Was ist Bedrohungserkennung und -reaktion (TDR)?

Jede Minute, die ein Angreifer unentdeckt in Ihrem Netzwerk verbringt, ist eine Minute, die er nutzen kann, um sich seitlich zu bewegen, Daten zu entwenden oder Ransomware zu installieren. Die durchschnittliche Verweildauer eines Angreifers bis zur Entdeckung beträgt in vielen Umgebungen immer noch mehrere Wochen, und bis die meisten Unternehmen bemerken, dass etwas nicht stimmt, ist bereits erheblicher Schaden entstanden. Threat Detection and Response (TDR) wurde entwickelt, um dieses Zeitfenster zu schließen.

TDR bezeichnet die kontinuierliche Überwachung einer IT-Umgebung zur Erkennung böswilliger Aktivitäten und die anschließende schnelle Reaktion auf diese Erkenntnisse, um schwerwiegende Schäden zu verhindern. Es geht über Perimeter-Abwehrmaßnahmen wie Firewalls und Antivirensoftware hinaus – Tools, die bekannte Bedrohungen am Eingang abfangen, aber nie dafür konzipiert wurden, Angreifer aufzuspüren, die sich bereits im System befinden. Die Sicherheitsprodukte von Kaseya, darunter Datto EDR und Kaseya MDR, sind direkt auf diese Herausforderung zugeschnitten und bieten MSPs und IT-Teams die Erkennungsgenauigkeit und Reaktionsfähigkeit, die moderne Bedrohungen erfordern.

Dieser Leitfaden erläutert, wie TDR funktioniert, welche Tools und Prozesse dabei zum Einsatz kommen und wie Unternehmen jeder Größe zuverlässige Erkennungs- und Reaktionskapazitäten aufbauen oder erwerben können.

Definition von „Threat Detection and Response“ (TDR)

TDR vereint zwei unterschiedliche Sicherheitsbereiche, die am effektivsten sind, wenn sie als einheitliches Programm betrachtet werden.

Was ist Bedrohungserkennung?

Unter Bedrohungserkennung versteht man die kontinuierliche Überwachung einer IT-Umgebung, um Anzeichen böswilliger Aktivitäten zu erkennen. Dazu gehören sowohl bekannte Angriffsmuster, die Sicherheitswerkzeuge bereits zuvor erkannt haben, als auch neuartige Verhaltensweisen, die vom Normalzustand einer bestimmten Umgebung abweichen. Die Erkennung stützt sich gleichzeitig auf Daten von Endgeräten, Netzwerken, Identitätssystemen, Cloud-Diensten und Anwendungen, da ein Angreifer seine Aktivitäten selten auf eine einzige Angriffsfläche beschränkt.

Bei einer effektiven Erkennung geht es nicht nur darum, Warnmeldungen zu generieren. Es geht darum, präzise und umsetzbare Warnmeldungen zu generieren, die genügend Kontext bieten, um eine echte Bedrohung von Routinemeldungen zu unterscheiden. Die „Alarm-Müdigkeit“ (zu viele Fehlalarme) ist einer der häufigsten Gründe, warum TDR-Programme in der Praxis scheitern.

Was ist „Threat Response“?

Die Reaktion auf Bedrohungen umfasst die Maßnahmen, die nach der Erkennung und Bestätigung einer Bedrohung ergriffen werden. Sie deckt den gesamten Ablauf ab, von der ersten Eindämmung über die Untersuchung und Beseitigung bis hin zur Wiederherstellung. Eine gut konzipierte Reaktionsfunktion agiert schnell, um den Schaden zu begrenzen, systematisch, um sicherzustellen, dass kein Teil der Bedrohung übersehen wird, und einheitlich, damit jedes Mal die gleichen Schritte durchgeführt werden, unabhängig davon, welcher Analyst gerade im Dienst ist.

Die Reaktion kann automatisiert, von Menschen gesteuert oder beides sein. Moderne TDR-Programme nutzen Automatisierung, um in der ersten Eindämmungsphase schnell voranzukommen, und menschliches Fachwissen für die anschließenden, entscheidungsintensiven Ermittlungs- und Behebungsmaßnahmen.

Warum TDR wichtig ist

Herkömmliche Sicherheitswerkzeuge sind darauf ausgelegt, Bedrohungen an der Grenze abzuwehren. Sie funktionieren gut bei bekannten Malware-Signaturen und offensichtlichen Angriffsmustern. Was sie jedoch nicht leisten, ist, Angreifer aufzuspüren, die bereits ins System eingedrungen sind – sei es durch eine Phishing-E-Mail, gestohlene Zugangsdaten oder eine nicht gepatchte Sicherheitslücke.

Sobald ein Angreifer die Sicherheitsperimeter überwunden hat, ist Zeit der einzige Faktor, der den Unterschied zwischen einem eingedämmten Vorfall und einer katastrophalen Sicherheitsverletzung ausmacht. Der IBM-Bericht „Cost of a Data Breach Report 2024“ beziffert die durchschnittlichen Kosten einer Sicherheitsverletzung auf 4,88 Millionen US-Dollar, wobei Unternehmen, die Sicherheitsverletzungen schneller erkannten, durchweg geringere Kosten verzeichneten. Die Rechnung ist klar: Eine schnellere Erkennung bedeutet weniger Schaden.

Für KMU und die MSPs, die sie betreuen, steht genauso viel auf dem Spiel wie für Großunternehmen, doch stehen ihnen weitaus weniger Ressourcen zur Verfügung, um darauf zu reagieren. Ein Unternehmen mit einem dreiköpfigen IT-Team kann kein rund um die Uhr besetztes Security Operations Center betreiben. Genau diese Lücke sollen Managed TDR-Services schließen, und deshalb ist das Verständnis von TDR für ein Unternehmen mit 100 Mitarbeitern genauso wichtig wie für eines mit 10.000 Mitarbeitern.

So funktioniert die Erkennung von Bedrohungen

Die Erkennung stützt sich auf mehrere sich ergänzende Methoden, von denen jede darauf ausgelegt ist, eine andere Art von Bedrohung zu erkennen. Keine einzelne Technik deckt alle Bereiche ab, weshalb ausgereifte TDR-Programme mehrere Ansätze miteinander kombinieren.

Signaturbasierte Erkennung

Die signaturbasierte Erkennung funktioniert, indem Aktivitäten in einer Umgebung mit einer Datenbank bekannter schädlicher Indikatoren abgeglichen werden: Dateihashes, die mit Malware in Verbindung stehen, IP-Adressen, die mit Command-and-Control-Infrastrukturen verknüpft sind, URL-Muster, die in Phishing-Kampagnen verwendet werden, und ähnliche Artefakte. Wird eine Übereinstimmung gefunden, wird ein Alarm ausgelöst.

Die Signaturerkennung ist schnell, zuverlässig und erzeugt bei den ihr bekannten Bedrohungen nur sehr wenige Fehlalarme. Ihre grundlegende Einschränkung besteht darin, dass sie nichts erkennen kann, was sie noch nie zuvor gesehen hat. Eine völlig neue Malware-Variante oder ein Angreifer, der ausschließlich mit legitimen Systemtools arbeitet, wird mit keiner Signatur übereinstimmen.

Verhaltenserkennung

Anstatt nach bestimmten, als schädlich bekannten Artefakten zu suchen, erstellt die verhaltensbasierte Erkennung eine Basislinie dafür, wie sich normales Verhalten in einer Umgebung darstellt, und kennzeichnet Abweichungen davon. Ein Benutzerkonto, das plötzlich in rascher Folge auf Hunderte von Dateien zugreift, passt vielleicht auf keine Malware-Signatur, doch das Muster entspricht der Vorbereitung einer Ransomware-Attacke. Eine Workstation, die um 2 Uhr morgens ausgehende Verbindungen zu einem unbekannten externen Host herstellt, rechtfertigt eine Untersuchung, auch wenn keine Signaturübereinstimmung vorliegt.

Der Nachteil ist ein höheres Rauschpegel: Um wirklich anomales Verhalten von legitimen, aber ungewöhnlichen Aktivitäten zu unterscheiden, sind Feinabstimmungen und oft auch das Urteilsvermögen der Analysten erforderlich.

Heuristische und KI-gestützte Erkennung

Die heuristische Erkennung schließt die Lücke zwischen Signaturerkennung und Verhaltensanalyse. Anstatt eine exakte Übereinstimmung oder eine Abweichung von der Basislinie zu erfordern, bewertet sie Dateien, Prozesse und Aktivitäten anhand einer Reihe verdächtiger Merkmale. Eine Datei, die zwar keiner bekannten Malware-Signatur entspricht, aber mehrere Merkmale aufweist, die für schädliche ausführbare Dateien typisch sind – wie beispielsweise verschleierter Code oder Versuche, Sicherheitstools zu deaktivieren –, erhält eine ausreichend hohe Bewertung, um einen Alarm auszulösen.

Die KI-gestützte Erkennung geht noch einen Schritt weiter, indem sie Modelle des maschinellen Lernens einsetzt, um subtile Muster zu erkennen, die regelbasierte Heuristiken übersehen würden. Dabei werden Signale mit geringer Zuverlässigkeit aus verschiedenen Datenquellen miteinander verknüpft, um Bedrohungen aufzudecken, die kein einzelnes Signal für sich genommen erkannt hätte.

Bedrohungsinformationen und Indikatoren für Kompromittierung (IOCs)

Threat-Intelligence-Feeds liefern Echtzeit-Informationen zur aktuellen Bedrohungslage: aktive Kampagnen, bekannte Angreiferinfrastrukturen und Indikatoren für Kompromittierung (IOCs) wie bösartige IP-Adressen, Domains und Datei-Hashes. Durch die Einbindung dieser externen Informationen können TDR-Tools Erkennungsentscheidungen auf der Grundlage eines umfassenderen Kontextes treffen, als es eine einzelne Umgebung aus eigener Kraft könnte.

Eine ausgehende Verbindung, die wie gewöhnlicher Datenverkehr aussieht, lässt sich sofort weiterverfolgen, sobald sie mit einer Infrastruktur in Verbindung gebracht wird, die einer bekannten Ransomware-Gruppe zugeordnet ist. Threat Intelligence unterstützt zudem die proaktive Optimierung: Das Wissen darüber, welche Techniken ein bestimmter Angreifer bevorzugt – abgebildet auf das MITRE ATT&CK-Framework –, hilft Sicherheitsteams dabei, Erkennungsregeln zu konfigurieren, bevor diese Muster in einem tatsächlichen Vorfall auftreten.

So funktioniert die Reaktion auf Bedrohungen

Eine Erkennung ohne Reaktion ist lediglich ein Alarm, auf den niemand reagiert. Erst die Reaktionskomponente von TDR sorgt dafür, dass aus einer erkannten Bedrohung ein eingedämmter und gelöster Vorfall wird und nicht etwa eine Datenpanne.

Eindämmung, Ausrottung und Erholung

Wird ein Befund bestätigt, hat die Eindämmung oberste Priorität: Es gilt zu verhindern, dass sich die Bedrohung ausbreitet oder weiteren Schaden anrichtet, während die Untersuchung läuft. Zu den gängigen Eindämmungsmaßnahmen gehören die Isolierung eines infizierten Endgeräts vom Netzwerk, die Sperrung einer verdächtigen IP-Adresse oder Domain, die Deaktivierung eines kompromittierten Benutzerkontos oder die Quarantäne einer schädlichen Datei.

Auf die Eindämmung folgt die Beseitigung. Sobald das gesamte Ausmaß des Vorfalls bekannt ist, beseitigt das Sicherheitsteam die Bedrohung vollständig aus der Umgebung: Dabei werden schädliche Dateien gelöscht, die ausgenutzte Sicherheitslücke geschlossen und alle Mechanismen zur Aufrechterhaltung der Angreiferpräsenz entfernt. Im Rahmen der Wiederherstellung werden die betroffenen Systeme dann in einem bekanntermaßen fehlerfreien Zustand wieder in Betrieb genommen, sei es durch die Wiederherstellung von Backups oder durch die Neuinstallation der Endgeräte.

Automatisierte Reaktion vs. von Menschen gesteuerte Reaktion

Viele TDR-Plattformen können bei einer Erkennung mit hoher Zuverlässigkeit automatisch Eindämmungsmaßnahmen ausführen: die Isolierung eines Endgeräts, die Beendigung einer aktiven Sitzung oder die Sperrung einer Netzwerkverbindung innerhalb von Sekunden. Eine automatisierte Reaktion ist entscheidend, um sich schnell ausbreitende Bedrohungen wie Ransomware einzudämmen, bei denen das Zeitfenster zwischen der ersten Ausführung und weitreichenden Schäden nur wenige Minuten beträgt.

Bei Entscheidungen mit hohen Risiken spielt menschliches Urteilsvermögen nach wie vor eine wichtige Rolle: die umfassende Erfassung des Vorfalls, die Kommunikation mit den Beteiligten und die Festlegung der Maßnahmen zur Wiederherstellung. Die besten TDR-Programme verbinden automatisierte Schnelligkeit mit dem Fachwissen von Analysten, wobei die Automatisierung Zeit spart und Menschen die Untersuchung leiten.

Häufige Bedrohungen, denen sich TDR widmet

TDR-Programme dienen dazu, Bedrohungen zu erkennen, die von präventiven Kontrollmaßnahmen übersehen werden. Zu den gängigsten zählen:

Ransomware ist die Bedrohung, die den größten operativen Schaden für die meisten Unternehmen verursacht. TDR-Tools erkennen ransomware-spezifische Verhaltensmuster (massenhafte Dateiverschlüsselung, Löschen von Schattenkopien, ungewöhnliche ausgehende Datenübertragungen) und können schnell genug automatisierte Isolierungsmaßnahmen auslösen, um den Schaden zu begrenzen.

Bei Advanced Persistent Threats (APTs) bewegen sich Angreifer langsam und bedächtig durch eine Umgebung, um keine offensichtlichen Warnmeldungen auszulösen. Verhaltensbasierte Erkennung und Threat Hunting sind die wichtigsten Instrumente, um APT-Aktivitäten aufzudecken, die sich über Tage oder Wochen erstrecken können, ohne dass sie mit einer bekannten Signatur übereinstimmen.

Zu den internen Bedrohungen zählen sowohl böswillige Handlungen von Mitarbeitern oder Auftragnehmern als auch unbeabsichtigte Sicherheitslücken, die durch mangelnde Sicherheitsvorkehrungen verursacht werden. Von besonderer Bedeutung sind hierbei Verhaltensanalysen, die ungewöhnliche Datenzugriffsmuster, Anmeldungen außerhalb der üblichen Arbeitszeiten oder das Herunterladen großer Dateimengen aufzeigen.

Bei Anmelde-basierten Angriffen werden gestohlene oder durch Brute-Force-Angriffe ermittelte Anmeldedaten verwendet, um sich als legitimer Benutzer auszugeben. TDR erkennt diese Angriffe anhand von Verhaltensabweichungen: Anmeldungen von ungewöhnlichen Standorten, Zugriff auf Ressourcen, auf die der Benutzer normalerweise nicht zugreift, oder Authentifizierungsmuster, die nicht mit dem bisherigen Verhalten des Benutzers übereinstimmen.

Dateilose Malware und „Living-off-the-Land“-Techniken nutzen legitime Systemtools wie PowerShell, WMI und geplante Aufgaben aus, um böswillige Aktivitäten auszuführen, ohne eine herkömmliche ausführbare Datei zu hinterlassen. Eine auf Verhaltensmustern und Telemetriedaten basierende Erkennung ist die einzige zuverlässige Methode, um diese zu erkennen.

Der TDR-Lebenszyklus

TDR ist ein kontinuierlicher Kreislauf und kein einmaliges Ereignis. Der Zyklus durchläuft fünf Phasen, die sich so lange wiederholen, wie die Umgebung läuft:

1. Überwachung: Sicherheitstools erfassen kontinuierlich Telemetriedaten von Endgeräten, Netzwerken, Cloud-Umgebungen, Identitätssystemen und Anwendungen. Lücken in der Überwachung führen zu Lücken bei der Erkennung.
2. Erkennung: Analyse-Engines, Korrelationsregeln und Bedrohungsinformationen werden auf die gesammelten Telemetriedaten angewendet, um verdächtige Aktivitäten aufzudecken. Eine gute Erkennungslogik filtert Störsignale heraus und hebt gleichzeitig tatsächlich anomale Ereignisse hervor.
3. Untersuchen: Eine erkannte Warnmeldung ist nicht automatisch eine bestätigte Bedrohung. Die Analysten prüfen sie im Kontext: Was geschah sonst noch auf diesem Endgerät, was hat das Benutzerkonto in den vorangegangenen Stunden getan, stimmt dieses Verhalten mit bekannten Angriffsmustern überein?
4. Reaktion: Bestätigte Bedrohungen lösen Maßnahmen zur Eindämmung und Beseitigung aus. Ein dokumentiertes Reaktionshandbuch legt fest, wie schnell und einheitlich das Team unter Druck handelt.
5. Erfahren Sie: Nach der Behebung des Vorfalls wird im Rahmen einer Nachbesprechung erfasst, was passiert ist, was gut funktioniert hat und was verbessert werden muss. Die gewonnenen Erkenntnisse fließen in die Erkennungsregeln ein, wodurch sich das Programm im Laufe der Zeit messbar verbessert.

Tools, Lösungen und Dienstleistungen zur Erkennung und Bekämpfung von Bedrohungen

TDR ist kein einzelnes Produkt, sondern ein Ergebnis, das durch die Kombination von Werkzeugen, Prozessen und Menschen erzielt wird. Mehrere Technologiebereiche tragen zu diesem Ergebnis bei:

• Bei der Endpoint Detection and Response (EDR) werden Agenten auf einzelnen Geräten installiert, um Prozessaktivitäten, Dateiänderungen, Netzwerkverbindungen und andere Telemetriedaten auf Endpunkt-Ebene kontinuierlich zu überwachen. EDR bildet in der Regel die Grundlage eines TDR-Stacks. Erfahren Sie mehr in unserem Leitfaden zur Endpoint Detection and Response.
• Das Security Information and Event Management (SIEM) sammelt Protokoll- und Ereignisdaten aus der gesamten Umgebung und wendet Korrelationsregeln an, um systemübergreifende Bedrohungen aufzudecken. Während EDR einzelne Endpunkte erfasst, bietet SIEM umgebungsübergreifende Transparenz. Lesen Sie mehr dazu in unserer Einführung zu SIEM.
• Managed Detection and Response (MDR) ergänzt das System um eine menschliche Komponente: ein Team von Sicherheitsanalysten, das Ihre Umgebung rund um die Uhr überwacht, erkannte Vorfälle untersucht und in Ihrem Namen Gegenmaßnahmen ergreift. Für Unternehmen ohne eigenes SOC ist MDR der praktischste Weg zu einer TDR-Abdeckung rund um die Uhr. Lesen Sie unseren MDR-Leitfaden.
• Network Detection and Response (NDR) überwacht Datenverkehrsmuster und -ströme auf der Netzwerkebene. NDR ist besonders effektiv bei der Erkennung von lateraler Bewegung und Datenexfiltration, die mit Endpunkt- oder protokollbasierten Tools allein möglicherweise nicht aufgedeckt werden.
• Extended Detection and Response (XDR) vereint Telemetriedaten von Endgeräten, Netzwerk, Identitätsmanagement, Cloud und E-Mail in einer einzigen Erkennungs- und Reaktionsplattform und reduziert so die durch isolierte Tools entstehenden Sicherheitslücken. Erfahren Sie mehr über die Grundlagen von XDR.
• Cloud Detection and Response (CDR) wendet TDR-Prinzipien auf Cloud-Umgebungen an und überwacht SaaS-Anwendungen, die Cloud-Infrastruktur sowie Benutzeraktivitäten auf Anzeichen einer Kompromittierung. Damit schließt es eine Sicherheitslücke, für deren Abdeckung herkömmliche Endpunkt- und Netzwerktools nicht ausgelegt sind. Erfahren Sie, wie Cloud Detection and Response funktioniert.
• Die Erkennung und Abwehr von Identitätsbedrohungen (ITDR) konzentriert sich auf Angriffe, die auf Identitätssysteme und Benutzerkonten abzielen, darunter der Diebstahl von Anmeldedaten, die Ausweitung von Berechtigungen und die laterale Bewegung über kompromittierte Identitäten – einer der heute häufigsten Vektoren für den ersten Zugriff.
• Security Orchestration, Automation and Response (SOAR) bündelt TDR-Tools und automatisiert Reaktionsabläufe. Während einzelne Tools Bedrohungen erkennen und eindämmen, koordiniert SOAR das gesamte Reaktionskonzept und gewährleistet eine einheitliche Umsetzung bei allen Vorfällen.

Aufbau eines TDR-Programms: Bewährte Verfahren für Teams mit begrenzten Ressourcen

Der praktische Weg für MSPs und IT-Teams führt über vier Schwerpunkte.

Sorgen Sie für Transparenz, bevor Sie die Erkennung optimieren
Was Sie nicht sehen können, können Sie auch nicht erkennen. Bevor Sie in fortschrittliche Analysen investieren, sollten Sie sicherstellen, dass auf jedem Endpunkt ein EDR-Agent installiert ist, dass Ihre SIEM- oder MDR-Plattform Protokolle aus kritischen Systemen erfasst und dass Ihre Cloud- und SaaS-Umgebungen ebenso wie Ihre lokale Infrastruktur überwacht werden. In Lücken in der Abdeckung verstecken sich Angreifer.

Entscheiden Sie sich für Managed Services statt manueller Lösungen, wenn die Personalausstattung das limitierende Element ist
Der Aufbau einer internen 24/7-Erkennungs- und Reaktionskapazität erfordert einen Personalaufwand, den die meisten KMU nicht aufbringen können. MDR-Dienste bieten eine kontinuierliche Betreuung durch Analysten, ohne dass Sie spezialisierte Sicherheitsmitarbeiter einstellen und beschäftigen müssen. Für MSPs ist das Angebot von MDR als Managed Service für Kunden sowohl ein Alleinstellungsmerkmal im Sicherheitsbereich als auch eine wiederkehrende Einnahmequelle.

Integrieren Sie Ihre Tools
Ein TDR-Programm, bei dem EDR, SIEM und MDR isoliert voneinander arbeiten, verursacht mehr Aufwand und führt zu langsameren Reaktionszeiten als eines, bei dem diese Komponenten Daten und Kontextinformationen austauschen. Wenn ein EDR-Alarm automatisch zur Korrelation in Ihr SIEM weitergeleitet wird und Ihr MDR-Team den Gesamtüberblick hat, lassen sich Vorfälle schneller aufklären und es entgehen weniger Bedrohungen.

Messen Sie die Verweildauer
Die aussagekräftigste Kennzahl für ein TDR-Programm ist die durchschnittliche Erkennungszeit (MTTD): Wie lange dauert es, bis Ihr Programm den Angriff erkennt, nachdem sich ein Angreifer Zugang verschafft hat? Kombinieren Sie diese Kennzahl mit der durchschnittlichen Reaktionszeit (MTTR), und Sie erhalten ein klares, objektives Bild der Wirksamkeit des Programms im Zeitverlauf.

Wie Kaseya die Erkennung und Bekämpfung von Bedrohungen unterstützt

Die Sicherheitslösung von Kaseya deckt das gesamte TDR-Spektrum für MSPs und IT-Teams ab, die eine Erkennung auf Unternehmensniveau benötigen, ohne dabei mit der Komplexität von Unternehmenslösungen konfrontiert zu sein.

Datto EDR bietet eine Endpunkt-Erkennungsschicht mit kontinuierlicher Verhaltensüberwachung, auf das MITRE ATT&CK-Modell abgestimmten Warnmeldungen, über 65 automatisierten Reaktionsmaßnahmen und einer integrierten Ransomware-Rollback-Funktion. Kaseya MDR ergänzt dies durch in den USA ansässige Analysten, die Ihre Umgebung rund um die Uhr überwachen und mithilfe KI-gestützter Korrelation das Warnungsrauschen über Endpunkte, Microsoft 365 und Firewalls hinweg reduzieren.

Kaseya SIEM bündelt Telemetriedaten von Endgeräten und Cloud-Anwendungen in einem einzigen Dashboard mit über 60 nativen Konnektoren und einer Protokollspeicherungsdauer von 400 Tagen. Die Lösung ist darauf ausgelegt, die MDR-Ebene zu ergänzen, anstatt sie zu ersetzen. Für Teams, die MDR und SIEM gegeneinander abwägen oder prüfen, wie EDR und SIEM zusammenwirken, ergänzen sich die beiden Lösungen gegenseitig.

Für CDR-Anforderungen, SaaS Alerts die Abdeckung auf Microsoft 365, Google Workspace, Salesforce und andere SaaS-Anwendungen aus und leitet Erkennungen aus der Cloud- und Identitäts-Ebene direkt in dasselbe SIEM-Dashboard weiter.