Was ist XDR? Ein Leitfaden zu erweiterter Erkennung und Reaktion

Sicherheitsteams verfügen über mehr Tools als je zuvor, doch dennoch schlüpfen immer wieder Angriffe durch die Maschen. Der Grund dafür ist meist nicht mangelnde Kompetenz; einzelne Sicherheitstools generieren Daten in isolierten Silos, ohne dass ein gemeinsamer Kontext zwischen ihnen besteht. Hier wird ein Endpunkt-Alarm ausgelöst. Dort taucht eine verdächtige Anmeldung auf. An anderer Stelle bleibt eine Netzwerkabweichung unbemerkt. All diese Informationen zusammenzufügen, kostet mehr Zeit, als die meisten Teams zur Verfügung haben.

Extended Detection and Response (XDR) wurde entwickelt, um dieses Problem zu beheben. Durch die Zusammenführung von Telemetriedaten aus der gesamten Umgebung auf einer einzigen Erkennungs- und Reaktionsplattform bietet XDR Sicherheitsteams den einheitlichen Überblick, den sie benötigen, um Bedrohungen schneller zu erkennen und zu reagieren, bevor sich der Schaden ausbreitet. Für MSPs und IT-Teams, die mit begrenzten personellen Ressourcen und wachsenden Angriffsflächen arbeiten, ist der Sicherheitsstack von Kaseya – einschließlich Datto EDR, Kaseya MDR und Kaseya SIEM – darauf ausgelegt, dieselbe umgebungsübergreifende Abdeckung zu bieten, ohne die Komplexität einer speziell entwickelten XDR-Plattform für Unternehmen.

Was ist Extended Detection and Response (XDR)?

Extended Detection and Response (XDR) ist ein Sicherheitsansatz, der Telemetriedaten aus verschiedenen Ebenen der IT-Umgebung (Endgeräte, Netzwerke, Cloud-Workloads, E-Mail- und Identitätssysteme) auf einer einzigen Plattform für die Erkennung, Untersuchung und Reaktion zusammenführt. Anstatt separate Tools zu verwalten, die jeweils nur einen Teil des Gesamtbildes erfassen, korreliert XDR Daten aus all diesen Bereichen, um Bedrohungen aufzudecken, die andernfalls verborgen blieben.

Der Begriff wurde 2018 von Palo Alto Networks geprägt und hat sich seitdem zu einem der meistdiskutierten Konzepte im Bereich der Unternehmenssicherheit entwickelt. Gartner definiert XDR als „einheitliche Plattform zur Erkennung und Reaktion auf Sicherheitsvorfälle, die automatisch Daten aus mehreren proprietären Sicherheitskomponenten sammelt und korreliert“. Forrester beschreibt es als „die Weiterentwicklung von Endpoint Detection and Response (EDR)“ – eine Bestätigung dafür, dass XDR ursprünglich auf EDR basierte und nach außen erweitert wurde, um einen größeren Teil der Angriffsfläche abzudecken.

In der Praxis spielt XDR vor allem in der Lücke zwischen Erkennung und Reaktion eine entscheidende Rolle. Herkömmliche Sicherheitstools generieren Warnmeldungen isoliert voneinander. Ein Analyst könnte einen verdächtigen Prozess auf einem Endgerät, ein ungewöhnliches Authentifizierungsereignis im Identitätssystem und eine ungewöhnliche ausgehende Verbindung im Netzwerk feststellen, ohne dass ein Hinweis darauf vorliegt, dass diese drei Ereignisse Teil desselben Angriffs sind. XDR verbindet diese Punkte automatisch miteinander, erstellt Zeitachsen von Angriffen und korreliert Ereignisse über verschiedene Quellen hinweg, sodass Analysten Vorfälle untersuchen können, anstatt sich mit einzelnen Warnmeldungen zu befassen.

So funktioniert XDR

XDR funktioniert als dreistufiger Prozess. Jede Stufe baut auf der vorherigen auf und wandelt Rohdaten aus der gesamten Umgebung in verwertbare, nach Priorität geordnete Vorfälle um.

Einlesen und Normalisieren

XDR beginnt damit, Telemetriedaten von allen verbundenen Sicherheitstools und Datenquellen zu erfassen. Dazu gehören Endpunkt-Agenten, Firewalls, E-Mail-Gateways, Identitätsanbieter, Cloud-Plattformen und SaaS-Anwendungen. Da jede dieser Quellen Daten in unterschiedlichen Formaten und Schemata liefert, normalisiert XDR alle Daten in ein gemeinsames Datenmodell, bevor mit der Analyse begonnen wird.

Dieser Normalisierungsschritt macht die quellenübergreifende Korrelation erst möglich. Ohne ihn lassen sich ein Ereignis von einem Endpunkt-Agenten und ein Ereignis von einer Cloud-Identitätsplattform nicht sinnvoll miteinander vergleichen, da sie die Welt in inkompatiblen Begriffen beschreiben. Die Standardisierung der Daten bei der Erfassung bildet die Grundlage für alle nachfolgenden Schritte.

Korrelieren und erkennen

Sobald normalisierte Daten aus der gesamten Umgebung eingehen, wendet die XDR-Plattform Analysen, Erkennungsregeln und Modelle des maschinellen Lernens an, um verdächtige Aktivitäten zu identifizieren. Genau hier liegt der entscheidende Vorteil von XDR gegenüber isolierten Tools. Erkennungen basieren auf korrelierten Mustern und nicht nur auf einzelnen Ereignissen.

Ein einzelner fehlgeschlagener Anmeldeversuch ist nur Rauschen. Eine Reihe fehlgeschlagener Anmeldeversuche von einem ungewöhnlichen Standort aus, gefolgt von einer erfolgreichen Anmeldung und anschließend dem Start eines Prozesses auf einem Endgerät, mit dem dieses Konto normalerweise nicht in Berührung kommt – das ist ein Vorfall. XDR stellt dieses Muster als einen einzigen, kontextbezogenen Alarm dar, anstatt drei separate Ereignisse, die über drei verschiedene Dashboards verstreut sind.

Moderne XDR-Plattformen nutzen in dieser Phase zudem Bedrohungsinformationen, indem sie die erfassten Daten mit bekannten Indikatoren für Kompromittierungen und aktuellen Techniken von Angreifern abgleichen, die dem MITRE ATT&CK-Framework zugeordnet sind. Das bedeutet, dass Erkennungen bereits bei ihrer Auslösung mit Kontextinformationen versehen sind, wodurch sich der Zeitaufwand für Analysten verringert, die sonst erst herausfinden müssten, was ein bestimmter Alarm tatsächlich bedeutet.

Untersuchen und reagieren

Wenn eine korrelierte Erkennung ausgelöst wird, bietet XDR den Analysten einen vollständigen Überblick über den Vorfall, der den zeitlichen Ablauf der Ereignisse, die betroffenen Ressourcen und Konten, die Datenquellen, die zur Erkennung beigetragen haben, sowie vorgeschlagene oder automatisierte Reaktionsmaßnahmen umfasst. Das ist der Unterschied zwischen der Reaktion auf eine Warnmeldung und der Reaktion auf einen Angriff.

Reaktionsmaßnahmen in XDR können automatisiert, von Analysten gesteuert oder beides sein. Zu den gängigen automatisierten Maßnahmen gehören die Isolierung eines kompromittierten Endgeräts vom Netzwerk, die Sperrung einer bösartigen IP-Adresse, die Sperrung eines Benutzerkontos, das Anzeichen einer Kompromittierung aufweist, oder die Quarantäne einer verdächtigen Datei. Bei Entscheidungen mit höheren Risiken liefert XDR den Kontext, den Analysten benötigen, um schnelle und fundierte Entscheidungen zu treffen, anstatt stundenlang den Hergang der Ereignisse rekonstruieren zu müssen.

Open XDR im Vergleich zu nativem XDR

Nicht alle XDR-Plattformen sind gleich aufgebaut, und dieser Unterschied spielt eine wichtige Rolle bei der Beurteilung, inwieweit eine Lösung in eine bestehende Umgebung passt. Die beiden wichtigsten Ansätze sind Open XDR und Native XDR.

Open XDR ist darauf ausgelegt, Daten aus Sicherheitstools beliebiger Anbieter über offene APIs und vorgefertigte Integrationen zu erfassen. Anstatt eine vollständige Erneuerung der Plattform zu erfordern, fungiert Open XDR als Korrelations- und Erkennungsschicht, die auf den bereits in einem Unternehmen eingesetzten Tools aufsetzt. Dies macht die Lösung deutlich praktischer für Umgebungen mit einer Mischung aus bestehenden Investitionen – was auf die meisten realen MSP-Kundenumgebungen zutrifft.

Native XDR (manchmal auch als „geschlossenes XDR“ bezeichnet) wird von einem einzigen Anbieter entwickelt und vertrieben, dessen eigene Sicherheitsprodukte die Plattform mit Daten versorgen. Erkennung, Untersuchung und Reaktion erfolgen vollständig innerhalb eines einzigen Ökosystems. Die Vorteile sind eine enge Integration, konsistente Datenqualität und eine einfachere Benutzererfahrung. Der Nachteil ist eine eingeschränkte Flexibilität. Unternehmen, die bereits in Tools von Drittanbietern investiert haben, die nicht zum Portfolio dieses Anbieters gehören, könnten Schwierigkeiten haben, native XDR-Lösungen zu erweitern.

Für MSPs, die vielfältige Kundenumgebungen in Dutzenden oder Hunderten von Unternehmen verwalten, ist ein offenes XDR-Konzept in der Regel der realistischere Weg. Jeder Kunde verfügt möglicherweise über eine andere Kombination aus Tools, Betriebssystemen und Cloud-Plattformen. Ein Erkennungs- und Reaktionsansatz, der eine vollständige Bindung an einen bestimmten Anbieter erfordert, lässt sich in großem Maßstab nur schwer standardisieren. Eine Lösung, die Daten aus den bereits vorhandenen Systemen zusammenführt, ist betrieblich weitaus besser zu handhaben.

Wie sich XDR im Vergleich zu anderen Erkennungs- und Reaktionswerkzeugen schlägt

XDR gehört zu einer größeren Familie von Erkennungs- und Reaktionstechnologien, die von außen betrachtet ähnlich aussehen können. Hier erfahren Sie, in welcher Beziehung es zu den einzelnen Technologien steht.

XDR vs. EDR

Endpoint Detection and Response (EDR) konzentriert sich ausschließlich auf Endgeräte (Workstations, Laptops, Server und mobile Geräte). Es überwacht Prozessaktivitäten, Dateiänderungen, Netzwerkverbindungen und andere Ereignisse auf Endgeräteebene und kann als Reaktion auf eine erkannte Bedrohung ein Gerät isolieren oder einen Prozess beenden. EDR ist in der Regel der Ausgangspunkt für jedes Erkennungs- und Reaktionsprogramm und dient häufig als Datenquelle für eine XDR-Plattform.

Der Unterschied liegt im Umfang. EDR erfasst alles, was auf dem Endgerät geschieht. XDR erfasst das Endgerät sowie das Netzwerk, die Cloud, Identitätsdaten, E-Mails und alle anderen verbundenen Quellen. Ein Angriff, der mit einer Phishing-E-Mail beginnt, über die Kompromittierung von Anmeldedaten verläuft und schließlich auf einem Endgerät ausgeführt wird, erfordert Transparenz über alle drei Ebenen hinweg, um vollständig verstanden zu werden. EDR erfasst die Endgerätephase; XDR erfasst das gesamte Geschehen. Eine detailliertere Aufschlüsselung finden Sie unter „EDR vs. XDR“.

XDR vs. MDR

Managed Detection and Response (MDR) ist ein Dienst, keine Plattform. MDR-Anbieter kombinieren Erkennungs- und Reaktionstechnologien mit einem Team aus menschlichen Analysten, die im Auftrag des Kunden Überwachungs-, Untersuchungs- und Reaktionsmaßnahmen durchführen. XDR ist der zugrunde liegende technologische Ansatz; MDR beschreibt, wie diese Fähigkeit als Managed Service bereitgestellt werden kann.

In der Praxis laufen viele MDR-Dienste auf XDR-Plattformen oder nutzen im Rahmen ihrer Erkennungsmethodik eine XDR-ähnliche Korrelation aus verschiedenen Quellen. Für Unternehmen, die Transparenz auf XDR-Niveau wünschen, aber nicht über das interne Personal zum Betrieb einer XDR-Plattform verfügen, ist MDR der praktische Weg. Beide Lösungen ergänzen sich und stehen nicht in Konkurrenz zueinander. Erfahren Sie mehr in unserem Beitrag zum Thema „MDR vs. XDR“.

XDR vs. NDR

Network Detection and Response (NDR) konzentriert sich auf den Netzwerkverkehr und analysiert Datenströme, Protokolle und Kommunikationsmuster auf der Netzwerkebene, um seitliche Bewegungen, Datenexfiltration und Bedrohungen für nicht verwaltete Geräte zu erkennen. NDR erkennt, was Endgeräte nicht erkennen können, da es Aktivitäten von Geräten erfasst, auf denen kein Agent installiert ist.

XDR kann NDR als eine seiner Datenquellen einbinden. In diesem Fall werden Ereignisse auf Netzwerkebene Teil derselben korrelierten Vorfallansicht wie Endpunkt- und Cloud-Ereignisse, wodurch Analysten gleichzeitig den vollständigen Kontext über alle drei Ebenen hinweg erhalten.

XDR vs. SIEM

Das Security Information and Event Management (SIEM) sammelt und korreliert Protokolldaten aus der gesamten Umgebung, ähnlich wie es auch bei XDR der Fall ist. Die wesentlichen Unterschiede liegen in der Architektur und dem Zweck. Herkömmliche SIEM-Systeme wurden für die Compliance-orientierte Protokollaggregation entwickelt und erforderten umfangreiche manuelle Anpassungen, um aussagekräftige Erkennungen zu liefern. Sie generieren eine große Menge an Warnmeldungen und überlassen die Untersuchung und Reaktion in der Regel dem Analystenteam.

XDR wurde speziell für die Erkennung und Reaktion entwickelt und bietet sofort einsatzbereite Korrelationsmodelle, automatisierte Untersuchungen sowie integrierte Reaktionsmaßnahmen. Anstatt Protokolle zur Überprüfung zu erstellen, macht es Vorfälle für die weitere Bearbeitung sichtbar. In Umgebungen, in denen beide Lösungen eingesetzt werden, übernimmt SIEM häufig die langfristige Protokollspeicherung und die Berichterstattung zur Einhaltung von Vorschriften, während XDR für die Echtzeit-Erkennung von Bedrohungen und die Reaktion darauf zuständig ist. Einen detaillierten Vergleich finden Sie unter „XDR vs. SIEM“.

XDR vs. SOAR

Security Orchestration, Automation and Response (SOAR) automatisiert die Arbeitsabläufe bei der Reaktion auf Sicherheitsvorfälle, koordiniert Maßnahmen über mehrere Tools hinweg, führt Reaktionsszenarien aus und reduziert die manuellen Schritte bei der Triage und Eindämmung. Während XDR Vorfälle erkennt und aufdeckt, automatisiert SOAR die nachfolgenden Schritte. XDR verfügt oft über integrierte SOAR-ähnliche Funktionen (automatisierte Isolierung, Kontosperrung, Blockierung), doch dedizierte SOAR-Plattformen bieten mehr Möglichkeiten zur Anpassung von Workflows und zur toolübergreifenden Orchestrierung. In ausgereiften Sicherheitsumgebungen werden XDR und SOAR häufig gemeinsam eingesetzt, wobei XDR die Erkennung übernimmt und SOAR die koordinierte Reaktion.

Vorteile von XDR

Das Hauptargument für XDR beruht auf einem praktischen Problem. Sicherheitsteams werden mit Warnmeldungen von Tools überhäuft, die nicht miteinander kommunizieren. XDR geht dieses Problem direkt an, und die Vorteile ergeben sich aus der Lösung:

• Zentrale Übersicht: Sicherheitsteams können Endgeräte, Netzwerke, die Cloud und Identitäten über eine einzige Konsole hinweg überwachen. Bedrohungen, die sich über mehrere Ebenen erstrecken (was zunehmend auf die meisten raffinierten Angriffe zutrifft), werden als zusammenhängende Vorfälle dargestellt und nicht als isolierte Signale auf verschiedenen Dashboards.
• Schnellere Erkennung: Durch die Korrelation von Daten aus verschiedenen Quellen und die Anwendung vorgefertigter Erkennungsmodelle deckt XDR Bedrohungen auf, die bei einer manuellen Überprüfung oder mit Tools, die nur eine einzige Datenquelle nutzen, übersehen würden. Die durchschnittliche Zeit bis zur Erkennung sinkt, da die Plattform die Korrelationsarbeit übernimmt, die Analysten sonst manuell erledigen müssten.
• Weniger Alarmmüdigkeit: XDR filtert Störsignale bereits in der Korrelationsphase heraus, fasst verwandte Ereignisse zu Vorfällen zusammen und unterdrückt Signale mit geringer Zuverlässigkeit. Analysten arbeiten mit einer nach Priorität geordneten Vorfallwarteschlange statt mit einem rohen Alarmstrom, wodurch echte Bedrohungen schneller erkannt werden.
• Schnellere Reaktion: Dank automatisierter Reaktionsmaßnahmen und integrierter Playbooks kann die Eindämmung innerhalb von Sekunden statt Minuten beginnen. Bei sich schnell ausbreitenden Bedrohungen wie Ransomware macht dieser Geschwindigkeitsunterschied einen entscheidenden Unterschied.
• Geringere Komplexität im Betrieb: Durch den Ersatz zahlreicher Einzellösungen durch eine einheitliche Erkennungs- und Reaktionsschicht verringert sich die Anzahl der Tools, Konsolen und Integrationen, die ein Team verwalten muss. Für IT-Teams mit begrenzten Ressourcen hat diese Vereinfachung einen echten operativen Mehrwert.
• Besserer Untersuchungskontext: Wenn ein Vorfall ausgelöst wird, zeigt XDR den gesamten zeitlichen Ablauf des Angriffs, die betroffenen Ressourcen und die relevanten Datenquellen in einer einzigen Ansicht an. Analysten verbringen weniger Zeit damit, den Hergang zu rekonstruieren, und mehr Zeit damit, das Problem zu beheben.

Managed XDR: XDR als Dienstleistung

Der Betrieb einer XDR-Plattform erfordert mehr als nur die Bereitstellung der Technologie. Jemand muss die Vorfallwarteschlange überwachen, Erkennungen untersuchen, Entscheidungen zur Reaktion treffen und die Plattform im Laufe der Zeit optimieren. Für die meisten KMU und viele MSPs ist es nicht machbar, diese Aufgabe intern rund um die Uhr zu besetzen.

Managed XDR, manchmal auch als „XDR as a Service“ oder „MxDR“ bezeichnet, löst dieses Problem, indem es die XDR-Technologie mit einem Team von Sicherheitsanalysten kombiniert, die die Plattform im Auftrag des Kunden betreiben. Der Anbieter übernimmt die kontinuierliche Überwachung, die Triage von Warnmeldungen, die Untersuchung und die Reaktion, während der Kunde über Dashboards und Berichte den Überblick behält. Damit bietet es die Sicherheitsvorteile eines voll besetzten Security Operations Center (SOC), ohne dass der Kunde selbst eines aufbauen muss.

Für MSPs bietet Managed XDR eine bedeutende Chance. Anstatt von jedem KMU-Kunden zu erwarten, dass er sein eigenes Erkennungs- und Reaktionsprogramm betreibt, kann der MSP diese Funktion als Managed Service bereitstellen und so die Abdeckung über eine zentrale Plattform auf alle Kunden ausweiten. Dieses Modell lässt sich in einer Weise skalieren, wie es bei einer Verwaltung von Endpunkt zu Endpunkt und von Tool zu Tool nicht möglich ist.

Das Schlüsselwort, auf das es hier ankommt, lautet „Managed Extended Detection and Response“ (XDR) – damit ist speziell XDR gemeint, das als ausgelagerte Dienstleistung bereitgestellt wird. Mit der zunehmenden Reife managed services ist diese Kategorie rasch gewachsen, angetrieben durch die Tatsache, dass die meisten Unternehmen Transparenz auf XDR-Ebene benötigen, aber nicht über das interne Personal verfügen, um dies eigenständig zu erreichen.

Wie Kaseya XDR-Funktionen bereitstellt

Kaseya vertreibt kein Produkt unter der Bezeichnung XDR. Das Unternehmen bietet vielmehr eine Reihe eng integrierter Sicherheitsprodukte an, die gemeinsam die von XDR versprochenen Ergebnisse bei der umgebungsübergreifenden Erkennung und Reaktion liefern – und zwar skaliert auf die Umgebungen, in denen MSPs und IT-Teams tatsächlich arbeiten.

Datto EDR bietet die Endpunkt-Ebene und führt Verhaltensüberwachung unter Windows, macOS und Linux durch, wobei jede Erkennung dem MITRE ATT&CK-Framework zugeordnet wird. Mit über 65 automatisierten Reaktionsmaßnahmen, einer integrierten Ransomware-Rollback-Funktion und der direkten Integration in Datto RMM und Kaseya VSA wird die Endpunktsicherheit in denselben Verwaltungsworkflow eingebunden, den MSPs bereits nutzen.

Kaseya MDR bietet eine Managed Detection and Response , bei der Sicherheitsanalysten in den USA eine kontinuierliche Überwachung von Endgeräten, Microsoft 365 und Firewalls gewährleisten. KI-gestützte Korrelation reduziert die Flut an Fehlalarmen, sodass sich die Analysten auf bestätigte Bedrohungen konzentrieren können. Für MSPs handelt es sich um eine vorgefertigte Managed-SOC-Lösung, die auf Kunden ausgeweitet werden kann, ohne dass ein internes Analystenteam aufgebaut werden muss.

Kaseya SIEM übernimmt die plattformübergreifende Korrelation und das Protokollmanagement und bündelt Telemetriedaten von Endgeräten und Cloud-Anwendungen in einem einzigen Dashboard mit mehr als 60 nativen Konnektoren und einer Protokollaufbewahrungsdauer von 400 Tagen. Es ergänzt Kaseya MDR durch die Protokollaggregation und Compliance-Berichterstattung, während MDR die Erkennung und Reaktion in Echtzeit übernimmt.

Im Kern geht es bei XDR um Transparenz. Je mehr Einblick ein Sicherheitsteam in die Umgebung hat, desto schneller und präziser kann es Bedrohungen erkennen und darauf reagieren. Ob diese Transparenz nun durch eine spezielle XDR-Plattform oder durch eine integrierte Suite speziell entwickelter Tools erreicht wird – entscheidend ist das Ergebnis. Die Sicherheitssuite von Kaseya wurde entwickelt, um dieses Ergebnis für jene Teams zu ermöglichen, die es am dringendsten benötigen und sich dabei am wenigsten Fehler leisten können.