EDR einfach erklärt
„Endpoint“ steht für das Endgerät: jeden PC, jedes Notebook und jeden Server. Bei EDR läuft auf jedem dieser Geräte ein Agent, ein schlankes Programm, das im Hintergrund mitschreibt. Es hält fest, welcher Prozess welchen anderen startet, wann Dateien in großer Zahl umgeschrieben werden, mit welchen Adressen im Internet das Gerät Kontakt aufnimmt und welches Konto sich wann anmeldet.
Diese Daten laufen in einer zentralen Konsole zusammen. Dort werden sie mit Regeln, Verhaltensmodellen und aktuellen Erkenntnissen über Angreifer abgeglichen. Klassischer Virenschutz fragt vor allem: Ist diese Datei bekannt schädlich? EDR fragt zusätzlich: Ist diese Abfolge von Ereignissen normal?
Ein Beispiel für so eine Abfolge: Ein Programm aus dem Download-Ordner trägt sich als geplante Aufgabe ein, damit es nach jedem Neustart wieder läuft. Danach entfernt es die lokalen Wiederherstellungspunkte und beginnt, Dateien auf einem Netzlaufwerk umzuschreiben. Jeder dieser Schritte kommt im Alltag vor. In dieser Reihenfolge ergeben sie ein deutliches Warnsignal.
Erkennen, aufzeichnen, reagieren
Der Name nennt Erkennung und Reaktion. Dazwischen liegt eine dritte Aufgabe, die oft unterschätzt wird: das Aufzeichnen.
Erkennen: Die Lösung bewertet Ereignisse und schlägt Alarm, wenn ein Muster auf einen Angriff hindeutet. Gute Systeme ordnen die Meldungen nach Schwere, damit nicht jede Kleinigkeit gleich wichtig erscheint.
Aufzeichnen: Auch nach einem Vorfall lässt sich nachvollziehen, was passiert ist. Wann kam der erste schädliche Prozess auf das Gerät? Welche anderen Rechner hat er kontaktiert? Diese Zeitleiste kann für die Aufarbeitung wertvoller sein als die Warnung selbst.
Reagieren: Betroffene Geräte lassen sich per Mausklick oder automatisch vom Netz isolieren. Die Verbindung zur Konsole bleibt dabei bestehen, sodass das Gerät weiter untersucht werden kann. Ebenso lassen sich einzelne Prozesse stoppen und auffällige Dateien sperren.
Warum klassischer Virenschutz allein nicht mehr genügt
Viele Angriffe kommen heute ohne auffällige Schadsoftware aus. Die Täter bedienen sich der Bordmittel von Windows, etwa der Kommandozeile und eingebauter Skriptsprachen, oder sie melden sich mit gestohlenen Zugangsdaten an. Für einen dateibasierten Scanner sieht das nach normaler Arbeit aus.
Besonders deutlich wird der Unterschied bei Ransomware. Bevor die Verschlüsselung beginnt, erkunden die Täter in vielen Fällen das Netz, suchen Datensicherungen und weiten ihre Rechte aus. EDR kann genau diese Vorbereitungen sichtbar machen und Massenänderungen an Dateien früh stoppen.
Eine Erweiterung ist XDR („Extended Detection and Response“). Hier fließen neben den Endgeräten auch Daten aus E-Mail, Cloud-Diensten oder dem Netzwerk in die Auswertung ein.
Die Kehrseite: Alarme brauchen Menschen
EDR liefert Hinweise, aber jemand muss sie bewerten. Nicht jede Warnung ist ein Angriff, und eine echte Warnung, die niemand liest, schützt nicht. Kleine und mittlere Unternehmen sollten deshalb vorher klären, wer Meldungen prüft und welche Reaktionen das System selbstständig ausführen darf.
Automatische Isolation bei eindeutigen Mustern ist für viele Betriebe ein guter Mittelweg. Wer eine personell besetzte Auswertung braucht, kann sie als Dienstleistung einkaufen. Diese Variante heißt Managed Detection and Response (MDR).
Wenn der Virenschutz schweigt
Angenommen, in einem Planungsbüro mit rund fünfundzwanzig Arbeitsplätzen lädt eine Mitarbeiterin ein vermeintliches Update für ein Zeichenprogramm von einer gefälschten Webseite. Der Virenschutz schlägt nicht an, weil die Schadsoftware neu ist. Die EDR-Lösung bemerkt jedoch, dass das Programm nacheinander Verbindungen zu anderen Rechnern im Netz aufbaut und dort Befehle ausführen will. Sie beendet den Prozess und isoliert das Notebook automatisch.
Bei der Auswertung zeigt die Zeitleiste, dass auf keinem anderen Gerät ein Befehl angekommen ist. Das Passwort der Mitarbeiterin wird vorsorglich zurückgesetzt, das Notebook neu eingerichtet. Ohne EDR wäre der Vorgang vermutlich erst aufgefallen, als bereits mehr passiert war.
Manche Cyberversicherer fragen vor Vertragsabschluss nach, ob ein solcher Schutz vorhanden ist. Welche Maßnahmen typischerweise verlangt werden, zeigt unser Ratgeber zu den Anforderungen einer Cyberversicherung.
Wie ProNet unterstützt
Wir richten zentral verwalteten Endpoint-Schutz mit EDR für Ihre Arbeitsplätze und Server ein. Welche Reaktionen automatisch erfolgen und wer bei Meldungen informiert wird, vereinbaren wir mit Ihnen. Den Patch-Stand Ihrer Geräte behalten wir dabei im Blick, weil er ein Teil des Schutzes ist. Wie das im Einzelnen aussieht, steht auf der Seite Endpoint Security für Unternehmen.