Security & Compliance

EDR (Endpoint Detection and Response)

Overview

Endpoint Detection and Response (EDR) geht über klassischen Virenschutz hinaus. Es zeichnet laufend Prozesse, Netzwerkverbindungen, Registry- und Dateiaktivitäten auf, damit Angriffe auch nach dem ersten Eindringen erkannt und nachvollzogen werden können. Angreifer nutzen heute oft legitime Werkzeuge wie PowerShell oder Fernwartungssoftware, die eine Signaturerkennung nicht als schädlich einstuft.

Abzugrenzen ist die Endpoint Protection, die vor allem blockiert, sowie XDR, das EDR um Identitäten, E-Mail und Cloud-Apps erweitert. MDR (Managed Detection and Response) bezeichnet den Dienst, bei dem ein Dienstleister die EDR-Warnungen auswertet.

Im Microsoft-Umfeld liefert Defender for Endpoint Plan 2 den vollen EDR-Umfang, Defender for Business bietet eine für kleinere Unternehmen vereinfachte EDR-Variante. Weitere verbreitete Anbieter sind CrowdStrike, SentinelOne, Sophos und ESET.

How it works

EDR arbeitet in einem Kreislauf aus Sammeln, Erkennen und Reagieren:

  1. Ein Sensor auf dem Endgerät (bei Windows in das Betriebssystem integriert) meldet Telemetrie an die Cloud.
  2. Verhaltensanalysen, Threat Intelligence und Machine Learning erkennen auffällige Muster und erzeugen Warnungen.
  3. Zusammengehörige Warnungen werden zu Incidents mit Zeitleiste gebündelt.
  4. Analysten isolieren Geräte, legen Dateien in Quarantäne, beenden Prozesse oder nutzen per Live Response eine Remote-Shell.
  5. Automatisierte Untersuchung und Reaktion (AIR) und automatische Angriffsunterbrechung (Attack Disruption) handeln bei eindeutigen Fällen selbstständig.

Advanced Hunting mit KQL erlaubt die Suche nach Indikatoren im gesamten Bestand, auch rückwirkend.

Benefits

  • Sichtbarkeit auch nach dem ersten Eindringen, wenn Virenschutz allein versagt
  • Schnelle Eindämmung durch Geräteisolation aus der Ferne, auch im Homeoffice
  • Forensische Zeitleiste zeigt, wie ein Angriff abgelaufen ist und was betroffen war
  • Automatisierte Untersuchung entlastet ein kleines Sicherheitsteam

Practical example

Ein Zulieferer mit 200 Arbeitsplätzen erhält eine EDR-Warnung zu einem Word-Makro, das PowerShell startet. Der Analyst isoliert das Notebook, sieht in der Zeitleiste den Download eines Fernwartungstools und findet über Advanced Hunting zwei weitere Geräte mit demselben Muster. Alle drei werden bereinigt und neu aufgesetzt, bevor Daten abfließen. Danach aktiviert die IT die passende ASR-Regel gegen Makros mit Prozessstart.

Things to keep in mind

  • EDR erzeugt Warnungen, die jemand auswerten muss, sonst bleibt der Nutzen aus
  • Alle Geräte einbinden, auch Server und Sonderfälle, denn unüberwachte Geräte sind die Einfallstore
  • Automatische Reaktionen in der Einführung schrittweise aktivieren, damit Fehlalarme keine Ausfälle auslösen
  • Berechtigungen für Live Response und Isolation eng vergeben und protokollieren
  • Datenschutz und Mitbestimmung klären, da Verhaltensdaten von Mitarbeitenden anfallen

Licensing & availability

Defender for Endpoint Plan 2 enthält den vollen EDR-Umfang inklusive Advanced Hunting und automatischer Untersuchung und ist in Microsoft 365 E5 sowie der Microsoft Defender Suite enthalten. Plan 1 (in Microsoft 365 E3) bietet vor allem Schutzfunktionen ohne vollwertiges EDR. Microsoft 365 Business Premium enthält Defender for Business mit EDR-Funktionen für bis zu 300 Benutzer. Server brauchen eigene Lizenzen, etwa Defender for Servers. Drittprodukte werden separat lizenziert. Stand: Oktober 2026.

Conclusion

EDR ist heute Standard für den Endpunktschutz in Unternehmen. Entscheidend ist, dass jemand die Warnungen bearbeitet, und wenn das intern nicht leistbar ist, lohnt ein MDR-Dienst.

Further reading

Related articles