EDR überwacht Clients und Server kontinuierlich auf verdächtiges Verhalten, zeichnet Prozess- und Netzwerkaktivität auf und erlaubt es, kompromittierte Systeme aus der Ferne zu isolieren.
Endpoint Detection and Response (EDR) ist die Weiterentwicklung des klassischen Virenschutzes. Statt Dateien nur gegen bekannte Signaturen zu prüfen, beobachtet ein EDR-Agent fortlaufend, was auf einem Endgerät geschieht: welche Prozesse starten, welche Eltern-Kind-Beziehungen sie haben, auf welche Speicherbereiche, Registry-Schlüssel und Netzwerkziele sie zugreifen. Aus diesen Telemetriedaten erkennt die Plattform verdächtige Verhaltensketten und erlaubt dem SOC, direkt einzugreifen.
Der zweite Teil des Namens ist entscheidend: Response. Analysten können einen Host vom Netz isolieren, Prozesse beenden, Dateien in Quarantäne nehmen und forensische Artefakte sichern, ohne physisch vor Ort zu sein.
So funktioniert EDR
- Telemetrie: Der Agent protokolliert Prozessstarts, Kommandozeilen, Skriptinhalte, Dateioperationen, Netzwerkverbindungen und Anmeldungen.
- Verhaltenserkennung: Regeln und Modelle bewerten Ketten, zum Beispiel Office startet PowerShell, die eine verschlüsselte Nutzlast nachlädt.
- Speicherschutz: Techniken wie Credential Dumping aus dem LSASS-Prozess oder Code-Injection werden erkannt oder blockiert.
- Rückblick: Analysten durchsuchen die gespeicherte Historie und rekonstruieren, wie ein Angreifer auf das System kam.
- Reaktion: Isolation, Prozessabbruch, Rollback und Remote-Shell für die Untersuchung.
Laufen die Daten mehrerer Ebenen (Identität, E-Mail, Netzwerk) zusammen, spricht man von XDR.
Bedeutung für Unternehmen
EDR ist heute die wichtigste einzelne Erkennungsquelle, weil Angriffe fast immer über einen Endpunkt laufen. Zugleich verschiebt sich das Angreiferverhalten: Laut CrowdStrike Global Threat Report 2026 waren 82 Prozent der Erkennungen malware-frei. Angreifer nutzen gültige Zugangsdaten und Bordmittel (Living off the Land) und bewegen sich damit genau in dem Bereich, in dem ein EDR zwischen Administrator und Angreifer unterscheiden muss.
Was wir in Einsätzen sehen: Der Agent ist nicht überall installiert. Server in der DMZ, Jump-Hosts, virtuelle Appliances und Systeme der OT bleiben ausgespart. Genau dort richten wir uns ein. Außerdem laufen viele Plattformen im reinen Erkennungsmodus, weil Blockieren die Produktion stören könnte, und die Alarme werden nicht zeitnah bearbeitet. Das CISA-Advisory AA23-059A zeigt den Fall einer reifen Organisation, in der EDR-Alarme erzeugt, aber nicht verfolgt wurden, bis das Red Team Domain Admin erreichte.
Praxis: Umsetzung und wie ein Red Team EDR umgeht
- Vollständige Abdeckung prüfen: Gleichen Sie die Agenten-Inventur regelmäßig mit Active Directory, Hypervisor und Cloud-Inventar ab. Jedes Gerät ohne Agent ist ein Startpunkt für Lateral Movement.
- Manipulationsschutz aktivieren: Lokale Administratoren dürfen den Agenten nicht deinstallieren oder stoppen können. Wir prüfen das in jedem Einsatz.
- Blockieren statt nur melden: Beginnen Sie mit Hochkonfidenz-Regeln im Blockiermodus und erweitern Sie schrittweise.
- Umgehungstechniken kennen: Red Teams arbeiten mit signierten Werkzeugen, verschleierten Nutzlasten, direkten Systemaufrufen und dem Entfernen von Überwachungshaken im Prozessspeicher. Erkennungen auf Verhaltensebene, etwa ungewöhnliche Kindprozesse oder Anmeldemuster, sind dagegen robust.
- Reaktionszeit messen: Legen Sie fest, wie schnell ein kritischer EDR-Alarm triagiert sein muss, und testen Sie es im Assumed Breach mit Zeitstempeln auf beiden Seiten.