EDR vs. XDR: Was ist der Unterschied — und was brauchen Sie wirklich?

EDR überwacht Endgeräte. Notebooks, Server, virtuelle Maschinen: Ein Agent zeichnet auf, was auf dem System passiert, meldet verdächtige Aktivitäten und erlaubt es, ein kompromittiertes Endgerät zu isolieren. XDR erweitert dieses Prinzip auf weitere Sicherheitsebenen — Netzwerk, Identitäten, E-Mail, Cloud-Dienste — und bringt die Ereignisse aus diesen Quellen in einen gemeinsamen Zusammenhang.

Das ist die technische Antwort. Sie hilft bei der Beschaffungsentscheidung nur begrenzt weiter, weil beide Ansätze am selben Punkt scheitern können: Ein System meldet etwas, und im Unternehmen ist offen, wer die Meldung bewertet, wer eskaliert und wer den Vorfall abschließt. Dieser Artikel ordnet EDR und XDR deshalb entlang zweier Fragen ein — was die Technik erkennt, und was Ihre Organisation danach damit anfangen kann.

EDR und XDR im Schnellvergleich

Die Tabelle zeigt eine Verschiebung, die in Produktpräsentationen selten auftaucht: XDR erhöht die Reichweite der Erkennung und gleichzeitig die Anforderungen an die Auswertung. Wer die zweite Spalte kauft, kauft auch das Betriebsmodell dahinter mit.

Was ist EDR? Erkennung und Reaktion auf dem Endgerät

EDR steht für Endpoint Detection and Response, auf Deutsch etwa Erkennung und Reaktion auf Endgeräten. Der Begriff beschreibt eine Kategorie von Cybersicherheitslösungen, die Aktivitäten auf Endpunkten fortlaufend aufzeichnen, Bedrohungen anhand ihres Verhaltens erkennen und Reaktionsmöglichkeiten direkt auf dem betroffenen System bereitstellen.

Wie ein EDR-Agent arbeitet

Auf jedem geschützten Endgerät läuft ein EDR-Agent. Er protokolliert Prozessstarts, Registry-Zugriffe, Netzwerkverbindungen, Dateioperationen und Anmeldevorgänge. Diese Ereignisse laufen in einer zentralen Konsole zusammen, wo sie gegen bekannte Angriffsmuster und gegen das normale Verhalten der Umgebung geprüft werden. Auffällig wird dabei auch die Kombination aus Schritten, die einzeln betrachtet harmlos wirken — ein Office-Dokument startet PowerShell, PowerShell lädt eine Datei nach, die Datei greift auf Anmeldedaten zu.

Erkennt das System etwas, stehen Reaktionsmöglichkeiten bereit: Prozess beenden, Datei in Quarantäne verschieben, Endgerät vom Netz trennen, Änderungen zurückrollen. Die forensische Aufzeichnung bleibt erhalten, sodass sich die Angriffskette im Nachhinein rekonstruieren lässt. Für die Aufarbeitung eines Vorfalls und für Meldepflichten ist genau diese Nachvollziehbarkeit oft wertvoller als die Erkennung selbst.

Warum klassischer Virenschutz diese Lücke offen lässt

Signaturbasierter Endpunktschutz prüft, ob eine Datei bekannt bösartig ist. Das funktioniert bei verbreiteter Schadsoftware und greift zu kurz bei Cyberbedrohungen, die vorhandene Systemwerkzeuge missbrauchen oder Schadcode nur im Arbeitsspeicher ausführen. EDR setzt an der Verhaltensanalyse an und erkennt den Ablauf, auch wenn keine einzelne Datei für sich verdächtig ist. Als Referenz für die dahinterliegenden Angreifertechniken hat sich MITRE ATT&CK etabliert; viele Hersteller ordnen ihre Erkennungen dieser Systematik zu, was den Vergleich zwischen Produkten erleichtert.

Damit ist die häufige Frage beantwortet, ob EDR den Virenschutz ersetzt: In den meisten Produkten ist der Virenschutz Bestandteil der Endgerätesicherheit und arbeitet als erste Filterstufe weiter. EDR kommt darüber, für alles, was diese Stufe passiert.

Was XDR zusätzlich abdeckt

XDR: Bedeutung und Funktionsweise

XDR steht für Extended Detection and Response. Die Erweiterung liegt in den Datenquellen: Neben den Endpunkten fließen Telemetriedaten aus weiteren Sicherheitsbereichen ein, typischerweise Netzwerk, E-Mail-Sicherheit, Identitäts- und Cloud-Dienste. Die Plattform korreliert diese Ereignisse und legt sie als zusammenhängenden Vorfall vor, statt sie als getrennte Meldungen in getrennten Konsolen zu zeigen. Für Sicherheitsteams verringert das die Zahl der Kontextwechsel zwischen Oberflächen.

Der praktische Unterschied wird an einem typischen Ablauf sichtbar. Eine gezielte Phishing-Mail passiert den Filter, ein Nutzer gibt seine Anmeldedaten preis, es folgt eine Anmeldung aus einem ungewöhnlichen Land, danach ein Zugriff auf Dateiablagen und schließlich eine auffällige Aktivität auf einem Server. Ein EDR sieht das letzte Glied dieser Kette. Eine XDR-Plattform kann die vier Schritte als einen Vorfall zusammenführen und den Ursprung mitliefern.

Welche Sicherheitsebenen XDR einbezieht

Der Umfang schwankt je nach Anbieter erheblich. Verbreitet sind Endpunkte, E-Mail, Identität, Netzwerk und Cloud-Workloads; manche Plattformen binden zusätzlich OT-Umgebungen oder mobile Geräte an. Vor einer Auswahl lohnt der nüchterne Abgleich, welche dieser Quellen in Ihrer Umgebung überhaupt existieren und ob die vorhandenen Systeme sich anbinden lassen. Eine XDR-Plattform, die drei ihrer sechs Sensoren nie zu sehen bekommt, arbeitet im Ergebnis wie ein teureres EDR.

Native XDR und Open XDR

Native XDR bezieht die Daten aus dem eigenen Produktportfolio des Herstellers. Die Integration ist eng, die Einführung meist schneller — und die Bindung an einen Anbieter entsprechend höher. Open XDR bindet Fremdsysteme über Konnektoren an. Das erhält die Wahlfreiheit bei den einzelnen Sicherheitslösungen und verlagert den Integrationsaufwand zu Ihnen. Welcher Weg passt, hängt weniger von der Technik ab als davon, wie heterogen Ihre Umgebung ist und wie viel Integrationsarbeit Ihr Team dauerhaft tragen kann.

Die Unterschiede im Detail

Datenquellen und Sichtbarkeit

EDR liefert Tiefe auf dem Endgerät, XDR liefert Breite über die Sicherheitsebenen. Beides hat Grenzen: Ein Angriff, der ausschließlich über eine kompromittierte Cloud-Identität läuft und kein Endgerät berührt, bleibt für EDR unsichtbar. Umgekehrt bringt Breite wenig, wenn die angebundenen Quellen unvollständige oder schlecht normalisierte Daten liefern.

Erkennungsqualität und Fehlalarme

Mehr Datenquellen bedeuten zunächst mehr Rohmaterial und damit mehr Anlässe für Fehlalarme. Der Gewinn entsteht durch die Korrelation: Wenn die Plattform fünf Einzelmeldungen zu einem Vorfall zusammenfasst, sinkt die Zahl der Vorgänge, die ein Mensch bewerten muss. Wie gut das funktioniert, unterscheidet die Produkte deutlich — und lässt sich seriös nur im eigenen Testbetrieb beurteilen, nicht über Datenblätter.

Reaktionsgeschwindigkeit und Automatisierung

Auf dem Endgerät sind die Reaktionen beider Ansätze vergleichbar. Der Unterschied liegt in der Reichweite automatisierter Maßnahmen: XDR-Plattformen können ein Benutzerkonto sperren, Sitzungen beenden oder eine Blockierregel gleichzeitig auf mehreren Ebenen ausrollen. Das verkürzt die Zeit bis zur Eindämmung — und setzt voraus, dass jemand vorher festgelegt hat, welche Maßnahmen automatisch laufen dürfen und welche eine Freigabe brauchen. Diese Festlegung ist eine Organisationsentscheidung und gehört vor die Inbetriebnahme, nicht danach.

Betriebsaufwand und Know-how

Eine EDR-Lösung lässt sich mit überschaubarem Aufwand einführen: Agent verteilen, Ausnahmen für Fachanwendungen pflegen, Meldungen regelmäßig durchsehen. XDR bringt zusätzlich Integrationsarbeit mit, laufende Pflege der Datenquellen und die Anforderung, Zusammenhänge über Systemgrenzen hinweg zu bewerten. Sicherheitsteams gewinnen dabei Kontext und übernehmen gleichzeitig neue Pflegeaufgaben. Wer diese Auswertung im eigenen Team nicht dauerhaft besetzen kann, sollte die Betriebsfrage vor der Produktfrage klären.

Kosten und Lizenzmodelle

EDR wird üblicherweise pro Endgerät lizenziert. Bei XDR kommen häufig Modul- oder Datenvolumenkomponenten hinzu, wodurch die Kosten mit der Zahl der angebundenen Quellen und der Menge der aufbewahrten Telemetrie steigen. Für den internen Vergleich sind zwei Positionen wichtig, die in Angeboten selten stehen: die Aufbewahrungsdauer der Daten und die Personalzeit für die Auswertung.

Vor der Produktauswahl steht die Betriebsfrage: Wer sieht sich die Meldungen an, in welchem Rhythmus — und wer entscheidet über eine Eskalation?

Wo MDR und SIEM in dieses Bild gehören

Die Begriffe werden regelmäßig als Alternativen zueinander präsentiert. Sie beschreiben unterschiedliche Dinge: EDR und XDR sind Technologien, MDR ist ein Betriebsmodell, SIEM ist eine Datenebene.

Was MDR abdeckt — und was intern bleibt

Managed Detection and Response bedeutet, dass ein Dienstleister die Überwachung, Ersteinschätzung und häufig auch definierte Reaktionsschritte übernimmt, meist rund um die Uhr. Die Technologie darunter ist ein EDR oder XDR — entweder Ihres oder das des Anbieters.

Der Anbieter kann Beobachtung und Bewertung übernehmen. Bei Ihnen bleiben die Entscheidungen, die betriebliche Folgen haben: Welche Risiken akzeptieren Sie? Wann darf ein Produktionssystem vom Netz? Wer informiert die Fachbereiche und die Geschäftsführung? Diese Punkte gehören in den Vertrag, mit benannten Ansprechpartnern und Reaktionszeiten. Leistungsumfang, Kostenrahmen und Auswahlkriterien haben wir im MDR-Leitfaden ausführlich behandelt.

XDR und SIEM: unterschiedliche Aufgaben

Ein SIEM sammelt Logdaten aus möglichst vielen Quellen, normalisiert sie, hält sie über längere Zeiträume vor und dient auch als Nachweisebene für Audits und regulatorische Anforderungen. XDR ist auf Erkennung und Reaktion in nahezu Echtzeit ausgelegt und arbeitet mit vorverarbeiteter Telemetrie aus einem definierten Satz von Quellen. Es gibt Überschneidungen, und manche Organisationen betreiben beides mit klarer Aufgabenteilung: XDR für die Erkennung, SIEM für Aufbewahrung, Auswertung und Nachweis.

Managed EDR und Managed XDR

Beide Begriffe beschreiben denselben Gedanken auf unterschiedlicher technischer Basis: Sie kaufen die Technologie zusammen mit dem Betrieb. Für Unternehmen ohne eigenes Security-Team ist das häufig der realistischere Einstieg als der Aufbau interner Auswertungskapazität.

Welche Lösung zu welchem Unternehmen passt

Die Auswahl folgt weniger der Unternehmensgröße als der Frage, wer die Auswertung dauerhaft übernimmt.

Der Sonderfall Mittelstand: Erkennung ohne eigenes SOC

Ein wiederkehrendes Muster in mittelständischen Organisationen: Die Technik wird beschafft, die Konsole läuft, Meldungen kommen an — und die Auswertung landet nebenbei bei der Person, die ohnehin schon Backup, Netzwerk und Helpdesk verantwortet. Nach einigen Wochen werden Meldungen seltener geöffnet, und die Lösung erfüllt vor allem noch eine Anforderung der Cyberversicherung.

Wer diese Entwicklung vermeiden will, klärt vor der Beschaffung vier Punkte: Wer sieht sich Meldungen an, in welchem Rhythmus? Wer entscheidet über eine Eskalation? Was passiert außerhalb der Geschäftszeiten? Wer dokumentiert, dass ein Vorfall abgeschlossen ist? Lassen sich diese Fragen intern nicht belastbar beantworten, ist ein Managed-Modell die ehrlichere Wahl — auch wenn das Lizenzblatt zunächst günstiger aussieht.

Anbieter im Überblick

Der Markt für EDR-Software ist gut besetzt, und die meisten Hersteller führen ihre EDR-Tools inzwischen unter einem XDR-Dach weiter. Die folgende Auswahl orientiert sich an der Verbreitung im deutschen Mittelstand und erhebt keinen Anspruch auf Vollständigkeit.

Microsoft trennt zwischen dem in Windows enthaltenen Virenschutz und Defender for Endpoint als EDR-Funktion, die in den höheren Lizenzstufen enthalten ist. Defender XDR bündelt die Signale aus Endpunkt, Identität, E-Mail und Cloud-Anwendungen. Für Organisationen, die ohnehin stark auf Microsoft 365 setzen, ist das der Weg mit dem geringsten Integrationsaufwand.

Palo Alto Cortex XDR ist eine der bekanntesten plattformübergreifenden Lösungen und stark bei der Korrelation von Endpunkt- und Netzwerkdaten. Der Funktionsumfang richtet sich an Organisationen mit vorhandener Security-Kompetenz.

SentinelOne, CrowdStrike, Sophos und Trend Micro decken jeweils EDR- und XDR-Stufen ab und bieten passende Managed-Services an. Die Unterschiede liegen weniger in der Grundfunktion als in der Konsolenbedienung, den Integrationen in vorhandene Systeme, den Vertragsmodellen und der Verfügbarkeit deutschsprachigen Supports. Für die Vorauswahl sind diese Punkte häufig relevanter als Erkennungsraten aus Herstellerunterlagen.

Worauf es bei der Auswahl ankommt

1. Abdeckung Ihrer Systeme. Werden alle relevanten Betriebssysteme, Server, virtuellen Maschinen und mobilen Geräte unterstützt — einschließlich der Altsysteme, die noch im Einsatz sind?
2. Integration in vorhandene Systeme. Lassen sich Ihre E-Mail-Sicherheit, Ihr Identitätsdienst und Ihr Netzwerk anbinden, ohne Zusatzprodukte kaufen zu müssen?
3. Alarmqualität im eigenen Testbetrieb. Wie viele Meldungen erzeugt die Lösung in Ihrer Umgebung pro Woche, und wie viele davon sind bearbeitungswürdig?
4. Automatisierungsgrad und Freigaben. Welche Reaktionen laufen automatisch, welche brauchen eine Bestätigung, und wer erteilt sie?
5. Betriebsmodell. Betreiben Sie selbst, mit einem Dienstleister oder vollständig als Managed Service? Diese Frage gehört vor die Produktauswahl.
6. Datenhaltung und Aufbewahrung. Wo liegen die Telemetriedaten, wie lange werden sie vorgehalten, und reicht dieser Zeitraum für Ihre Nachweispflichten?
7. Reporting und Nachvollziehbarkeit. Liefert die Lösung Auswertungen, die Sie gegenüber Geschäftsführung, Auditoren und Versicherern verwenden können?

EDR, Compliance und die Nachweisfrage

Bei vielen Unternehmen kommt der Anstoß für die Beschaffung von außen: aus einer regulatorischen Anforderung, aus einem Versicherungsfragebogen oder aus einer Kundenanfrage zur Lieferkette. NIS2 verlangt von betroffenen Einrichtungen unter anderem Maßnahmen zur Erkennung und Behandlung von Sicherheitsvorfällen sowie die Einhaltung von Meldefristen — beides setzt voraus, dass Vorfälle überhaupt erkannt und dokumentiert werden; die verbindlichen Vorgaben und den Registrierungsweg beschreibt das BSI für NIS-2-regulierte Unternehmen. Auch Cyberversicherer fragen in ihren Fragebögen regelmäßig nach vorhandenem Endpunktschutz mit Erkennungs- und Reaktionsfunktionen. Und die DSGVO-Meldepflicht bei Datenschutzverletzungen lässt sich ohne belastbare Aufzeichnung kaum sauber erfüllen.

Die praktische Konsequenz für die Auswahl: Neben der Erkennungsleistung gehört die Belegbarkeit auf die Prüfliste. Aufbewahrungsdauer, Exportierbarkeit der Vorfallshistorie und die Qualität der Berichte entscheiden darüber, ob Sie im Prüfungsfall etwas vorzeigen können.

Fazit

EDR ist die Grundausstattung für Erkennung und Reaktion auf Endgeräten und für die meisten mittelständischen Umgebungen der richtige erste Schritt. XDR lohnt sich, sobald Ihre Angriffsfläche über den Endpunkt hinausreicht und jemand die Zusammenhänge auch auswerten kann. MDR ist die Antwort auf die Betriebsfrage, keine dritte Technologie. Und ein SIEM ergänzt die Nachweisebene, wo Aufbewahrung und Auditierbarkeit gefragt sind.

Klären Sie die Zuständigkeit für die Auswertung, bevor Sie Angebote vergleichen. Diese Reihenfolge erspart die Erfahrung, eine leistungsfähige Erkennung betrieben zu haben, die im entscheidenden Moment niemand gelesen hat.

Wenn Sie an dem Punkt sind, an dem die Betriebsfrage geklärt ist und es um konkrete Angebote geht: Im Anbieterverzeichnis von it-dock finden Sie Dienstleister mit Schwerpunkt Managed Detection and Response. Weitere Beiträge zur Einordnung liegen im Themenbereich Cybersecurity.