EDR — einfach erklärt

Was ist EDR?

EDR steht für Endpoint Detection and Response. Dahinter verbirgt sich eine Sicherheitslösung, die auf Endgeräten — also Arbeitsplatzrechnern, Notebooks und Servern — laufend beobachtet, was dort passiert, und bei verdächtigem Verhalten reagiert.

Der Unterschied zum klassischen Virenschutz liegt im Ansatz: Ein herkömmlicher Virenscanner vergleicht Dateien vor allem mit einer Liste bekannter Schadsoftware. EDR schaut stattdessen auf das Verhalten von Prozessen — was ein Programm tut, welche Dateien es öffnet, welche Verbindungen es aufbaut — und kann so auch Angriffe erkennen, die noch nie zuvor gesehen wurden.

Wie funktioniert EDR?

EDR arbeitet in mehreren Schritten:

1. Kontinuierlich beobachten — Auf jedem Endgerät läuft ein kleines Programm (Agent), das Prozesse, Dateizugriffe und Netzwerkverbindungen protokolliert.
2. Verhalten bewerten — Auffällige Muster werden erkannt, etwa wenn ein harmlos wirkendes Programm plötzlich beginnt, viele Dateien zu verschlüsseln oder sich in andere Prozesse einzuklinken.
3. Alarm auslösen — Bei einem konkreten Verdacht wird eine Meldung erzeugt, die im Idealfall sofort geprüft wird.
4. Reagieren — Je nach Konfiguration kann EDR selbstständig eingreifen: einen Prozess beenden, eine Datei isolieren oder das betroffene Gerät automatisch vom Netzwerk trennen, bevor sich ein Angriff ausbreitet.

Damit unterscheidet sich EDR vom reinen Virenschutz vor allem in der Reaktionsfähigkeit: Es geht nicht nur um Erkennen, sondern auch um schnelles Eindämmen, wenn etwas bereits passiert.

Worauf KMU achten sollten

1. EDR ersetzt keinen Virenschutz, sondern ergänzt ihn. Beide Ebenen — bekannte Bedrohungen blockieren und ungewöhnliches Verhalten erkennen — gehören sinnvoll zusammen.
2. Ohne Auswertung bringt die Technik wenig. EDR erzeugt Meldungen, die jemand prüfen muss. Ein reiner „Feuermelder ohne Feuerwehr” hilft im Ernstfall kaum.
3. Managed-Ansatz statt Eigenbetrieb. Für die meisten KMU ist es realistischer, die laufende Auswertung an den IT-Dienstleister zu geben, statt eine eigene Sicherheitsabteilung rund um die Uhr zu besetzen.
4. Reaktionszeit zählt. Ein Angriff, der nachts erkannt, aber erst am nächsten Morgen bemerkt wird, hat oft schon Schaden angerichtet. Automatische Erst-Reaktionen (Isolieren eines Geräts) verschaffen wertvolle Zeit.

EDR in der Praxis

Ein typisches Szenario: Auf einem Arbeitsplatzrechner öffnet ein Mitarbeiter einen Anhang, der auf den ersten Blick unauffällig wirkt. Im Hintergrund beginnt ein Prozess, in kurzer Zeit sehr viele Dateien umzubenennen und zu verschlüsseln — ein klassisches Ransomware-Verhalten. Ein reiner Virenscanner hätte die Datei möglicherweise passieren lassen, weil sie noch nicht als Schadsoftware bekannt war. EDR erkennt das ungewöhnliche Verhalten, schlägt Alarm und trennt das Gerät automatisch vom Netzwerk — bevor sich die Verschlüsselung auf Server und andere Arbeitsplätze ausbreiten kann.

Ob und in welchem Umfang EDR für ein Unternehmen sinnvoll ist, hängt von der Systemlandschaft und dem bestehenden Schutzniveau ab. Bei IT-Sicherheit von LNIT betrachten wir Virenschutz, Verhaltenserkennung und Reaktionsprozesse als zusammenhängendes Sicherheitskonzept — passend zur Größe des jeweiligen Betriebs.