Erklärung
Klassische Virenscanner prüfen Dateien auf bekannte Schadsoftware. EDR geht weiter: Auf dem Endgerät läuft ein Agent, der Prozesse, Dateizugriffe, Netzwerkverbindungen und Anmeldungen aufzeichnet und auf verdächtiges Verhalten hin auswertet. Bei einem Verdacht kann das System Warnungen auslösen oder ein Gerät vom Netz isolieren. Verwandte Begriffe sind XDR, das Daten über mehrere Bereiche hinweg verbindet, und MDR, bei dem ein Dienstleister die Überwachung übernimmt.
Für Untersuchungen liegt der Wert in der Rückschau: Selbst wenn ein Angreifer Spuren auf dem Gerät entfernt, existieren die Telemetriedaten oft zusätzlich in der EDR-Plattform. Sie zeigen, welche Prozesse gestartet wurden, welche Dateien betroffen waren und wohin Verbindungen bestanden. Die Verfügbarkeit hängt von Produkt, Lizenz, Konfiguration und Aufbewahrungsdauer ab.
Wie jedes Werkzeug erkennt EDR nicht alles. Er ersetzt weder Updates und Zugangsschutz noch die fachliche Auswertung.
Typisches Beispiel (schematisch)
Ein Mitarbeitergerät startet ungewöhnlich viele Dateizugriffe und baut Verbindungen zu einem unbekannten Ziel auf. Das EDR meldet das Verhalten und isoliert das Gerät. Die gespeicherten Telemetriedaten dienen später der Rekonstruktion.
Bedeutung für Forensik und Ermittlungen
Telemetrie, Prozessketten und Isolationsprotokolle ergänzen Datenträgeranalyse und Protokolle. Wichtig ist, sie früh zu sichern, bevor Aufbewahrungsfristen ablaufen.
Erkennung und Prävention
Abdeckung aller relevanten Geräte, definierte Reaktionsprozesse und regelmäßige Prüfung von Warnungen.
Auch gesucht als EDR, Endpoint Detection & Response, Endpunkt-Erkennung und -Reaktion, Endpoint Security, XDR, Endgeräteschutz