Deutsche EDR Lösungen bewerten mit 7 Kriterien

Ein Angreifer braucht nicht zwingend eine spektakuläre Sicherheitslücke. Oft reichen ein kompromittiertes Microsoft-365-Konto, ein infiziertes Notebook im Homeoffice oder ein unbemerkter Fernzugriff. Wer deutsche EDR Lösungen bewerten will, sollte daher nicht bei Produktnamen oder bunten Dashboards stehen bleiben. Entscheidend ist, ob die Lösung Angriffe tatsächlich erkennt, Verantwortliche rechtzeitig informiert und eine nachvollziehbare Reaktion ermöglicht – unter Bedingungen, die zu Datenschutz, Betriebsablauf und Ressourcen des Mittelstands passen.

Das Risiko ist konkret: Bitkom bezifferte den jährlichen Schaden durch Cyberangriffe, Spionage und Sabotage für die deutsche Wirtschaft 2024 auf 266,6 Milliarden Euro. Das BSI beschreibt im Lagebericht zur IT-Sicherheit in Deutschland weiterhin eine hohe und dynamische Bedrohungslage. Für mittelständische Betriebe bedeutet das vor allem eines: Ein einzelner übersehener Vorfall kann Produktion, Buchhaltung, Kundenservice und Lieferfähigkeit gleichzeitig treffen.

Was eine EDR-Lösung leisten muss

EDR steht für Endpoint Detection and Response, also Erkennung und Reaktion auf Endgeräten. Dazu zählen Arbeitsplatzrechner, Notebooks, Server und je nach Konzept auch virtuelle Systeme. Anders als ein klassischer Virenschutz sucht EDR nicht nur nach bekannten Schadprogrammen. Die Lösung zeichnet sicherheitsrelevante Ereignisse auf und erkennt verdächtige Verhaltensmuster – etwa ungewöhnliche PowerShell-Befehle, massenhafte Dateiverschlüsselung oder eine Anmeldung außerhalb üblicher Zeiten.

Der Nutzen entsteht jedoch nicht durch gesammelte Daten allein. Eine EDR-Lösung muss einen Vorfall einordnen, das betroffene Gerät isolieren und eine fachlich richtige Reaktion auslösen können. Genau hier liegt der Unterschied zwischen einer installierten Sicherheitssoftware und einer wirksam betriebenen Sicherheitsarchitektur.

Für Unternehmen ohne eigenes Security Operations Center ist das besonders relevant. Ein Alarm um 2:15 Uhr schützt nicht, wenn ihn erst am nächsten Arbeitstag jemand liest. Eine EDR-Lösung kann technisch sehr gut sein und dennoch ihren Zweck verfehlen, wenn Zuständigkeiten, Reaktionszeiten und Eskalationswege unklar bleiben.

Deutsche EDR-Lösungen bewerten: Nicht nur auf den Hersteller schauen

Der Begriff „deutsch“ wird im Sicherheitsmarkt unterschiedlich verwendet. Ein deutscher Vertrieb, eine deutsche Benutzeroberfläche oder ein Rechenzentrum in Frankfurt reichen als Nachweis für digitale Souveränität nicht aus. Mittelständische Unternehmen sollten den gesamten Verarbeitungsweg prüfen: Wer stellt die Software bereit? Wo werden Telemetriedaten gespeichert? Welche Unterauftragnehmer erhalten Zugriff? Unter welchem Recht können Behörden oder Dritte Auskünfte verlangen?

EDR-Telemetrie ist sensibel. Sie kann Benutzerkennungen, Gerätenamen, IP-Adressen, laufende Prozesse, Dateinamen und Kommunikationsverbindungen enthalten. Je nach Konfiguration lassen sich daraus detaillierte Rückschlüsse auf Personen, Arbeitsabläufe und Systeme ziehen. Daher ist die Datenschutzprüfung keine Formalität, sondern Teil der Sicherheitsbewertung.

Die DSGVO verlangt nach Artikel 28 einen klar geregelten Auftragsverarbeitungsvertrag. Artikel 32 fordert angemessene technische und organisatorische Maßnahmen. Werden Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet oder ist ein Zugriff von dort möglich, muss zusätzlich Artikel 44 berücksichtigt werden. Eine belastbare Lösung beantwortet diese Fragen schriftlich und verständlich – ohne Verweis auf schwer nachvollziehbare globale Konzernstrukturen.

Deutsche Datenverarbeitung kann ein starkes Kriterium sein. Sie ersetzt aber keine Sicherheitsprüfung. Auch ein Anbieter mit deutschem Sitz muss zeigen, wie er Updates absichert, Zugriffe protokolliert, Mandantendaten trennt und Sicherheitsvorfälle behandelt.

Die sieben Kriterien für eine belastbare Entscheidung

Eine fundierte Auswahl lässt sich auf sieben prüfbare Fragen reduzieren:

• Erkennt die Lösung modernes Angriffsverhalten? Prüfen Sie nicht nur Malware-Erkennung, sondern auch Schutz vor Ransomware, missbrauchten Administrationswerkzeugen, Identitätsdiebstahl und seitlichen Bewegungen im Netzwerk.
• Wie schnell und wie weit kann reagiert werden? Eine Geräteisolation, das Stoppen schädlicher Prozesse und das Sperren kompromittierter Zugänge müssen klar dokumentiert sein. Wichtig ist auch, wer diese Maßnahmen wann auslösen darf.
• Wer überwacht die Meldungen? Klären Sie, ob Ihr Team selbst bewertet, ob ein Managed-Service rund um die Uhr arbeitet oder ob nur ein Ticketsystem bereitsteht. Die Reaktionszeit gehört in den Vertrag.
• Wo werden Daten verarbeitet? Verlangen Sie Transparenz zu Speicherort, Auftragsverarbeitung, Unterauftragnehmern, Zugriffsrechten und Löschfristen.
• Wie verständlich sind Berichte und Eskalationen? Geschäftsführung und IT-Leitung brauchen nachvollziehbare Informationen: Was ist passiert, welches Risiko bestand, was wurde getan und welche Maßnahme bleibt offen?
• Passt die Lösung zu Ihrer vorhandenen IT? Prüfen Sie Windows-Server, Linux-Systeme, mobile Geräte, virtuelle Umgebungen und kritische Fachanwendungen. Ein Schutz, der wichtige Systeme ausklammert, schafft blinde Flecken.
• Was kostet der Betrieb wirklich? Lizenzpreise sind nur ein Teil. Berücksichtigen Sie Einführung, Monitoring, Incident Response, Abstimmung mit Datenschutz und laufende Betreuung.

Diese Fragen machen Angebote vergleichbar. Sie verhindern auch einen typischen Fehlkauf: Ein Unternehmen entscheidet sich für die günstigste Lizenz, stellt später aber fest, dass niemand die Warnungen qualifiziert bewertet oder bei einem echten Angriff handeln kann.

Erkennung ohne Reaktion ist nur Protokollierung

Das BSI empfiehlt im Umfeld der Detektion und Reaktion klare Prozesse, Rollen und regelmäßige Tests. Das ist nachvollziehbar: Ein automatisiertes Isolieren eines Servers kann einen Angriff stoppen, aber auch einen laufenden Betrieb beeinträchtigen. Bei einem Produktionsserver gelten andere Freigaben als bei einem Büro-Notebook.

Deshalb braucht jede EDR-Einführung ein abgestimmtes Reaktionskonzept. Welche Systeme dürfen automatisch isoliert werden? Wen informiert der Dienstleister außerhalb der Geschäftszeiten? Wann werden Passwörter zurückgesetzt, Backups geprüft oder externe Forensiker eingebunden? Gute Anbieter erläutern diese Abläufe vor der Installation und testen sie mit dem Kunden.

ENISA bewertet Ransomware weiterhin als eine der folgenreichsten Bedrohungen für Unternehmen. Im Ernstfall entscheidet nicht allein die Zahl erkannter Ereignisse, sondern die Zeit bis zur Eindämmung. Wer die Reaktionskette erst während eines Angriffs definiert, verliert wertvolle Stunden.

Typisches Fallbild aus einer Sicherheitsanalyse

Ein mittelständischer Dienstleister mit rund 80 Arbeitsplätzen setzte bereits einen herkömmlichen Endgeräteschutz ein. In einer anonymisierten Sicherheitsanalyse zeigte sich dennoch ein kritisches Risiko: Mehrere Administratorzugänge waren dauerhaft aktiv, und die Protokollierung auf einzelnen Servern reichte nicht aus, um ungewöhnliche Anmeldungen zuverlässig einzuordnen.

Das Problem wäre bei einer Lizenzbetrachtung unsichtbar geblieben. Erst die Verbindung aus Endpoint-Telemetrie, klaren Alarmregeln und einer Überprüfung der Berechtigungen machte das Risiko sichtbar. Die Maßnahme bestand nicht nur aus dem Einführen einer EDR-Komponente. Administratorrechte wurden reduziert, Mehrfaktor-Authentifizierung verbindlich umgesetzt, Alarmwege festgelegt und die Wiederherstellbarkeit der Backups geprüft.

Der Fall zeigt den entscheidenden Punkt: EDR ist kein Ersatz für Identitätsschutz, Firewall-Regeln und getestete Backups. Es ist eine wichtige Kontrollschicht, die ihre Wirkung erst im Zusammenspiel mit diesen Maßnahmen entfaltet.

Managed EDR oder Eigenbetrieb?

Der Eigenbetrieb kann sinnvoll sein, wenn ein Unternehmen über ein erfahrenes IT-Sicherheitsteam verfügt, das Alarme laufend bewertet und Vorfälle behandeln kann. Er bietet direkte Kontrolle, bindet aber Personal und verlangt kontinuierliche Weiterbildung. Angreifer arbeiten nicht zu Bürozeiten, Updates und neue Angriffsmethoden warten ebenfalls nicht auf freie Kapazitäten.

Managed EDR entlastet interne Teams, sofern der Leistungsumfang konkret vereinbart ist. „Monitoring“ kann bedeuten, dass Meldungen gesammelt werden. Es kann aber auch eine qualifizierte 24/7-Bewertung mit definierten Reaktionsmaßnahmen umfassen. Diese Unterschiede müssen vor Vertragsabschluss offen auf den Tisch. Fragen Sie nach Servicezeiten, garantierten Reaktionszeiten, Ansprechpartnern, monatlichen Berichten und dem Vorgehen bei einem bestätigten Sicherheitsvorfall.

Für viele Mittelständler ist ein betreutes Modell wirtschaftlicher als der Aufbau eines eigenen Sicherheitsbetriebs. Voraussetzung ist ein Partner, der nicht in einer Blackbox arbeitet. Sie sollten jederzeit sehen können, welche Endgeräte geschützt sind, welche Risiken offen sind und welche Maßnahmen umgesetzt wurden.

Einführung mit möglichst wenig Betriebsrisiko

Eine EDR-Lösung sollte schrittweise eingeführt werden. Beginnen Sie mit einer Bestandsaufnahme: Welche Endgeräte, Server und besonders schützenswerten Daten gibt es? Welche Geräte werden extern genutzt? Wo bestehen Ausnahmen für alte Anwendungen oder Maschinensteuerungen?

Danach folgt eine Testgruppe. In dieser Phase lassen sich Leistungsbedarf, mögliche Konflikte mit Fachsoftware und die Qualität der Meldungen prüfen. Erst wenn Regeln, Zuständigkeiten und Eskalationen abgestimmt sind, sollte der Rollout auf alle Systeme erfolgen. Regelmäßige Reports und ein fester Termin zur Risikobesprechung sorgen dafür, dass der Schutz nicht nach der Einführung wieder zur unsichtbaren Lizenz wird.

Eine kostenlose Sicherheitsanalyse kann genau diesen Ausgangspunkt schaffen: Sie zeigt, welche Systeme bereits überwacht werden, wo Daten verarbeitet werden und an welchen Stellen ein Angriff heute unentdeckt bleiben könnte. Sicherheit entsteht nicht durch das lauteste Versprechen, sondern durch überprüfbare Kontrolle – vor allem dann, wenn der Alltag ruhig bleibt.