MDR: Managed Detection and Response einfach erklärt

MDR steht für Managed Detection and Response. Dabei handelt es sich um einen verwalteten IT-Sicherheitsdienst, der Cyberbedrohungen kontinuierlich überwacht, analysiert und bei erkannten Vorfällen geeignete Gegenmaßnahmen einleitet.

MDR verbindet Sicherheitstechnologien mit der Arbeit spezialisierter Analysten. Unternehmen erhalten dadurch Unterstützung bei der Erkennung und Behandlung von Angriffen, ohne sämtliche Aufgaben eines Security Operations Centers selbst übernehmen zu müssen.

Was ist Managed Detection and Response?

Ein MDR-Dienst überwacht ausgewählte Bereiche der IT-Umgebung auf verdächtige Aktivitäten. Dazu können gehören:

• Arbeitsplatzcomputer und Notebooks
• Server
• Benutzerkonten und Identitäten
• Netzwerke
• Cloud-Dienste
• E-Mail-Systeme
• Anwendungen
• Sicherheitsprotokolle

Erkannte Ereignisse werden nicht nur automatisch gemeldet, sondern durch Sicherheitsanalysten bewertet. Dadurch sollen Fehlalarme reduziert und tatsächlich relevante Bedrohungen schneller erkannt werden.

Wie funktioniert MDR?

MDR-Anbieter binden verschiedene Sicherheitslösungen und Datenquellen an ihre Überwachungsplattform an.

Der Ablauf besteht typischerweise aus mehreren Schritten:

1. Sicherheitsdaten werden kontinuierlich erfasst.
2. Systeme erkennen verdächtige Muster oder Abweichungen.
3. Analysten prüfen den technischen und geschäftlichen Zusammenhang.
4. Der Vorfall wird priorisiert und bewertet.
5. Vereinbarte Reaktionsmaßnahmen werden eingeleitet.
6. Ursache, Umfang und Auswirkungen werden untersucht.
7. Der Kunde erhält Empfehlungen und eine Dokumentation.

Welche Systeme überwacht werden und welche Maßnahmen der Anbieter selbst ausführen darf, hängt vom jeweiligen Vertrag ab.

Welche Technologien nutzt ein MDR-Dienst?

MDR ist kein einzelnes Produkt. Der Dienst kann verschiedene Sicherheitswerkzeuge miteinander kombinieren.

EDR und XDR

Endpoint Detection and Response, kurz EDR, überwacht Endgeräte und Server. Die Lösung erfasst beispielsweise Prozesse, Dateien, Anmeldungen und Netzwerkverbindungen.

XDR erweitert diesen Ansatz um zusätzliche Bereiche wie Identitäten, E-Mail, Cloud und Netzwerk.

SIEM

Ein Security Information and Event Management sammelt und analysiert Protokolldaten aus unterschiedlichen Systemen.

Ein SIEM kann wichtige Daten für die Bedrohungserkennung bereitstellen, ist allein aber noch kein MDR-Dienst.

Threat Intelligence

Informationen über bekannte Angreifer, Schadsoftware, Angriffsinfrastruktur und Vorgehensweisen unterstützen die Bewertung verdächtiger Aktivitäten.

Verhaltensanalyse

Verhaltensbasierte Verfahren suchen nach ungewöhnlichen Abläufen. Dazu gehören beispielsweise:

• Anmeldungen aus auffälligen Regionen
• ungewöhnliche administrative Aktivitäten
• verdächtige Prozessketten
• große Datenübertragungen
• seitliche Bewegungen im Netzwerk
• Abweichungen vom üblichen Benutzerverhalten

Welche Maßnahmen kann ein MDR-Anbieter ergreifen?

Abhängig von den vereinbarten Befugnissen kann ein MDR-Dienst beispielsweise:

• ein betroffenes Endgerät isolieren
• verdächtige Prozesse beenden
• schädliche Dateien blockieren
• Benutzerkonten sperren
• Netzwerkverbindungen unterbrechen
• kompromittierte Zugangsdaten zurücksetzen lassen
• Firewall- oder EDR-Regeln anpassen
• betroffene Systeme zur Untersuchung kennzeichnen
• Handlungsempfehlungen an die interne IT übermitteln

Nicht jeder Anbieter darf selbstständig Veränderungen an Kundensystemen vornehmen. Einige Dienste beschränken sich auf Erkennung, Analyse und Benachrichtigung. Reaktionszeiten und Zuständigkeiten sollten deshalb vertraglich eindeutig festgelegt werden.

Was ist der Unterschied zwischen MDR und EDR?

EDR ist eine technische Sicherheitslösung für Endgeräte. Sie sammelt Telemetriedaten, erkennt verdächtige Aktivitäten und stellt Funktionen zur Reaktion bereit.

MDR ist dagegen ein verwalteter Dienst. Er kann EDR einsetzen, ergänzt die Technologie jedoch um:

• menschliche Analyse
• kontinuierliche Überwachung
• Priorisierung von Alarmen
• Threat Hunting
• Unterstützung bei der Reaktion
• Berichterstattung und Empfehlungen

Ein EDR-Produkt allein garantiert daher noch keine dauerhafte Überwachung durch Sicherheitsexperten.

Was ist der Unterschied zwischen MDR und einem MSSP?

Ein Managed Security Service Provider, kurz MSSP, bietet häufig ein breites Spektrum verwalteter Sicherheitsleistungen an.

Dazu können gehören:

• Firewall-Management
• Schwachstellenscans
• E-Mail-Sicherheit
• SIEM-Betrieb
• Compliance-Berichte
• Sicherheitsüberwachung

MDR konzentriert sich stärker auf die aktive Erkennung, Untersuchung und Behandlung von Bedrohungen.

Die Grenzen sind in der Praxis fließend. Viele Anbieter kombinieren MSSP-, SOC- und MDR-Leistungen.

Was ist der Unterschied zwischen MDR und SOC?

Ein Security Operations Center, kurz SOC, ist eine organisatorische Einheit aus Menschen, Prozessen und Technologien zur Sicherheitsüberwachung.

Ein Unternehmen kann ein eigenes internes SOC betreiben. Bei MDR werden wesentliche SOC-Aufgaben ganz oder teilweise als externer Dienst bezogen.

MDR kann deshalb eine Alternative oder Ergänzung zu einem eigenen SOC sein.

Welche Vorteile bietet MDR?

Ein MDR-Dienst kann Unternehmen mehrere Vorteile bieten:

• kontinuierliche Sicherheitsüberwachung
• Zugang zu spezialisierten Analysten
• schnellere Bewertung von Alarmen
• Entlastung der internen IT
• Erkennung komplexer Angriffsmuster
• Unterstützung bei Sicherheitsvorfällen
• bessere Nutzung vorhandener Sicherheitstechnologien
• nachvollziehbare Berichte
• Unterstützung bei Threat Hunting

Besonders für kleinere und mittlere Unternehmen kann MDR den Zugang zu Fähigkeiten ermöglichen, die intern nur mit erheblichem Personal- und Kostenaufwand aufgebaut werden könnten.

Worauf sollten Unternehmen bei MDR achten?

Vor der Auswahl eines Anbieters sollten folgende Punkte geprüft werden:

• Welche Systeme und Datenquellen werden überwacht?
• Erfolgt die Überwachung rund um die Uhr?
• Wie schnell werden kritische Vorfälle bearbeitet?
• Welche Maßnahmen darf der Anbieter selbstständig ausführen?
• Wo werden Sicherheitsdaten gespeichert?
• Wie erfolgt die Zusammenarbeit im Notfall?
• Welche Leistungen sind im Vertrag enthalten?
• Wie werden Fehlalarme behandelt?
• Welche Berichte und Nachweise werden bereitgestellt?
• Wie funktioniert die Übergabe an Incident-Response-Spezialisten?

Auch Verantwortlichkeiten, Eskalationswege und erreichbare Ansprechpartner müssen vor einem Vorfall festgelegt sein.

Ersetzt MDR andere Sicherheitsmaßnahmen?

Nein. MDR kann Angriffe erkennen und ihre Auswirkungen begrenzen, ersetzt aber keine grundlegende Absicherung.

Weiterhin erforderlich sind unter anderem:

• regelmäßige Sicherheitsupdates
• Multi-Faktor-Authentifizierung
• sichere Backups
• Netzwerksegmentierung
• minimale Berechtigungen
• Schwachstellenmanagement
• Mitarbeiterschulungen
• Notfall- und Wiederherstellungspläne

MDR ist ein Bestandteil eines mehrschichtigen Sicherheitskonzepts.

Fazit

Managed Detection and Response kombiniert Sicherheitstechnologien mit der kontinuierlichen Analyse durch spezialisierte Fachkräfte. Der Dienst unterstützt Unternehmen dabei, verdächtige Aktivitäten zu erkennen, Sicherheitsvorfälle zu bewerten und vereinbarte Gegenmaßnahmen einzuleiten.

Der tatsächliche Nutzen hängt davon ab, welche Systeme überwacht werden, wie schnell der Anbieter reagiert und welche Befugnisse für die Behandlung eines Vorfalls vereinbart wurden.