Von EDR zu XDR
EDR (Endpoint Detection and Response) überwacht Endgeräte auf verdächtiges Verhalten und ermöglicht schnelle Reaktion; US-Bundesbehörden wurden 2021 verpflichtet, EDR flächendeckend einzusetzen.[1] Moderne Angriffe beschränken sich aber selten auf ein Gerät: Sie beginnen mit einer Phishing-Mail, übernehmen ein Cloud-Konto und bewegen sich dann ins Netz. XDR betrachtet diese Bereiche gemeinsam.
| EDR | XDR | MDR | |
|---|---|---|---|
| Was | Software für Endgeräte | Plattform über mehrere Bereiche | Dienstleistung |
| Sicht | PCs, Server | Endgeräte, Mail, Cloud, Identitäten, Netz | je nach eingesetzter Technik |
| Wer wertet aus | eigenes Team | eigenes Team | Dienstleister rund um die Uhr |
Wie XDR einen Angriff erkennt
| Schritt im Angriff | Einzelne Meldung | Was XDR daraus macht |
|---|---|---|
| Phishing-Mail mit Link | Mail-Filter: verdächtiger Link geklickt | Vorfall eröffnet |
| Anmeldung aus fremdem Land | Cloud: ungewöhnliche Anmeldung | demselben Vorfall zugeordnet |
| Weiterleitungsregel im Postfach | Cloud: neue Regel | als Teil der Übernahme erkannt |
| Verdächtiger Prozess auf dem PC | EDR: Warnung | Gesamtbild: Kontoübernahme mit Ausbreitung |
| Reaktion | Konto sperren, Regel löschen, PC isolieren |
Wann sich XDR lohnt
- Wenn Microsoft 365 oder andere Cloud-Dienste zentral genutzt werden.
- Wenn EDR bereits im Einsatz ist und Zusammenhänge fehlen.
- Wenn ein Team oder Dienstleister die Meldungen laufend auswertet.
Ohne Auswertung erzeugt auch XDR nur Meldungen. Für den Mittelstand ist XDR deshalb meist als Teil eines MDR-Dienstes sinnvoll.
Beispiel aus der Praxis
Bei einem Ingenieurbüro meldet die XDR-Plattform an einem Sonntag einen zusammenhängenden Vorfall: Ein Mitarbeiter hat am Freitag auf einen Phishing-Link geklickt, Sonntagnacht meldet sich jemand aus dem Ausland an seinem Konto an und richtet eine Weiterleitung ein. Der MDR-Dienstleister sperrt das Konto, löscht die Regel, setzt die Sitzungen zurück und prüft den PC. Am Montag erhält der Mitarbeiter ein neues Passwort und einen phishing-resistenten zweiten Faktor.
Kurz gesagt
XDR verknüpft Meldungen von Endgeräten, E-Mail, Cloud-Konten und Netzwerk, um Angriffe im Zusammenhang zu erkennen und übergreifend zu stoppen. Für den Mittelstand entfaltet XDR seinen Nutzen vor allem mit einem Team, das rund um die Uhr auswertet, also meist als MDR.
Weiterlesen: EDR versus Antivirus, Cyberangriff auf die Firma verhindern