Glossar · einfach erklärt

MDR (Managed Detection and Response)

MDR ist Erkennung und Reaktion als Service: Analysten überwachen rund um die Uhr, bewerten Alarme und stoppen Angriffe.

Managed Detection and Response (MDR) ist ein Betriebsmodell: Ein Dienstleister überwacht die Umgebung rund um die Uhr, bewertet Alarme, jagt aktiv nach Bedrohungen und reagiert auf Vorfälle — mit definierten Befugnissen bis zur Eindämmung, etwa der Isolation befallener Systeme.

MDR beantwortet ein Personalproblem: Erkennungstechnik wie EDR oder XDR entfaltet ihren Wert erst, wenn jemand die Alarme zeitnah bewertet — nachts, am Wochenende, im Urlaub. Genau diese Lücke füllt der Service.

Was ein MDR-Dienst leistet

24/7-Überwachung und Triage der Alarme aus EDR/XDR und weiteren Quellen.
Threat Hunting: aktive Suche nach Angriffsspuren jenseits automatischer Alarme.
Reaktion nach vereinbartem Playbook — von der Empfehlung bis zur direkten Eindämmung.
Regelmäßige Berichte, Lessons Learned und Härtungsempfehlungen.

MDR, MSSP oder eigenes SOC?

Die Abgrenzung ist fließend, aber hilfreich: Ein klassischer MSSP betreibt Sicherheitsplattformen und Regelwerke; MDR fokussiert die Erkennungs- und Reaktionskette mit Analysten im Schichtbetrieb; ein eigenes SOC bündelt all das intern — zum Preis von mehreren Vollzeitstellen und dauerhafter Weiterbildung. Für die meisten Mittelständler ist MDR der schnellste Weg zu echter 24/7-Reaktionsfähigkeit, oft kombiniert mit einem MSSP für den Plattformbetrieb.

Häufige Fragen zu MDR (Managed Detection and Response)

Was ist der Unterschied zwischen MDR und MSSP?

Ein MSSP betreibt Sicherheitsplattformen — Firewall, WAF, Zero Trust — als Dauerbetrieb. MDR fokussiert Erkennung und Reaktion: Analysten überwachen, bewerten und handeln 24/7. In der Praxis ergänzen sich beide Rollen und kommen teils aus einer Hand.

Greift ein MDR-Anbieter aktiv in meine Systeme ein?

Je nach Vereinbarung: Vom reinen Alarmieren mit Handlungsempfehlung bis zur aktiven Eindämmung — Host isolieren, Konto sperren — ist alles definierbar. Seriöse Verträge regeln Befugnisse, Freigaben und Haftung präzise, bevor der Ernstfall eintritt.

Brauche ich für MDR bereits EDR?

Meist bringt der MDR-Dienst eine Erkennungsplattform mit oder setzt auf vorhandenes EDR/XDR auf. Entscheidend ist die Telemetrie-Basis: Ohne Sicht auf Endpunkte, Identitäten und Netzwerk kann auch der beste Analyst wenig erkennen.

Was bedeutet Threat Hunting bei MDR?

Threat Hunting ist die aktive, hypothesengetriebene Suche nach Angriffsspuren, die keine automatische Regel ausgelöst haben — etwa ungewöhnliche Anmeldemuster oder seltene Prozessketten. Gute MDR-Dienste hunten regelmäßig statt nur auf Alarme zu warten.

Wie schnell reagiert ein MDR-Dienst?

Üblich sind zugesicherte Triage-Zeiten im Minutenbereich für kritische Alarme, rund um die Uhr. Wichtiger als die reine Reaktionszeit ist die Qualität: Wie schnell wird aus einem Alarm eine bestätigte Einschätzung samt eingeleiteter Eindämmung?