XDR (Extended Detection and Response) führt Telemetrie aus Endpunkten, Identitäten, E-Mail, Netzwerk und Cloud in einer Plattform zusammen und korreliert sie zu übergreifenden Vorfällen.
Extended Detection and Response (XDR) erweitert den Ansatz von EDR über den Endpunkt hinaus. Eine XDR-Plattform sammelt Telemetrie aus Endgeräten, Identitätsdiensten, E-Mail-Gateways, Firewalls, Cloud-Workloads und SaaS-Anwendungen, verknüpft die Ereignisse automatisch zu einem zusammenhängenden Vorfall und bietet Reaktionsmöglichkeiten über alle diese Ebenen hinweg: Host isolieren, Konto sperren, E-Mail zurückrufen, Sitzung beenden.
Der Unterschied zum SIEM liegt im Ansatz. Ein SIEM ist eine offene Datenplattform, in der das Unternehmen Quellen und Regeln selbst definiert. XDR liefert die Korrelation herstellerseitig vorgefertigt und funktioniert am besten, wenn die Datenquellen aus demselben Ökosystem stammen. Wird der Betrieb an einen Dienstleister ausgelagert, spricht man von Managed Detection and Response (MDR).
So funktioniert XDR
- Sensorik auf mehreren Ebenen: Endpunkt-Agent, Identitätsprovider, E-Mail-Schutz, Netzwerk-Sensor und Cloud-Konnektoren liefern Ereignisse in ein gemeinsames Datenmodell.
- Automatische Korrelation: Die Plattform verknüpft etwa eine Phishing-Mail, den Klick auf den Anhang, den Start eines Skripts und die anschließende Anmeldung des Kontos auf einem fremden Server zu einem Vorfall.
- Priorisierung: Statt Hunderter Einzelalarme sieht das SOC wenige Vorfälle mit Angriffskette und betroffenen Objekten.
- Reaktion über Ebenen hinweg: Gegenmaßnahmen lassen sich aus einer Oberfläche heraus auf Host, Konto und Postfach anwenden, teils automatisiert.
Bedeutung für Unternehmen
Für mittelständische Unternehmen ohne großes SOC-Team ist XDR oder MDR häufig der realistische Weg zu einer durchgehenden Angriffserkennung, wie sie NIS2 und der BSI-IT-Grundschutz fordern. Die Vorkorrelation senkt den Aufwand für Regelpflege und Triage erheblich.
Die Kehrseite ist die Abhängigkeit vom Hersteller: Was dessen Modelle nicht abdecken, sieht niemand, und eigene Erkennungslogik ist eingeschränkter möglich als im SIEM. Was wir in Einsätzen sehen: Die Korrelation funktioniert gut, solange der Angriff dem erwarteten Muster folgt. Nutzen wir stattdessen gültige Zugangsdaten, legitime Administrationswerkzeuge und bewegen uns in Systemen ohne Sensor, zerfällt die Angriffskette in unauffällige Einzelereignisse. Laut CrowdStrike Global Threat Report 2026 waren 82 Prozent der Erkennungen malware-frei; genau diese Klasse von Aktivität muss eine XDR-Plattform in Ihrer Umgebung zuverlässig sichtbar machen.
Praxis: Umsetzung und Prüfung
- Lücken in der Sensorik schließen: Identitätsprovider, VPN und Cloud-Audit-Logs sind für die Erkennung von Lateral Movement wichtiger als jede zusätzliche Netzwerkbox.
- Reaktionsrechte des Dienstleisters definieren: Darf der MDR-Anbieter eigenständig Hosts isolieren und Konten sperren? Legen Sie es vertraglich fest, inklusive Zeiten außerhalb der Bürozeiten.
- Automatisierung mit Augenmaß: Automatisches Sperren von Konten ist wirksam, kann aber von Angreifern auch als Störmittel missbraucht werden. Definieren Sie Ausnahmen für Notfallkonten.
- Mit echter Angreifertechnik validieren: Ein Purple-Teaming-Workshop zeigt TTP für TTP, welche Schritte die Plattform korreliert, welche sie nur als Einzelereignis protokolliert und welche unsichtbar bleiben. Das Ergebnis ist eine ATT&CK-Heatmap, die Sie gegenüber dem Hersteller und dem Dienstleister verwenden können.