top of page

EDR und XDR: Endpoint-Sicherheit neu gedacht

Die Antwort auf Ransomware, gezielte Angriffe und das Ende des klassischen Virenscanners.

Klassische Antiviruslösungen erkennen, was sie kennen. Moderne Angreifer nutzen genau das aus: dateilose Malware, legitime Systemtools, gestohlene Zugangsdaten. Wer 2026 noch auf reinen Signaturschutz setzt, hat den Angriff bereits verloren – er weiß es nur noch nicht. EDR und XDR drehen das Spiel um: vom Erkennen bekannter Bedrohungen hin zum Erkennen verdächtigen Verhaltens. Genau dort, wo der Angriff stattfindet.

Warum klassischer Virenschutz nicht mehr reicht

​Über 25 Jahre lang war das Modell gleich: Eine Datei kommt auf den Endpoint, der Virenscanner gleicht ihren Hash mit einer Signaturdatenbank ab, blockiert oder lässt durch. Dieses Modell funktioniert noch – aber nur gegen einen kleinen Teil heutiger Bedrohungen.

Die Realität: Über 70 Prozent moderner Angriffe sind dateilos oder nutzen sogenannte Living-off-the-Land-Techniken. Der Angreifer bringt keine Schadsoftware mit – er missbraucht PowerShell, WMI, RDP oder legitime Admin-Werkzeuge. Es gibt keine Datei, keine Signatur, kein eindeutiges Muster. Klassischer AV ist blind.

Was klassischer AV nicht sieht:

  • Dateilose Malware, die ausschließlich im Arbeitsspeicher läuft

  • Missbrauch legitimer Systemwerkzeuge (PowerShell, PsExec, WMI)

  • Credential-Theft-Techniken (Mimikatz-Varianten, Pass-the-Hash, Token-Diebstahl)

  • Lateral Movement über kompromittierte Konten

  • Zero-Day-Exploits ohne bekannte Signatur

  • Ransomware-Vorbereitungsphasen (Aufklärung, Persistenz, Privilegieneskalation)

EDR – Endpoint Detection and Response

EDR ist die Weiterentwicklung des klassischen Endpoint-Schutzes. Statt nur Dateien zu prüfen, beobachtet ein EDR-Agent kontinuierlich, was auf dem Endpoint passiert: Welche Prozesse werden gestartet? Welche Skripte ausgeführt? Welche Netzwerkverbindungen aufgebaut? Welche Registry-Schlüssel verändert?

 

Diese Telemetrie wird in Echtzeit analysiert – lokal auf dem Gerät und in einer Cloud-Backend-Engine. Verhaltensmodelle, maschinelles Lernen und kuratierte Threat Intelligence erkennen Muster, die ein Mensch und ein Signaturscanner übersehen würden.

Was ein modernes EDR leistet

  • ​Verhaltensbasierte Erkennung: Erkennt Angriffe an der Aktion, nicht am Dateinamen. Ein PowerShell-Skript, das verschlüsselte Befehle aus dem Internet nachlädt, ist verdächtig – egal ob die Datei selbst harmlos signiert ist.

  • Vollständige Prozesskette: Welcher Prozess hat welchen Prozess gestartet? Welcher Nutzer hat sich wann angemeldet? EDR rekonstruiert den kompletten Angriffsbaum (Process Tree) – essentiell für Forensik und Incident Response.

  • Automatische Isolation: Bei erkanntem Angriff wird das Gerät mit einem Klick vom Netzwerk getrennt – ohne den Endpoint physisch abzuschalten. Der Analyst behält Zugriff, der Angreifer verliert ihn.

  • Live Response: Remote-Forensik auf dem laufenden System: Prozesse beenden, Dateien einsammeln, Registry untersuchen, Speicher analysieren – alles ohne den Endpoint anfassen zu müssen.

  • Rollback-Funktionalität: Manche EDR-Lösungen können durch Ransomware verschlüsselte Dateien aus dem Schattenspeicher wiederherstellen. Nicht als Backup-Ersatz, aber als wirksame letzte Verteidigungslinie.

  • Indicator of Compromise (IoC) Hunting: Aktive Suche nach Angreiferspuren über die gesamte Flotte hinweg – auch rückwirkend über Wochen und Monate.

XDR – Extended Detection and Response

XDR ist der nächste logische Schritt. Während EDR den Endpoint beobachtet, korreliert XDR Telemetrie aus mehreren Quellen: Endpoints, Firewalls, Identitätssysteme, E-Mail-Gateway, Cloud-Workloads, Netzwerkverkehr.

 

Der Wert entsteht durch Korrelation. Ein einzelnes Login aus dem Ausland ist verdächtig, aber nicht eindeutig. Wenn dasselbe Konto fünf Minuten später ein PowerShell-Skript auf einem Endpoint startet, kurz darauf eine ungewöhnliche DNS-Abfrage erfolgt und schließlich Daten an einen unbekannten Cloud-Speicher gesendet werden – dann ist das ein Angriff. Kein Einzelsignal hätte das gezeigt. XDR sieht die Kette.

Was XDR/EDR konkret abwehrt

Ransomware

Erkennung in der Vorbereitungsphase: Wenn der Angreifer Schattenkopien löscht, Backups deaktiviert oder Massenverschlüsselung beginnt, schlägt XDR an. Automatische Isolation stoppt die Ausbreitung, bevor die Hälfte des Fileservers verschlüsselt ist.


Phishing & Credential-Diebstahl

Ein Mitarbeiter klickt auf einen Link, gibt Zugangsdaten ein. XDR korreliert die ungewöhnliche Anmeldung mit dem Verhalten danach – ungewöhnliche Standorte, MFA-Bypass-Versuche, Mailbox-Regeln, die Auto-Forward einrichten – und blockiert das Konto.


Insider-Threats

Ungewöhnlicher Datenzugriff, Massendownload aus dem Fileserver, USB-Exfiltration. Verhaltensbasierte Baselines erkennen Abweichungen, auch ohne externe Malware.


Supply-Chain-Angriffe

Wenn legitime Software plötzlich verdächtiges Verhalten zeigt (Beispiel: Build-Tool startet PowerShell mit verschlüsselten Argumenten), wird das erkannt – auch wenn die Software signiert und vertrauenswürdig erscheint.

​

Lateral Movement

Pass-the-Hash, Pass-the-Ticket, ungewöhnliche RDP-Verbindungen zwischen Servern, Kerberoasting – klassische Bewegungsmuster nach erfolgreicher Erstkompromittierung. XDR sieht das Muster über mehrere Hosts hinweg.

 

Zero-Day-Exploits

Auch ohne bekannte Signatur: Wenn ein Browser oder Office-Programm beginnt, sich wie eine Shell zu verhalten (Kindprozesse spawnen, Persistenz einrichten, Netzwerkverbindungen aufbauen), greift die Verhaltenserkennung.

XDR als SOC-Light: Sicherheitsoperationen ohne Millionenbudget

Der entscheidende Punkt für den Mittelstand.

Ein vollwertiges Security Operations Center mit eigenem SIEM, eigenen Analysten und 24/7-Betrieb kostet siebenstellig im Jahr. Für die meisten mittelständischen Unternehmen ist das nicht stemmbar – und meistens auch nicht nötig. Eine moderne XDR-Plattform liefert große Teile dessen, was ein klassisches SIEM-/SOC-Setup bietet – als integrierte Plattform, ohne Heerschar an Analysten.

Klassisches SIEM bedeutet: Logs aus 30 verschiedenen Quellen einsammeln, normalisieren, in eine Datenbank schreiben, Korrelationsregeln schreiben, pflegen, anpassen. Lizenzkosten nach Datenvolumen. Implementierungsprojekte über Monate. Hochqualifizierte Analysten, die rund um die Uhr Alarme triagieren.

 

Moderne XDR-Plattformen liefern viele dieser Funktionen out-of-the-box:

  • Vorgefertigte Erkennungslogik: Tausende kuratierte Detection-Rules durch den Hersteller. Kein Schreiben eigener SIEM-Queries.

  • Automatische Korrelation: Aus zehn Einzelalarmen wird ein Incident. Der Analyst sieht nicht das Rauschen, sondern die Geschichte.

  • Geführte Response: Playbooks für Standardszenarien – isolieren, blockieren, zurückrollen – per Klick oder vollautomatisch.

  • Eingebaute Threat Intelligence: Globale Bedrohungsdaten des Herstellers fließen direkt in die Erkennung ein.

  • Predictable Pricing: Lizenz pro Endpoint statt Datenvolumen-Abrechnung. Planbar.

​

XDR + MDR – die Mittelstandsrealität

Selbst die beste XDR-Plattform braucht jemanden, der nachts um drei reagiert, wenn ein Alarm aufläuft. Für die meisten Mittelständler ist die wirtschaftlich sinnvolle Antwort: XDR-Plattform plus Managed Detection and Response (MDR) durch einen spezialisierten Dienstleister.

 

Damit entsteht ein praktisches SOC-Modell:

  • XDR-Plattform als Technologie-Basis (Daten, Erkennung, Response-Werkzeuge)

  • MDR-Provider als 24/7-Augen auf das System (Triage, Eskalation, aktive Jagd)

  • Eigenes IT-Team als Eskalationspunkt für Geschäftsentscheidungen

 

Kosten: Bruchteil eines eigenen SOC. Wirkung: vergleichbar mit dem, was ein internes Team mittlerer Größe leisten würde.
 

Wie XDR in eine moderne Sicherheitsarchitektur passt

XDR steht nicht allein. Es ist ein zentraler Pfeiler einer Zero-Trust-Architektur und greift mit anderen Bausteinen ineinander:

Mit der Firewall (NGFW)
Erkennt XDR auf dem Endpoint einen Command-and-Control-Verbindungsaufbau, kann die Firewall die Ziel-IP unternehmensweit blockieren – nicht nur für diesen einen Endpoint.
 

Mit SASE / SSE
Cloud-Zugriffe von kompromittierten Endpoints werden direkt am Cloud-Proxy gestoppt, bevor Daten abfließen können.
 

Mit Identity-Plattformen
Wird ein Konto als kompromittiert erkannt, wird die Session sofort beendet, MFA neu erzwungen, der Account temporär gesperrt.
 

Mit Mikrosegmentation
Lateral Movement wird auf zwei Ebenen gestoppt: am Endpoint durch XDR-Erkennung, im Netzwerk durch Mikrosegmentierungs-Policies.
 

Mit E-Mail-Security
Wird eine Phishing-Welle erkannt, können bereits zugestellte E-Mails aus allen Mailboxen automatisch zurückgezogen werden.

Worauf es bei der Auswahl ankommt

Der Markt ist voll von Anbietern, die alle XDR auf der Verpackung stehen haben. Die Unterschiede sind erheblich. Diese Kriterien trennen die Marketingversprechen von der tatsächlichen Leistungsfähigkeit:

  • Eigene Telemetrie-Tiefe: Ist der Endpoint-Agent ein eigener oder ein zugekaufter Drittagent? Eigene Agents liefern tiefere Daten und schnellere Reaktion

  • Plattform-Native vs. Aggregator: Echte XDR-Plattformen analysieren Rohdaten. Aggregator-XDR konsumiert nur Alarme von Drittprodukten – mit allen Limitierungen, die das bedeutet.

  • Behavioral Engines: Werden Verhaltensmodelle on-device ausgeführt (schnelle Reaktion, funktioniert offline) oder ausschließlich in der Cloud (Latenz, Bandbreitenbedarf)?

  • Threat-Hunting-Tooling: Lassen sich rückwirkende Suchen über alle Endpoints in Sekunden ausführen, oder dauert das Stunden?

  • Response-Tiefe: Reicht die Plattform für reine Isolation oder kann sie tief eingreifen – Dateien wiederherstellen, Registry-Änderungen rückgängig machen, Prozesse forensisch analysieren?

  • Integrationen: Welche Identity-, Cloud- und Netzwerkkomponenten werden nativ unterstützt? Oder nur über Konnektoren auf Alarmebene?

  • Plattform-Lock-in: Wie gut funktioniert das System mit Firewalls, Identity-Providern und Cloud-Plattformen anderer Hersteller? Pure-Play-Anbieter sind hier oft offener als Plattform-Monopolisten.

  • MDR-Option: Bietet der Hersteller einen eigenen Managed Service, oder ist man auf Dritt-MDR angewiesen? Beide Modelle haben Berechtigung – aber die Frage muss bewusst beantwortet werden.

  • DSGVO und Datenstandort: Wo werden die Telemetriedaten verarbeitet? EU-Rechenzentrum, US-Cloud, beides? Für viele deutsche Mittelständler ist das entscheidend.

Compliance-Druck: NIS-2 und DORA erzwingen den Schritt

Beide Regulierungen verlangen, was ohne EDR/XDR praktisch nicht zu liefern ist:

​

  • Nachweisbare Erkennung und Reaktion auf Sicherheitsvorfälle

  • Forensische Rekonstruktion von Angriffen

  • Meldepflicht innerhalb von 24 Stunden – mit belastbaren technischen Details

  • Kontinuierliche Überwachung kritischer Systeme

  • Dokumentierte Incident-Response-Prozesse


Ein Unternehmen, das nach einem Vorfall nicht sagen kann, was passiert ist, wann es passiert ist und welche Daten betroffen waren, hat ein Compliance-Problem – unabhängig vom eigentlichen Schaden. EDR/XDR liefert diese Daten standardmäßig.

​

Mehr über NIS2 und DORA erfahren

Der TrustHub-Ansatz: herstellerneutral entscheiden

Es gibt nicht die eine richtige XDR-Plattform. Es gibt die richtige für eine bestimmte Umgebung, eine bestimmte Mitarbeiterzahl, einen bestimmten Reifegrad, ein bestimmtes Budget.


Als ehemalige Vendor-Mitarbeiter kennen wir die Stärken und Schwächen der relevanten Plattformen aus erster Hand – nicht aus dem Datenblatt. Wir haben keine Vorgabe, eine bestimmte Lösung zu verkaufen. Unser Auftrag ist, die Lösung zu empfehlen, die für Ihr Unternehmen wirtschaftlich und technisch passt.

Wann lohnt sich das Gespräch?

Wenn Sie noch klassischen AV im Einsatz haben. Wenn Ihr aktueller Endpoint-Schutz keine Verhaltenserkennung leistet. Wenn Sie kein 24/7-Monitoring haben. Wenn NIS-2 oder DORA Sie betrifft. Wenn Sie ein vollwertiges SOC nicht stemmen wollen oder können. In all diesen Fällen lohnt sich der Vergleich – und meistens lohnt sich auch der Wechsel.

Sprechen Sie uns an. 

bottom of page