Antivirus, EDR, XDR und MDR: Die Unterschiede und was ein KMU braucht

Die kurze Antwort: vier Begriffe, vier Aufgaben

Ein klassischer Virenschutz erkennt bekannte Schadsoftware anhand von Signaturen. EDR (Endpoint Detection and Response) beobachtet zusätzlich das Verhalten auf jedem Gerät und kann bei Verdacht eingreifen. XDR (Extended Detection and Response) verknüpft diese Daten mit E-Mail, Benutzerkonten, Cloud-Diensten und Netzwerk. MDR (Managed Detection and Response) ist kein Produkt, sondern ein Dienst: Fachleute bewerten die Meldungen und reagieren darauf.

Für die meisten KMU ist EDR auf allen Geräten heute die sinnvolle Grundlage. Wichtiger als die Abkürzung ist aber die Frage, wer die Warnmeldungen liest und was danach passiert. Anbieter verwenden die Begriffe nicht immer einheitlich, deshalb lohnt sich ein Blick auf die tatsächlichen Funktionen statt auf das Etikett.

Antivirus: signaturbasierter Schutz vor bekannter Schadsoftware

Klassischer Virenschutz vergleicht Dateien mit einer Datenbank bekannter Schadsoftware. Jede Signatur ist eine Art Fingerabdruck, etwa ein Hashwert der Datei oder ein typisches Codemuster. Passt eine Datei, wird sie blockiert oder in Quarantäne verschoben. Das funktioniert schnell und zuverlässig, solange die Schadsoftware bereits bekannt ist.

Moderne Produkte, oft als Endpoint Protection Platform (EPP) bezeichnet, ergänzen das um Heuristik, Reputationsprüfungen aus der Cloud und eine einfache Verhaltensüberwachung. Die Grenze bleibt dennoch: Viele Angriffe kommen heute ohne klassische Schaddatei aus. Angreifer melden sich mit gestohlenen Zugangsdaten an, nutzen Bordmittel wie PowerShell oder installieren legitime Fernwartungssoftware. Für einen klassischen Virenschutz sieht das oft unauffällig aus.

EDR: verhaltensbasierte Erkennung und Reaktion

EDR zeichnet laufend auf, was auf einem Gerät passiert: welche Prozesse starten, welche Programme sie aufrufen, welche Netzwerkverbindungen entstehen und welche Dateien sich ändern. Die Software wertet diese Daten lokal und in der Cloud aus und sucht nach Mustern, die auf einen Angriff hindeuten. Typische Beispiele sind:

• Aus einem Word-Dokument heraus startet eine Kommandozeile oder PowerShell und lädt Code aus dem Internet nach.
• Innerhalb kurzer Zeit werden sehr viele Dateien umbenannt oder verschlüsselt.
• Schattenkopien und lokale Sicherungen werden gelöscht.
• Ein Programm liest Anmeldedaten aus dem Arbeitsspeicher aus.
• Auf einem Server wird nachts ein Fernwartungsprogramm installiert, das sonst niemand nutzt.

Der zweite Teil des Namens ist genauso wichtig: Response. Ein EDR kann ein Gerät vom Netzwerk isolieren, sodass es nur noch mit der Verwaltungskonsole spricht, einen Prozess beenden oder eine Datei sperren. Zusätzlich liefert es eine Zeitleiste der Ereignisse, mit der sich nachvollziehen lässt, wie ein Angreifer hereingekommen ist und was er getan hat. Das hilft bei der Aufarbeitung und bei der Frage, welche Systeme noch betroffen sind.

XDR: Zusammenhänge über mehrere Quellen erkennen

XDR erweitert den Blick über das einzelne Gerät hinaus. Es führt Signale aus Endgeräten, E-Mail, Identitäten, Cloud-Anwendungen und teils auch aus Firewall und Netzwerk zusammen. So erkennt es Zusammenhänge, die in jeder Quelle für sich harmlos wirken.

Ein Beispiel: Eine Mitarbeiterin erhält eine Phishing-Mail, kurz danach meldet sich ihr Konto aus einem ungewöhnlichen Land an, im Postfach entsteht eine neue Weiterleitungsregel, und auf ihrem Notebook startet ein verdächtiger Prozess. Statt vier einzelner Meldungen in vier Konsolen zeigt XDR einen zusammenhängenden Vorfall. Das spart Zeit und erleichtert die Bewertung.

Seine Stärken spielt XDR vor allem dann aus, wenn E-Mail, Benutzerkonten und Endgeräte von einer Plattform stammen oder gut zusammenarbeiten. Ein SIEM sammelt dagegen Protokolle aus fast beliebigen Quellen. Es ist flexibler, aber deutlich aufwendiger in Einrichtung und Betrieb.

MDR: Fachleute bewerten die Meldungen

MDR ist eine Dienstleistung auf Basis von EDR oder XDR. Analystinnen und Analysten des Anbieters sichten die Warnmeldungen, prüfen Verdachtsfälle, ordnen sie ein und ergreifen vereinbarte Gegenmaßnahmen, etwa die Isolation eines Geräts. Viele MDR-Anbieter arbeiten rund um die Uhr. Für Unternehmen ohne eigenes Sicherheitsteam schließt MDR die Lücke zwischen guter Technik und fehlender Zeit.

Warum Warnmeldungen jemanden brauchen, der hinsieht

Jede Erkennungssoftware erzeugt Meldungen unterschiedlicher Qualität. Viele sind harmlos, etwa ein Administrationsskript, das zufällig verdächtig aussieht. Einige wenige sind ernst und zeitkritisch. Ob eine nächtliche Anmeldung von der Geschäftsführerin auf Dienstreise stammt oder von einem Angreifer, kann nur jemand zuverlässig beurteilen, der die Umgebung kennt.

Außerdem halten sich Angreifer nicht an Bürozeiten. Wird eine Meldung erst am Montag gelesen, kann aus einem einzelnen infizierten Notebook bereits ein verschlüsseltes Firmennetz geworden sein. Legen Sie deshalb im Voraus fest:

• Wer Warnmeldungen erhält und bewertet: die interne IT, Ihr IT-Dienstleister oder ein MDR-Anbieter.
• Zu welchen Zeiten Meldungen bearbeitet werden und wie schnell.
• Welche Reaktionen automatisch erfolgen, etwa die Isolation eines Geräts bei einer eindeutigen Ransomware-Erkennung.
• Wann die Geschäftsführung informiert wird und wer über weitere Schritte entscheidet.

Was im Ernstfall konkret zu tun ist, beschreiben wir im Beitrag zu den ersten 24 Stunden nach einem Ransomware-Angriff. Bei der Entscheidung, ob Sie die laufende Auswertung selbst übernehmen oder auslagern, hilft Ihnen unser Artikel Managed Security Services: Wann sich Auslagern lohnt.

Welche Lösung passt zu einem KMU?

Eine Einheitslösung gibt es nicht, wohl aber eine sinnvolle Reihenfolge. Für ein Büro mit 10 bis 100 Arbeitsplätzen ist dieses Vorgehen ein guter Ausgangspunkt:

1. EDR auf allen Notebooks, PCs und Servern einsetzen, nicht nur einen Virenschutz. Auch Macs und Server ohne angemeldete Benutzer gehören dazu.
2. Vorhandene Lizenzen prüfen: Manche Microsoft-365-Pakete für Unternehmen enthalten bereits EDR-Funktionen, die nur aktiviert und eingerichtet werden müssen.
3. Festlegen, wer Warnmeldungen bewertet und zu welchen Zeiten. Fehlt intern die Zeit, ist ein Dienstleister oder MDR die realistische Lösung.
4. Die Grundlagen nicht vergessen: Multi-Faktor-Authentifizierung, regelmäßige Updates und ein getestetes Backup verhindern viele Vorfälle, bevor ein EDR überhaupt eingreifen muss.
5. XDR prüfen, sobald E-Mail, Identitäten und Endgeräte auf einer Plattform laufen oder die Zahl der Meldungen spürbar wächst.

Auch Cyber-Versicherer und größere Kunden fragen in ihren Fragebögen häufig nach EDR. Wer dokumentiert, was eingesetzt wird und wer reagiert, hat die Antworten schnell zur Hand.

Fazit: Technik und Zuständigkeit gehören zusammen

Antivirus ist heute die Mindestausstattung, EDR die sinnvolle Grundlage für Unternehmen, XDR eine Erweiterung bei mehreren vernetzten Quellen und MDR die Antwort auf die Frage, wer hinsieht. Q-entra richtet Endpoint-Schutz mit EDR im Rahmen von Cyber Security ein und übernimmt mit Managed Security auf Wunsch den laufenden Betrieb und die Bewertung der Warnmeldungen in den vertraglich vereinbarten Zeiten.