EDR versus Antivirus: Was schützt den Mittelstand?

Ein Notebook mit Zugang zu Buchhaltung, Konstruktion oder Kundendaten wird kompromittiert. Der Angreifer meldet sich mit gültigen Zugangsdaten an, lädt kein auffälliges Schadprogramm herunter und bewegt sich schrittweise im Netzwerk. Klassischer Virenschutz kann dabei ohne Alarm bleiben. Genau an diesem Punkt entscheidet sich bei EDR versus Antivirus, ob ein Unternehmen nur bekannte Schadsoftware blockiert oder auch ungewöhnliches Verhalten aufklären und stoppen kann.

Für mittelständische Unternehmen ist das keine theoretische Produktfrage. Ein einzelnes Endgerät kann zum Ausgangspunkt für Verschlüsselungstrojaner, Datendiebstahl oder einen Betriebsstillstand werden. Die richtige Entscheidung hängt von der eigenen IT-Struktur, dem Schutzbedarf und den verfügbaren Ressourcen ab. Antivirus bleibt sinnvoll. Allein reicht er in vielen Umgebungen jedoch nicht mehr aus.

EDR versus Antivirus: Der entscheidende Unterschied

Antivirus schützt Endgeräte vor allem durch Prävention. Die Software prüft Dateien, E-Mail-Anhänge, Downloads und Prozesse auf bekannte Schadmerkmale. Moderne Lösungen nutzen zusätzlich Heuristiken und maschinelle Verfahren, um verdächtige Dateien zu erkennen. Das ist eine notwendige erste Schutzschicht: Sie hält viele verbreitete Bedrohungen ab, ohne den Arbeitsalltag unnötig zu belasten.

EDR steht für Endpoint Detection and Response. Eine EDR-Lösung betrachtet nicht nur eine Datei, sondern die gesamte Aktivitätskette auf dem Endgerät. Sie erfasst beispielsweise, welcher Prozess eine PowerShell-Ausführung gestartet hat, ob anschließend Zugangsdaten abgegriffen wurden und ob sich ein Benutzerkonto auffällig auf mehreren Systemen anmeldet. Erkennt sie ein Risikomuster, kann sie das Gerät vom Netzwerk trennen, Prozesse beenden oder eine Untersuchung auslösen.

Der Unterschied lässt sich praktisch beschreiben: Antivirus fragt vor allem, ob etwas als Schadsoftware bekannt oder verdächtig ist. EDR fragt zusätzlich, was auf dem Gerät geschieht, ob die Abfolge plausibel ist und wie weit ein möglicher Angriff bereits reicht. Diese Sicht auf Verhalten und Zusammenhänge ist besonders relevant, wenn Angreifer legitime Werkzeuge und gestohlene Kennwörter verwenden.

Das Bundesamt für Sicherheit in der Informationstechnik weist im Lagebericht zur IT-Sicherheit in Deutschland 2024 darauf hin, dass täglich durchschnittlich rund 309.000 neue Schadprogramm-Varianten bekannt werden. Signaturen bleiben deshalb unverzichtbar, können aber nicht jede neue Variante sofort abdecken. EDR reduziert diese Lücke nicht vollständig, verbessert aber die Chance, einen Angriff anhand seines Verhaltens frühzeitig zu erkennen.

Was Antivirus leistet – und wo seine Grenzen liegen

Antivirus ist nicht überholt. Gerade auf Standardarbeitsplätzen verhindert ein gut verwalteter Endpoint-Schutz zahlreiche Infektionen. Er sollte zentral administriert sein, automatische Updates erhalten und auf allen relevanten Windows-, macOS- und Serversystemen einheitlich durchgesetzt werden. Ein Schutz, dessen Status niemand prüft, schafft allerdings nur vermeintliche Sicherheit.

Seine Grenzen zeigen sich bei Angriffen ohne klassische Malware. Dazu zählen Phishing-Angriffe mit gestohlenen Microsoft-365-Zugangsdaten, missbräuchliche Fernwartungssoftware, manipulierte Skripte oder ein Angreifer, der sich nach einer erfolgreichen Anmeldung unauffällig durch das Netzwerk bewegt. Auch bei Ransomware zählt nicht nur, ob die erste Datei erkannt wird. Entscheidend ist, ob die Verschlüsselung weiterer Systeme, die Ausbreitung über Freigaben und der Abfluss sensibler Daten rechtzeitig gestoppt werden.

Nach Angaben des Digitalverbands Bitkom verursachte Cyberkriminalität der deutschen Wirtschaft 2024 einen jährlichen Gesamtschaden von rund 267 Milliarden Euro. Diese Zahl betrifft nicht nur Großkonzerne. Mittelständler leiden häufig besonders unter Ausfallzeiten, Lieferverzögerungen und dem Vertrauensverlust bei Kunden. Wer nur auf die Erkennung einer Datei setzt, betrachtet daher lediglich einen Teil des Risikos.

Wann EDR für den Mittelstand sinnvoll wird

EDR ist besonders sinnvoll, wenn Endgeräte Zugriff auf geschäftskritische Daten und Systeme haben, Mitarbeitende mobil arbeiten oder mehrere Standorte und externe Dienstleister eingebunden sind. Auch Unternehmen mit Fertigungsumgebungen, sensiblen Personen- oder Kundendaten sowie hohen Anforderungen an Verfügbarkeit profitieren von der besseren Nachvollziehbarkeit.

Der Mehrwert liegt nicht nur im automatischen Blockieren. Im Ernstfall beantwortet EDR Fragen, die Geschäftsführung und IT schnell brauchen: Welches Gerät war betroffen? Wann begann der Angriff? Welche Konten wurden verwendet? Welche Systeme könnten noch betroffen sein? Ohne diese Daten wird aus einem Sicherheitsvorfall oft eine zeitraubende Suche in unvollständigen Protokollen.

EDR ersetzt allerdings keine Firewall, kein Backup und keine saubere Rechteverwaltung. Es ist eine Schicht in einer Sicherheitsarchitektur. Wenn Administratorrechte zu weit vergeben sind, keine Mehrfaktor-Authentifizierung besteht oder Backups dauerhaft mit dem produktiven Netzwerk verbunden bleiben, kann auch die beste Endpoint-Erkennung keinen vollständigen Schutz garantieren.

Für kleinere, klar strukturierte Umgebungen mit wenigen Arbeitsplätzen kann ein professionell betreuter Antivirus zunächst angemessen sein. Sobald jedoch zentrale Geschäftsprozesse digital laufen, Fernzugriffe bestehen oder ein Ausfall spürbare wirtschaftliche Folgen hätte, ist Managed EDR meist die passendere Entscheidung. Nicht die Anzahl der Geräte ist allein ausschlaggebend, sondern der Schaden, den ein kompromittiertes Gerät verursachen kann.

Technik allein schafft noch keine Reaktionsfähigkeit

Eine EDR-Lösung erzeugt Meldungen. Ob daraus Schutz entsteht, hängt von der Betreuung ab. Ein Alarm um 2:00 Uhr nachts hilft wenig, wenn niemand ihn bewertet, das betroffene Gerät isoliert und die Ursache prüft. Zu viele unpriorisierte Meldungen führen zudem dazu, dass relevante Warnungen im Tagesgeschäft untergehen.

Deshalb braucht der Mittelstand klare Zuständigkeiten und nachvollziehbare Abläufe. Wer überwacht die Endgeräte? Welche Ereignisse lösen eine sofortige Reaktion aus? Wer darf ein Gerät vom Netzwerk trennen? Wie werden Geschäftsführung, Datenschutzverantwortliche und gegebenenfalls Versicherer informiert? Diese Fragen sollten vor einem Vorfall geklärt sein, nicht erst während eines Produktionsausfalls.

Bei der Auswahl zählt auch die Datenverarbeitung. EDR sammelt technische Telemetriedaten über Geräte, Benutzeranmeldungen und Prozesse. Je nach Konfiguration können dabei personenbezogene Daten betroffen sein. Die DSGVO verlangt eine rechtmäßige, zweckgebundene und transparente Verarbeitung. Unternehmen sollten daher prüfen, wo die Daten verarbeitet werden, welche Unterauftragnehmer beteiligt sind, wie lange Protokolle gespeichert bleiben und ob ein belastbarer Auftragsverarbeitungsvertrag vorliegt.

Eine nachvollziehbare Sicherheitsarchitektur mit Verarbeitung nach deutschen und europäischen Standards vereinfacht diese Kontrolle. Das ist kein Selbstzweck. Im Audit, bei einer Datenschutzanfrage oder nach einem Sicherheitsvorfall müssen Verantwortliche erklären können, welche Daten wohin fließen und wer Zugriff hat. Blackbox-Lösungen schaffen an dieser Stelle unnötige Abhängigkeiten.

Praxisfall: Auffällige Anmeldung vor der Verschlüsselung

In einer anonymisierten Sicherheitsanalyse eines mittelständischen Unternehmens aus dem Bergischen Land zeigte sich ein typisches Risiko. Der vorhandene Virenschutz war aktuell und meldete keine Infektion. Bei der Prüfung der Anmelde- und Endpunktdaten fiel jedoch auf, dass sich ein Benutzerkonto außerhalb der üblichen Arbeitszeit von einem unbekannten System aus anmeldete. Kurz darauf wurden Verwaltungswerkzeuge gestartet und mehrere Dateifreigaben abgefragt.

Eine EDR-Überwachung hätte diese Ereigniskette als auffällig bewerten und das betroffene Endgerät isolieren können. Die eigentliche Schwachstelle war nicht ein fehlendes Signaturupdate, sondern ein kompromittiertes Kennwort in Verbindung mit zu weitreichenden Berechtigungen. Die Maßnahmen waren entsprechend konkret: Kennwort zurücksetzen, Mehrfaktor-Authentifizierung aktivieren, Rechte reduzieren, betroffene Systeme prüfen und die Endpunktüberwachung zentral betreuen.

Der Fall zeigt, warum die Frage nicht schlicht Antivirus oder EDR lautet. Ein aktueller Virenschutz bleibt die Basis. EDR liefert die Sichtbarkeit für Angriffe, die diese Basis umgehen. Beide Maßnahmen entfalten ihren Wert erst zusammen mit Identitätsschutz, segmentiertem Netzwerk, getesteten Backups und einer betreuten Firewall.

So treffen Sie eine belastbare Entscheidung

Beginnen Sie mit einer Bestandsaufnahme statt mit einer Produktliste. Prüfen Sie, welche Endgeräte auf sensible Daten zugreifen, welche Systeme im Homeoffice oder bei Kunden eingesetzt werden und welche Konten besonders weitreichende Rechte besitzen. Erfassen Sie außerdem, ob Sicherheitsereignisse heute zentral sichtbar sind oder nur lokal auf einzelnen Geräten erscheinen.

Im nächsten Schritt sollte die Reaktion bewertet werden. Können Sie ein auffälliges Gerät kurzfristig isolieren? Gibt es Ansprechpartner außerhalb der Geschäftszeiten? Sind Backups regelmäßig getestet und getrennt vom Produktivsystem verfügbar? Die Empfehlungen des BSI zu Notfallmanagement und Informationssicherheit geben hierfür einen sinnvollen Rahmen: Schutzmaßnahmen müssen technisch wirksam, organisatorisch verankert und im Ernstfall handhabbar sein.

Eine kostenlose IT-Sicherheitsanalyse kann diese Fragen strukturiert beantworten. Sie schafft Transparenz über Endgeräte, Zugriffsrechte, Backup-Status und Überwachung, bevor Geld in eine unpassende Einzellösung fließt. Das Ziel ist keine maximale Anzahl an Sicherheitsprodukten, sondern eine verständliche Architektur, die Ausfälle begrenzt, Datenschutzpflichten unterstützt und im Alltag zuverlässig betrieben wird.

Wer EDR und Antivirus als Teil eines abgestimmten Sicherheitskonzepts betrachtet, gewinnt vor allem Kontrolle: über auffällige Vorgänge, über Verantwortlichkeiten und über die nächsten Schritte, wenn ein Endgerät tatsächlich zum Sicherheitsrisiko wird.