Sie vergleichen Angebote für den Endpoint-Schutz und jedes zweite Datenblatt spricht von XDR. Das andere von EDR, manchmal von beidem. Die Preise liegen weit auseinander, die Funktionslisten klingen ähnlich. Was ist der Unterschied, und wo lohnt sich das Geld für ein Unternehmen mit 20, 50 oder 200 Mitarbeitenden?
Vorweg eine Klarstellung, die vieles erklärt.
EDR vs. XDR: Warum die Begriffe so unscharf sind
Für EDR und XDR gibt es keine verbindliche Definition. Keine Norm, keine Zertifizierungsstelle, kein Gremium, das festlegt, welche Funktionen ein Produkt haben muss, um sich so nennen zu dürfen. Die Begriffe stammen aus dem Marketing und aus Analystenberichten, nicht aus einem Standard.
Das hat eine praktische Konsequenz: Ein Hersteller kann Funktionen weglassen und sein Produkt trotzdem XDR nennen. Genauso kann ein als EDR bezeichnetes Produkt mehr leisten als ein Konkurrent mit dem grösseren Etikett. Vergleichen Sie deshalb nie die Bezeichnung, sondern immer die konkreten Fähigkeiten: Welche Datenquellen werden überwacht? Welche Reaktionen sind möglich? Wer schaut hin?
Mit dieser Brille lassen sich die Begriffe trotzdem sinnvoll einordnen.
Was EDR leistet und wo es aufhört
EDR steht für Endpoint Detection and Response. Ein Agent läuft auf Laptops, Desktops und Servern und beobachtet, was dort passiert: welche Prozesse starten, welche Dateien geschrieben werden, welche Netzwerkverbindungen aufgebaut werden, welche Änderungen an der Systemkonfiguration erfolgen.
Der Unterschied zu klassischem Antivirus liegt im Verhalten. Antivirus fragt: Kenne ich diese Datei als schädlich? EDR fragt: Ist das, was hier gerade abläuft, verdächtig? Ein Office-Dokument, das plötzlich ein Skript startet, welches dann Zugangsdaten ausliest, fällt auf, auch wenn keine der Komponenten einzeln als Schadsoftware bekannt ist.
Der zweite Teil, Response, umfasst typischerweise:
- Einen Rechner vom Netz isolieren, ohne ihn auszuschalten
- Prozesse beenden und Dateien in Quarantäne verschieben
- Den zeitlichen Ablauf eines Vorfalls rekonstruieren: Was passierte zuerst, was folgte daraus?
Die Grenze von EDR ist der Name: Endpoint. Es sieht nur, was auf den Geräten passiert. Blind ist es für alles andere:
- Anmeldungen an Microsoft 365 oder Google Workspace von einem fremden Gerät aus
- Änderungen an Mail-Weiterleitungsregeln
- Aktivitäten in Cloud-Konsolen wie Azure oder AWS
- Netzwerkverkehr zwischen Geräten ohne Agent, etwa Druckern oder Steuerungsanlagen
Ein Angreifer, der mit gestohlenen Zugangsdaten direkt in Ihrem Mailkonto landet, berührt keinen einzigen überwachten Endpoint. Ihr EDR meldet nichts. Nicht, weil es schlecht ist, sondern weil es dort nicht hinschaut.
Was XDR verspricht
Das X in XDR steht für Extended. Die Idee: Nicht nur Endpoints beobachten, sondern mehrere Quellen zusammenführen und miteinander in Beziehung setzen. Typische Quellen sind:
- Endpoints (also das, was EDR liefert)
- Identitäten: Anmeldungen, MFA-Ereignisse, Rechteänderungen
- E-Mail: Phishing-Erkennung, verdächtige Anhänge, Weiterleitungsregeln
- Netzwerk: Firewall-Logs, DNS-Anfragen, ungewöhnliche Verbindungen
- Cloud-Workloads und SaaS-Anwendungen
Der eigentliche Mehrwert ist die Korrelation. Drei schwache Signale, jedes für sich harmlos, ergeben zusammen ein klares Bild: eine Anmeldung aus einem ungewohnten Land, kurz danach eine neue Weiterleitungsregel im Postfach, dann ein Download-Versuch auf einem Laptop. Einzeln würde vielleicht keines eine Meldung auslösen. Zusammen ist das ein Vorfall.
Auch die Reaktion reicht weiter: Ein Konto sperren, eine Sitzung beenden, einen Absender blockieren, nicht nur einen Rechner isolieren.
Und hier kommt die eingangs erwähnte Unschärfe zurück. Manche Produkte, die XDR heissen, sind im Kern ein EDR mit einem zusätzlichen Konnektor für E-Mail. Andere decken tatsächlich Identität, Cloud und Netzwerk ab. Beides darf sich XDR nennen. Fragen Sie deshalb konkret:
- Welche Datenquellen werden nativ eingebunden, welche nur über Schnittstellen?
- Werden Ereignisse quellenübergreifend korreliert oder nur nebeneinander angezeigt?
- Welche Reaktionen kann ich ausserhalb der Endpoints auslösen?
- Wie lange werden die Daten aufbewahrt, und kann ich rückwirkend suchen?
Und wo bleibt das SIEM?
Wer sich mit XDR beschäftigt, stösst schnell auf einen dritten Begriff: SIEM, Security Information and Event Management. Ein SIEM sammelt Logs aus praktisch allen Systemen, speichert sie langfristig und erlaubt eigene Suchen und Regeln. Es ist die offene, flexible Variante: Sie entscheiden, welche Quellen angebunden werden, und Sie können jede Frage stellen, die sich in den Daten beantworten lässt.
Die Kehrseite: Ein SIEM liefert von sich aus wenig fertige Erkennung. Es braucht Regeln, Pflege und Leute, die mit den Daten arbeiten. Genau dort setzt XDR mit vorgefertigter, herstellergepflegter Logik an, dafür mit weniger Freiheit bei den Quellen.
Aus unserer Sicht schliessen sich die beiden nicht aus, sie ergänzen sich. Unsere Plattform ist deshalb als SIEM/SOAR gebaut, mit XDR-Anbindung: Unser Agent liefert die Endpoint-Telemetrie und die Logs aller angebundenen Quellen, das SIEM korreliert darüber hinweg, und der SOAR-Teil sorgt dafür, dass auf eine Erkennung direkt eine Reaktion folgen kann, aus derselben Oberfläche heraus. Weil die Erkennung im SIEM lebt, sind wir nicht auf das Regelwerk beschränkt, das ein herkömmliches XDR für den allgemeinen Fall mitbringt: Unser Regelbestand geht deutlich darüber hinaus und lässt sich auf Ihre Umgebung zuschneiden. Vorgefertigte Erkennung, wo sie hilft, offene Daten, wo Sie eigene Fragen haben.
Ehrlich gesagt: Keine Plattform, auch unsere nicht, funktioniert ohne Abstimmung auf Ihre Umgebung und ohne jemanden, der die Meldungen bearbeitet. Wer das anders verkauft, verspricht zu viel.
Was KMU wirklich brauchen
Die Frage EDR oder XDR ist eigentlich die falsche. Die richtige lautet: Wo würde ein Angriff bei Ihnen beginnen, und würden Sie ihn sehen?
Für die meisten KMU ergibt sich daraus eine klare Reihenfolge:
- Vollständige Endpoint-Abdeckung. Alle Laptops, alle Server, auch die Mac- und Linux-Geräte und die Testmaschine im Keller. Ein unüberwachtes Gerät ist die Lücke, durch die man kommt.
- Sicht auf Identitäten. Wenn Ihre Firma auf Microsoft 365 oder Google Workspace läuft, ist das Login Ihr eigentlicher Perimeter. Anmeldungen und Regeländerungen dort müssen überwacht werden, ob durch ein XDR oder eine separate Lösung.
- Jemand, der reagiert. Eine Meldung um drei Uhr morgens, die niemand liest, hilft nicht. Klären Sie, wer hinschaut, wie schnell und mit welcher Befugnis. Intern oder extern, beides geht, aber es muss definiert sein.
- Aufbewahrung und Nachvollziehbarkeit. Wenn Sie einen Vorfall drei Wochen später entdecken, brauchen Sie die Daten von damals. Prüfen Sie, wie lange gespeichert wird.
- Ein Test. Lassen Sie prüfen, ob die Erkennung im Ernstfall anschlägt. Ein Penetrationstest oder eine gezielte Angriffssimulation zeigt in wenigen Tagen, was Monate im Normalbetrieb verbergen.
Als Faustregel:
- Kleines Team, alles auf Laptops und M365, wenig eigene Infrastruktur: Ein solides EDR plus Überwachung der Identitäten deckt das Wesentliche ab, sofern die Reaktion geregelt ist.
- Eigene Server, Cloud-Workloads, mehrere Standorte oder regulatorische Anforderungen: Hier zahlt sich die Korrelation über Quellen hinweg aus. Eine XDR- oder SIEM-Kombination wird sinnvoll, weil einzelne Werkzeuge nebeneinander schnell unübersichtlich werden.
Und für beide gilt: Das beste Werkzeug, das niemand bedient, verliert gegen ein einfacheres, das jemand ernsthaft betreibt.
Fazit
EDR und XDR sind keine geschützten Begriffe. Schauen Sie hinter das Etikett: Welche Quellen werden überwacht, wird korreliert, welche Reaktionen sind möglich, wer arbeitet damit. EDR ist die Basis und für viele KMU ein guter Start, blind bleibt es aber für Identität, Cloud und E-Mail. XDR schliesst diese Lücke, wenn es tatsächlich mehrere Quellen zusammenführt und nicht nur so heisst.
Wenn Sie unsicher sind, was in Ihrer Umgebung fehlt, finden wir es gemeinsam heraus. In einem Consulting-Gespräch gehen wir Ihre Systeme durch und sagen Ihnen offen, wo Sie stehen und was Sie brauchen, auch wenn die Antwort lautet: weniger als gedacht. Oder Sie kontaktieren uns direkt mit Ihrer Frage. Einen Überblick über unsere Leistungen finden Sie unter Dienstleistungen.