Was ist Endpoint Detection and Response (EDR)?

Laut dem „Kaseya State of the MSP Report 2026“ gaben 71 % der MSPs an, dass ihre Umsätze im Bereich Cybersicherheit im Vergleich zum Vorjahr gestiegen sind, und EDR ist mittlerweile zu der grundlegenden Sicherheitsmaßnahme geworden, die Kunden als Standard erwarten. Die Frage ist nicht mehr, ob Sie EDR benötigen. Die Frage ist vielmehr, ob Ihr derzeitiges EDR-System den Herausforderungen gewachsen ist, denen Endgeräte im Jahr 2026 tatsächlich ausgesetzt sind.

Antivirenprogramme waren jahrzehntelang der Sicherheitsstandard für den Endgeräteschutz. Sie funktionierten gut, als Malware noch weitgehend bekannt, signaturbasiert und über vorhersehbare Übertragungswege verbreitet war. Angesichts der heutigen Bedrohungslage bieten sie jedoch nur noch minimalen Schutz. Moderne Angriffe nutzen dateilose Malware, die vollständig im Arbeitsspeicher ausgeführt wird, „Living-off-the-Land“-Techniken, bei denen legitime Systemtools als Waffen eingesetzt werden, sowie polymorphe Malware, die ihre Signatur bei jeder Ausführung ändert. Keine dieser Methoden hinterlässt die Art von Dateispuren, die eine signaturbasierte Erkennung aufspüren kann.

Endpoint Detection and Response (EDR) wurde entwickelt, um diese Lücke zu schließen. Anstatt Dateien mit einer Datenbank bekannter Bedrohungen abzugleichen, überwacht EDR das Verhalten der Endgeräte kontinuierlich und identifiziert die mit Angriffen verbundenen Aktivitätsmuster – unabhängig davon, ob die jeweilige Technik bereits zuvor beobachtet wurde.

Die wichtigsten Erkenntnisse

• EDR überwacht das Verhalten der Endgeräte kontinuierlich und erkennt Angriffsmuster, unabhängig davon, ob die jeweilige Bedrohung bekannt ist, und behebt damit direkt die Einschränkung signaturbasierter Antivirenprogramme.
• Der Kernwert besteht darin, Bedrohungen zu erkennen, einzudämmen und zu untersuchen: Bedrohungen bereits während ihrer Ausführung zu stoppen, ihre Ausbreitung zu begrenzen und forensische Daten bereitzustellen, um die Geschehnisse vollständig zu verstehen und Abhilfe zu schaffen.
• EDR schützt vor Angriffsarten, die herkömmliche Tools umgehen: dateilose Malware, Zero-Day-Exploits, Ransomware, mehrstufige APT-Kampagnen und Bedrohungen durch Insider.
• Die MITRE ATT&CK-Abdeckung ist der richtige Maßstab für die Bewertung von EDR: Achten Sie darauf, welche Taktiken und Techniken präzise erkannt werden, und nicht nur auf die in Schlagzeilen angepriesenen Erkennungsraten.
• EDR ohne Analyse durch Experten ist unvollständig. MDR bietet die menschliche Komponente, die EDR-Erkennungen in operative Maßnahmen umsetzt, und ist die praktische Lösung für Unternehmen ohne eigenes SOC.
• Für MSPs bietet eine mit RMM und PSA integrierte EDR-Lösung eine einheitliche Übersicht über die Endgeräte, einen automatisierten Workflow von der Warnmeldung bis zum Ticket sowie eine mandantenfähige Verwaltung, die eine skalierbare Sicherheit über alle Kundenumgebungen hinweg ermöglicht.

Entdecken Sie Kaseya EDR

Was ist EDR?

EDR ist eine Endpunkt-Sicherheitstechnologie, die die Aktivitäten an Endpunkten, die Ausführung von Prozessen, Dateiänderungen, Netzwerkverbindungen, Änderungen an der Registrierungsdatenbank sowie Aktionen von Benutzerkonten kontinuierlich überwacht und diese Telemetriedaten nutzt, um Bedrohungen in Echtzeit zu erkennen und darauf zu reagieren.

Der Ansatz „Erkennung und Reaktion“ ist entscheidend. EDR identifiziert nicht nur Bedrohungen, sondern ermöglicht auch die Untersuchung und Reaktion darauf. Wenn eine Bedrohung erkannt wird, liefert EDR forensische Daten, um zu verstehen, was passiert ist, wie weit der Angriff fortgeschritten ist, auf welche Ressourcen zugegriffen wurde und welche Abhilfemaßnahmen erforderlich sind. Außerdem bietet EDR direkte Reaktionsmöglichkeiten: Isolierung des betroffenen Endpunkts vom Netzwerk, Beendigung bösartiger Prozesse, Rückgängigmachen von Änderungen und Verhinderung einer weiteren Ausbreitung.

EDR hat sich in Unternehmensumgebungen zum Standard für die Endpunktsicherheit entwickelt. Es wird zunehmend in Cyber-Versicherungspolicen gefordert, durch Compliance-Rahmenwerke vorgeschrieben und in Sicherheitsbewertungen als grundlegende Kontrollmaßnahme festgelegt. Für MSPs entwickelt sich EDR von einer optionalen Zusatzfunktion zu einer Standardkomponente der Managed-Service-Bereitstellung und wird zunehmend zu einer Voraussetzung dafür, dass Kunden versichert werden können.

So funktioniert EDR

Ein IT-Administrator installiert auf jedem Endgerät einen EDR-Agenten. Sobald der Agent läuft, überwacht er Prozesse, Anwendungen, Netzwerkverbindungen und Dateien und erstellt im Laufe der Zeit ein Referenzprofil für das Verhalten des Geräts. Wenn Aktivitäten von diesem Referenzprofil abweichen, kennzeichnet der Agent diese, überprüft sie auf Anzeichen für Bedrohungen und reagiert je nach Schweregrad entsprechend oder löst einen Alarm aus.

Ein konkretes Beispiel: Wenn der EDR-Agent die Erstellung ungewöhnlicher Unterprozesse im Rahmen einer legitimen Anwendung, eine unerwartete ausgehende Verbindung über einen nicht standardmäßigen Port oder Dateiverschlüsselungsvorgänge in mehreren Verzeichnissen gleichzeitig feststellt, wertet er dieses Verhaltensmuster als Bedrohungssignal aus und ergreift entsprechende Maßnahmen, noch bevor er auf einen Abgleich des Datei-Hashwerts mit einer bekannten Malware-Datenbank wartet.

Wenn mehrere Warnmeldungen ausgelöst werden, führen EDR-Tools eine Triage nach Schweregrad durch, um sicherzustellen, dass die kritischsten Vorfälle zuerst bei den Sicherheitsteams ankommen. Nach der Behebung des Problems rekonstruiert die Forensikabteilung den gesamten zeitlichen Ablauf des Vorfalls: den ursprünglichen Zugangsweg, die laterale Bewegung, die betroffenen Dateien und die abgefragten Anmeldedaten. So werden die Daten zur Grundursache bereitgestellt, die erforderlich sind, um eine Wiederholung zu verhindern.

Wie sich EDR von Antiviren-Software unterscheidet

Der Unterschied liegt in der Erkennungsmethode und dem Umfang.

• Antivirenprogramme vergleichen Dateien mit einer Datenbank bekannter schädlicher Signaturen. Sie sind wirksam gegen bekannte, dateibasierte Malware. Unbekannte Bedrohungen, dateilose Angriffe oder Verhaltensauffälligkeiten, die keinem bekannten Muster entsprechen, können sie jedoch nicht erkennen. Bis eine neue Malware-Variante in die Signaturdatenbank aufgenommen wird, ist sie bereits in Umlauf gebracht worden.
• EDR überwacht das Verhalten auf dem gesamten Endgerät – nicht nur bei Dateien – und nutzt dabei eine Kombination aus regelbasierter Erkennung, maschinellem Lernen und Bedrohungsinformationen, um sowohl bekannte Bedrohungen als auch bisher unbekannte Techniken zu identifizieren.

Ein dateiloser Angriff, bei dem Schadcode in einen legitimen Prozess eingeschleust wird, erzeugt keine Datei, die von einem Antivirenprogramm erkannt werden könnte. Ein EDR-Überwachungsprozess erkennt das ungewöhnliche Kindprozessverhalten, die unerwartete Netzwerkverbindung und den abnormalen Speicherzugriff und löst aufgrund dieses Verhaltens – und nicht aufgrund einer Datei – einen Alarm aus.

In der Praxis hat EDR Antiviren-Software als primäre Schutzebene für Endgeräte abgelöst. Die meisten modernen EDR-Plattformen enthalten die signaturbasierte Erkennung als ergänzende Komponente, sodass Sie sich nicht zwischen beiden entscheiden müssen. Sie ergänzen die Schutzebene durch Verhaltensanalyse, die Antiviren-Software allein nicht bieten kann.

Kernfunktionen von EDR

Kontinuierliche Erfassung von Endpunkt-Telemetriedaten. EDR-Agenten erfassen detaillierte Protokolle zur Prozessausführung, zu Dateioperationen, Netzwerkverbindungen, Änderungen an der Registrierungsdatenbank und Aktionen von Benutzerkonten. Diese Telemetriedaten bilden die Grundlage für jede Erkennung, Untersuchung und Bedrohungssuche.

Erkennung von Bedrohungen anhand des Verhaltens. Erkennungsregeln und Modelle des maschinellen Lernens identifizieren Angriffsmuster im Telemetrie-Datenstrom: laterale Bewegung, Ausweitung von Berechtigungen, Dumping von Anmeldedaten, Verschlüsselungsverhalten von Ransomware sowie Command-and-Control-Kommunikation. Die Erkennung basiert darauf, was der Endpunkt tut, und nicht darauf, welche Dateien vorhanden sind.

Automatisierte Reaktion und Eindämmung. Sobald eine Bedrohung bestätigt ist, kann EDR sofort reagieren: Der betroffene Endpunkt wird vom Netzwerk isoliert, schädliche Prozesse werden beendet, bösartige Verbindungen werden blockiert und Dateien werden unter Quarantäne gestellt. Diese Automatisierung macht EDR zu einem Instrument zur Eindämmung und nicht nur zu einem Erkennungswerkzeug. Die Reaktion erfolgt innerhalb von Sekunden und nicht erst, wenn ein Techniker die Warnmeldung bemerkt.

Untersuchung von Bedrohungen und forensische Analyse. EDR-Telemetriedaten liefern einen vollständigen zeitlichen Überblick über die Ereignisse auf den Endgeräten: Was wurde ausgeführt, was hat es getan, auf welche Dateien hat es zugegriffen, welche Verbindungen hat es hergestellt? Diese Daten sind unerlässlich, um das gesamte Ausmaß des Angriffs zu ermitteln, den ursprünglichen Zugangspunkt zurückzuverfolgen und sicherzustellen, dass alle Komponenten des Angriffs entfernt wurden, bevor das Endgerät wieder in den Produktivbetrieb zurückgeführt wird.

Threat Hunting. Neben der automatisierten Erkennung unterstützt EDR auch proaktives Threat Hunting, bei dem die Endpunkt-Telemetriedaten nach Anzeichen für Kompromittierungen durchsucht werden, die automatisierte Regeln möglicherweise übersehen haben. Threat Hunting erfordert die Einbindung menschlicher Analysten, weshalb EDR in Unternehmen ohne internes Sicherheitspersonal häufig mit MDR-Diensten kombiniert wird.

Berichterstellung und Nachweise zur Einhaltung von Vorschriften. EDR erstellt detaillierte Berichte zu erkannten Bedrohungen, Gegenmaßnahmen und dem Sicherheitsstatus der Endgeräte. Für Unternehmen, die den Anforderungen von PCI DSS, HIPAA, Cyber Essentials oder CMMC unterliegen, liefern diese Berichte die von Auditoren geforderten Nachweise.

Vor welchen Bedrohungen schützt EDR?

Ransomware. Die verhaltensbasierte Erkennung von EDR deckt Ransomware bereits in der Ausführungsphase auf und identifiziert die massenhafte Verschlüsselung von Dateien, das Löschen von Schattenkopien sowie Command-and-Control-Aktivitäten, noch bevor die Verschlüsselung abgeschlossen ist. Durch die automatisierte Isolierung der Endgeräte wird der Schadensumfang auf ein einzelnes Gerät begrenzt, anstatt eine laterale Ausbreitung zuzulassen.

Dateilose Malware. Angriffe, die mithilfe von PowerShell, WMI oder anderen legitimen Systemtools vollständig im Arbeitsspeicher ausgeführt werden, hinterlassen keine Dateien, die von Antivirenprogrammen erkannt werden könnten. Die Prozessverhaltensüberwachung von EDR erkennt die anomalen Ausführungsmuster unabhängig davon, ob auf der Festplatte eine schädliche Datei vorhanden ist.

Zero-Day-Exploits. Da EDR nicht anhand bekannter Signaturen, sondern anhand des Verhaltens erkennt, kann es Angriffsversuche auf ungepatchte Schwachstellen identifizieren. Das ungewöhnliche Prozessverhalten, das auf einen erfolgreichen Exploit folgt, ist selbst dann erkennbar, wenn der Exploit selbst völlig neu ist.

Mehrstufige Angriffe und APTs. Advanced Persistent Threats (APTs) erstrecken sich über Wochen oder Monate: Erstzugang, unbemerkte laterale Bewegung, Ausweitung von Berechtigungen, Datensammlung und schließlich Datenexfiltration. Dank der kontinuierlichen Telemetrie von EDR-Lösungen hinterlässt jede Phase eine Spur, und die Verhaltenserkennung kann zu jedem Zeitpunkt einen Angriff aufdecken, der bereits seit einiger Zeit unbemerkt abläuft.

Interne Bedrohungen. Böswillige Insider oder kompromittierte Konten, die legitimen Zugriff missbrauchen, lassen sich mit Perimeter-Tools nur schwer aufspüren. Der grundlegende Ansatz von EDR sieht vor, dass ungewöhnliche Datenzugriffsmuster, unerwartete Berechtigungsnutzung oder abnormale Dateioperationen durch ein bekanntes Konto als Anomalien gekennzeichnet und nicht als legitime Aktivitäten akzeptiert werden.

Durch Phishing übermittelte Schadcode-Ladungen. Phishing ist nach wie vor der häufigste Vektor für den Erstzugang. EDR stoppt die Phishing-E-Mail selbst nicht – das ist die Aufgabe von E-Mail-Sicherheitstools –, aber wenn eine durch Phishing übermittelte Schadcode-Ladung auf dem Endgerät ausgeführt wird, erkennt EDR das Verhalten und schränkt es ein, bevor es sich dauerhaft etablieren oder eine laterale Bewegung einleiten kann.

EDR und das MITRE ATT&CK-Framework

Das MITRE ATT&CK-Framework ist die branchenweit anerkannte Wissensdatenbank zu Taktiken, Techniken und Vorgehensweisen von Angreifern, die bei realen Angriffen beobachtet wurden. Es dient als Referenzrahmen für die Beschreibung von Angriffsverhalten, die Bewertung der Abdeckung durch Sicherheitstools und die Entwicklung von Erkennungslogik.

Beim Vergleich von EDR-Plattformen ist die Abdeckung des ATT&CK-Rahmenwerks ein aussagekräftigerer Maßstab als die in Schlagzeilen angepriesenen Erkennungsraten. Zwei Fragen sind dabei entscheidend: Welche Techniken erkennt die Plattform zuverlässig, und wie genau erkennt sie diese, ohne übermäßig viele Fehlalarme auszulösen?

Konzentrieren Sie sich auf die Taktiken, die für Ihr Bedrohungsmodell am relevantesten sind. Für die meisten von MSPs verwalteten Umgebungen sind die Bereiche mit hoher Priorität der Erstzugang, die Ausführung, die Persistenz, die Ausweitung von Berechtigungen, der Zugriff auf Anmeldedaten, die laterale Bewegung sowie die Auswirkungen, wozu auch Ransomware gehört. Ein EDR-System, das diese sieben Taktiken präzise abdeckt, bietet einen wesentlich stärkeren Schutz als eines, das lediglich bekannte Malware-Varianten erkennt und es dabei belässt.

EDR vs. MDR: Wenn Sie mehr als nur ein Tool benötigen

EDR ist eine leistungsstarke Technologie zur Erkennung und Reaktion. Es handelt sich dabei nicht um einen vollständig verwalteten Sicherheitsdienst. Erkennungen, die nicht untersucht und auf die nicht reagiert wird, bieten keinen Schutz, und die genaue Untersuchung von EDR-Warnmeldungen erfordert Sicherheitsfachwissen, über das die meisten IT-Teams und MSPs nicht rund um die Uhr verfügen.

MDR (Managed Detection and Response) schließt diese Lücke, indem es zusätzlich zur EDR-Plattform eine Ebene mit menschlichen Analysten bereitstellt: Sicherheitsanalysten, die Telemetriedaten überwachen, Warnmeldungen untersuchen, Fehlalarme aussortieren und auf bestätigte Bedrohungen reagieren – in der Regel rund um die Uhr.

Für Unternehmen ohne eigene Sicherheitsabteilung – was auf die meisten KMU und einen erheblichen Teil der mittelständischen Unternehmen zutrifft – sorgt MDR dafür, dass EDR operativ effektiv eingesetzt werden kann. Die Technologie erkennt Bedrohungen. Der MDR-Dienst ermittelt, was echt ist, entscheidet über die geeignete Reaktion und ergreift Maßnahmen.

Datto EDR bietet umfassende Endpunkt-Erkennung und -Reaktion, einschließlich automatisierter Eindämmungsmaßnahmen und vollständiger forensischer Untersuchungsfunktionen. Für Unternehmen, die eine vollständig verwaltete Ebene benötigen, bietet der in „ Kaseya 365 “ Endpoint Pro enthaltene MDR-Dienst von Kaseya zusätzlich zur EDR-Plattform rund um die Uhr verfügbare Sicherheitsanalysten mit Sitz in den USA. Entdecken Sie Datto EDR oder informieren Sie sich über „ Kaseya 365 “ Endpoint, um die gesamte Plattform kennenzulernen.

Auswahl und Bereitstellung von EDR

• Erfassungsgrad in Bezug auf MITRE ATT&CK. Welche Techniken werden abgedeckt und wie genau? Eine breite Abdeckung mit hohen Falsch-Positiv-Raten ist weniger nützlich als eine präzise Abdeckung der Techniken, die für Ihr Bedrohungsmodell von Bedeutung sind.
• Falsch-Positiv-Rate. Alarmmüdigkeit ist ein echtes operatives Problem. Ein EDR, das ständig Warnmeldungen ausgibt, führt dazu, dass Analysten diese ignorieren – und genau so werden echte Bedrohungen übersehen. Die Genauigkeit ist genauso wichtig wie die Sensitivität.
• Umfang der automatisierten Reaktion. Kann die Plattform Endgeräte automatisch isolieren, Prozesse beenden und Dateien unter Quarantäne stellen, ohne dass jede einzelne Maßnahme von einem Mitarbeiter genehmigt werden muss? Die Geschwindigkeit der automatisierten Reaktion entscheidet darüber, ob Ransomware auf ein Gerät beschränkt bleibt oder sich weiter ausbreitet. Für MSPs, die mehrere Kundenumgebungen verwalten, ist Automatisierung der einzige Weg, um mit der Geschwindigkeit zu reagieren, die Bedrohungen erfordern.
• Tools für die forensische Untersuchung. Wie einfach lässt sich ein erkannter Vorfall untersuchen? Können Sie eine vollständige Zeitleiste des Vorfalls erstellen, von einem Prozess zu allen davon betroffenen Dateien navigieren oder die Telemetriedaten aller verwalteten Endpunkte nach einem bestimmten Indikator für eine Kompromittierung durchsuchen?
• RMM- und PSA-Integration. Für MSPs bietet eine EDR-Lösung, die sich in das RMM-System integrieren lässt, einen einheitlichen Überblick über den Zustand der Endgeräte, den Sicherheitsstatus und aktive Bedrohungen über eine einzige Verwaltungskonsole. Die Automatisierung vom Alarm bis zum Ticket durch die PSA-Integration sorgt dafür, dass erkannte Vorfälle in den Service-Delivery-Workflow einfließen, anstatt in einem separaten Sicherheitsportal zu verbleiben.
• Mandantenfähigkeit und Kundentrennung. Für MSPs, die mehrere Kundenumgebungen verwalten, ist die Möglichkeit, alle Kunden von einer einzigen Plattform aus zu überblicken und zu verwalten – bei vollständiger Datentrennung zwischen den einzelnen Kunden – eine unverzichtbare betriebliche Anforderung.