IT-Sicherheit
EDR & XDR
EDR (Endpoint Detection and Response) erkennt Bedrohungen am Endpunkt über Verhaltenstelemetrie; XDR korreliert die Sicht über Endpunkt, Netz, Identität und Cloud.
- Erkennung + Reaktion am Endpunkt
- XDR: domänenübergreifend
- Verhalten statt nur Signatur
- MITRE ATT&CK / TTPs
- MDR als Dienstleistung
EDR und XDR stehen am Ende einer Entwicklung: vom signaturbasierten Virenschutz über die Endpoint Protection Platform (EPP) zur Erkennung-und-Reaktion. EDR (Endpoint Detection and Response) sieht das Verhalten auf dem Endpunkt und kann eingreifen; XDR (Extended Detection and Response) hebt diese Sicht auf mehrere Sicherheitsdomänen.
Dieser Artikel erklärt die Abgrenzung von AV/EPP zu EDR, was EDR-Telemetrie umfasst, den Sprung von EDR zu XDR samt Native- und Open-Varianten, das betreute Modell MDR, das Verhältnis zu SIEM und IDS, die Open-Source-Annäherungen sowie die Risiken von Tampering bis Datenschutz.
1. Von AV über EPP zu EDR
Klassischer Virenschutz blockiert bekannte Schadsoftware anhand von Signaturen; die EPP (Endpoint Protection Platform) ergänzt Heuristik und maschinelles Lernen, bleibt aber präventionsorientiert (blockieren vor der Ausführung). EDR setzt dahinter an: Es zeichnet kontinuierlich Telemetrie auf (Prozesse, Dateien, Registry, Netzwerkverbindungen), erkennt verdächtiges Verhalten auch nach der Ausführung und kann reagieren. EPP geht von „Prävention wirkt“ aus, EDR von „Annahme: kompromittiert“.
2. Was EDR aufzeichnet und tut
Ein EDR-Agent liefert eine tiefe Sicht auf den Endpunkt: den Prozessbaum mit Eltern-Kind-Beziehungen, Datei- und Registry-Zugriffe, Netzwerkverbindungen und mehr. Diese Telemetrie erlaubt es, einen Angriffspfad forensisch zu rekonstruieren. Die Response umfasst typischerweise die Isolation eines Endpunkts vom Netz, das Beenden von Prozessen, die Quarantäne von Dateien und teils ein Rollback (etwa von Ransomware-Änderungen), automatisiert oder durch Analysten gesteuert.
3. Von EDR zu XDR
XDR erweitert die Endpunkt-Sicht von EDR um weitere Domänen und korreliert Telemetrie über Endpunkt, Netzwerk, Identität, E-Mail und Cloud hinweg. So werden Angriffe sichtbar, die sich über mehrere Stationen ziehen und in einer Einzelquelle untergehen würden. Zu unterscheiden ist Native XDR (alle Bausteine von einem Hersteller, einfache Integration, aber Bindung) von Open/Hybrid XDR (Einbindung von Drittquellen über Schnittstellen, flexibler, aber integrationsaufwendiger).
4. MDR und MITRE ATT&CK
Wer EDR/XDR nicht selbst rund um die Uhr betreiben kann, nutzt MDR (Managed Detection and Response): einen betreuten Dienst (SOC as a Service), der auf einer EDR-/XDR-Plattform aufsetzt und Threat Hunting, Analyse und Reaktionsempfehlungen übernimmt, menschengeführt, nicht rein automatisch. Quer dazu liegt das MITRE-ATT&CK-Framework: Es ordnet erkanntes Verhalten in Taktiken und Techniken (TTPs) ein und gibt Analysten den gemeinsamen Bezugsrahmen.
5. Abgrenzung zu SIEM und IDS
EDR/XDR und SIEM (eigener Artikel) sind komplementär, nicht austauschbar: Das SIEM korreliert Logs breit über sehr viele Quellen, hält sie langfristig vor und dient dem Compliance-Nachweis; EDR/XDR zieht tiefe, native Telemetrie und reagiert direkt. Gegenüber einem IDS (Querverweis) liegt der Unterschied in der Reaktionsfähigkeit und der Endpunkt-Tiefe; ein hostbasiertes IDS überschneidet sich mit EDR, geht aber in Telemetrie und Response meist weniger weit.
6. Open Source und Risiken
Quelloffene Werkzeuge nähern sich EDR an: Wazuh (HIDS mit Active Response, eigener Artikel), Velociraptor (forensische Abfragen, DFIR) und OpenEDR. Sie sind eine ernsthafte Ergänzung, aber kein vollwertiger Ersatz kommerzieller EDR. Zu bedenken sind drei Risiken: EDR-Tampering (Angreifer versuchen, Agent oder Telemetrie zu deaktivieren, weshalb Tamper Protection wichtig ist), die Agent-Last auf den Endpunkten und der Datenschutz: EDR-Telemetrie ist personenbezogen, ihre Einführung erfordert Transparenz und in Deutschland die Beteiligung des Betriebsrats.
EDR-Telemetrie ist mächtig und sensibel zugleich. Wer sie einführt, klärt Datensparsamkeit, Transparenz und Mitbestimmung vorab, sonst wird das Sicherheitswerkzeug zum Rechtsproblem.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Tiefe Endpunkt-Sicht, forensische Rekonstruktion | Agent-Last auf den Endpunkten |
| Direkte Response (Isolation, Stopp, Rollback) | Tuning nötig, sonst Alarm-Müdigkeit |
| XDR korreliert über mehrere Domänen | Native XDR führt zu Hersteller-Bindung |
| MITRE-ATT&CK-Einordnung erkannter Aktivitäten | EDR-Tampering durch privilegierte Angreifer möglich |
| MDR als betreute Option | Telemetrie datenschutz- und mitbestimmungsrelevant; kein SIEM-Ersatz |
Häufige Fragen zu EDR & XDR
EDR (Endpoint Detection and Response) konzentriert sich auf den Endpunkt: Es zeichnet dort Verhaltenstelemetrie auf, erkennt verdächtige Aktivität und kann reagieren (Isolation, Prozess stoppen, Rollback). XDR (Extended Detection and Response) erweitert diese Sicht und korreliert Telemetrie über mehrere Domänen, Endpunkt, Netzwerk, Identität, E-Mail und Cloud, um mehrstufige Angriffe sichtbar zu machen. XDR baut also auf der EDR-Idee auf, geht aber über den einzelnen Endpunkt hinaus.
Nein, beide ergänzen sich. Ein SIEM aggregiert und korreliert Logs aus sehr vielen Quellen, hält sie langfristig vor und ist zentral für Compliance-Nachweise. XDR zieht tiefere, native Telemetrie aus integrierten Sicherheitswerkzeugen und bietet direkte Reaktion. Für breite Log-Abdeckung, Langzeitarchivierung und Reporting bleibt das SIEM nötig; XDR ergänzt es um Detektions- und Reaktionstiefe.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
EDR & XDR im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.