EDR, XDR, SIEM, SOC und MDR: Angriffserkennung für den Mittelstand verständlich erklärt

In der Bitkom-Studie zum Wirtschaftsschutz 2026 steht eine Zahl, die in der Berichterstattung fast untergegangen ist. Auf die Frage nach den Ursachen erfolgreicher Cyberangriffe nennen 59 Prozent der betroffenen Unternehmen die unzureichende Erkennung von Sicherheitsvorfällen. Das ist der Spitzenplatz, noch vor Fehlkonfigurationen und schlechtem Zugriffsmanagement.

Übersetzt heißt das: Der Angriff war nicht besonders raffiniert. Er ist nur lange genug unbemerkt geblieben. Und genau an dieser Stelle setzen die Abkürzungen an, die einem im Gespräch mit IT-Anbietern entgegenkommen: EDR, XDR, SIEM, SOC, MDR, NDR. Dieser Beitrag ordnet sie ohne Marketing-Sprache und beantwortet die Frage, was ein mittelständisches Unternehmen davon tatsächlich braucht.

Warum Virenschutz das Problem nicht mehr löst

Klassischer Virenschutz arbeitet nach einem einfachen Prinzip: Er kennt Muster von Schadsoftware und blockiert, was er wiedererkennt. Das funktioniert weiterhin gut gegen Massenware, also gegen den Anhang, den zehntausend andere Unternehmen am selben Tag ebenfalls bekommen.

Es funktioniert nicht gegen den Fall, der heute die teuren Schäden verursacht: Ein Angreifer besitzt gültige Zugangsdaten. Er meldet sich an wie ein Mitarbeiter, nutzt Werkzeuge, die auf jedem Windows-System vorhanden sind, sieht sich um, sucht die Sicherungen und schlägt Tage oder Wochen später zu. Es gibt keine Datei, die ein Virenscanner beanstanden könnte, weil es keine Schadsoftware braucht.

Dass dieser Weg der übliche ist, zeigt die Ursachenliste der Studie selbst: Passwortangriffe liegen bei 18 Prozent, Phishing bei 16 Prozent, und unzureichendes Identitäts- und Zugriffsmanagement steht mit 55 Prozent auf Platz drei der Ursachen. Der Einstieg passiert über Zugangsdaten, nicht über Viren.

Die Begriffe, sortiert

Die Abkürzungen beschreiben keine konkurrierenden Produkte, sondern aufeinander aufbauende Stufen. Am einfachsten sortiert man sie nach zwei Fragen: Woher kommen die Daten, und wer schaut hinein?

EDR beobachtet, was auf einem Gerät passiert. Nicht welche Dateien dort liegen, sondern welcher Prozess welchen anderen startet, welche Verbindung nach außen aufgebaut wird, wer auf welche Daten zugreift. Ein PowerShell-Aufruf, der Sicherungen löscht, ist keine Schadsoftware, aber ein klares Signal. EDR erlaubt zusätzlich, ein Gerät im Verdachtsfall sofort zu isolieren.

XDR nimmt dieselbe Logik und erweitert sie über die Gerätegrenze hinaus. Der Nutzen liegt in der Verknüpfung: Eine Anmeldung aus einem ungewöhnlichen Land ist für sich harmlos, eine ungewöhnliche Dateibewegung auf dem Fileserver auch. Beides innerhalb von zehn Minuten vom selben Konto ist ein Vorfall.

SIEM ist die Sammelstelle. Es nimmt Protokolle aus allen Quellen entgegen, normalisiert sie und wendet Regeln darauf an. Ein SIEM ist mächtig und in regulierten Umgebungen unverzichtbar, es ist aber kein Produkt, das man einschaltet. Es braucht laufende Regelpflege und jemanden, der Fehlalarme aussortiert.

SOC ist keine Technik, sondern eine Mannschaft. Ein Security Operations Center besteht aus Analysten, die Alarme bewerten und eskalieren. Der Wert eines SOC liegt darin, dass ein Alarm um drei Uhr nachts jemanden erreicht, der etwas tut.

MDR ist die Einkaufsform. Statt Technik und Personal selbst aufzubauen, kauft man Erkennung und Reaktion als Dienstleistung ein. Für den Mittelstand ist das in aller Regel der einzige Weg, der wirtschaftlich funktioniert.

Was ein KMU davon tatsächlich braucht

Die ehrliche Antwort hängt an der Frage, ob jemand da ist, der reagiert. Technik, die Alarme erzeugt, welche niemand liest, verschlechtert die Lage sogar, weil sie ein Sicherheitsgefühl erzeugt, das nicht gedeckt ist.

Als Faustregel für mittelständische Unternehmen:

• Bis etwa 250 Arbeitsplätze ohne eigene IT-Abteilung: EDR oder XDR als Managed Service. Das deckt die Hauptursache aus der Studie ab und ist im laufenden Betrieb beherrschbar.
• Mit kleiner eigener IT-Mannschaft: XDR im Eigenbetrieb ist möglich, aber nur mit geregelter Rufbereitschaft und Vertretung. Sonst bleibt der Nachtalarm bis Montag liegen.
• Reguliert (NIS2, Lieferkettenanforderungen, Zertifizierung): Hier kommt zusätzlich eine nachweisbare zentrale Protokollierung ins Spiel. Ob das ein SIEM sein muss, hängt vom konkreten Nachweisbedarf ab. Welche Unternehmen überhaupt betroffen sind, steht im Beitrag zu den NIS2-Pflichten für KMU.

Das Fundament: Protokolle, die es im Ernstfall noch gibt

Unabhängig von jedem Produkt gibt es eine Grundlage, die nichts kostet außer Sorgfalt. In der Bitkom-Studie klärten 68 Prozent der Unternehmen, die einen Vorfall aufklären konnten, diesen über die Analyse von Log-Dateien auf. Kein anderer Weg kam auch nur in die Nähe.

In der Praxis scheitert das oft an drei banalen Punkten:

Die Protokolle existieren, aber nur lokal. Sie liegen auf dem Server, der kompromittiert wurde. Ein Angreifer, der Administratorrechte hat, löscht sie als Erstes. Protokolle müssen an einen Ort, auf den das kompromittierte System keinen Schreibzugriff hat.

Die Protokolle rotieren zu schnell. Standardeinstellungen halten oft nur wenige Tage vor. Zwischen Erstzugriff und Auffälligkeit liegen bei zielgerichteten Angriffen aber häufig Wochen. Wenn die Aufbewahrung kürzer ist als die Verweildauer des Angreifers, ist die Aufklärung von vornherein verloren.

Wichtige Quellen fehlen ganz. Microsoft 365 protokolliert Anmeldungen und Postfachzugriffe, aber nur, wenn die entsprechende Protokollierung aktiviert ist und die Aufbewahrungsdauer zur Lizenz passt. Genau diese Daten braucht man, um zu belegen, ob ein Angreifer in einem Postfach war.

Praktisch heißt das: Bevor irgendein Erkennungsprodukt eingeführt wird, sollte geklärt sein, welche Systeme überhaupt Protokolle liefern, wohin diese gehen und wie lange sie vorgehalten werden. Wie sich das mit den übrigen Anforderungen an eine geordnete IT verbindet, steht im Beitrag zur IT-Dokumentationspflicht.

Worauf Sie beim Anbietervergleich achten sollten

Angebote für MDR sehen sich auf dem Papier alle ähnlich. Die Unterschiede liegen in Details, die im Ernstfall den Ausschlag geben.

1. 1
   Reaktion statt Meldung klären
   Lassen Sie sich schriftlich geben, was der Anbieter bei einem bestätigten Vorfall selbst tut. Nur benachrichtigen ist wenig wert, wenn der Alarm um zwei Uhr nachts kommt. Isolieren eines Endgeräts, Sperren eines Kontos und Blockieren einer Verbindung sollten ausdrücklich enthalten sein.
2. 2
   Reaktionszeiten mit Uhrzeiten hinterlegen
   Ein Wert wie 15 Minuten ist nur dann etwas wert, wenn dabeisteht, ob er auch sonntags um vier Uhr morgens gilt. Achten Sie auf die Unterscheidung zwischen Servicezeit und Rufbereitschaft.
3. 3
   Abdeckung prüfen
   Welche Systeme werden tatsächlich überwacht? Server und Notebooks sind meist enthalten. Microsoft 365, Firewall, VPN-Zugänge und mobile Geräte oft nicht. Genau dort finden die Anmeldungen statt, um die es geht.
4. 4
   Datenhaltung und Aufbewahrung festhalten
   Wo liegen die Protokolldaten, wie lange werden sie aufbewahrt und kommen Sie im Streitfall an sie heran? Für die Aufklärung nach einem Vorfall ist das der entscheidende Punkt.
5. 5
   Ausstiegsszenario mitdenken
   Was passiert bei einer Kündigung mit den Daten und der Konfiguration? Wer die Antwort erst beim Wechsel klärt, zahlt doppelt. Das gilt für Sicherheitsdienste genauso wie für die allgemeine IT-Betreuung.
6. 6
   Probelauf vereinbaren
   Ein realistischer Test, etwa eine simulierte verdächtige Anmeldung, zeigt in einer Stunde mehr als jede Präsentation. Fragen Sie danach, wie lange es gedauert hat, bis jemand reagiert hat.

Quelle: BSI IT-Grundschutz-Kompendium

Einordnung

Erkennung ist der unbequemste Teil der IT-Sicherheit, weil sie im Normalbetrieb nichts Sichtbares leistet. Ein Backup zeigt seinen Wert bei der Rückspielung, eine Firewall blockiert sichtbar. Erkennung liefert im besten Fall nichts als Ruhe.

Genau deshalb steht sie in der Bitkom-Studie mit 59 Prozent an erster Stelle der Ursachen. Sie wird zuletzt angeschafft und zuerst gespart. Für ein mittelständisches Unternehmen ist der pragmatische Weg klar: EDR oder XDR als Managed Service, eine saubere zentrale Protokollierung mit ausreichender Aufbewahrung und drei schriftlich geklärte Fragen dazu, wer bei einem Alarm was tut. Ein eigenes SIEM und ein eigenes SOC sind für diese Größenordnung fast immer die falsche Antwort auf die richtige Frage.

Wenn Sie wissen möchten, welche Systeme in Ihrem Unternehmen heute überhaupt Protokolle liefern und wo eine Erkennung ansetzen müsste, sprechen Sie uns an. ITCC betreut kleine und mittlere Unternehmen als externe IT-Abteilung und richtet Erkennung so ein, dass ein Alarm tatsächlich jemanden erreicht.