EDR (Endpoint Detection and Response): Bedeutung, Funktionsweise und Vorteile

Was ist EDR?

EDR steht für Endpoint Detection and Response, auf Deutsch etwa Erkennung und Reaktion auf Endgeräten. Endgeräte (Endpoints) sind alle Rechner, Server und mobilen Geräte im Unternehmen.

Ein klassischer Virenscanner ist wie ein Türsteher: Er prüft, wer hereinkommt, und lässt bekannte Störenfriede nicht durch. EDR ist eher wie eine Überwachungskamera mit Wachdienst. Es sieht auch, was drinnen passiert, erkennt verdächtiges Verhalten und kann eingreifen.

Der Begriff wurde 2013 von einem Analysten des Marktforschers Gartner geprägt. Seitdem hat sich EDR zu einem Standardbaustein der IT-Sicherheit entwickelt.

So funktioniert EDR

1. Installieren: Auf jedem Gerät läuft ein kleines Programm, der Agent.
2. Beobachten: Der Agent meldet, welche Programme starten, welche Dateien sich ändern, welche Verbindungen aufgebaut werden und wer sich anmeldet.
3. Erkennen: Regeln und Verhaltensanalysen prüfen jede Meldung. Viele Systeme ordnen Treffer dem Angriffsmodell MITRE ATT&CK zu.
4. Untersuchen: Das Sicherheitsteam sieht den Ablauf eines Angriffs als Zeitleiste: Welche Datei kam woher, was hat sie gestartet, welche Geräte sind betroffen?
5. Reagieren: Ein Gerät wird vom Netz getrennt, ein Programm beendet oder eine Datei in Quarantäne verschoben.

Ein Beispiel: Ein Angreifer meldet sich nachts mit einem gestohlenen Konto an und springt von Rechner zu Rechner. Ein Virenscanner sieht dabei nichts, denn es gibt keine Schadsoftware. EDR erkennt die ungewöhnlichen Anmeldungen und macht die Spur sichtbar.

EDR, Antivirus, XDR und MDR

• Antivirus / EPP: Endpoint Protection prüft Dateien und blockiert bekannte Schadsoftware. Das ist der Grundschutz.
• EDR: ergänzt den Grundschutz um Aufzeichnung, Verhaltenserkennung, Untersuchung und Reaktion.
• XDR: erweitert EDR um weitere Quellen wie E-Mail, Netzwerk, Cloud und Identitäten.
• MDR / Managed EDR: Ein externes Team bewertet die Alarme und reagiert. Siehe Security Operations Center.

Viele moderne Lösungen verbinden Virenschutz und EDR in einem Agenten.

Typische Funktionen

Aufzeichnung (Telemetrie)

Prozesse, Dateien, Netzwerkverbindungen, Anmeldungen und Änderungen an der Registry werden gespeichert. So lässt sich auch Wochen später nachvollziehen, was passiert ist.

Erkennung

Regeln, Verhaltensmuster und Informationen über bekannte Angreifer (Threat Intelligence) zeigen verdächtige Aktivitäten an.

Untersuchung

Analysten sehen die Kette eines Angriffs und können gezielt nach weiteren Spuren suchen. Diese aktive Suche heißt Threat Hunting.

Reaktion

Geräte isolieren, Prozesse beenden, Dateien sperren oder Skripte ausführen, oft aus der zentralen Konsole heraus.

Schutz vor Ransomware

Viele EDR-Lösungen erkennen, wenn ein Programm in kurzer Zeit viele Dateien verschlüsselt, und stoppen es. Siehe Ransomware.

Vorteile

• Mehr Sichtbarkeit: Sie sehen, was auf Ihren Geräten wirklich passiert.
• Schnellere Erkennung: Angriffe fallen auf, bevor großer Schaden entsteht.
• Gezielte Reaktion: Ein befallenes Gerät lässt sich in Sekunden isolieren.
• Bessere Aufklärung: Die Aufzeichnungen helfen bei der Forensik und bei Meldungen an Behörden.
• Nachweise: EDR unterstützt Anforderungen aus NIS-2 und ISO 27001 an Erkennung und Behandlung von Vorfällen.

Grenzen und Herausforderungen

• Alarme brauchen Menschen: Ohne jemanden, der Alarme bewertet, verpufft der Nutzen. Hier hilft Managed EDR.
• Falschalarme: Regeln müssen auf die eigene Umgebung abgestimmt werden.
• Lücken: Geräte ohne Agenten, etwa Drucker oder Maschinen, bleiben unsichtbar.
• Manipulation: Angreifer versuchen, den Agenten abzuschalten. Ein guter Manipulationsschutz meldet solche Versuche.
• Datenschutz: Die Aufzeichnung betrifft auch Beschäftigte. Regeln, Zweck und Zugriffe sollten klar festgelegt sein.

Worauf Sie bei der Auswahl achten sollten

• Welche Betriebssysteme werden mit welchen Funktionen unterstützt?
• Wo werden die Daten gespeichert und verarbeitet?
• Gibt es ein Vier-Augen-Prinzip für folgenreiche Eingriffe wie die Isolation?
• Wer bewertet die Alarme, Ihr eigenes Team oder ein Managed Service?
• Lassen sich Funktionen schrittweise und zuerst im Modus „nur melden“ einführen?

EDR von SecTepe

SecTepe Endpoint zeichnet Programmstarts, Dateiänderungen und Netzverbindungen auf. Windows-Rechner und Linux-Server bekommen alle Module, Android- und iOS-Geräte schützt die SecTepe-App. Folgenreiche Eingriffe wie das Isolieren eines Geräts brauchen eine zweite Freigabe. Der Ransomware-Schutz arbeitet mit Köderdateien und Snapshots. Ohne eigenes Team nutzen Sie SecTepe Endpoint als Managed EDR. Dann bewertet unser Security Operations Center die Alarme.

Fazit

EDR zeichnet auf, was auf Endgeräten passiert, erkennt verdächtiges Verhalten und ermöglicht eine schnelle Reaktion. Es ergänzt den klassischen Virenschutz und ist heute ein Grundbaustein der IT-Sicherheit. Entscheidend ist, dass jemand die Alarme bewertet, ob das eigene Team oder ein Managed Service.