Ein EDR-System (Endpoint Detection and Response) ist eine Sicherheitslösung für Endpunkte wie Server, Arbeitsplatzrechner und mobile Geräte, um Angriffe und andere Bedrohungen zu erkennen und die Endpunkte vor ihnen zu schützen.
Auf einen Blick
Je nach Produkt setzt die Lösung auf den Endpunkten installierte Agenten voraus oder arbeitet agentenlos.
DORA nennt kein EDR-System, verlangt von Finanzunternehmen aber Mechanismen zur umgehenden Erkennung anomaler Aktivitäten.
XDR-Lösungen können mehrere EDR- und EPP-Werkzeuge mit Netzwerküberwachung und weiteren Sicherheitswerkzeugen bündeln.
Was ist ein EDR-System?
Das NIST beschreibt EDR gemeinsam mit Endpoint Protection Platforms (EPP) als Strategie, Technologie und Governance, um Endpunkte wie Server, Desktops und mobile Geräte samt ihren Daten vor Bedrohungen und Angriffen zu schützen. Als Beispiele für Endpunkte nennt diese Beschreibung auch IoT-Geräte; zum Zweck gehört dort zudem der Schutz des Unternehmens vor Bedrohungen durch verwaltete und nicht verwaltete Geräte. Das BSI beschreibt im Lagebericht zur IT-Sicherheit in Deutschland, dass EDR-Programme permanent laufen. Je nach Lösung müssen dafür Agenten auf den Endpunkten installiert sein, andere Lösungen arbeiten dagegen agentenlos.
Ein EDR-System überwacht bei einem Versicherer laufend Arbeitsplatzrechner, Server und Außendienst-Laptops und wertet deren Aktivitäten aus; damit ist es ein möglicher Baustein der Mechanismen, über die Finanzunternehmen nach Artikel 10 DORA verfügen, um anomale Aktivitäten umgehend aufzuspüren. Der Begriff Endpoint Detection kommt weder in der DORA noch in der delegierten DORA-Verordnung zum IKT-Risikomanagement vor. Artikel 10 Absatz 1 DORA verlangt von Finanzunternehmen Mechanismen, um anomale Aktivitäten umgehend zu erkennen, und legt dabei kein bestimmtes Werkzeug fest.
Wie funktioniert ein EDR-System?
Ein EDR-System mit Agenten arbeitet auf den Endpunkten selbst; nach der Beschreibung einer vom BSI bestätigten EDR-Lösung besteht diese aus einem zentralen Manager und auf den überwachten Endpunkten installierten Agenten. Diese Agenten enthalten Erkennungsmodule, die bei Cyberangriffen Warnmeldungen auslösen können. Die bestätigte Lösung ist dafür ausgelegt, IT-Systeme innerhalb eines Netzes, also Arbeitsplatzrechner oder Server, in einem von zwei Szenarien zu überwachen: in laufender Beobachtung, um ein Eindringen zu erkennen und darauf zu reagieren, oder für Incident Response und Analyse. Diese Beschreibung betrifft eine einzelne Lösung und gilt nicht für jedes EDR-System.
Nach dem britischen NCSC konzentriert sich EDR auf das Erkennen und Untersuchen verdächtiger Aktivitäten auf Endgeräten wie Arbeitsplatzrechnern, Laptops und Smartphones und kann außerdem Reaktionsschritte auf den Endpunkten unterstützen. EDR-Programme arbeiten nach dem Lagebericht des BSI zur IT-Sicherheit mit Signaturen und Verhaltensheuristiken im laufenden Systembetrieb. Dass Detektionssysteme selbst ein Angriffsziel sein können, zeigt derselbe Bericht: Er schildert Angriffe, bei denen Detektionssysteme wie EDR-Programme in infizierten Netzen deaktiviert werden.
Endpoint Detection and Response (EDR) im Vergleich
Nach dem NIST können XDR-Lösungen mehrere EDR- und EPP-Werkzeuge, Netzwerküberwachung und weitere Sicherheitswerkzeuge zu einer einheitlichen Sicherheitslösung zusammenfassen, während ein EDR-System die Endpunkte schützt.
Ein SIEM dient dagegen nach einer Cybersicherheitswarnung des BSI der automatisierten Auswertung von Protokolldaten, während ein EDR-System die Endpunkte überwacht.
Schutz im Ernstfall
Vorbeugen
- Zur Überwachung von Nutzeraktivitäten, IKT-Anomalien und IKT-bezogenen Vorfällen, insbesondere Cyberangriffen, stellt ein Finanzunternehmen nach Artikel 10 Absatz 3 DORA ausreichende Ressourcen und Kapazitäten bereit; ein EDR-System nennt die Vorschrift nicht.
- Mehrere parallel laufende EDR-Programme würden nach dem Lagebericht zur IT-Sicherheit in Deutschland eher zu Fehlern führen, da sie sich zum Beispiel gegenseitig behindern.
- Nach Artikel 11 Absatz 2 Buchstabe d der delegierten Verordnung (EU) 2024/1774 umfasst das Verfahren für die Daten- und Systemsicherheit eines Finanzunternehmens die Ermittlung von Sicherheitsmaßnahmen gegen Schadprogramme; auch diese Vorschrift nennt kein EDR-System.
Beispiele aus der Praxis
- Ein Unternehmen vergleicht zwei EDR-Lösungen: Die eine hängt davon ab, dass Agenten auf den Endpunkten installiert sind, die andere arbeitet agentenlos.
- Ein Unternehmen, das mehrere EDR- und EPP-Werkzeuge sowie Netzwerküberwachung einsetzt, kann diese Werkzeuge in einer XDR-Lösung zu einer einheitlichen Sicherheitslösung zusammenführen.
- Ein Versicherer könnte etwa ein EDR-System laufend Arbeitsplatzrechner, Server und Außendienst-Laptops überwachen und deren Aktivitäten auswerten lassen; das EDR-System kann damit ein möglicher Baustein der Mechanismen zur umgehenden Erkennung anomaler Aktivitäten sein.