MDR einfach erklärt
Moderne Schutzsoftware erzeugt viele Meldungen. Eine Lösung für Endpoint Detection and Response (EDR) erkennt verdächtige Abläufe auf PCs und Servern. Sie kann aber nicht in jedem Fall entscheiden, ob gerade ein Angriff läuft oder jemand im Team nur ungewöhnlich arbeitet. Diese Bewertung braucht Erfahrung, Zeit und jemanden, der auch dann hinsieht, wenn im Büro niemand mehr ist.
Genau hier stoßen kleine und mittlere Unternehmen an Grenzen. Ein eigenes Sicherheitsteam, das Meldungen zu jeder Tageszeit bewertet, ist für sie personell und finanziell kaum darstellbar. Viele IT-Dienstleister arbeiten wiederum zu den üblichen Geschäftszeiten.
Bei MDR übernimmt ein externes Team diese Aufgabe. Es bewertet die eingehenden Meldungen, sortiert harmlose Ursachen aus und handelt, sobald sich ein Angriff bestätigt. Das „Managed“ im Namen bezieht sich also weniger auf die Software als auf die Menschen und Abläufe dahinter. Erbracht wird der Dienst in der Regel von einem Security Operations Center (SOC): einem Team, das Sicherheitsmeldungen vieler Kunden zentral bearbeitet.
Was ein MDR-Dienst typischerweise umfasst
Der genaue Umfang unterscheidet sich je nach Angebot. Viele Angebote enthalten diese Bausteine:
- Überwachung: Die Daten der angebundenen Systeme werden fortlaufend ausgewertet.
- Bewertung: Fachleute prüfen Alarme, ordnen sie ein und filtern Fehlalarme heraus.
- Eingreifen: Im vereinbarten Rahmen isoliert das Team betroffene Geräte, sperrt Konten oder beendet Prozesse.
- Aktive Suche: Bei der sogenannten Bedrohungsjagd wird gezielt nach Spuren gesucht, die noch keinen Alarm ausgelöst haben.
- Bericht: Vorfälle werden dokumentiert, verbunden mit Empfehlungen, wie sich ähnliche Fälle künftig vermeiden lassen.
Abgrenzung zu verwandten Begriffen
EDR ohne MDR: Das Werkzeug ist vorhanden, die Auswertung liegt beim eigenen Team oder beim IT-Dienstleister. Das funktioniert, solange jemand die Meldungen zeitnah sieht und weiß, was dann zu tun ist.
Managed SOC: Der Begriff wird oft breiter verwendet. Neben Endgeräten werden dann auch Protokolle von Firewalls, Servern und Cloud-Diensten zentral ausgewertet. Im Markt verschwimmen die Grenzen; maßgeblich ist daher, was die jeweilige Leistungsbeschreibung tatsächlich enthält.
Incident Response: Damit ist die Bewältigung eines bereits eingetretenen Sicherheitsvorfalls gemeint, etwa mit forensischer Analyse. MDR erkennt und stoppt laufende Angriffe früh. Für die vollständige Aufarbeitung eines größeren Vorfalls braucht es in vielen Fällen zusätzlich ein Incident-Response-Team.
Worauf Sie bei der Auswahl achten sollten
Ob ein MDR-Dienst passt, hängt weniger vom Werbeversprechen ab als von den Details des Vertrags. Diese Fragen helfen beim Vergleich:
- Welche Systeme und Datenquellen werden angebunden – nur Endgeräte oder auch E-Mail und Cloud?
- Darf der Dienst selbst eingreifen, oder gibt er nur Empfehlungen?
- Welche Servicezeiten sind vereinbart, und gilt die Überwachung auch an Wochenenden und Feiertagen?
- Wer im Unternehmen wird informiert, und wie sieht die Meldekette aus?
- Wo werden die Daten verarbeitet, und gibt es einen Vertrag zur Auftragsverarbeitung?
- Wie arbeitet der Dienst mit Ihrem IT-Dienstleister zusammen, etwa wenn Systeme nach einem Vorfall neu aufgesetzt werden müssen?
Ein Samstagabend ohne Bürobesetzung
Angenommen, ein Logistikbetrieb mit rund sechzig Arbeitsplätzen hat eine eigene Administratorin und einen externen IT-Dienstleister, beide zu den üblichen Bürozeiten im Einsatz. An einem Samstagabend taucht auf dem Dateiserver eine Fernwartungs-Software auf, die niemand im Unternehmen eingerichtet hat. Wenig später versucht ein Prozess, den Endpoint-Schutz auf zwei Arbeitsplatzrechnern abzuschalten.
Das MDR-Team wertet beide Meldungen zusammen als Angriff, nimmt den Server vom Netz und stoppt die Prozesse. Dann ruft es die Person an, die in der Meldekette für solche Fälle benannt ist. Am Montag klären Administratorin und IT-Dienstleister, wie die Software auf den Server kam, und setzen das System sauber neu auf. So endet der Vorfall, bevor Daten verschlüsselt oder abgezogen werden, wie es bei Ransomware vorkommt.
MDR im Gesamtbild der IT-Sicherheit
MDR ersetzt keine Grundlagen. Ohne sauber eingerichteten Endpoint-Schutz, aktuelle Systeme und gepflegte Zugänge hat auch ein erfahrenes Analyseteam wenig in der Hand. Wie EDR auf PCs, Notebooks und Servern eingeführt und betrieben wird, beschreibt unsere Seite zu Endpoint Security. Einen Überblick über alle Schutzbausteine gibt der Bereich IT-Sicherheit für Unternehmen.
MDR als Dienst bieten wir selbst nicht an. Eine ausgelagerte Überwachung durch eine Sicherheitsleitstelle beschreibt unser Partner für offensive IT-Sicherheit, die Rootsektor IT-Security GmbH, auf der Seite Managed SOC & MDR bei Rootsektor (externe Website).