EDR im Mittelstand: Endpoint Detection and Response auswählen, einführen und betreiben

EDR im Mittelstand bezeichnet den Einsatz von Endpoint Detection and Response, also einer Sicherheitslösung, die Aktivitäten auf Laptops, Desktops und Servern fortlaufend aufzeichnet, auf verdächtige Muster analysiert und bei Auffälligkeiten Gegenmaßnahmen ermöglicht. Sie geht damit über den klassischen Virenschutz hinaus, der vor allem bekannte Schadsoftware anhand von Signaturen erkennt.

Für mittelständische Unternehmen ist die Frage nach EDR längst keine Spezialistenfrage mehr. Angreifer nutzen zunehmend legitime Systemwerkzeuge, gestohlene Zugangsdaten und dateilose Techniken, die ein signaturbasierter Scanner nicht zuverlässig erkennt. Zugleich verlangen Cyberversicherer, Auftraggeber und Prüfer immer häufiger einen Nachweis, dass Endgeräte überwacht werden und auf Vorfälle reagiert werden kann.

Die Einführung wirft jedoch praktische Fragen auf: Was unterscheidet EDR von XDR und MDR? Welche Funktionen werden tatsächlich gebraucht? Wer wertet die Alarme aus, wenn keine eigene Sicherheitsabteilung existiert? Und wie lässt sich der Betrieb datenschutzkonform gestalten? Dieser Beitrag beantwortet diese Fragen, zeigt ein Vorgehen für Auswahl und Einführung und benennt typische Stolperfallen.

Titelbild: Foto von Philipp Katzenberger auf Unsplash.

Was EDR leistet und wie es funktioniert

Ein EDR-System besteht aus einem Agenten auf jedem Endgerät und einer zentralen Verwaltungs- und Analyseplattform. Der Agent zeichnet relevante Ereignisse auf, etwa gestartete Prozesse, Netzwerkverbindungen, Änderungen an Dateien und der Registry sowie Anmeldevorgänge. Die Plattform korreliert diese Daten, vergleicht sie mit bekannten Angriffsmustern und bewertet Verhaltensabweichungen.

Die Leistung lässt sich in vier Aufgaben gliedern. Erstens die Erkennung: Auffälliges Verhalten wird auch dann gemeldet, wenn keine bekannte Schadsoftware beteiligt ist. Zweitens die Untersuchung: Der aufgezeichnete Verlauf erlaubt es, nachzuvollziehen, wie ein Angriff begonnen hat und welche Systeme betroffen sind. Drittens die Eindämmung: Betroffene Geräte lassen sich aus der Ferne vom Netzwerk isolieren, Prozesse beenden oder Dateien in Quarantäne verschieben. Viertens die Bereinigung und Wiederherstellung, bei manchen Produkten bis hin zur Rücknahme von Verschlüsselungsaktionen.

Abgrenzung zum klassischen Virenschutz

Der klassische Virenschutz, oft als Antivirus oder Endpoint Protection bezeichnet, arbeitet in erster Linie präventiv und signaturbasiert. Er blockiert bekannte Schadprogramme. Moderne Produkte ergänzen dies um Verhaltensanalysen, doch die Sichtbarkeit nach einem Vorfall bleibt begrenzt. EDR liefert zusätzlich die forensische Spur und die Möglichkeit zur gezielten Reaktion. In der Praxis verschmelzen beide Kategorien: Viele Hersteller bieten Endpoint Protection und EDR in einem Agenten an.

EDR, MDR und XDR

Die Begriffe werden häufig vermischt. EDR bezeichnet die Technologie für Endgeräte. Managed Detection and Response (MDR) ist ein Dienst, bei dem ein externer Anbieter die Alarme rund um die Uhr auswertet und bei Bedarf Gegenmaßnahmen einleitet. Extended Detection and Response (XDR) erweitert die Datenbasis um weitere Quellen wie E-Mail, Identitäten, Cloud-Dienste und Netzwerk. Für den Mittelstand ist die Unterscheidung wichtig, weil sie über den Personalbedarf entscheidet: Eine EDR-Plattform ohne jemanden, der die Meldungen bearbeitet, bietet nur trügerische Sicherheit.

Warum EDR für mittelständische Unternehmen relevant ist

Mittelständische Betriebe sind für Angreifer attraktiv, weil sie häufig über wertvolle Daten und Produktionsabhängigkeiten verfügen, aber geringere Sicherheitsressourcen als Konzerne haben. Typische Angriffsketten beginnen mit einer Phishing-E-Mail oder einem kompromittierten Fernzugang. Von dort aus bewegen sich Angreifer über Tage oder Wochen durch das Netz, erweitern ihre Rechte und bereiten die Verschlüsselung oder den Datenabfluss vor.

Genau in dieser Phase zwischen Erstzugriff und Schaden entfaltet EDR seinen Nutzen. Verdächtige Muster wie das Auslesen von Zugangsdaten aus dem Arbeitsspeicher, ungewöhnliche Fernwartungsaktivitäten oder die massenhafte Umbenennung von Dateien lassen sich erkennen, bevor die eigentliche Schadwirkung eintritt. Hinzu kommt der Nutzen bei der Aufarbeitung: Ohne aufgezeichnete Daten lässt sich nach einem Vorfall oft nicht belegen, welche Daten betroffen waren, was für Meldepflichten und Schadensabwicklung entscheidend sein kann.

Ein Sicherheitswerkzeug ist nur so wirksam wie der Prozess, der auf seine Meldungen reagiert.

Anforderungen und Auswahlkriterien

Der Markt für EDR-Lösungen ist breit. Statt sich an Herstellernamen oder Testsiegern zu orientieren, empfiehlt sich ein Anforderungskatalog, der zur eigenen Lage passt. Die folgenden Kriterien haben sich bewährt.

Kriterium	Prüffrage
Abdeckung	Werden alle eingesetzten Betriebssysteme unterstützt (Windows, macOS, Linux, Server, ggf. mobile Geräte)?
Erkennungsqualität	Liegen unabhängige Testergebnisse vor? Wie hoch ist die Rate an Fehlalarmen?
Reaktionsfunktionen	Sind Isolation, Prozessbeendigung und Quarantäne aus der Konsole möglich?
Betriebsaufwand	Wie aufwendig sind Rollout, Pflege von Ausnahmen und Updates?
Betriebsmodell	Eigener Betrieb, MDR-Dienst oder Mischform? Wer ist außerhalb der Bürozeiten erreichbar?
Datenschutz	Wo werden Daten gespeichert und verarbeitet? Liegt ein Auftragsverarbeitungsvertrag vor?
Integration	Lässt sich die Lösung an SIEM, Ticketsystem oder Identitätsmanagement anbinden?
Gesamtkosten	Lizenz, Einführung, Schulung und Betrieb über mehrere Jahre betrachtet

Ein Proof of Concept auf einem repräsentativen Teil der Geräte, zum Beispiel zwanzig Systemen aus verschiedenen Abteilungen, deckt Kompatibilitätsprobleme und Fehlalarme auf, bevor eine Entscheidung fällt. Wichtig ist, dabei auch Spezialsysteme wie Produktionsrechner, Branchensoftware und ältere Anwendungen einzubeziehen.

Eigenbetrieb oder MDR: Wer wertet die Alarme aus?

Die wichtigste Weichenstellung im Mittelstand betrifft das Betriebsmodell. Ein Eigenbetrieb setzt voraus, dass qualifiziertes Personal Alarme bewertet, Fehlalarme von echten Vorfällen trennt und im Ernstfall entscheidet, was isoliert wird. Ein Angriff beginnt häufig nachts oder am Wochenende. Wer nur zu Bürozeiten reagieren kann, verschenkt den Vorteil der frühen Erkennung.

Ein MDR-Dienst verlagert die Auswertung an einen Anbieter mit rund um die Uhr besetzter Leitstelle. Das ist für die meisten mittelständischen Unternehmen die realistischere Variante, da der Aufbau eines eigenen Security Operations Centers zu aufwendig ist. Allerdings ersetzt MDR nicht die interne Verantwortung. Es muss festgelegt sein, welche Maßnahmen der Dienstleister selbstständig ergreifen darf, wer intern informiert wird und wie Eskalationen ablaufen.

Entscheidungshilfe

• Eigenbetrieb passt, wenn eine Sicherheitsabteilung oder ein IT-Team mit entsprechender Qualifikation und Rufbereitschaft vorhanden ist.
• MDR passt, wenn keine durchgehende Auswertung gewährleistet werden kann und die Reaktionsgeschwindigkeit wichtiger ist als volle Kontrolle über jeden Schritt.
• Mischform bedeutet, dass der Dienstleister die Erstbewertung übernimmt, kritische Entscheidungen aber intern getroffen werden. Sie erfordert klare Regeln und Erreichbarkeit.

Einführung in der Praxis: Vorgehen in sechs Schritten

Eine erfolgreiche Einführung ist weniger ein Technikprojekt als ein Betriebsprojekt. Das folgende Vorgehen hat sich in mittelständischen Umgebungen bewährt.

1. Bestandsaufnahme: Ein aktuelles Inventar der Endgeräte und Server bildet die Grundlage. Geräte, die nicht erfasst sind, bleiben auch ungeschützt.
2. Anforderungen und Betriebsmodell festlegen: Schutzbedarf, Betriebszeiten, Reaktionsrechte und Budget werden mit Geschäftsführung und IT abgestimmt.
3. Pilotphase: Rollout auf einer Testgruppe, Beobachtung der Fehlalarme, Anpassung von Richtlinien und Ausnahmen.
4. Gestufter Rollout: Zuerst unkritische Arbeitsplätze, dann Server und Produktionssysteme. Vor dem Rollout auf Produktionssystemen wird die Verträglichkeit mit Herstellern der Anlagensoftware geklärt.
5. Alarm- und Reaktionsprozess dokumentieren: Wer erhält welche Meldung? Wer darf ein Gerät isolieren? Wie wird die Geschäftsführung informiert? Die Abläufe werden in den Incident-Response-Plan aufgenommen.
6. Regelbetrieb und Verbesserung: Regelmäßige Überprüfung von Abdeckung, Richtlinien und Ausnahmen, Kennzahlen und gemeinsame Übungen mit dem Dienstleister.

Ein häufig übersehener Punkt ist die Behandlung von Ausnahmen. Um Fehlalarme zu vermeiden, werden Programme oder Pfade von der Überwachung ausgenommen. Jede Ausnahme ist jedoch eine potenzielle Lücke. Deshalb sollten Ausnahmen begründet, befristet und von einer verantwortlichen Person genehmigt werden.

Datenschutz, Mitbestimmung und Dokumentation

EDR zeichnet Verhaltensdaten auf Endgeräten auf und verarbeitet dabei zwangsläufig personenbezogene Daten, etwa Benutzernamen, Dateipfade, besuchte Adressen oder Programmnutzung. Der Einsatz bedarf einer Rechtsgrundlage, meist des berechtigten Interesses an der Gewährleistung der IT-Sicherheit nach Art. 6 Abs. 1 lit. f DSGVO, im Beschäftigungskontext ergänzend § 26 BDSG. Eine Interessenabwägung und eine Dokumentation im Verzeichnis von Verarbeitungstätigkeiten gehören dazu.

Praktisch bedeutet das: Der Zweck wird auf die Gefahrenabwehr begrenzt, eine Leistungs- und Verhaltenskontrolle der Beschäftigten ist auszuschließen. Zugriffe auf die Daten werden auf wenige Rollen beschränkt, Speicherfristen werden festgelegt, und die Beschäftigten werden transparent informiert. Besteht ein Betriebsrat, ist nach § 87 Abs. 1 Nr. 6 BetrVG zu prüfen, ob die technische Einrichtung zur Überwachung geeignet ist und damit mitbestimmungspflichtig sein kann. Eine Betriebsvereinbarung schafft Klarheit.

Wird ein externer Dienstleister eingebunden, ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich. Bei Anbietern außerhalb der Europäischen Union sind zusätzlich die Vorgaben zur Drittlandübermittlung zu beachten. Eine Einzelfallprüfung durch die oder den Datenschutzbeauftragten wird empfohlen. Die Hinweise ersetzen keine Rechtsberatung.

Reaktion im Alarmfall: Was in den ersten Minuten zählt

Ein Alarm mit hoher Schwere verlangt eine eingespielte Abfolge. Zuerst wird bewertet, ob es sich um einen echten Vorfall handelt. Anschließend entscheidet die berechtigte Person, ob das betroffene Gerät vom Netzwerk getrennt wird. Eine Isolation unterbricht die Arbeit der Anwenderin oder des Anwenders, verhindert aber die seitliche Ausbreitung. Bei Servern mit Produktionsbezug ist diese Entscheidung heikel und sollte vorab mit den Fachverantwortlichen abgestimmt sein.

Parallel dazu werden Spuren gesichert, bevor Systeme neu aufgesetzt werden. Die aufgezeichneten EDR-Daten sind dafür eine wertvolle Quelle, ersetzen aber keine vollständige forensische Sicherung bei schweren Vorfällen. Je nach Art des Vorfalls sind außerdem Meldepflichten zu prüfen, etwa gegenüber der Datenschutzaufsicht innerhalb von 72 Stunden nach Art. 33 DSGVO, wenn personenbezogene Daten betroffen sind. Solche Fristen verlangen, dass Einschätzung und Entscheidung binnen kurzer Zeit möglich sind.

Typische Fehler beim Einsatz von EDR

• Installation ohne Betriebskonzept: Die Software läuft, aber niemand bewertet die Meldungen. Das System liefert dann Daten, aber keine Sicherheit.
• Unvollständige Abdeckung: Server, Testgeräte, Privatgeräte im Netz oder externe Dienstleistergeräte bleiben außen vor.
• Zu viele Ausnahmen: Aus Bequemlichkeit werden ganze Verzeichnisse oder Programme ausgenommen, wodurch Angreifer genau dort Unterschlupf finden.
• Deaktivierung durch Nutzer: Ohne Manipulationsschutz können Anwender oder Angreifer den Agenten abschalten.
• Keine Übung: Der Ernstfall wird nie geprobt. Im Vorfall ist dann unklar, wer entscheidet.
• Falsche Erwartung: EDR ersetzt weder Patch-Management noch Multi-Faktor-Authentifizierung noch Datensicherung. Es ist ein Baustein im Zusammenspiel der Maßnahmen.

Kennzahlen für den Betrieb

Zur Steuerung genügen wenige Kennzahlen, die regelmäßig an die IT-Leitung oder Geschäftsführung berichtet werden.

• Abdeckungsgrad: Anteil der Geräte mit aktivem, aktuellem Agenten.
• Mittlere Zeit bis zur Erkennung und bis zur Reaktion: Zeitspanne zwischen Ereignis, Alarm und Eindämmung.
• Fehlalarmquote: Anteil der Alarme ohne sicherheitsrelevanten Hintergrund. Eine hohe Quote deutet auf ungünstige Richtlinien hin.
• Anzahl der Ausnahmen: Zahl und Alter der bestehenden Ausnahmeregeln.
• Offene Alarme: Anzahl unbearbeiteter Meldungen und ihr Alter.

Eine Beispielrechnung zur Einordnung der Kosten: Bei 250 Endgeräten und einem angenommenen Lizenzpreis von 4 bis 8 Euro je Gerät und Monat ergeben sich jährliche Lizenzkosten von 12.000 bis 24.000 Euro. Ein MDR-Dienst kommt je nach Umfang hinzu. Diese Zahlen dienen ausschließlich der Veranschaulichung. Entscheidend ist der Vergleich mit dem möglichen Schaden eines Ausfalls und mit den Anforderungen von Versicherern und Kunden.

Checkliste vor der Entscheidung

• Ein vollständiges Inventar aller Endgeräte und Server liegt vor.
• Das Betriebsmodell (Eigenbetrieb, MDR oder Mischform) ist festgelegt.
• Reaktionsrechte und Eskalationswege sind schriftlich geregelt.
• Datenschutzprüfung, Auftragsverarbeitungsvertrag und gegebenenfalls Betriebsvereinbarung sind erledigt.
• Ein Pilot mit repräsentativen Systemen ist durchgeführt.
• Manipulationsschutz und Ausnahmeverwaltung sind konfiguriert.
• Der Alarmprozess ist Bestandteil des Notfallplans und wird geübt.

Orientierung zu Mindestanforderungen und Maßnahmen bietet das IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik. Es beschreibt unter anderem Anforderungen an Schutz vor Schadprogrammen und an die Detektion von Sicherheitsvorfällen.

Fazit

EDR im Mittelstand ist dann sinnvoll, wenn Technik, Prozess und Verantwortung zusammenpassen. Die Software liefert Sichtbarkeit und Eingriffsmöglichkeiten, doch ihre Wirkung entsteht erst durch eine geregelte Auswertung, klare Befugnisse und regelmäßige Übung. Für die meisten Unternehmen ohne eigene Leitstelle ist ein MDR-Betrieb die pragmatische Lösung. Wer zusätzlich Datenschutz und Mitbestimmung früh berücksichtigt, schafft die Grundlage für eine Einführung, die von der Belegschaft und von Prüfern akzeptiert wird.

FAQ

Was bedeutet EDR?
EDR steht für Endpoint Detection and Response. Gemeint ist eine Sicherheitslösung, die Aktivitäten auf Endgeräten aufzeichnet, verdächtiges Verhalten erkennt und Gegenmaßnahmen wie die Isolation eines Geräts ermöglicht.

Ersetzt EDR den klassischen Virenschutz?
In der Regel nicht als separates Produkt, aber die Kategorien verschmelzen. Viele Hersteller bieten Schutz und EDR in einem Agenten an. Wichtig ist, dass sowohl präventive Blockierung als auch Erkennung und Reaktion abgedeckt sind.

Brauchen kleine und mittlere Unternehmen ein eigenes Security Operations Center?
In den meisten Fällen nicht. Ein MDR-Dienst übernimmt die rund um die Uhr erforderliche Auswertung der Alarme. Die Verantwortung für Entscheidungen und Eskalationen bleibt jedoch im Unternehmen und muss geregelt sein.

Ist der Einsatz von EDR datenschutzkonform möglich?
Ja, wenn eine Rechtsgrundlage besteht, der Zweck auf IT-Sicherheit begrenzt ist, Zugriffe beschränkt sind und die Beschäftigten informiert werden. Bei externen Dienstleistern ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Eine Einzelfallprüfung wird empfohlen.

Muss der Betriebsrat beim Einsatz von EDR beteiligt werden?
Sofern ein Betriebsrat besteht, ist zu prüfen, ob die Lösung zur Überwachung von Verhalten oder Leistung geeignet ist. Nach § 87 Abs. 1 Nr. 6 BetrVG kann dann ein Mitbestimmungsrecht bestehen. Eine frühzeitige Abstimmung und eine Betriebsvereinbarung sind üblich.

Wie lange dauert die Einführung von EDR?
Für Pilot und gestuften Rollout in einem Unternehmen mit mehreren hundert Geräten sind meist zwei bis drei Monate realistisch. Der Aufbau eines stabilen Regelbetriebs mit abgestimmten Richtlinien dauert erfahrungsgemäß länger.