EDR
Endpunkt-Erkennung und -Reaktion
Endpoint Detection and Response
EDR überwacht Endpunkte — Arbeitsplätze, Server, mobile Geräte — kontinuierlich, zeichnet ihr Verhalten auf und erkennt verdächtige Aktivitäten anhand von Mustern statt nur anhand bekannter Signaturen. Anders als klassischer Virenschutz erlaubt EDR die Untersuchung und gezielte Reaktion, etwa das Isolieren eines kompromittierten Hosts. Die forensische Endpunkt-Telemetrie ist eine Kernzutat moderner Detektion.
Historie. Der Begriff Endpoint Detection and Response wurde 2013 vom Gartner-Analysten Anton Chuvakin geprägt — zunächst als „Endpoint Threat Detection and Response“. Hintergrund war die Einsicht, dass signaturbasierter Virenschutz gezielte Angriffe systematisch verfehlt: Was zählt, ist nicht die bekannte Datei, sondern das auffällige Verhalten.
Fakten. EDR sammelt Prozess-, Datei-, Registry- und Netzwerkereignisse am Endpunkt, wertet sie verhaltensbasiert aus und stellt Untersuchungs- und Reaktionsfunktionen bereit. Die Telemetrie liefert zugleich das Rohmaterial für die Forensik — Zeitachsen, Persistenzmechanismen, laterale Bewegung. EDR ist die Grundlage, auf der die breiteren Ansätze XDR (mehrere Domänen) und MDR (betrieben als Dienst) aufsetzen.
Ausblick & Empfehlung. EDR ist heute kein Luxus mehr, sondern Mindeststandard für die NIS2-Maßnahme „Angriffserkennung“ am Endpunkt. Der häufige Fehler ist, EDR zu lizenzieren, aber niemanden zu haben, der die Alarme nachts auswertet — die Telemetrie ist nur so wertvoll wie ihre Auswertung. Im XIEM-Modell ist die forensische Endpunkt-Funktion bereits in der Basisstufe Sentry enthalten.