Wie funktioniert EDR?
Auf jedem Gerät läuft ein kleines Programm, der Agent. Er zeichnet auf, welche Programme starten, welche Dateien verändert werden, welche Netzwerkverbindungen entstehen und wer sich anmeldet. Diese Daten werden laufend ausgewertet, auf dem Gerät und in einer zentralen Konsole. Die US-Regierung beschreibt EDR als Kombination aus fortlaufender Überwachung und Erfassung von Gerätedaten mit regelbasierter, automatisierter Reaktion und Analyse.[1]
Typische Auslöser sind Verhaltensmuster: Ein Office-Dokument startet die Kommandozeile, ein unbekanntes Programm verschlüsselt in kurzer Zeit viele Dateien, ein Benutzerkonto meldet sich nachts auf zehn Servern an. EDR kann dann den Prozess beenden, Dateien in Quarantäne verschieben oder das Gerät vom Netz isolieren, während es für die Administration erreichbar bleibt.
Warum Virenschutz allein nicht reicht
Klassischer Virenschutz vergleicht Dateien mit Signaturen bekannter Schadsoftware. Das BSI weist darauf hin, dass Signaturen allein neue Varianten von Schadsoftware oft nicht erkennen, und empfiehlt, die zusätzlichen Schutzmodule moderner Sicherheitslösungen zu nutzen.[2] Angreifer verwenden zudem häufig legitime Werkzeuge des Betriebssystems, die kein Virenscanner als schädlich einstuft. EDR erkennt solche Angriffe am Verhalten.
Antivirus vs. EDR
| Klassischer Virenschutz | EDR | |
|---|---|---|
| Erkennt | bekannte Schadsoftware anhand von Signaturen | verdächtiges Verhalten, auch ohne bekannte Signatur |
| Reaktion | Datei blockieren oder löschen | Prozess stoppen, Gerät isolieren, Änderungen zurücknehmen |
| Nachvollziehbarkeit | Einzelmeldung | vollständiger Ablauf des Angriffs |
| Betreuung | kaum nötig | Meldungen müssen bewertet werden |
Beispiel aus der Praxis
In einer Unternehmensberatung öffnet eine Mitarbeiterin eine scheinbare Rechnung. Das Dokument startet im Hintergrund ein Skript, das weitere Software nachladen will. Der Virenschutz schlägt nicht an, weil das Skript keine bekannte Signatur hat. EDR erkennt das ungewöhnliche Verhalten, beendet den Prozess und isoliert das Notebook vom Netz. Der IT-Dienstleister sieht in der Konsole den kompletten Ablauf, prüft, dass nichts weitergegangen ist, und gibt das Gerät nach der Bereinigung wieder frei.
EDR vs. MDR
EDR ist die Software. MDR (Managed Detection and Response) ist die Dienstleistung, bei der Sicherheitsfachleute die EDR-Meldungen rund um die Uhr auswerten und eingreifen. Für die meisten Mittelständler ohne eigenes Sicherheitsteam ist EDR erst mit dieser Betreuung voll wirksam.
Kurz gesagt
EDR überwacht Endgeräte laufend, erkennt Angriffe am Verhalten und reagiert automatisch. Es schließt die Lücke, die klassischer Virenschutz bei neuen Angriffsvarianten lässt. Wirksam ist EDR, wenn jemand die Meldungen zeitnah bewertet, intern oder über einen MDR-Dienst.
Weiterlesen: EDR versus Antivirus, Ransomware-Schutz für Unternehmen, Cyberangriff auf die Firma verhindern