Ratgeber

XDR, EDR oder SIEM (und MDR): Unterschiede und was Ihr Unternehmen braucht

EDR erkennt Bedrohungen auf Endgeräten und reagiert dort. XDR erweitert Erkennung und Reaktion auf Netzwerk, Firewalls, Cloud und Microsoft 365 in einer Konsole, ein SIEM sammelt Logs aus fast jeder Quelle für Korrelation, Suche und Audits. MDR und Managed SOC sind keine Werkzeuge, sondern Dienste: Menschen, die die Alarme für Sie überwachen und reagieren.

XDR, EDR, SIEM, MDR: die kurzen Definitionen

Drei davon sind Werkzeuge, die Sie betreiben; die letzten beiden sind Dienste, die jemand für Sie erbringt.

EDR, Endpoint Detection and Response: Ein Agent auf Laptops und Servern, der Prozess-, Datei- und Netzwerkaktivität aufzeichnet, bösartiges Verhalten erkennt und eine Reaktion auf dem Rechner erlaubt, etwa ihn zu isolieren oder einen Prozess zu beenden. Er sieht nur, was auf Endgeräten geschieht.
XDR, Extended Detection and Response: Erkennung und Reaktion über mehrere Ebenen: Endgeräte plus Netzwerksensoren, Firewalls, Cloud-Konten, E-Mail und Identitäten. Die Alarme aller Quellen landen in einer Liste mit einheitlicher Schwere, und die Reaktion reicht über das Endgerät hinaus, etwa bis zur Sperre auf der Firewall.
SIEM, Security Information and Event Management: Eine zentrale Log-Plattform: Sie sammelt Ereignisse aus fast jedem System, korreliert sie mit Regeln, bewahrt sie lange auf und unterstützt Suche und Compliance-Berichte. Die Reaktion kommt meist über ein separates SOAR-Werkzeug hinzu.
MDR, Managed Detection and Response: Ein Dienst: Analysten eines Anbieters überwachen Ihre Alarme, untersuchen sie und reagieren oder sagen Ihnen, was zu tun ist, oft rund um die Uhr. Meist mit den eigenen Werkzeugen des Anbieters.
Managed SOC, SOC as a Service: Ein ausgelagertes Security Operations Center. Der Umfang schwankt stärker, als der Name vermuten lässt: von der Überwachung eines SIEM zu Bürozeiten bis zur vollständigen Vorfallsbewältigung.

XDR, EDR, SIEM und MDR im direkten Vergleich

Bewusst vereinfacht. Die Kategorien überschneiden sich: Viele XDR-Produkte bewahren Logs auf wie ein SIEM, und viele MDR-Dienste laufen auf einem XDR.

	EDR	XDR	SIEM	MDR / Managed SOC
Was es überwacht	Endgeräte	Endgeräte, Netzwerk, Firewalls, Cloud, Microsoft 365	Logs aus jeder angebundenen Quelle	Was die Werkzeuge des Anbieters abdecken
Reaktion	Auf dem Endgerät	Auf Endgeräten und darüber hinaus, etwa der Firewall	Alarme; Reaktion über SOAR	Analysten des Anbieters, im Rahmen des Vertrags
Wer die Alarme bearbeitet	Ihr Team	Ihr Team, oft ein kleines	Ihre Analysten, mit Abfragekenntnissen	Der Anbieter
Übliches Preismodell	Pro Endgerät	Pro Endgerät oder Rechner	Oft nach Datenvolumen	Pro Endgerät oder Nutzer, Personal inklusive
Größte Lücke	Blind für Netzwerk und Cloud	Tiefe hängt von den Integrationen ab	Braucht Pflege und Personal	Abhängig vom Leistungsumfang des Anbieters

MDR oder SIEM: ein Dienst oder eine Plattform, die Sie besetzen

Die beiden werden oft verglichen, beantworten aber verschiedene Fragen. Ein SIEM beantwortet: „Wo sind all unsere Logs, und was zeigen sie?“ Es sammelt Ereignisse, bewahrt sie so lange auf, wie Audits es verlangen, und erzeugt Alarme aus Korrelationsregeln. Die Alarme liest es nicht für Sie: Jemand muss die Regeln pflegen und die Warteschlange abarbeiten.

MDR beantwortet: „Wer schaut hin, und wer handelt?“ Analysten eines Anbieters überwachen Ihre Umgebung, untersuchen Auffälliges und reagieren oder sagen Ihnen, was zu tun ist, oft rund um die Uhr. Darunter läuft ein MDR-Dienst auf Werkzeugen wie EDR, XDR oder einem SIEM, meist seinen eigenen.

Die Wahl hängt also an den Menschen. Mit eigenen Analysten liefert ein SIEM oder XDR ihnen die Daten. Ohne sie kauft MDR Menschen und Werkzeuge zusammen ein. Dazwischen kann ein kleines IT-Team ein XDR, das seine Alarme erklärt, in der Arbeitszeit betreiben und für die Nacht MDR oder Rufbereitschaft ergänzen. Fragen Sie jeden Anbieter, was er tatsächlich überwacht: Manche MDR-Dienste decken nur Endgeräte ab.

Was zu welcher Unternehmensgröße und welchem Team passt

Eine Orientierung, keine Regel. Entscheidend ist, wer die Alarme um drei Uhr nachts liest.

Kein IT-Sicherheitspersonal, wenige Dutzend Mitarbeiter: Endpoint-Schutz plus ein MDR-Dienst, oder ein Systemhaus, das die Erkennung für Sie betreibt. Ein Werkzeug, das niemand liest, schützt nicht.
Ein kleines IT-Team, etwa 50 bis 500 Mitarbeiter: Ein XDR, damit eine Konsole Endgeräte, Firewalls, Microsoft 365 und Cloud abdeckt, mit Automatisierung und Hilfe bei der Bewertung von Alarmen. Dazu MDR oder Rufbereitschaft, wenn Nächte und Wochenenden überwacht werden müssen.
Ein eigenes Security-Team oder starke Regulierung: Ein XDR für Erkennung und Reaktion, dazu ein SIEM, wenn Logs aus deutlich mehr Quellen aufbewahrt und durchsucht werden müssen, oder ein eigenes SOC.
Ein Systemhaus, MSP oder MSSP: Ein XDR, das sich je Kunde getrennt betreiben lässt und auf der Technik reagiert, die der Kunde schon besitzt.

Ein kleines Unternehmen ohne Security-Team braucht vielleicht MDR, nicht noch ein Werkzeug

Das ist die ehrliche Antwort. Jedes Erkennungswerkzeug erzeugt Alarme, und jemand muss sie lesen, entscheiden und handeln, auch nachts. Wenn das im Unternehmen niemand kann, kaufen Sie zuerst die Menschen ein: einen MDR-Dienst, ein Managed SOC oder ein Systemhaus, das das Werkzeug für Sie betreibt.

Was Schildmark ist: Software: ein XDR über Windows-, macOS- und Linux-Endgeräte und -Server, Netzwerksensoren, Firewalls, Microsoft 365, AWS und Google Cloud, mit einem KI-Analysten, der jeden Alarm in klarer Sprache erklärt und den nächsten Schritt vorschlägt.
Wer es betreibt: Ein kleines IT-Team, das Sicherheit in der Arbeitszeit mit klarem Lagebild erledigen will, oder ein Systemhaus, MSP oder MSSP, das es für seine Kunden betreibt, jeden in einer eigenen Installation.
Was entlastet: Reaktionsregeln, die auf Ihren eigenen Firewalls sperren, auf Wunsch mit Freigabe; geprüftes Patching, das Schwachstellen schließt, bevor sie ausgenutzt werden; Alarme, zu Vorfällen gruppiert.
Was es nicht ist: Kein 24/7-Dienst mit unseren Analysten an Ihren Alarmen und kein Virenschutz: Ihren Malware-Schutz behalten Sie, und Schildmark holt die Alarme von Defender for Endpoint oder Sophos Central in dieselbe Liste.

Brauchen Sie ein SIEM, wenn Sie ein XDR haben?

Im Mittelstand oft nicht. Wenn Sie erkennen, reagieren und Aufzeichnungen für einen Zeitraum vorlegen müssen, reicht ein XDR, das seine Logs so lange aufbewahrt, wie Sie es festlegen. NIS2, ISO 27001 mit den Maßnahmen 8.15 und 8.16, PCI DSS Anforderung 10 und SOC 2 CC7 verlangen Protokollierung und Überwachung, kein Produkt namens SIEM.

Ein SIEM brauchen Sie, wenn Logs vieler Systeme, die das XDR nicht liest, gesammelt und korreliert werden müssen, etwa aus Eigenentwicklungen, oder wenn ein Security-Team eigene Korrelationen über alle Quellen schreiben will. Achten Sie in jedem Fall auf die Aufbewahrung: PCI DSS 10.5.1 etwa verlangt mindestens 12 Monate.

Schildmark bewahrt Alarme und Ereignisse 7 Tage bis 10 Jahre auf, wie Sie es einstellen, und die Compliance-Seite warnt, wenn das kürzer ist, als ein Framework erwartet. Welche Quellen es liest, zeigt die Seite Erkennen.

Häufige Fragen

Was ist der Unterschied zwischen XDR und EDR?

EDR deckt nur Endgeräte ab: Es erkennt Angriffe auf Laptops und Servern und reagiert dort. XDR nimmt weitere Quellen hinzu, etwa Netzwerksensoren, Firewalls, Cloud-Konten und Microsoft 365, führt deren Alarme in einer Liste mit einheitlicher Schwere zusammen und kann über das Endgerät hinaus reagieren, zum Beispiel eine angreifende Adresse auf der Firewall sperren.

Was ist der Unterschied zwischen MDR und SIEM?

Ein SIEM ist eine Plattform: Es sammelt und bewahrt Logs, korreliert sie mit Regeln und erzeugt Alarme, doch Ihre eigenen Analysten müssen es pflegen und die Alarme bearbeiten. MDR ist ein Dienst: Analysten eines Anbieters überwachen Ihre Alarme, untersuchen sie und reagieren für Sie, meist mit eigenen Werkzeugen, darunter oft ein SIEM oder XDR. Die eigentliche Frage ist, ob Sie Menschen haben, die die Alarme lesen.

Was ist der Unterschied zwischen EDR und SIEM?

EDR ist ein Agent auf Laptops und Servern, der Angriffe dort erkennt und auf dem Rechner reagiert, etwa indem er ihn isoliert. Ein SIEM sammelt Logs aus vielen Quellen, auch aus dem EDR, für Korrelation, lange Aufbewahrung und Audits, greift aber nicht auf dem Rechner ein. Viele Unternehmen leiten EDR-Alarme in ein SIEM; im Mittelstand deckt ein XDR einen Großteil von beidem ab.

Brauche ich ein SIEM, wenn ich ein XDR habe?

Nicht immer. NIS2, ISO 27001, PCI DSS und SOC 2 verlangen Protokollierung und Überwachung, kein Produkt namens SIEM. Ein SIEM brauchen Sie, wenn Logs vieler Systeme, die das XDR nicht liest, gesammelt und korreliert werden müssen, etwa aus Eigenentwicklungen, oder wenn ein Security-Team eigene Korrelationen über alles bauen will.

XDR oder MDR: Was braucht ein kleines Unternehmen?

Wenn im Unternehmen niemand Alarme lesen und darauf handeln kann, kommt zuerst ein MDR-Dienst oder ein Managed SOC, denn ein Werkzeug überwacht sich nicht selbst. Mit einem kleinen IT-Team kann ein XDR, das seine Alarme erklärt, in der Arbeitszeit genügen, ergänzt um MDR oder Rufbereitschaft für die Nacht.

Ersetzt ein XDR den Virenschutz?

Nicht unbedingt. Manche XDR-Produkte bringen Endpoint-Schutz mit, andere nicht. Schildmark ist kein Virenschutz: Ihren Malware-Schutz behalten Sie, und Schildmark holt die Alarme von Microsoft Defender for Endpoint oder Sophos Central in dieselbe Liste wie alles andere.

Ist Schildmark ein XDR, ein SIEM oder ein MDR?

Ein XDR. Es sammelt Logs und Alarme von Endgeräten, Netzwerksensoren, Firewalls, Microsoft 365 und Cloud-Konten, sperrt auf Ihren Firewalls und in Ihren Clouds, erklärt Alarme mit einem KI-Analysten und patcht mit Prüfung. Es ist Software, kein 24/7-Dienst; Systemhäuser und MSSPs können es für ihre Kunden betreiben.

Unsicher, was Sie brauchen?

Nennen Sie uns Ihre Rechnerzahl, wer sich um die IT kümmert und was Sie wem nachweisen müssen. Wir sagen Ihnen ehrlich, ob Schildmark passt oder ein Managed Service besser.

Vertrieb kontaktieren sales@schildmark.com