenzentrum liefern Telemetrie, mit der sich Einbrüche und ungewöhnliche Zugriffe früh erkennen lassen.
Managed Detection and Response: Unternehmen ohne eigenes Sicherheitsteam lassen die EDR-Plattform durch externe Analysten rund um die Uhr überwachen.

EDR vs. klassisches Antivirus

Klassischer Virenschutz prüft Dateien gegen Signaturen bekannter Schadsoftware und blockiert Treffer. Das funktioniert bei weit verbreiteter Massenware, scheitert aber an neuen Varianten und an Angriffen ganz ohne Datei. EDR bewertet stattdessen Verhalten über die Zeit und behält den gesamten Verlauf im Blick. Während Antivirus eine einzelne Entscheidung im Moment des Zugriffs trifft, liefert EDR ein fortlaufendes Protokoll, das auch nachträgliche Analyse und gezielte Reaktion ermöglicht. Extended Detection and Response (XDR) erweitert dieses Prinzip über den Endpoint hinaus: Telemetrie aus E-Mail, Identitäten, Netzwerk und Cloud-Diensten fließt in eine gemeinsame Auswertung. XDR ist damit eine Ausbaustufe und kein Ersatz, die Grundlage bleibt eine sauber betriebene EDR-Funktion. Wer heute in Endgeräteschutz investiert, bewertet deshalb Prävention und Erkennungsqualität gemeinsam statt getrennt.

EDR bei KAEMI

Meldet ein EDR einen kompromittierten Host, stellt sich sofort die Frage, wohin sich der Angreifer von dort bewegen kann. An dieser Stelle setzt KAEMI an: Unser Schwerpunkt liegt auf der Netzwerkseite der Eindämmung. Mit Mikrosegmentierung reduzieren wir die erreichbaren Kommunikationswege jedes Systems auf das betriebsnotwendige Maß, damit aus einem infizierten Gerät kein flächiger Ausfall wird. Über SASE/SSE binden wir mobile Arbeitsplätze so an, dass Zugriffe auf Anwendungen kontrolliert und protokolliert erfolgen. EDR und Netzwerkkontrollen ergänzen sich dabei: Das eine erkennt den Vorfall, das andere begrenzt seine Reichweite. Wenn Sie diese Seite Ihrer Verteidigung ausbauen möchten, erreichen Sie uns über die Kontaktseite .

Häufige Fragen zu Endpoint Detection and Response (EDR)

Was unterscheidet EDR von einem klassischen Virenschutz?

Virenschutz entscheidet im Moment des Dateizugriffs anhand von Signaturen und Heuristiken. EDR beobachtet das Verhalten des Systems über die Zeit, zeichnet Ereignisse auf und erkennt damit auch Angriffe ohne Schadsoftware, etwa den Missbrauch legitimer Administrationswerkzeuge. Zusätzlich bietet EDR Reaktionsmöglichkeiten wie Isolation oder Prozessabbruch. In der Praxis ergänzen sich beide Funktionen in einer gemeinsamen Plattform.

Welche Daten sammelt ein EDR-Agent?

Typisch sind Prozessstarts mit Befehlszeilen, Dateiänderungen, Netzwerkverbindungen, Anmeldeereignisse und Eingriffe in die Systemkonfiguration. Diese Telemetrie fließt an eine zentrale Plattform und wird dort für Erkennung und Analyse aufbereitet. Da auch personenbeziehbare Daten anfallen, gehören Datenschutz und Mitbestimmung früh in die Planung, mit klaren Regeln zu Zweckbindung und Speicherfristen.

Was ist der Unterschied zwischen EDR und XDR?

EDR konzentriert sich auf Endgeräte und deren Telemetrie. XDR führt zusätzliche Quellen in einer gemeinsamen Auswertung zusammen, darunter E-Mail-Sicherheit, Identitätsdienste, Netzwerksensoren und Cloud-Protokolle. Das Ziel ist ein vollständigeres Bild eines Angriffs über mehrere Ebenen hinweg. Sinnvoll wird XDR, wenn die EDR-Basis steht und die zusätzlichen Datenquellen auch betrieben und ausgewertet werden können.

Ersetzt EDR eine Segmentierung des Netzwerks?

Nein, beide adressieren unterschiedliche Phasen eines Angriffs. EDR erkennt die Kompromittierung eines Systems und ermöglicht die Reaktion darauf. Segmentierung begrenzt vorab, welche Wege einem Angreifer nach der Übernahme eines Systems überhaupt offenstehen. Fällt die Erkennung aus oder kommt sie zu spät, bleibt die Begrenzung durch das Netz wirksam. Robuste Architekturen kombinieren deshalb beide Ebenen.

Lässt sich EDR ohne eigenes Security-Team betreiben?

Nur eingeschränkt. Eine EDR-Plattform erzeugt Alarme, die bewertet und in Maßnahmen übersetzt werden müssen, auch nachts und am Wochenende. Fehlt dafür Personal, bietet sich Managed Detection and Response an: Externe Analysten überwachen die Plattform rund um die Uhr und stoßen bei bestätigten Vorfällen die Reaktion an. Intern verbleiben Entscheidungen über kritische Eingriffe und die eigenen Meldeprozesse.