Glossar · IT-Sicherheit & Backup
Was ist EDR?
Kurz erklärt
EDR (Endpoint Detection and Response) ist eine Sicherheitslösung für PCs, Notebooks und Server, die verdächtiges Verhalten laufend überwacht, Angriffe erkennt und automatisch stoppen kann – auch solche, die ein klassischer Virenscanner übersieht.
EDR steht für Endpoint Detection and Response, also Erkennung und Reaktion auf Endgeräten wie PCs, Notebooks und Servern. Eine solche Lösung beobachtet laufend, was auf den Geräten passiert, erkennt verdächtiges Verhalten und kann Angriffe automatisch stoppen. Damit schließt sie Lücken, die ein klassischer Virenscanner offenlässt.
Wie funktioniert EDR?
Auf jedem Gerät läuft ein kleines Programm, ein sogenannter Agent. Er sammelt fortlaufend Informationen über Prozesse, Netzwerkverbindungen, Anmeldungen und Dateizugriffe. Diese Daten werden meist in der Cloud ausgewertet und mit bekannten Angriffsmustern verglichen.
Fällt etwas auf, erzeugt das System eine Warnung und fasst zusammengehörige Meldungen zu einem Vorfall zusammen. Je nach Einstellung reagiert es sofort selbst. Typische Reaktionen sind ein Virenscan, das Beenden eines Prozesses oder das Isolieren des Geräts vom Netzwerk.
Weil der Verlauf gespeichert wird, lässt sich später nachvollziehen, wie ein Angreifer vorgegangen ist. Das hilft bei der Aufarbeitung und beim Schließen der Lücke.
Ein Beispiel: Auf dem Notebook einer Buchhalterin startet ein Office-Dokument plötzlich ein Skript, das Passwörter auslesen will. Der Agent erkennt das ungewöhnliche Verhalten, stoppt den Prozess und trennt das Gerät vom Firmennetz. Die IT erhält eine Meldung mit allen Details und kann das Notebook gezielt bereinigen.
EDR oder klassischer Virenschutz?
| Merkmal | Klassischer Virenschutz | EDR |
|---|---|---|
| Erkennung | bekannte Schadsoftware anhand von Signaturen | verdächtiges Verhalten, auch unbekannte Angriffe |
| Reaktion | Datei löschen oder in Quarantäne | Prozess stoppen, Gerät isolieren |
| Nachvollziehbarkeit | kaum | Angriffsverlauf sichtbar |
Das BSI nennt in seinen Empfehlungen zur Erkennung von Ransomware unter anderem folgende Warnzeichen, die eine EDR-Lösung überwachen kann:
- ungewöhnliche Nutzung von Kommandozeilen wie PowerShell
- Versuche, Anmeldedaten auszulesen
- auffällige Zugriffe auf viele Dateien in kurzer Zeit
- das Löschen von Backups
- Manipulationen an der Sicherheitssoftware selbst
Verwandte Begriffe: XDR verknüpft zusätzlich E-Mail, Identitäten und Cloud-Dienste. Bei MDR (Managed Detection and Response) überwacht ein Dienstleister die Meldungen und reagiert.
So läuft die Einführung ab
Die Technik ist meist schnell verteilt, die eigentliche Arbeit liegt in Planung und Feinschliff. Ein bewährter Ablauf sieht so aus:
- Bestand erfassen: Welche PCs, Notebooks und Server gibt es, und welche Betriebssysteme laufen darauf?
- Agenten verteilen, am besten zentral über die Geräteverwaltung statt von Hand an jedem Gerät.
- Lernphase: In den ersten Wochen zeigt sich, welche Warnungen harmlos sind, etwa durch eigene Skripte oder Fachsoftware.
- Automatik schärfen: Festlegen, welche Reaktionen das System selbst auslösen darf und wann ein Mensch entscheidet.
- Zuständigkeiten klären: Wer wird bei einem Alarm benachrichtigt, und was passiert außerhalb der Arbeitszeit?
Denken Sie auch an Geräte, die selten im Büro sind, etwa Notebooks im Außendienst. Gerade sie sind oft in fremden Netzen unterwegs und brauchen denselben Schutz.
Was bedeutet EDR für Ihr Unternehmen?
Angreifer nutzen heute oft legitime Werkzeuge, die ein Virenscanner nicht als schädlich erkennt. EDR bemerkt solche Muster früher und kann ein befallenes Notebook vom Netz trennen, bevor sich der Angriff ausbreitet. Für eine Arztpraxis oder einen Onlinehändler kann das den Unterschied zwischen einem kurzen Vorfall und tagelangem Stillstand machen.
In Microsoft 365 Business Premium ist mit Defender for Business bereits eine EDR-Lösung für Unternehmen bis 300 Nutzer enthalten. Kosten entstehen also teils nur für Einrichtung und Betreuung. Andere Hersteller rechnen meist pro Gerät und Monat ab.
Auch außerhalb der eigenen IT spielt das Thema eine Rolle. Kunden, Versicherer oder Auditoren fragen zunehmend nach, wie Angriffe auf Endgeräte erkannt werden. Mit einer eingerichteten und betreuten Lösung können Sie diese Frage belegbar beantworten.
Der häufigste Fehler: Die Lösung wird installiert, aber niemand schaut auf die Warnungen. Klären Sie deshalb vorab, wer Meldungen bewertet, auch nachts und am Wochenende. Viele KMU kombinieren EDR daher mit Managed Services und einem zentralen IT-Monitoring.
Einrichtung und Betreuung übernehmen wir im Rahmen unserer Leistung IT-Sicherheit für KMU.
Häufige Fragen
Bremst EDR die Rechner aus?
Moderne Lösungen werten viel in der Cloud aus und sind im Alltag kaum spürbar. Bei sehr alten Geräten lohnt vorab ein Test.
Wer kümmert sich um die Alarme von EDR?
Das ist die entscheidende Frage. Ohne jemanden, der Meldungen bewertet und reagiert, verpufft der Nutzen. Deshalb übergeben viele KMU diese Aufgabe an einen Dienstleister.
Ersetzt EDR den Virenschutz?
Meist arbeiten beide zusammen: Der Virenschutz blockt bekannte Schadsoftware, EDR erkennt auffälliges Verhalten. Viele Produkte liefern beides in einem Paket.
Stand: · Verantwortlich: Raphael Neuberger, Gründer Newmountains.IT
Aus der Praxis
Passende Lösungen zum Thema EDR (Endpoint Detection and Response)
Leistung
IT-Sicherheit für KMU — Angriffe stoppen, bevor sie im Postfach landen
IT-Sicherheit für KMU: E-Mail-Schutz für Microsoft 365, Backup für Postfach & Teams, Endpoint-Schutz und Phishing-Training. Einrichtung ab 990 € netto.
Zur Leistung →Im Shop
Managed-Security-Care
Managed Security (SIEM): Log-Monitoring, Alerting, Schwachstellen-Scans, Incident-Unterstützung. Ab 149 €/Monat netto.
ab 149,00 € / Monat
Zum Produkt →Reden wir über Ihre IT.
In 30 Minuten ordnen wir Ihre Situation ein und zeigen, wo Cloud, KI und Automatisierung bei Ihnen wirklich etwas bringen — und wo nicht. Kostenlos, unverbindlich, ohne Verkaufsdruck.
oder direkt anrufen: 0871 20 655 600 · Mo–Fr 9–17 Uhr
