EDR & XDR - wenn Antivirus nicht mehr reicht

Gegen Standard-Schädlinge ja, gegen moderne Angriffe nein. Dateilose Attacken, getarnte Tools und neue Ransomware umgehen klassische Signaturen. EDR erkennt sie am Verhalten - das ist heute der Standard, nicht die Kür.

EDR schützt das einzelne Endgerät (Endpoint). XDR (Extended) verbindet zusätzlich Server, Mail und Cloud zu einer gemeinsamen Sicht - so werden Angriffsketten über Systeme hinweg sichtbar.

Im Alltag kaum spürbar. Moderne Agenten sind schlank. Wir dimensionieren und konfigurieren so, dass Schutz und Arbeitsfähigkeit zusammenpassen.

Der Beratungs- und Einführungsanteil ist häufig BAFA-förderfähig (Bemessungsgrundlage 3.500 EUR, Zuschuss also max. 1.750 EUR; bis zu zwei geförderte Beratungen pro Jahr). Den Antrag übernehmen wir.

Als Virenschutz ist er brauchbar. Die eigentlichen EDR-Funktionen - Verhaltensanalyse, Angriffsverlauf, automatische Isolation - stecken aber in einer höheren Lizenzstufe und müssen konfiguriert und ausgewertet werden. Wer die Lizenz hat und sie ungenutzt lässt, hat kein EDR, sondern ein teures Antivirus. Wir prüfen zuerst, was in Deinen Lizenzen schon steckt.

Der Lizenzanteil ist meist der kleinere Posten, der Betrieb der größere: ausrollen, Regeln abstimmen, Alarme bewerten. Wir rechnen pro Gerät und sagen Dir nach der Bestandsaufnahme, was zusammenkommt. Wo Deine vorhandenen Lizenzen den Schutz schon enthalten, nutzen wir das, statt etwas Zusätzliches zu verkaufen.

Die Agenten sind meist innerhalb weniger Tage verteilt, oft über die vorhandene Geräteverwaltung ohne Anfassen der Rechner. Der eigentliche Aufwand liegt in den zwei bis vier Wochen danach: automatische Reaktionen scharfstellen und Fehlalarme aus Deiner Fachsoftware aussortieren, bis es ruhig läuft.

Die Überwachung machen wir inhouse und melden uns mit einer Reaktionszeit von unter 2 Stunden*. Eine Software, die Alarme in ein Postfach schickt, das niemand liest, schützt nicht. Für die durchgehende Auswertung rund um die Uhr binden wir ein Managed SOC über unseren Partner an.

Der Rechner verliert seine Netzverbindung, damit sich nichts weiterverbreitet - wir behalten aber den Zugriff für die Analyse. Der betroffene Mitarbeiter kann in dieser Zeit nicht weiterarbeiten, das ist der Preis. Bei einem laufenden Verschlüsselungsangriff sind das ein paar Stunden statt einer Woche Stillstand für alle.

Das kann in den ersten Wochen vorkommen, weil ältere Fachanwendungen Dinge tun, die nach Angriff aussehen. Deshalb starten wir bei kritischen Systemen im Beobachtungsmodus und legen begründete Ausnahmen an, bevor wir scharf stellen. Pauschale Ausnahmen für ganze Laufwerke gibt es nicht - die sind genau das Loch, das Angreifer suchen.

Ja, und Du solltest es sogar. Zwei Schutzprogramme parallel bremsen sich gegenseitig aus und heben Erkennungen gegenseitig auf. Wir bauen die Ablösung sauber: EDR ausrollen, Funktion prüfen, altes Produkt entfernen - nicht umgekehrt, damit keine Lücke entsteht.

Ja, die Lösungen, die wir einsetzen, decken Windows-Clients, Windows-Server und macOS ab. Server sind sogar besonders wichtig, weil dort die Daten liegen und Angreifer genau dorthin wollen. Mobilgeräte laufen über die Geräteverwaltung, das ist ein eigener Baustein.

Nein. XDR verbindet die Signale der Systeme, die der jeweilige Hersteller abdeckt - Endgeräte, Mail und Cloud desselben Anbieters. Ein SIEM nimmt alles auf, auch Firewall, Netz und ältere Systeme, und bewahrt die Logs prüffest auf. Für viele Mittelständler reicht XDR als Einstieg, bei komplexeren Umgebungen oder Compliance-Auflagen kommt ein SIEM dazu.

NIS2 nennt kein Produkt, verlangt aber Erkennung und Reaktion bei Vorfällen - EDR ist der praktikabelste Weg dahin. Versicherer fragen im Antrag inzwischen fast immer nach Endpunkt-Erkennung, MFA und Backup. Wir setzen um und dokumentieren es so, dass Du die Fragebögen belegen kannst; die Bewertung selbst nimmt der Versicherer vor.

Technisch ja, die Lizenz ist schnell gekauft. Die Arbeit steckt danach: Alarme bewerten, Fehlalarme abstellen, im Ernstfall in Minuten reagieren, auch freitagabends. Wenn Du niemanden hast, der das verlässlich übernimmt, ist ein unbeaufsichtigtes EDR wenig mehr als ein teureres Antivirus.