Extended Detection and Response (XDR) erweitert den Endpunkt-Fokus von EDR auf weitere Datenquellen: Netzwerk, Identitäten, E-Mail, Cloud-Workloads. Die Signale werden korreliert, sodass aus vielen Einzelalarmen ein zusammenhängender Vorfall wird — mit Zeitachse, betroffenen Systemen und empfohlenen Reaktionen.
Der Kern-Nutzen ist die Korrelation: Ein verdächtiger Anmeldeversuch, eine ungewöhnliche Netzwerkverbindung und ein Prozessstart auf dem Endpunkt sind einzeln Rauschen — zusammen erzählen sie eine Angriffsgeschichte.
Wie unterscheidet sich XDR von EDR und SIEM?
EDR sieht tief, aber nur den Endpunkt. Ein SIEM sammelt breit, überlässt die Interpretation aber weitgehend dem Analysten. XDR positioniert sich dazwischen: kuratierte Datenquellen eines Herstellers oder Ökosystems, ab Werk korreliert und mit Reaktionsmöglichkeiten verbunden — etwa Host isolieren, Konto sperren, Verbindung kappen.
In der Praxis ersetzt XDR das SIEM nicht zwingend: Compliance-Anforderungen an Log-Aufbewahrung und die Einbindung exotischer Quellen bleiben SIEM-Domäne. Viele Betriebe fahren beides — XDR für schnelle Erkennung und Reaktion, SIEM für Breite und Nachweis.
Was XDR im Betrieb bringt
- Weniger Alarmmüdigkeit: korrelierte Vorfälle statt hunderter Einzelmeldungen.
- Schnellere Triage durch mitgelieferten Kontext und Zeitachsen.
- Reaktionen direkt aus der Konsole: isolieren, sperren, zurücksetzen.
- Kürzere Verweildauer von Angreifern durch frühere Erkennung.