Klassischer Virenschutz vergleicht Dateien mit bekannten Mustern. Heutige Angriffe kommen ohne Schadsoftware aus, die man erkennen könnte: gestohlene Kennwörter, legitime Verwaltungswerkzeuge, ein Konto, das sich nachts an ungewohnten Rechnern anmeldet. Dagegen hilft nur, Verhalten zu erkennen – und jemand, der darauf reagiert.
Genau das versprechen XDR-Lösungen. Die Auswahl ist groß, und die Angebote klingen ähnlich. Die Unterschiede liegen weniger in der Erkennung als in drei Fragen: Was haben Sie schon bezahlt, wo werden die Daten verarbeitet, und wer reagiert nachts?
XDR, EDR, MDR – was die Begriffe heißen
- EDR (Endpoint Detection and Response): Erkennung und Reaktion auf dem einzelnen Gerät.
- XDR (Extended Detection and Response): verknüpft Signale von Geräten, Servern, Konten und E-Mail zu einem Bild.
- MDR (Managed Detection and Response): ein Analystenteam bewertet die Signale rund um die Uhr und greift ein.
Das BSI beschreibt im IT-Grundschutz die Detektion sicherheitsrelevanter Ereignisse als eigene Aufgabe – mit der Anforderung, dass Meldungen auch ausgewertet werden. Eine Erkennung, deren Alarme niemand liest, erfüllt diese Anforderung nicht. Für Unternehmen unter NIS2 gehört die Bewältigung von Sicherheitsvorfällen ausdrücklich zu den Risikomanagementmaßnahmen nach § 30 BSIG.
Die gängigen Plattformen im Überblick
| Plattform | Passt besonders, wenn | Worauf achten |
|---|---|---|
| G DATA MXDR | Datenverarbeitung in Deutschland gefordert ist und ein Analystenteam an jedem Tag des Jahres bewerten soll | Testphase nutzen, Server und sensible Arbeitsplätze zuerst |
| Microsoft Defender XDR | Microsoft 365 Business Premium oder E5 schon lizenziert ist | Ohne Konfiguration und Alarmbearbeitung bleibt die Lizenz ungenutzt |
| Sophos XDR und MDR | Sophos-Firewalls im Einsatz sind oder ein verwalteter Herstellerdienst gewünscht ist | Zusammenspiel mit vorhandener Firewall prüfen |
| CrowdStrike Falcon | Konzernvorgaben oder Versicherer den Hersteller verlangen | Lizenzumfang und Laufzeit genau vergleichen |
| SentinelOne Singularity | starke Automatik bei der Eindämmung gewünscht ist | Automatische Reaktionen vorher mit dem Betrieb abstimmen |
Drei Fragen vor der Entscheidung
- Was ist schon bezahlt? Mit Business Premium oder E5 ist Microsoft Defender oft enthalten – ein zweites Produkt daneben behindert eher, als dass es hilft.
- Wo werden die Daten verarbeitet? Für manche Branchen und Kundenanforderungen ist die Verarbeitung in Deutschland ein Ausschlusskriterium.
- Wer reagiert um drei Uhr nachts? Ohne Rufbereitschaft wird aus der Erkennung am Morgen ein Bericht über das, was in der Nacht passiert ist.
Wie DAVINCI unterstützt
Wir sind herstellerunabhängig und Gold-Partner von G DATA; bevorzugt empfehlen wir G DATA MXDR. Microsoft Defender XDR, Sophos, CrowdStrike und SentinelOne richten wir ebenso ein und betreuen sie im Betrieb. Alarme laufen bei unserem Notfallteam auf, rund um die Uhr – mit festem Ablauf für Eindämmung, Beweissicherung und Wiederanlauf.
Häufige Fragen
Reicht Microsoft Defender, wenn wir Business Premium haben?
Oft ja – wenn er vollständig eingerichtet ist und jemand die Alarme bearbeitet. Die Lizenz allein erkennt zwar, reagiert aber nicht von selbst auf jeden Angriff.
Was kostet ein MDR-Dienst?
Abgerechnet wird meist je Gerät und Monat; die Spanne hängt von Hersteller, Umfang und Reaktionsleistung ab. Vergleichen lässt sich nur, was gleich viel leistet – insbesondere die Reaktion außerhalb der Bürozeiten.
Müssen wir unsere Firewall tauschen, um XDR zu nutzen?
Nein. Die Angriffserkennung auf Geräten und Konten läuft unabhängig von der Firewall; manche Plattformen binden Firewall-Signale zusätzlich ein, wenn es passt.
Verwandte Themen: Wer hier weiterdenkt, liest bei Angriffserkennung, Angriffserkennung ohne eigenes Team und Rollout an vielen Standorten weiter.
Hersteller auf dieser Seite
G DATA CyberDefense AG – Hersteller der Angriffserkennung (MXDR) und des Endpunktschutzes, die wir einrichten und betreuen.
Website des HerstellersG DATA MXDR bei unsFachbeitrag: Monatelang mitgelesen: Wie Angreifer bei einem Reifenhersteller rund 50.000 Euro umleitetenFachbeitrag: Fünf Monate im eigenen Netz: Was ein Angreifer tut, bevor jemand ihn bemerkt
Im Text erwähnt
Quellen
- IT-Grundschutz-Baustein DER.1 Detektion von sicherheitsrelevanten Ereignissen (Edition 2023) · BSIamtlich
- § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen · Bundesministerium der Justizamtlich
- Microsoft Defender XDR · Microsoft
- G DATA MXDR · G DATA CyberDefense AG
- CrowdStrike Falcon Plattform · CrowdStrike
- SentinelOne Singularity Plattform · SentinelOne
