Das NIST beschreibt EDR gemeinsam mit Endpoint Protection Platforms (EPP) als Strategie, Technologie und Governance, um Endpunkte wie Server, Desktops und mobile Ger\u00e4te samt ihren Daten vor Bedrohungen und Angriffen zu sch\u00fctzen. Als Beispiele f\u00fcr Endpunkte nennt diese Beschreibung auch IoT-Ger\u00e4te; zum Zweck geh\u00f6rt dort zudem der Schutz des Unternehmens vor Bedrohungen durch verwaltete und nicht verwaltete Ger\u00e4te. Das BSI beschreibt im Lagebericht zur IT-Sicherheit in Deutschland, dass EDR-Programme permanent laufen. Je nach L\u00f6sung m\u00fcssen daf\u00fcr Agenten auf den Endpunkten installiert<\/strong> sein, andere L\u00f6sungen arbeiten dagegen agentenlos.<\/p>\n Ein EDR-System \u00fcberwacht bei einem Versicherer laufend Arbeitsplatzrechner, Server und Au\u00dfendienst-Laptops und wertet deren Aktivit\u00e4ten aus; damit ist es ein m\u00f6glicher Baustein der Mechanismen, \u00fcber die Finanzunternehmen nach Artikel 10 DORA verf\u00fcgen, um anomale Aktivit\u00e4ten umgehend aufzusp\u00fcren. Der Begriff Endpoint Detection kommt weder in der DORA noch in der delegierten DORA-Verordnung zum IKT-Risikomanagement vor. Artikel 10 Absatz 1 DORA verlangt von Finanzunternehmen Mechanismen, um anomale Aktivit\u00e4ten umgehend zu erkennen, und legt dabei kein bestimmtes Werkzeug fest<\/strong>.<\/p>\n Ein EDR-System mit Agenten arbeitet auf den Endpunkten selbst; nach der Beschreibung einer vom BSI best\u00e4tigten EDR-L\u00f6sung besteht diese aus einem zentralen Manager und auf den \u00fcberwachten Endpunkten installierten Agenten. Diese Agenten enthalten Erkennungsmodule, die bei Cyberangriffen Warnmeldungen ausl\u00f6sen<\/strong> k\u00f6nnen. Die best\u00e4tigte L\u00f6sung ist daf\u00fcr ausgelegt, IT-Systeme innerhalb eines Netzes, also Arbeitsplatzrechner oder Server, in einem von zwei Szenarien zu \u00fcberwachen: in laufender Beobachtung, um ein Eindringen zu erkennen und darauf zu reagieren, oder f\u00fcr Incident Response und Analyse. Diese Beschreibung betrifft eine einzelne L\u00f6sung und gilt nicht f\u00fcr jedes EDR-System.<\/p>\n Nach dem britischen NCSC konzentriert sich EDR auf das Erkennen und Untersuchen verd\u00e4chtiger Aktivit\u00e4ten auf Endger\u00e4ten wie Arbeitsplatzrechnern, Laptops und Smartphones und kann au\u00dferdem Reaktionsschritte auf den Endpunkten unterst\u00fctzen. EDR-Programme arbeiten nach dem Lagebericht des BSI zur IT-Sicherheit mit Signaturen und Verhaltensheuristiken im laufenden Systembetrieb<\/strong>. Dass Detektionssysteme selbst ein Angriffsziel sein k\u00f6nnen, zeigt derselbe Bericht: Er schildert Angriffe, bei denen Detektionssysteme wie EDR-Programme in infizierten Netzen deaktiviert werden.<\/p>\n Nach dem NIST k\u00f6nnen XDR-L\u00f6sungen mehrere EDR- und EPP-Werkzeuge, Netzwerk\u00fcberwachung und weitere Sicherheitswerkzeuge zu einer einheitlichen Sicherheitsl\u00f6sung zusammenfassen, w\u00e4hrend ein EDR-System die Endpunkte sch\u00fctzt.<\/p>\n Ein SIEM dient dagegen nach einer Cybersicherheitswarnung des BSI der automatisierten Auswertung von Protokolldaten<\/strong>, w\u00e4hrend ein EDR-System die Endpunkte \u00fcberwacht.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[427,428,393],"class_list":["post-34243","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-endpoint-geraete","glossary_intl_topic-antivirus-ngav-edr","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"EDR-System: Sicherheitsl\u00f6sung f\u00fcr Endpunkte, die Server, Arbeitsplatzrechner und mobile Ger\u00e4te auf Angriffe und Bedrohungen \u00fcberwacht.","nav_theme":"Endpoint & Ger\u00e4te","nav_subtheme":"Antivirus, NGAV & EDR","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"EDR-System"},{"value":"EDR-L\u00f6sung"}],"lead_definition":"Ein EDR-System (Endpoint Detection and Response) ist eine Sicherheitsl\u00f6sung f\u00fcr Endpunkte wie Server, Arbeitsplatzrechner und mobile Ger\u00e4te, um Angriffe und andere Bedrohungen zu erkennen und die Endpunkte vor ihnen zu sch\u00fctzen.","at_a_glance":[{"bullet":"Je nach Produkt setzt die L\u00f6sung auf den Endpunkten installierte Agenten voraus oder arbeitet agentenlos."},{"bullet":"DORA nennt kein EDR-System, verlangt von Finanzunternehmen aber Mechanismen zur umgehenden Erkennung anomaler Aktivit\u00e4ten."},{"bullet":"XDR-L\u00f6sungen k\u00f6nnen mehrere EDR- und EPP-Werkzeuge mit Netzwerk\u00fcberwachung und weiteren Sicherheitswerkzeugen b\u00fcndeln."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Unternehmen vergleicht zwei EDR-L\u00f6sungen: Die eine h\u00e4ngt davon ab, dass Agenten auf den Endpunkten installiert sind, die andere arbeitet agentenlos."},{"example":"Ein Unternehmen, das mehrere EDR- und EPP-Werkzeuge sowie Netzwerk\u00fcberwachung einsetzt, kann diese Werkzeuge in einer XDR-L\u00f6sung zu einer einheitlichen Sicherheitsl\u00f6sung zusammenf\u00fchren."},{"example":"Ein Versicherer k\u00f6nnte etwa ein EDR-System laufend Arbeitsplatzrechner, Server und Au\u00dfendienst-Laptops \u00fcberwachen und deren Aktivit\u00e4ten auswerten lassen; das EDR-System kann damit ein m\u00f6glicher Baustein der Mechanismen zur umgehenden Erkennung anomaler Aktivit\u00e4ten sein."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34259,33703,34245],"pillar_link":null,"sources":[{"publisher":"","name":"Architecture and Builds \u2014 Implementing a Zero Trust Architecture Project documentation","url":"https:\/\/pages.nist.gov\/zero-trust-architecture\/VolumeB\/architecture.html","doc_type":"2025","group":"used"},{"publisher":"","name":"Verordnung (EU) 2022\/2554 (DORA), ABl. L 333 vom 27.12.2022","url":"https:\/\/publications.europa.eu\/resource\/cellar\/0caf473a-85bd-11ed-9887-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Die Lage der IT-Sicherheit in Deutschland 2024","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Publikationen\/Lageberichte\/Lagebericht2024.pdf?__blob=publicationFile&v=5","doc_type":"","group":"used"},{"publisher":"","name":"Bundesamt f\u00fcr Sicherheit in der Informationstechnik - BSI-DSZ-BSZ-0021-2025","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Zertifikate_BSZ\/Bestaetigt\/BSZ-0021-2025.html","doc_type":"","group":"used"},{"publisher":"","name":"L_202401774DE.000101.fmx.xml","url":"https:\/\/publications.europa.eu\/resource\/cellar\/dc25b21e-328d-11ef-a61b-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Cyber Incident Response (CIR) Technical Standard (Standard Level) v1.5.1","url":"https:\/\/www.ncsc.gov.uk\/files\/CIR-Standard-Level.pdf","doc_type":"2023","group":"used"},{"publisher":"","name":"Auswirkungen auf die Cybersicherheit von Organisationen durch die Entwicklung im Bereich K\u00fcnstlicher Intelligenz","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2026\/2026-262788-1032.pdf?__blob=publicationFile&v=2","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-11"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert ein EDR-System?<\/h2>\n
Endpoint Detection and Response (EDR) im Vergleich<\/h2>\n
Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n