Endpoint Detection and Response

Endpoint Detection and Response (EDR) bezeichnet eine Klasse von Sicherheitslösungen, die das Verhalten von Endgeräten – etwa Notebooks, Arbeitsplatzrechnern, Servern und mobilen Geräten – fortlaufend überwacht, sicherheitsrelevante Ereignisse aufzeichnet und auf erkannte Bedrohungen reagiert. Im Unterschied zu klassischer, signaturbasierter Antivirensoftware setzt EDR auf Verhaltensanalyse, Telemetriedaten und Korrelation, um auch unbekannte Angriffe, dateilose Schadsoftware und sogenannte Living-off-the-Land-Techniken zu erkennen. Ein EDR-Agent auf dem Endgerät sammelt kontinuierlich Daten zu Prozessen, Netzwerkverbindungen, Registry-Änderungen und Dateioperationen und sendet diese an eine zentrale Auswertungsplattform.

Der Mehrwert von EDR liegt in der Verbindung von Detektion und Reaktion. Erkennt das System verdächtige Aktivitäten, kann es automatisiert Gegenmaßnahmen einleiten, etwa ein Endgerät vom Netzwerk isolieren, schädliche Prozesse beenden oder kompromittierte Dateien in Quarantäne verschieben. Gleichzeitig liefert EDR Sicherheitsteams forensische Daten, mit denen sich der Verlauf eines Angriffs nachvollziehen (Threat Hunting) und die Ursache eines Vorfalls bestimmen lässt. EDR ist damit ein zentraler Baustein moderner Detektions- und Reaktionsfähigkeiten und wird häufig mit Network Detection oder einem SIEM zu einer übergreifenden XDR-Strategie kombiniert.

Aus Compliance-Sicht trägt EDR wesentlich dazu bei, regulatorische Anforderungen an die Erkennung von und Reaktion auf Sicherheitsvorfälle zu erfüllen. Die NIS2-Richtlinie und das deutsche IT-Sicherheitsrecht verlangen von betroffenen Einrichtungen geeignete technische Maßnahmen zur Bewältigung von Sicherheitsvorfällen sowie eine zeitnahe Meldung erheblicher Vorfälle. Auch der BSI IT-Grundschutz und die ISO/IEC 27001 fordern Verfahren zur Detektion, Protokollierung und Reaktion. EDR liefert die technische Grundlage, um Vorfälle überhaupt rechtzeitig zu bemerken, die gesetzlichen Meldefristen einzuhalten und die Wirksamkeit der Sicherheitsmaßnahmen gegenüber Auditoren nachzuweisen.