Klassische Virenschutzprogramme vergleichen Dateien mit bekannten Merkmalen von Schadsoftware, sogenannten Signaturen. Moderne Angriffe kommen aber oft ohne bekannte Schaddatei aus: Sie nutzen gestohlene Zugangsdaten, legitime Verwaltungswerkzeuge oder Skripte. EDR setzt deshalb beim Verhalten an. Die Lösung zeichnet fortlaufend auf, was auf einem Gerät geschieht, und erkennt Muster, die auf einen Angriff hindeuten.
Wie funktioniert EDR?
Auf jedem Endgerät läuft ein Agent, der Ereignisse sammelt: gestartete Prozesse, Dateiänderungen, Netzwerkverbindungen, Anmeldungen und Änderungen an der Systemkonfiguration. Diese Daten werden zentral, meist in einer Cloud-Konsole, ausgewertet. Regeln, Verhaltensanalysen und aktuelle Bedrohungsinformationen erkennen dort verdächtige Abläufe, etwa wenn ein Office-Programm plötzlich eine Kommandozeile startet, die Daten aus dem Internet nachlädt.
Bei einem Alarm stehen Reaktionsmöglichkeiten bereit:
- das betroffene Gerät vom Netzwerk isolieren,
- Prozesse beenden und Dateien in Quarantäne verschieben,
- den Ablauf eines Angriffs nachvollziehen, um Ursprung und Ausmaß zu verstehen,
- auf weiteren Geräten nach denselben Spuren suchen.
Ein verbreitetes Beispiel ist Microsoft Defender for Endpoint, siehe Microsoft Defender.
Typische Beispiele
- Ein Laptop beginnt, in großer Zahl Dateien umzubenennen und zu verschlüsseln. EDR erkennt das Muster einer Ransomware und isoliert das Gerät.
- Auf einem Server wird ein Werkzeug zum Auslesen von Anmeldedaten gestartet. Der Alarm führt zur Untersuchung eines kompromittierten Kontos.
- Nach einer Phishing-Kampagne prüft das IT-Team, auf welchen Geräten der schädliche Anhang geöffnet wurde.
Worauf Unternehmen achten sollten
- EDR auf allen Endgeräten und Servern ausrollen, auch auf selten genutzten Systemen.
- Klären, wer Alarme bewertet, auch nachts und am Wochenende, etwa ein Security Operations Center.
- Automatische Reaktionen bewusst konfigurieren und regelmäßig überprüfen.
- Sicherstellen, dass der Agent nicht ohne Weiteres deaktiviert werden kann und Geräte ohne aktiven Agenten auffallen.
- Daten aus EDR mit anderen Quellen verknüpfen, zum Beispiel in einem SIEM.
Abgrenzung
XDR (Extended Detection and Response) erweitert den Ansatz über Endgeräte hinaus und bezieht zusätzlich Daten aus E-Mail, Identitäten, Cloud-Diensten und Netzwerk ein. Als MDR (Managed Detection and Response) wird ein Dienst bezeichnet, bei dem ein externes Team die Alarme laufend bewertet und darauf reagiert.
Security-Leistungen ansehen