Wie funktioniert MDR?
Auf allen Geräten läuft eine EDR-Software, die verdächtige Vorgänge meldet. Diese Meldungen landen nicht bei Ihnen, sondern in einem Sicherheitszentrum des Anbieters, einem Security Operations Center (SOC). Dort prüfen Analysten jede relevante Meldung: Fehlalarm oder echter Angriff? Bei einem Angriff greifen sie direkt ein, isolieren betroffene Geräte, sperren kompromittierte Konten und informieren Ihre Ansprechpartner.
Zusätzlich suchen die Analysten aktiv nach Spuren, die noch keine Warnung ausgelöst haben. Diese vorausschauende Suche nach Bedrohungen gilt als Kern moderner Erkennung.[1]
Was MDR typischerweise umfasst
| Leistung | Was dahintersteht |
|---|---|
| Überwachung rund um die Uhr | Meldungen werden auch nachts und am Wochenende bewertet |
| Bewertung und Filterung | Fehlalarme werden aussortiert, Sie hören nur von echten Vorfällen |
| Sofortmaßnahmen | Gerät isolieren, Prozess stoppen, Konto sperren |
| Aktive Suche | Analysten suchen nach Angriffsspuren ohne Warnmeldung |
| Bericht und Empfehlung | was passiert ist und was künftig zu tun ist |
Rechtlicher Rahmen
Das BSI-Gesetz bezeichnet Anbieter, die Unternehmen beim Risikomanagement der Cybersicherheit unterstützen, als Managed Security Service Provider.[2] Unternehmen unter NIS2 müssen Sicherheitsvorfälle bewältigen und erhebliche Vorfälle spätestens 24 Stunden nach Kenntnis erstmals melden.[3][4] Ohne laufende Überwachung ist diese Frist kaum einzuhalten. Da der Anbieter Zugriff auf personenbezogene Daten hat, ist ein Auftragsverarbeitungsvertrag nötig.[5]
Beispiel aus der Praxis
Ein Großhandel mit 60 Arbeitsplätzen nutzt EDR, die Meldungen gehen an einen MDR-Dienst. An einem Samstag um 2 Uhr meldet sich ein Benutzerkonto des Einkaufs von einer unbekannten Adresse an und startet Werkzeuge zur Netzwerkerkundung. Das MDR-Team erkennt den Angriff nach wenigen Minuten, isoliert die betroffenen Rechner, sperrt das Konto und ruft die hinterlegte Notfallnummer an. Am Montag läuft der Betrieb normal; das Passwort war bei einem Phishing-Angriff abgegriffen worden.
MDR vs. EDR
| EDR | MDR | |
|---|---|---|
| Was ist es? | Software auf den Geräten | Dienstleistung mit Sicherheitsteam |
| Wer bewertet die Meldungen? | Ihre IT oder Ihr Dienstleister | Analysten des Anbieters rund um die Uhr |
| Reaktion | automatisch nach Regeln | automatisch plus Eingreifen durch Menschen |
Kurz gesagt
MDR ist die Rundum-Überwachung durch ein externes Sicherheitsteam. Es bewertet Warnmeldungen, sucht aktiv nach Angreifern und greift sofort ein. Für Mittelständler ohne eigenes Sicherheitsteam ist MDR oft der einzige realistische Weg, Angriffe auch außerhalb der Bürozeiten rechtzeitig zu stoppen.
Weiterlesen: EDR versus Antivirus, Top IT-Sicherheitsmaßnahmen für Unternehmen, Managed Services für kleine Firmen