Deutsch
Menü

Virenschutz vs. EDR vs. XDR: Verhindern oder Erkennen, Aufzeichnung, Reaktion

Alle drei schützen Endgeräte vor Angriffen, unterscheiden sich aber in Zweck und Umfang. Virenschutz-Software (eine EPP, Endpoint Protection Platform) soll Schadsoftware stoppen, bevor sie läuft, und nutzt dazu bekannte Muster von Schadsoftware und verdächtige Merkmale. EDR geht davon aus, dass sich Eindringen nicht vollständig verhindern lässt: Es zeichnet Prozesse, Dateien und Netzwerkaktivität auf dem Endgerät fortlaufend auf, findet verdächtiges Verhalten und unterstützt Untersuchung und Reaktion, etwa durch Isolieren des Endgeräts. XDR korreliert Aufzeichnungen nicht nur von Endgeräten, sondern auch aus Netzwerk, E-Mail, Cloud-Diensten und Identitätsauthentifizierung, um den Verlauf eines Angriffs in der ganzen Organisation zu finden. Die meisten Organisationen kombinieren einen Mechanismus, der Angriffe stoppt, mit einem, der das Durchgeschlüpfte findet und darauf reagiert.

MerkmalVirenschutz (EPP)EDRXDR
HauptzweckSchadsoftware finden und stoppen, bevor sie läuft (Prävention)Verdächtige Aktivität nach einem Eindringen finden, untersuchen und darauf reagieren (Erkennung und Reaktion)Angriffe, die sich über Endgeräte, Netzwerk, E-Mail, Cloud und mehr erstrecken, gemeinsam finden und darauf reagieren
UmfangDateien auf dem Endgerät und Programme, die gerade gestartet werden sollenAktivität auf dem Endgerät: Prozessstarts, Datei- und Registry-Änderungen, Netzwerkverbindungen, AnmeldungenAufzeichnungen von Endgeräten plus Netzwerk, E-Mail, Cloud-Diensten und Identitätsauthentifizierung
Wichtigste ErkennungsmethodeAbgleich mit bekannten Mustern von Schadsoftware (Signaturen); viele Produkte bewerten zudem anhand von Merkmalen, wie verdächtig eine Datei istErkennung durch Verhaltensregeln und Wissen über Angriffstechniken (etwa ATT&CK); Suche nach IoCsErkennung, die Ereignisse aus mehreren Quellen korreliert und für sich genommen schwache Anzeichen kombiniert
Was aufgezeichnet wirdVor allem Erkennungsergebnisse; Aktivität auf dem Endgerät wird selten lange aufbewahrtAktivität auf dem Endgerät wird fortlaufend aufgezeichnet, sodass sie rückwirkend untersucht werden kannAufzeichnungen aus mehreren Quellen werden gesammelt und an einem Ort gespeichert
Reaktion nach der ErkennungDateien löschen oder in Quarantäne verschiebenProzesse beenden, Endgerät vom Netzwerk isolieren und Auswirkungen untersuchen, ferngesteuert über die KonsoleEndgeräte isolieren plus bereichsübergreifende Maßnahmen wie das Sperren von Konten oder Löschen von E-Mails
Stärke gegen unbekannte AngriffeÜbersieht leicht neue Schadsoftware, die nicht in den Mustern steht, und Angriffe, die legitime Betriebssystemfunktionen missbrauchenDateilose Angriffe und Missbrauch legitimer Werkzeuge lassen sich leichter am Verhalten erkennenAngriffsabläufe, die vom Endgerät allein nicht sichtbar sind, etwa Eindringen per E-Mail mit anschließender seitlicher Ausbreitung, lassen sich leichter finden
BetriebsaufwandRelativ gering; automatisches Stoppen ist die RegelBraucht Personal, das Alarme sichtet und untersucht; oft mit einem SOC oder einem externen Überwachungsdienst kombiniertGroßer Umfang; braucht Integrationseinstellungen und ein Team, das Alarme bewertet
GrenzenSchwer zu erkennen, was etwas Durchgeschlüpftes im Endgerät getan hatSieht nichts außerhalb des Endgeräts (Netzwerkgeräte, Cloud, nicht verwaltete Endgeräte)Der integrierbare Umfang unterscheidet sich je nach Produkt; das Sammeln von Aufzeichnungen ersetzt nicht die Menschen und Abläufe, die sie bewerten

Die Zahlenwerte sind typische Größenordnungen und variieren je nach Prozessgeneration und Produkt.

Wann welche Variante?

Virenschutz (EPP)
Die Grundmaßnahme auf jedem Endgerät. Stoppt viel bekannte Schadsoftware, ohne auf eine menschliche Entscheidung zu warten.
EDR
Wenn man davon ausgeht, dass Eindringlinge durchkommen können, und sie früh finden und den Schaden begrenzen will. Wird auch bei Untersuchungen im Rahmen der Incident Response genutzt, um nachzuvollziehen, was auf einem Endgerät geschehen ist.
XDR
Wenn Endgeräte, E-Mail, Cloud usw. über getrennte Konsolen überwacht werden und der Verlauf eines Angriffs an einem Ort verfolgt werden soll. Seine Rolle überschneidet sich mit einem SIEM; daher ist festzulegen, wie es die Arbeit mit vorhandenen Systemen teilt.

Häufige Fragen

Brauche ich mit EDR noch Virenschutz?

Die Rollen unterscheiden sich, daher werden meist beide eingesetzt. Virenschutz ist stark darin, bekannte Schadsoftware vor der Ausführung automatisch zu stoppen; EDR ist stark darin, die Aktivität durchgeschlüpfter Angriffe zu finden, zu untersuchen und darauf zu reagieren. Viele Produkte bieten beide Funktionen zusammen.

Warum braucht EDR menschliche Reaktion?

Weil EDR-Alarme auch legitime Verwaltungsarbeit und Geschäftswerkzeuge enthalten, die als verdächtig eingestuft wurden. Zu entscheiden, ob es wirklich ein Angriff ist, den Umfang zu untersuchen und Maßnahmen wie die Isolierung zu wählen, erfordert den Betrieb durch Personal, ein SOC oder einen externen Überwachungsdienst. Schaut niemand auf die Alarme, können die Aufzeichnungen allein den Schaden nicht begrenzen.

Was ist der Unterschied zwischen XDR und einem SIEM?

Beide sammeln und korrelieren Aufzeichnungen aus mehreren Quellen. Ein SIEM wird aber meist als Plattform beschrieben, die Logs breit aus vielen Gerätearten sammelt, analysiert und speichert, während XDR sich darauf konzentriert, eine festgelegte Auswahl an Quellen wie Endgeräte und E-Mail tief zu integrieren und von der Erkennung bis zur Reaktion alles in einem System abzudecken. Die Grenze unterscheidet sich je nach Produkt; daher sollte man prüfen, was gesammelt wird und wie weit sich die Reaktion automatisieren lässt.

Verständnis prüfen

Welche Aussage beschreibt ein Merkmal von EDR (Endpoint Detection and Response) im Vergleich zu herkömmlicher Antivirensoftware richtig?

  1. AEs zeichnet fortlaufend Verhalten auf dem Endgerät wie Prozessstarts und Verbindungen auf, erkennt verdächtige Aktivitäten und unterstützt Reaktionen wie das Isolieren des Endgeräts
  2. BEs prüft nur, ob Dateien mit Merkmalen bekannter Malware übereinstimmen, und löscht übereinstimmende Dateien, zeichnet aber kein Verhalten auf
  3. CEs wird nicht auf dem Endgerät, sondern an der Netzwerkgrenze eingesetzt und blockiert von außen eintreffende Pakete anhand von IP-Adresse und Portnummer
Antwort und Erläuterung anzeigen

Antwort: A. Es zeichnet fortlaufend Verhalten auf dem Endgerät wie Prozessstarts und Verbindungen auf, erkennt verdächtige Aktivitäten und unterstützt Reaktionen wie das Isolieren des Endgeräts

Herkömmliche Antivirensoftware vergleicht vor allem Dateien mit Merkmalen bekannter Malware und soll das Eindringen am Eingang verhindern. EDR geht davon aus, dass sich ein Eindringen nicht vollständig verhindern lässt, zeichnet auf dem Endgerät fortlaufend Prozessstarts, Änderungen an Dateien und Einstellungen, Netzwerkverbindungen usw. auf und erkennt verdächtiges Verhalten. Typisch ist, dass sich anhand der Aufzeichnungen rückwirkend Eindringweg und Ausmaß untersuchen lassen, dass das Endgerät aus der Ferne vom Netzwerk isoliert und verdächtige Prozesse gestoppt werden können. Heute bieten viele Produkte Virenschutz und EDR in einem Produkt an.

Wenn ein eingedrungener Angreifer möglichst keine eigene Malware verwendet, sondern mit bereits im Betriebssystem vorhandenen legitimen Werkzeugen wie PowerShell, WMI oder den Standardfunktionen zur Fernverwaltung arbeitet, spricht man von „Living off the Land“. Welcher Ansatz zur Abwehr dieser Methode ist am besten geeignet?

  1. ADie ausführbaren Dateien legitimer Werkzeuge sind digital signiert; eine Antivirensoftware, die Signaturen prüft, kann den Angriff daher erkennen
  2. BAngriffe mit legitimen Werkzeugen sind nicht erkennbar; daher gibt man Maßnahmen nach einem Eindringen auf und investiert nur in die Abwehr am Eingang
  3. CAufzeichnen, von wem, mit welchen Argumenten und aus welchem Elternprozess legitime Werkzeuge gestartet werden, ungewöhnliche Verwendungen erkennen und die Personen und Endgeräte einschränken, die Verwaltungswerkzeuge nutzen dürfen
Antwort und Erläuterung anzeigen

Antwort: C. Aufzeichnen, von wem, mit welchen Argumenten und aus welchem Elternprozess legitime Werkzeuge gestartet werden, ungewöhnliche Verwendungen erkennen und die Personen und Endgeräte einschränken, die Verwaltungswerkzeuge nutzen dürfen

Bei Living-off-the-Land-Angriffen sind die verwendeten Programme selbst legitim und signiert; Verfahren, die bekannte Malware an Dateimerkmalen erkennen, finden sie daher nicht. Stattdessen werden mit EDR oder Logs des Betriebssystems (Aufzeichnung von PowerShell-Skripten, Prozessstarts usw.) die Argumente von Befehlen und die Eltern-Kind-Beziehungen gesammelt, und Abweichungen vom normalen Arbeitsablauf wie „eine Anwendung, die ein Dokument geöffnet hat, startet PowerShell“ oder „ein langer, kodierter Befehl wird ausgeführt“ dienen als Hinweise für die Erkennung. Zusätzlich werden die Benutzer und Endgeräte, die Verwaltungswerkzeuge nutzen dürfen, begrenzt und nur zugelassene Anwendungen zur Ausführung erlaubt, damit dem Angreifer weniger Werkzeuge zur Verfügung stehen.

Welche Kombination beschreibt die Rollen von SIEM, SOAR und SOC in der Sicherheitsüberwachung richtig?

  1. ASIEM ist Software zur Aufzeichnung des Verhaltens von Endgeräten, SOAR ein Gerät zur Verschlüsselung der Kommunikation und SOC eine Kennnummer für Schwachstellen
  2. BSIEM ist ein System zur automatischen Ausführung von Reaktionsabläufen, SOAR ein System, das Logs aller Geräte sammelt und analysiert, und SOC ein Entwicklungsteam, das sich um Produktschwachstellen kümmert
  3. CSIEM ist ein System, das Logs vieler Geräte sammelt und korreliert, SOAR ein System, das Reaktionsabläufe (Playbooks) automatisch ausführt, und SOC die Organisation, die damit überwacht
Antwort und Erläuterung anzeigen

Antwort: C. SIEM ist ein System, das Logs vieler Geräte sammelt und korreliert, SOAR ein System, das Reaktionsabläufe (Playbooks) automatisch ausführt, und SOC die Organisation, die damit überwacht

Ein SIEM (Security Information and Event Management) sammelt Logs von Firewalls, Servern, EDR, Cloud-Diensten usw. an einer Stelle, gleicht die Zeitangaben ab und meldet Angriffsverdacht als Warnung anhand von Regeln, die mehrere Ereignisse kombinieren (Korrelationsanalyse). SOAR (Security Orchestration, Automation and Response) führt auf Warnungen hin festgelegte Abläufe wie Informationssammlung, Isolieren von Endgeräten und Sperren von Konten als Playbooks automatisch aus und entlastet die Analysten. Das SOC (Security Operations Center) ist die Organisation, die mit diesen Systemen überwacht, Warnungen analysiert, beurteilt, ob ein Sicherheitsvorfall vorliegt, und darüber berichtet; oft arbeitet es im 24-Stunden-Betrieb. Die Reaktion auf die vom SOC festgestellten Vorfälle wird häufig vom CSIRT federführend vorangetrieben.

  1. Welche Aussage über die in der Bedrohungserkennung verwendeten Begriffe IoC (Indicator of Compromise) und IoA (Indicator of Attack) ist richtig?
  2. Welche Aussage beschreibt einen Zero-Day-Angriff richtig?

Übungsfragen zu Cyberangriffe und Abwehr in der Praxis

Wichtige Begriffe erklärt

EDR (Endpoint Detection and Response)
Abkürzung für Endpoint Detection and Response. Sicherheitsprodukt, das auf Endgeräten (Endpoints) wie PCs und Servern Prozessstarts, Änderungen an Dateien und Einstellungen, Netzwerkverbindungen usw. fortlaufend aufzeichnet, verdächtiges Verhalten erkennt und Untersuchung und Reaktion (Isolieren des Endgeräts, Stoppen von Prozessen usw.) unterstützt. Anders als herkömmliche Antivirensoftware, die Dateien bekannter Malware erkennt, geht es davon aus, dass sich ein Eindringen nicht vollständig verhindern lässt, und soll Aktivitäten nach dem Eindringen aufdecken.
SIEM (Security Information and Event Management)
Abkürzung für Security Information and Event Management. System, das Logs von Firewalls, Servern, EDR, Cloud-Diensten, Authentifizierungsinfrastruktur usw. an einer Stelle sammelt, Format und Zeitangaben vereinheitlicht, mit Regeln, die mehrere Ereignisse kombinieren (Korrelationsanalyse), Angriffsverdacht erkennt und als Warnung meldet. Es dient auch zur Log-Suche bei Untersuchungen und zur langfristigen Aufbewahrung von Logs, die Vorschriften verlangen. Es ist eines der zentralen Werkzeuge, mit denen die Analysten eines SOC (Security Operations Center) überwachen.
Security Operations Center
Organisation oder Standort, die Netzwerk, Endgeräte und Cloud einer Organisation fortlaufend überwacht, Warnungen von SIEM und EDR analysiert, beurteilt, ob ein Sicherheitsvorfall vorliegt, und an die für die Reaktion Zuständigen berichtet. Abgekürzt SOC (nicht zu verwechseln mit dem SoC eines Chips). Sie arbeitet oft im 24-Stunden-Betrieb, und viele Organisationen betreiben sie nicht selbst, sondern beauftragen externe Dienstleister. Die Reaktion auf festgestellte Sicherheitsvorfälle erfolgt in Zusammenarbeit mit dem CSIRT.
IoC (Indicator of Compromise)
Abkürzung für Indicator of Compromise; konkrete Spur, die zeigt, dass ein System kompromittiert wurde, etwa der Hashwert einer Malware-Datei, die IP-Adresse oder der Domainname eines C2-Servers oder ein charakteristischer Dateiname. IoCs werden zwischen Organisationen und über Threat Intelligence geteilt und mit den eigenen Logs und Endgeräten abgeglichen, um festzustellen, ob man von demselben Angriff betroffen ist. Da Angreifer Hashwerte und IP-Adressen leicht ändern können, werden sie mit IoAs (Indicator of Attack, Angriffsindikator), die auf das Verhalten des Angreifers achten, und mit einer an Vorgehensweisen orientierten Erkennung kombiniert.
Incident Response
Die Gesamtheit der Tätigkeiten, mit denen bei einem Sicherheitsvorfall wie einem Cyberangriff der Schaden entdeckt und seine Ausbreitung gestoppt, die Ursache beseitigt, der Betrieb wiederhergestellt und aus den Lehren für das nächste Mal gelernt wird. Die zweite Ausgabe (2012) von SP 800-61 des US-amerikanischen NIST beschreibt die vier Phasen Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung sowie Nachbereitung; die dritte Ausgabe von 2025 wurde an Version 2.0 des Cybersecurity Framework (CSF) angepasst und neu gegliedert. In der Organisation steht das CSIRT im Mittelpunkt und arbeitet mit SOC, Systemverantwortlichen, Rechtsabteilung, Öffentlichkeitsarbeit, Geschäftsleitung usw. zusammen.
Lateral Movement
Vorgehen eines in das Netzwerk einer Organisation eingedrungenen Angreifers, der vom zuerst übernommenen Endgerät aus mit gestohlenen Zugangsdaten oder legitimen Verwaltungswerkzeugen die Kompromittierung nacheinander auf weitere Endgeräte und Server ausdehnt. Es wird auch seitliche Ausbreitung genannt und dient dazu, sich den Zieldaten oder Systemen mit Administratorrechten zu nähern. Abgewehrt und erkannt wird es durch je Endgerät unterschiedliche Administratorpasswörter, das Blockieren unnötiger Verbindungen zwischen Endgeräten (Mikrosegmentierung), die Verwaltung privilegierter Konten, die Überwachung von Authentifizierungslogs usw.
MITRE ATT&CK
Von der US-amerikanischen gemeinnützigen Forschungsorganisation MITRE veröffentlichte Wissensbasis über Vorgehensweisen von Angreifern, die in realen Angriffen beobachtet wurden. Sie gliedert sie in „Taktiken“ (Tactics), die das Ziel des Angreifers beschreiben (Erstzugriff, Persistenz, Rechteausweitung, Lateral Movement, Datenausschleusung usw.), und „Techniken“ (Techniques), die die konkreten Methoden zu deren Erreichen beschreiben, und vergibt Kennnummern für die Techniken. Die Verteidigung nutzt sie, um zu prüfen, welche Vorgehensweisen ihre Erkennung und Abwehr abdecken, und um Vorgehensweisen in Threat-Intelligence-Berichten in einer gemeinsamen Sprache zu beschreiben.
Zero-Day-Angriff
Angriff, der eine Schwachstelle einer Software im Zeitraum nach ihrer Entdeckung, aber vor der Bereitstellung einer Korrektur (Patch) ausnutzt. Da Patches ihn nicht verhindern können, wird der Schaden mit mehreren Verteidigungsschichten begrenzt.

Verwandte Vergleiche