Was ist XDR? Ein Leitfaden zu erweiterter Erkennung und Reaktion

Sicherheitsteams verfügen über mehr Tools als je zuvor, dennoch schlüpfen immer wieder Angriffe durch die Maschen. Der Grund dafür ist in der Regel nicht ein Mangel an Fähigkeiten; einzelne Sicherheitstools generieren Daten in Silos, ohne dass ein gemeinsamer Kontext zwischen ihnen besteht. Hier wird eine Endpunktwarnung ausgelöst. Dort taucht eine verdächtige Anmeldung auf. An anderer Stelle bleibt eine Netzwerkabweichung unbemerkt. All diese Informationen zusammenzufügen, kostet mehr Zeit, als den meisten Teams zur Verfügung steht.

Extended Detection and Response (XDR) wurde entwickelt, um dieses Problem zu beheben. Durch die Zusammenführung von Telemetriedaten aus der gesamten Umgebung auf einer einzigen Erkennungs- und Reaktionsplattform bietet XDR Sicherheitsteams den einheitlichen Überblick, den sie benötigen, um Bedrohungen schneller zu erkennen und zu reagieren, bevor sich der Schaden ausbreitet. Für MSPs und IT-Teams, die mit begrenzten personellen Ressourcen und wachsenden Angriffsflächen arbeiten, ist der Sicherheitsstack von Kaseya – bestehend aus Datto EDR, Kaseya MDR und Kaseya SIEM – darauf ausgelegt, dieselbe umgebungsübergreifende Abdeckung zu bieten, ohne die Komplexität einer speziell entwickelten XDR-Plattform für Unternehmen.

Was versteht man unter „Extended Detection and Response“ (XDR)?

„Extended Detection and Response“ (XDR) ist ein Sicherheitsansatz, der Telemetriedaten aus verschiedenen Schichten der IT-Umgebung (Endgeräte, Netzwerke, Cloud-Workloads, E-Mail- und Identitätssysteme) auf einer einzigen Plattform für die Erkennung, Untersuchung und Reaktion zusammenführt. Anstatt separate Tools zu verwalten, die jeweils nur einen Teil des Gesamtbildes erfassen, korreliert XDR Daten über alle diese Bereiche hinweg, um Bedrohungen aufzudecken, die andernfalls verborgen blieben.

Der Begriff wurde 2018 von Palo Alto Networks geprägt und hat sich seitdem zu einem der meistdiskutierten Konzepte im Bereich der Unternehmenssicherheit entwickelt. Gartner definiert XDR als „einheitliche Plattform zur Erkennung und Reaktion auf Sicherheitsvorfälle, die automatisch Daten aus mehreren proprietären Sicherheitskomponenten erfasst und korreliert“. Forrester beschreibt es als „die Weiterentwicklung von Endpoint Detection and Response (EDR)“ – eine Bestätigung dafür, dass XDR ursprünglich auf EDR basierte und nach und nach erweitert wurde, um einen größeren Teil der Angriffsfläche abzudecken.

In der Praxis spielt XDR vor allem in der Lücke zwischen Erkennung und Reaktion eine entscheidende Rolle. Herkömmliche Sicherheitstools generieren Warnmeldungen isoliert voneinander. Ein Analyst könnte einen verdächtigen Prozess auf einem Endgerät, ein ungewöhnliches Authentifizierungsereignis im Identitätssystem und eine ungewöhnliche ausgehende Verbindung im Netzwerk feststellen, ohne dass ein Hinweis darauf vorliegt, dass diese drei Ereignisse Teil desselben Angriffs sind. XDR verbindet diese Punkte automatisch miteinander, erstellt Zeitachsen von Angriffen und korreliert Ereignisse über verschiedene Quellen hinweg, sodass Analysten Vorfälle untersuchen können, anstatt sich mit einzelnen Warnmeldungen zu befassen.

So funktioniert XDR

XDR funktioniert als dreistufige Pipeline. Jede Stufe baut auf der vorherigen auf und wandelt Rohdaten aus der gesamten Umgebung in verwertbare, nach Priorität geordnete Vorfälle um.

Einlesen und Normalisieren

XDR beginnt damit, Telemetriedaten von allen angeschlossenen Sicherheitstools und Datenquellen zu erfassen. Dazu gehören Endpunkt-Agenten, Firewalls, E-Mail-Gateways, Identitätsanbieter, Cloud-Plattformen und SaaS-Anwendungen. Da jede dieser Quellen Daten in unterschiedlichen Formaten und Schemata liefert, normalisiert XDR alle Daten in ein gemeinsames Datenmodell, bevor mit der Analyse begonnen wird.

Dieser Normalisierungsschritt ermöglicht die quellenübergreifende Korrelation. Ohne ihn lassen sich ein Ereignis von einem Endpunkt-Agenten und ein Ereignis von einer Cloud-Identitätsplattform nicht sinnvoll miteinander vergleichen, da sie die Welt in inkompatiblen Begriffen beschreiben. Die Standardisierung der Daten bei der Erfassung bildet die Grundlage für alle nachfolgenden Schritte.

Korrelieren und erkennen

Anhand der aus der gesamten Umgebung eingehenden normalisierten Daten wendet die XDR-Plattform Analysen, Erkennungsregeln und Modelle des maschinellen Lernens an, um verdächtige Aktivitäten zu identifizieren. Genau hier liegt der entscheidende Vorteil von XDR gegenüber isolierten Tools. Die Erkennungen basieren auf korrelierten Mustern und nicht nur auf einzelnen Ereignissen.

Ein einzelner fehlgeschlagener Anmeldeversuch ist nur Rauschen. Eine Reihe fehlgeschlagener Anmeldeversuche von einem ungewöhnlichen Standort aus, gefolgt von einer erfolgreichen Anmeldung und anschließend dem Start eines Prozesses auf einem Endgerät, mit dem dieses Konto normalerweise nicht in Berührung kommt – das ist ein Vorfall. XDR stellt dieses Muster als eine einzige, kontextbezogene Warnmeldung dar, anstatt drei separate Ereignisse, die über drei verschiedene Dashboards verstreut sind.

Moderne XDR-Plattformen nutzen in dieser Phase zudem Bedrohungsinformationen, indem sie die erfassten Daten mit bekannten Indikatoren für Kompromittierungen sowie mit aktuellen Techniken von Angreifern abgleichen, die dem MITRE ATT&CK-Framework zugeordnet sind. Das bedeutet, dass Erkennungen bereits zum Zeitpunkt ihrer Auslösung mit Kontextinformationen versehen sind, wodurch sich der Zeitaufwand für Analysten bei der Ermittlung der tatsächlichen Bedeutung eines bestimmten Alarms verringert.

Untersuchen und reagieren

Wenn eine korrelierte Erkennung ausgelöst wird, bietet XDR den Analysten einen vollständigen Überblick über den Vorfall, der den zeitlichen Ablauf der Ereignisse, die betroffenen Ressourcen und Konten, die Datenquellen, die zur Erkennung beigetragen haben, sowie vorgeschlagene oder automatisierte Reaktionsmaßnahmen umfasst. Das ist der Unterschied zwischen der Reaktion auf eine Warnmeldung und der Reaktion auf einen Angriff.

Reaktionsmaßnahmen in XDR können automatisiert, von Analysten gesteuert oder beides sein. Zu den gängigen automatisierten Maßnahmen gehören die Isolierung eines kompromittierten Endpunkts vom Netzwerk, die Sperrung einer bösartigen IP-Adresse, die Sperrung eines Benutzerkontos, das Anzeichen einer Kompromittierung aufweist, oder die Quarantäne einer verdächtigen Datei. Bei Entscheidungen mit höheren Risiken liefert XDR den Kontext, den Analysten benötigen, um schnelle und fundierte Entscheidungen zu treffen, anstatt stundenlang den Hergang der Ereignisse rekonstruieren zu müssen.

Open XDR im Vergleich zu nativem XDR

Nicht alle XDR-Plattformen sind gleich aufgebaut, und dieser Unterschied spielt eine wichtige Rolle bei der Beurteilung, inwieweit sich eine Lösung in eine bestehende Umgebung einfügen lässt. Die beiden wichtigsten Ansätze sind „Open XDR“ und „Native XDR“.

Open XDR ist darauf ausgelegt, Daten aus Sicherheitstools beliebiger Anbieter über offene APIs und vorgefertigte Integrationen zu erfassen. Anstatt eine vollständige Erneuerung der Plattform zu erfordern, fungiert Open XDR als Korrelations- und Erkennungsschicht, die auf den bereits in einem Unternehmen eingesetzten Tools aufsetzt. Dies macht die Lösung deutlich praktischer für Umgebungen mit einer Mischung aus bestehenden Investitionen – was auf die meisten realen MSP-Kundenumgebungen zutrifft.

Natives XDR (manchmal auch als „geschlossenes XDR“ bezeichnet) wird von einem einzigen Anbieter entwickelt und vertrieben, dessen eigene Sicherheitsprodukte die Plattform mit Daten versorgen. Erkennung, Untersuchung und Reaktion finden vollständig innerhalb eines einzigen Ökosystems statt. Die Vorteile sind eine enge Integration, eine gleichbleibende Datenqualität und eine einfachere Benutzererfahrung. Der Nachteil ist eine eingeschränkte Flexibilität. Unternehmen, die bereits in Tools von Drittanbietern investiert haben, die nicht zum Portfolio dieses Anbieters gehören, könnten Schwierigkeiten haben, natives XDR zu erweitern.

Für MSPs, die vielfältige Kundenumgebungen in Dutzenden oder Hunderten von Unternehmen verwalten, ist „Open XDR“ in der Regel der realistischere Weg. Jeder Kunde verfügt möglicherweise über eine andere Kombination aus Tools, Betriebssystemen und Cloud-Plattformen. Ein Ansatz zur Erkennung und Reaktion, der eine vollständige Bindung an einen bestimmten Anbieter erfordert, lässt sich in großem Maßstab nur schwer standardisieren. Eine Lösung, die Daten aus allen bereits eingesetzten Systemen zusammenführt, ist betrieblich weitaus einfacher zu handhaben.

Wie sich XDR im Vergleich zu anderen Erkennungs- und Reaktions-Tools schlägt

XDR gehört zu einer breiteren Familie von Erkennungs- und Reaktionstechnologien, die von außen betrachtet ähnlich erscheinen können. Hier wird erläutert, in welcher Beziehung es zu den einzelnen Technologien steht.

XDR vs. EDR

Endpoint Detection and Response (EDR) konzentriert sich ausschließlich auf Endgeräte (Workstations, Laptops, Server und mobile Geräte). Es überwacht Prozessaktivitäten, Dateiänderungen, Netzwerkverbindungen und andere Ereignisse auf Endgeräteebene und kann als Reaktion auf eine erkannte Bedrohung ein Gerät isolieren oder einen Prozess beenden. EDR ist in der Regel der Ausgangspunkt für jedes Erkennungs- und Reaktionsprogramm und dient häufig als Datenquelle für eine XDR-Plattform.

Der Unterschied liegt im Umfang. EDR erfasst alles, was auf dem Endgerät geschieht. XDR erfasst das Endgerät sowie das Netzwerk, die Cloud, Identitäten, E-Mails und alle anderen verbundenen Quellen. Ein Angriff, der mit einer Phishing-E-Mail beginnt, über den Missbrauch von Anmeldedaten verläuft und schließlich auf einem Endgerät ausgeführt wird, erfordert Transparenz über alle drei Ebenen hinweg, um vollständig verstanden zu werden. EDR erfasst die Endgerätephase; XDR erfasst den gesamten Ablauf. Eine ausführlichere Darstellung finden Sie unter „EDR vs. XDR“.

XDR vs. MDR

Managed Detection and Response (MDR) ist ein Dienst, keine Plattform. MDR-Anbieter kombinieren Erkennungs- und Reaktionstechnologien mit einem Team aus menschlichen Analysten, die im Auftrag des Kunden Überwachungs-, Untersuchungs- und Reaktionsmaßnahmen durchführen. XDR ist der zugrunde liegende technologische Ansatz; MDR beschreibt, wie diese Fähigkeit als Managed Service bereitgestellt werden kann.

In der Praxis laufen viele MDR-Dienste auf XDR-Plattformen oder nutzen im Rahmen ihrer Erkennungsmethodik eine XDR-ähnliche Korrelation aus mehreren Quellen. Für Unternehmen, die Transparenz auf XDR-Niveau wünschen, aber nicht über das interne Personal zum Betrieb einer XDR-Plattform verfügen, ist MDR der praktische Weg. Die beiden Konzepte ergänzen sich und stehen nicht in Konkurrenz zueinander. Erfahren Sie mehr in unserem Beitrag zum Thema „MDR vs. XDR“.

XDR vs. NDR

Network Detection and Response (NDR) konzentriert sich auf den Netzwerkverkehr und analysiert Datenströme, Protokolle und Kommunikationsmuster auf der Netzwerkebene, um laterale Bewegungen, Datenexfiltration und Bedrohungen für nicht verwaltete Geräte zu erkennen. NDR erkennt, was Endgeräte nicht erkennen können, da es Aktivitäten von Geräten erfasst, auf denen kein Agent installiert ist.

XDR kann NDR als eine seiner Datenquellen einbinden. In diesem Fall werden Ereignisse auf Netzwerkebene Teil derselben korrelierten Vorfallansicht wie Endpunkt- und Cloud-Ereignisse, wodurch Analysten gleichzeitig den vollständigen Kontext über alle drei Ebenen hinweg erhalten.

XDR vs. SIEM

Das Security Information and Event Management (SIEM) erfasst und korreliert Protokolldaten aus der gesamten Umgebung, ähnlich wie XDR. Die wesentlichen Unterschiede liegen in der Architektur und dem Zweck. Herkömmliches SIEM wurde für die Compliance-orientierte Protokollaggregation entwickelt und erforderte umfangreiche manuelle Anpassungen, um aussagekräftige Erkennungen zu erzielen. Es generiert große Mengen an Warnmeldungen und überlässt die Untersuchung und Reaktion in der Regel dem Analystenteam.

XDR wurde speziell für die Erkennung und Reaktion entwickelt und bietet sofort einsatzbereite Korrelationsmodelle, automatisierte Untersuchungen sowie integrierte Reaktionsmaßnahmen. Anstatt Protokolle zur Überprüfung zu erstellen, macht es Vorfälle für weitere Maßnahmen sichtbar. In Umgebungen, in denen beide Lösungen eingesetzt werden, übernimmt SIEM häufig die langfristige Protokollspeicherung und die Berichterstattung zur Einhaltung von Vorschriften, während XDR für die Echtzeit-Erkennung von Bedrohungen und die Reaktion darauf zuständig ist. Einen detaillierten Vergleich finden Sie unter „XDR vs. SIEM“.

XDR vs. SOAR

Security Orchestration, Automation and Response (SOAR) automatisiert die Arbeitsabläufe bei der Reaktion auf Sicherheitsvorfälle, koordiniert Maßnahmen über mehrere Tools hinweg, führt Reaktionsszenarien aus und reduziert die manuellen Schritte bei der Triage und Eindämmung. Während XDR Vorfälle erkennt und aufdeckt, automatisiert SOAR die nachfolgenden Schritte. XDR verfügt häufig über integrierte SOAR-ähnliche Funktionen (automatisierte Isolierung, Kontosperrung, Blockierung), doch dedizierte SOAR-Plattformen bieten umfassendere Möglichkeiten zur Anpassung von Arbeitsabläufen und zur toolübergreifenden Orchestrierung. In ausgereiften Sicherheitsbetriebsumgebungen werden XDR und SOAR häufig gemeinsam eingesetzt, wobei XDR die Erkennung übernimmt und SOAR die koordinierte Reaktion steuert.

Vorteile von XDR

Das Hauptargument für XDR beruht auf einem praktischen Problem. Sicherheitsteams werden mit Warnmeldungen von Tools überhäuft, die nicht miteinander kommunizieren. XDR geht dieses Problem direkt an, und die Vorteile ergeben sich aus der Lösung:

• Einheitliche Übersicht: Sicherheitsteams können Endgeräte, Netzwerke, die Cloud und Identitäten über eine einzige Konsole hinweg überblicken. Bedrohungen, die sich über mehrere Ebenen erstrecken (was zunehmend auf die meisten ausgeklügelten Angriffe zutrifft), werden als einheitliche Vorfälle dargestellt und nicht als unzusammenhängende Signale auf verschiedenen Dashboards.
• Schnellere Erkennung: Durch die Korrelation von Daten aus verschiedenen Quellen und die Anwendung vorgefertigter Erkennungsmodelle deckt XDR Bedrohungen auf, die bei einer manuellen Überprüfung oder mit Tools, die nur eine einzige Datenquelle nutzen, übersehen würden. Die durchschnittliche Zeit bis zur Erkennung sinkt, da die Plattform die Korrelationsarbeit übernimmt, die Analysten andernfalls manuell durchführen müssten.
• Weniger Alarmmüdigkeit: XDR filtert Störsignale bereits in der Korrelationsphase heraus, fasst zusammenhängende Ereignisse zu Vorfällen zusammen und unterdrückt Signale mit geringer Zuverlässigkeit. Analysten arbeiten anhand einer nach Priorität geordneten Vorfallwarteschlange statt anhand eines rohen Alarmstroms, wodurch echte Bedrohungen schneller erkannt werden.
• Schnellere Reaktion: Dank automatisierter Reaktionsmaßnahmen und integrierter Playbooks kann die Eindämmung innerhalb von Sekunden statt Minuten beginnen. Bei sich schnell ausbreitenden Bedrohungen wie Ransomware macht dieser Geschwindigkeitsunterschied einen erheblichen Unterschied.
• Geringere betriebliche Komplexität: Durch den Ersatz mehrerer Einzellösungen durch eine einheitliche Erkennungs- und Reaktionsschicht verringert sich die Anzahl der Tools, Konsolen und Integrationen, die ein Team verwalten muss. Für IT-Teams mit begrenzten Ressourcen hat diese Vereinfachung einen echten betrieblichen Mehrwert.
• Besserer Untersuchungskontext: Wenn ein Vorfall ausgelöst wird, zeigt XDR den vollständigen zeitlichen Ablauf des Angriffs, die betroffenen Ressourcen und die relevanten Datenquellen in einer einzigen Ansicht an. Analysten verbringen weniger Zeit damit, den Hergang zu rekonstruieren, und mehr Zeit damit, das Problem zu beheben.

Managed XDR: XDR als Dienstleistung

Der Betrieb einer XDR-Plattform erfordert mehr als nur die Bereitstellung der Technologie. Es muss jemand die Vorfallwarteschlange überwachen, die Erkennungen untersuchen, Entscheidungen zur Reaktion treffen und die Plattform im Laufe der Zeit optimieren. Für die meisten KMU und viele MSPs ist es nicht machbar, diese Aufgabe rund um die Uhr intern zu besetzen.

Managed XDR, manchmal auch als „XDR as a Service“ oder „MxDR“ bezeichnet, löst dieses Problem, indem es die XDR-Technologie mit einem Team von Sicherheitsanalysten kombiniert, die die Plattform im Auftrag des Kunden betreiben. Der Anbieter übernimmt die kontinuierliche Überwachung, die Triage von Warnmeldungen, die Untersuchung und die Reaktion, während der Kunde über Dashboards und Berichte weiterhin den Überblick behält. Damit werden die Sicherheitsvorteile eines voll besetzten Security Operations Center (SOC) erzielt, ohne dass der Kunde selbst eines aufbauen muss.

Für MSPs stellt Managed XDR eine bedeutende Chance dar. Anstatt davon auszugehen, dass jeder KMU-Kunde sein eigenes Erkennungs- und Reaktionsprogramm betreibt, kann der MSP diese Funktion als Managed Service bereitstellen und so die Abdeckung über eine zentrale Plattform auf alle Kunden ausweiten. Dieses Modell lässt sich in einer Weise skalieren, wie es bei einer Verwaltung von Endpunkt zu Endpunkt und von Tool zu Tool nicht möglich ist.

Der entscheidende Begriff in diesem Zusammenhang ist „Managed Extended Detection and Response“ (XDR), womit speziell XDR gemeint ist, das als ausgelagerte Dienstleistung bereitgestellt wird. Mit der zunehmenden Reife des Marktes für „ managed services “ ist diese Kategorie rasch gewachsen – angetrieben durch die Tatsache, dass die meisten Unternehmen zwar Transparenz auf XDR-Ebene benötigen, aber nicht über das erforderliche interne Personal verfügen, um dies eigenständig zu erreichen.

Wie Kaseya XDR-Funktionen bereitstellt

Kaseya vertreibt kein Produkt unter der Bezeichnung XDR. Das Unternehmen bietet vielmehr eine Reihe eng integrierter Sicherheitsprodukte an, die gemeinsam die von XDR versprochenen Ergebnisse bei der umgebungsübergreifenden Erkennung und Reaktion liefern – und zwar maßgeschneidert für die Umgebungen, in denen MSPs und IT-Teams tatsächlich arbeiten.

Datto EDR bildet die Endpunkt-Ebene und führt eine Verhaltensüberwachung unter Windows, macOS und Linux durch, wobei jede Erkennung dem MITRE ATT&CK-Framework zugeordnet wird. Dank über 65 automatisierten Reaktionsmaßnahmen, einer integrierten Ransomware-Rollback-Funktion und der direkten Integration mit Datto RMM und Kaseya VSA ist die Endpunktsicherheit in denselben Verwaltungs-Workflow eingebunden, den MSPs bereits nutzen.

Kaseya MDR bietet die „ Managed Detection and Response “-Ebene, wobei in den USA ansässige Sicherheitsanalysten eine kontinuierliche Überwachung von Endgeräten, Microsoft 365 und Firewalls gewährleisten. KI-gestützte Korrelation reduziert die Anzahl unnötiger Warnmeldungen, sodass sich die Analysten auf bestätigte Bedrohungen konzentrieren können. Für MSPs handelt es sich um eine sofort einsatzbereite Managed-SOC-Lösung, die auf Kunden ausgeweitet werden kann, ohne dass ein internes Analystenteam aufgebaut werden muss.

Kaseya SIEM übernimmt die plattformübergreifende Korrelation und das Protokollmanagement und bündelt Telemetriedaten von Endgeräten und Cloud-Anwendungen in einem einzigen Dashboard mit mehr als 60 nativen Konnektoren und einer Protokollaufbewahrungsdauer von 400 Tagen. Es ergänzt Kaseya MDR durch die Protokollaggregation und die Erstellung von Compliance-Berichten, während MDR die Erkennung und Reaktion in Echtzeit übernimmt.

Im Kern steht XDR für Transparenz. Je mehr Einblick ein Sicherheitsteam in die Umgebung hat, desto schneller und präziser kann es Bedrohungen erkennen und darauf reagieren. Ob diese Transparenz nun durch eine dedizierte XDR-Plattform oder durch eine integrierte Suite speziell entwickelter Tools erreicht wird – entscheidend ist das Ergebnis. Die Sicherheitssuite von Kaseya wurde entwickelt, um dieses Ergebnis für die Teams zu ermöglichen, die es am dringendsten benötigen und sich dabei die geringsten Fehler leisten können.