EDR statt Virenscanner: Was der Unterschied im Ernstfall bedeutet

„Wir haben doch einen Virenscanner.“ Das stimmt fast immer, und es hat in den meisten Fällen, die wir nach einem Vorfall gesehen haben, nicht gereicht. Nicht, weil der Scanner schlecht war, sondern weil er für eine andere Art von Angriff gebaut wurde als die, die heute stattfindet.

Dieser Artikel erklärt den Unterschied zwischen einem klassischen Virenscanner und Endpoint Detection and Response, kurz EDR, an einem typischen Angriff. Er ordnet die Begriffe XDR und MDR ein und sagt, für wen welche Stufe sinnvoll ist.

Was ein Virenscanner tut

Ein klassischer Virenscanner prüft Dateien. Er vergleicht sie mit einer Liste bekannter Schadprogramme, den Signaturen, und seit einigen Jahren zusätzlich mit Mustern, die auf Schadsoftware hindeuten. Findet er einen Treffer, blockiert er die Datei oder verschiebt sie in Quarantäne. Das funktioniert gut gegen Schadsoftware, die schon einmal irgendwo aufgefallen ist, und das ist nach wie vor ein großer Teil.

Die Grenze liegt in der Frage, die der Scanner stellt: „Ist diese Datei bekannt schädlich?“ Ein Angriff, der keine bekannte Datei mitbringt, wird von dieser Frage nicht erfasst. Und die meisten gezielten Angriffe auf Unternehmen bringen heute keine mit.

Wie ein Angriff heute aussieht

Ein Mitarbeiter in der Buchhaltung öffnet eine Mail mit einer angeblichen Rechnung. Der Anhang ist ein Dokument mit einem Skript, das beim Öffnen ein Bordmittel von Windows startet, etwa die PowerShell. Das Skript lädt nichts herunter, was ein Scanner kennen könnte; es nutzt, was auf dem Rechner ohnehin vorhanden ist. Es liest gespeicherte Zugangsdaten aus, schaut sich im Netz um und meldet sich bei einem Server des Angreifers.

In den folgenden Tagen bewegt sich der Angreifer mit den erbeuteten Zugangsdaten von Rechner zu Rechner, ebenfalls mit Bordmitteln: Fernwartung, Verwaltungswerkzeuge, die jeder Administrator benutzt. Er sucht das Backup, die Fileserver, die Domänencontroller. Schließlich, an einem Freitagabend, startet er die Verschlüsselung auf allen erreichbaren Systemen gleichzeitig.

Der Virenscanner hat währenddessen keine bekannt schädliche Datei gesehen. Er hat auch beim Verschlüsseln nichts gemeldet, denn das Verschlüsseln von Dateien ist an sich keine Schadfunktion; Windows tut es selbst. Am Montag ist der Betrieb still.

Was EDR anders macht

EDR stellt eine andere Frage: „Was tut dieser Prozess, und ist das normal?“ Der Agent beobachtet laufend, welche Programme starten, welche Verbindungen sie aufbauen, welche Dateien sie anfassen und welche Rechte sie anfordern. Er bewertet die Kette dieser Ereignisse, nicht die einzelne Datei.

Im Beispiel oben sieht EDR: Ein Bürodokument startet die PowerShell, die PowerShell liest Zugangsdaten aus dem Speicher und baut eine Verbindung nach außen auf. Jede dieser Handlungen hat für sich einen harmlosen Zweck; zusammen und in dieser Reihenfolge sind sie ein bekanntes Angriffsmuster, das in der öffentlichen MITRE-Sammlung von Angriffstechniken beschrieben ist. Der Agent schlägt Alarm, bevor der Angreifer den zweiten Rechner erreicht.

Dann folgt der zweite Teil des Namens, Response: Der Agent kann das Gerät vom Netz isolieren, so dass es noch mit der Konsole spricht, aber mit nichts sonst. Er kann den Prozess beenden, die Datei in Quarantäne nehmen und ein forensisches Abbild sichern. Beginnt trotzdem eine Verschlüsselung, erkennt er sie am Verhalten, stoppt sie und stellt die bereits verschlüsselten Dateien aus einem Zwischenspeicher wieder her. Und er zeigt die Angriffskette als Grafik: welcher Klick, welches Skript, welche Verbindung, in welcher Reihenfolge.

Der Unterschied in fünf Punkten

Zusammengefasst unterscheiden sich Virenscanner und EDR in dem, was sie sehen, was sie tun und was sie danach wissen.

Erkennung: Der Scanner erkennt bekannte Dateien. EDR erkennt Verhalten, auch mit Bordmitteln und ohne bekannte Datei.
Reaktion: Der Scanner blockiert eine Datei. EDR isoliert das Gerät, beendet Prozesse und rollt Verschlüsselung zurück.
Sichtbarkeit: Der Scanner meldet einen Treffer. EDR zeigt die ganze Kette vom ersten Klick bis zur Verbindung nach außen.
Nachbereitung: Nach dem Scanner-Treffer bleibt die Frage, wie die Datei hereinkam. Nach dem EDR-Alarm ist der Einstiegspunkt bekannt und kann geschlossen werden.
Betrieb: Ein Scanner läuft, bis er etwas findet. EDR erzeugt Alarme, die jemand bewerten muss. Das ist der Preis für die Sichtbarkeit und der Grund, warum EDR als betreuter Service angeboten wird.

XDR und MDR: die Erweiterungen

Zwei Begriffe tauchen neben EDR regelmäßig auf und bezeichnen Erweiterungen in unterschiedliche Richtungen.

XDR, Extended Detection and Response, erweitert die Sicht über das Gerät hinaus. Zu den Ereignissen auf dem Rechner kommen Signale aus der E-Mail-Security, aus dem Identitätsdienst wie Entra ID und aus den Microsoft-365-Anwendungen. Damit lässt sich die Mail, die alles ausgelöst hat, mit dem Skript auf dem Rechner und der Anmeldung von einem fremden Ort verbinden. Und die Reaktion greift auch dort: Ein übernommenes Konto wird gesperrt, nicht nur der Rechner isoliert.

MDR, Managed Detection and Response, erweitert nicht die Technik, sondern die Besetzung. Ein Security Operations Center, kurz SOC, überwacht die Alarme rund um die Uhr, bewertet sie, dämmt Vorfälle ein und reagiert auch nachts und am Wochenende. Für die Plattform, die wir einsetzen, betreibt der Hersteller dieses SOC; laut Acronis liegt die mittlere Reaktionszeit bei 60 Minuten. MDR ist ein Zusatz zu EDR oder XDR, kein Ersatz.

Welche Stufe für wen

Die Wahl hängt weniger von der Unternehmensgröße ab als von zwei Fragen: Wie viel Schaden richtet ein Ausfall an, und wer bearbeitet Alarme außerhalb der Geschäftszeiten?

EDR für alle Geräte ist die Grundausstattung. Ein Unternehmen, das heute nur einen Virenscanner hat, schließt damit die größte Lücke. Alarme bearbeiten wir zu Geschäftszeiten.
XDR lohnt sich, wenn Microsoft 365 im Zentrum der Arbeit steht und E-Mail der Hauptangriffsweg ist, also für die meisten Büros. Die Zusammenführung der Signale spart im Vorfall Stunden.
MDR ist die richtige Wahl, wenn ein Angriff am Wochenende nicht bis Montag warten kann: Produktion, Logistik, Praxen, Kanzleien mit Fristen. Die Kosten je Gerät sind überschaubar, verglichen mit einem Wochenende Stillstand.

Eine Regel gilt auf unserer Plattform in jedem Fall: EDR und XDR werden je Unternehmen einheitlich eingesetzt, nicht gemischt. Und der bisherige Virenscanner wird beim Rollout entfernt, weil zwei Schutzprogramme einander stören; der klassische Signaturscan ist im EDR-Agenten enthalten.

Was EDR nicht ersetzt

EDR ist keine Alternative zum Backup, sondern dessen Ergänzung. Wird ein Angriff spät erkannt, bringt die Wiederherstellung aus einem sauberen Sicherungspunkt den Betrieb zurück; EDR sagt, welcher Punkt sauber ist. Es ersetzt auch keine Patches: Eine geschlossene Lücke ist besser als eine erkannte Ausnutzung. Und es ersetzt keine Schulung, weil der erste Klick immer ein Mensch ist.

In dieser Reihenfolge, Backup, Patches, Schulung, EDR, ist jede Maßnahme ein eigener Baustein. Zusammen ergeben sie das, was Versicherer und Prüfer heute unter angemessenem Schutz verstehen.

Fazit

Der Virenscanner beantwortet die Frage, ob eine Datei bekannt schädlich ist. EDR beantwortet die Frage, ob auf dem Gerät gerade ein Angriff stattfindet, und tut etwas dagegen. Für Angriffe mit Bordmitteln, gestohlenen Zugangsdaten und Geduld ist die zweite Frage die einzige, die zählt.

Wer heute nur einen Virenscanner betreibt, hat nicht nichts. Er hat Schutz gegen die Angriffe von gestern. Der Wechsel zu EDR ist eine Frage von Wochen, nicht von Monaten, und er beginnt mit einer Bestandsaufnahme der Geräte.