Glossar · einfach erklärt

IDS/IPS (Intrusion Detection/Prevention System)

IDS erkennt Angriffe im Netzwerkverkehr, IPS blockiert sie inline — klassische Kontrollen, heute meist Teil größerer Plattformen.

Ein Intrusion Detection System (IDS) überwacht Netzwerkverkehr oder Systeme auf Angriffsmuster und meldet Treffer; ein Intrusion Prevention System (IPS) sitzt inline im Datenpfad und blockiert erkannte Angriffe direkt. Beide arbeiten mit Signaturen bekannter Angriffe, ergänzt um Protokoll- und Anomalie-Analysen.

Heute treten IDS/IPS selten als Einzelprodukte auf: Ihre Funktionen stecken in Next-Generation Firewalls, FWaaS-Plattformen und Cloud-Sicherheitsdiensten — und werden dort zentral mit aktuellen Signaturen versorgt.

IDS oder IPS — erkennen oder verhindern?

Der Unterschied liegt in Position und Konsequenz: Ein IDS beobachtet passiv (etwa an einem Mirror-Port) und alarmiert — es kann nichts verhindern, aber auch nichts kaputtblocken. Ein IPS steht im Datenpfad und stoppt Angriffe in Echtzeit — dafür wird jede Fehlerkennung zum Betriebsproblem, weil legitimer Verkehr hängen bleibt.

In der Praxis beginnt man deshalb oft im Erkennungsmodus, misst Fehlalarme, verfeinert Regeln — und schaltet dann gezielt auf Blocken. Moderne Plattformen erlauben das je Regel und Risikoklasse.

Wo IDS/IPS heute wirken

Als Modul in NGFW und FWaaS: Signaturen und Protokollanalysen im zentralen Datenpfad.
Am Netzwerkrand: virtuelles Patchen bekannter Exploits, bevor Systeme aktualisiert sind.
Im Rechenzentrum: Erkennung lateraler Angriffe zwischen Segmenten.
Als Sensor-Baustein für NDR- und SIEM-Auswertungen.

Häufige Fragen zu IDS/IPS (Intrusion Detection/Prevention System)

Was ist der Unterschied zwischen IDS und IPS?

Das IDS beobachtet und alarmiert, das IPS steht im Datenpfad und blockiert. Ein IDS kann nichts verhindern, verursacht aber auch keine Ausfälle durch Fehlalarme; ein IPS stoppt Angriffe in Echtzeit, braucht dafür aber gepflegte Regeln und Tuning.

Sind IDS/IPS noch zeitgemäß?

Die Funktionen ja — als eigenständige Appliances zunehmend selten. Signatur- und Protokollprüfung leben heute in NGFW, FWaaS und Cloud-Plattformen weiter, ergänzt um Verhaltensanalysen (NDR) und Endpunkt-Telemetrie (EDR). Entscheidend ist das Zusammenspiel.

Wie geht ein IPS mit Fehlalarmen um?

Fehlalarme sind beim Blocken das Kernrisiko: Sie unterbrechen legitimen Verkehr. Bewährt ist der Stufenplan — erst erkennen und messen, dann regelweise scharf schalten — plus Ausnahme-Management und regelmäßige Reviews der blockierten Treffer.

Erkennt ein IPS auch unbekannte Angriffe?

Nur begrenzt: Signaturen erkennen Bekanntes, Protokoll-Anomalien fangen einiges darüber hinaus. Für echt Neues braucht es Verhaltensanalysen und Threat Intelligence — deshalb ist ein IPS heute eine Schicht von mehreren, nicht die alleinige Verteidigung.

Was heißt Host-basiertes IDS (HIDS)?

Ein HIDS läuft auf dem System selbst und überwacht dort Dateien, Prozesse und Protokolle — verwandt mit dem, was moderne EDR-Agenten leisten. Netzwerkbasierte Systeme (NIDS/NIPS) beobachten dagegen den Verkehr zwischen Systemen.