Ratgeber

XDR für den Mittelstand: worauf es bei der Auswahl ankommt

Für den Mittelstand zählt bei einem XDR weniger die Länge der Funktionsliste als drei Fragen: Deckt es Ihre Rechner, Firewalls, Microsoft 365 und Cloud ab, kann es auf der vorhandenen Firewall eingreifen, und wer liest die Alarme? Danach entscheiden Patching mit Nachweis, Belege für NIS2 und ISO 27001, Datenstandort, KI-Datenrichtlinie, Preismodell und ein Test auf Ihren eigenen Rechnern.

Was der Mittelstand von einem XDR braucht

Ein typisches mittelständisches Unternehmen hat 50 bis 500 Mitarbeiter, einen IT-Leiter mit kleinem Team, oft ein Systemhaus an der Seite, aber kein eigenes SOC. Das XDR muss eine gemischte Umgebung aus Windows, macOS und Linux, ein oder zwei Firewalls, Microsoft 365 und Cloud-Konten abdecken, und seine Alarme müssen für jemanden verständlich sein, der nebenbei den Support macht.

Den Zeitpunkt bestimmt oft die Regulierung. Seit Dezember 2025 gilt das NIS2UmsuCG; viele Mittelständler sind damit erstmals erfasst, ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme in den Sektoren der Anlagen 1 und 2 BSIG. § 30 BSIG verlangt unter anderem die Bewältigung von Sicherheitsvorfällen und ein Management von Schwachstellen, § 32 die Erstmeldung erheblicher Vorfälle binnen 24 Stunden, und § 38 verpflichtet die Geschäftsleitung, die Umsetzung zu überwachen. Ein XDR macht Sie nicht NIS2-konform, sollte aber die technischen Nachweise dafür ohne Zusatzaufwand liefern.

Die Checkliste für die XDR-Auswahl

Zehn Kriterien, was Sie jeweils prüfen sollten und wie Schildmark sie beantwortet, damit Sie andere Produkte in dieselbe Tabelle eintragen können.

Kriterium	Was Sie prüfen sollten	Schildmark
Abdeckung	Windows, macOS und Linux, Server wie Laptops; Firewalls; Microsoft 365; Cloud-Konten; der vorhandene Endpoint-Schutz.	Windows-, macOS- und Linux-Endgeräte und -Server, Netzwerksensoren, Firewall-Syslog, Microsoft 365, AWS, Google Cloud, Defender for Endpoint, Sophos Central. Siehe Erkennen.
Sperren auf der vorhandenen Firewall	Kann es auf Ihren vorhandenen Firewalls und Clouds sperren, mit Freigabeschritt und Adressen, die nie gesperrt werden dürfen?	Sperrt auf FortiGate, Sophos Firewall, OPNsense, AWS, Azure, Google Cloud, DigitalOcean und Cloudflare; pfSense nur lesend. Geschützte Adressen werden nie gesperrt. Siehe Abwehren.
Patching	Behebt es, was es findet, und wie wird ein Fix geprüft?	Proben, freigeben, genaue Version installieren, per Scan bestätigen. Nie automatisch auf hohen oder kritischen Rechnern. Siehe XDR mit Patch-Management.
Compliance-Nachweise	Exporte je Zeitraum, die ein Prüfer öffnen kann, zugeordnet zu NIS2, ISO 27001, PCI DSS oder SOC 2.	Zuordnung Maßnahme für Maßnahme und ein Nachweispaket aus CSV-Dateien je Zeitraum. Siehe Compliance.
Datenstandort	Wo Logs, Alarme und Backups liegen und wer darauf zugreifen kann; Rechenzentrum, AVV und Unterauftragsverarbeiter.	Gehostet in der Region Ihrer Wahl, etwa Frankfurt oder ein anderer EU-Standort; Logs, Alarme, Inventar und Backups bleiben dort.
KI-Datenrichtlinie	Welches Modell Ihre Daten liest, wo es läuft und ob Sie es abschalten können.	Ihre Wahl: eigenes Modell, unser Standardanbieter, nur BAA-abgedeckte Anbieter oder gar keiner. Siehe Analyst.
Gehostet oder selbst betrieben	Können Sie es selbst betreiben, wenn Ihre Richtlinien das verlangen?	Von uns betrieben oder auf einem oder zwei eigenen Linux-Servern. Siehe Betrieb.
Preismodell	Pro Rechner, pro Nutzer oder nach Datenvolumen; was Erweiterungen kosten; ob Integrationen extra kosten.	Gehostet ab 800 US-Dollar im Monat, je nach Rechnern und Erweiterungen; Selbstbetrieb auf Anfrage; alle Integrationen inklusive. Siehe Preise.
Test	Auf Ihren eigenen Rechnern, lang genug für echte Alarme und einen Patch-Zyklus.	30 Tage, bis zu 25 Rechner, alle Funktionen, keine Zahlungsdaten.
Wer die Alarme liest	Ihr Team, ein Dienstleister oder beide, und wie das Produkt bei der Entscheidung hilft.	Ein KI-Analyst erklärt Alarme und schlägt den Fix vor; nutzbar für ein kleines IT-Team oder das Systemhaus.

Warnsignale bei der XDR-Auswahl

Keines davon schließt ein Produkt allein aus, aber jedes verdient eine direkte Frage.

Demo nur mit Beispieldaten: Beispieldaten sehen immer aufgeräumt aus. Verlangen Sie einen Test auf Ihren eigenen Rechnern und Firewalls.
Reaktion ohne Bremse: Automatische Sperren ohne Freigabeschritt und ohne Liste geschützter Adressen sperren eines Tages einen Partner oder das eigene Büro.
„Gepatcht“ heißt „installiert“: Wird ein Fix nie neu gescannt, zeigt der Bericht, was versucht wurde, nicht was behoben ist.
Keine Antwort zu KI-Daten: Kann der Anbieter nicht sagen, welches Modell Ihre Alarme liest und wo es läuft, gehen Sie davon aus, dass Ihre Logs abfließen.
„Macht Sie konform“: Kein Produkt macht Sie NIS2- oder ISO-27001-konform. Ein Werkzeug liefert Nachweise; den Rest erledigen Ihr ISMS und Ihr Prüfer.
Daten, die Sie nicht mitnehmen können: Fragen Sie, wie Sie Nachweise und Daten exportieren und was passiert, wenn die Lizenz endet.

Fragen für die XDR-Demo

Lassen Sie den Anbieter das live zeigen, nicht auf Folien.

„Zeigen Sie mir einen Alarm meiner Firewall und was ich von dort aus tun kann.“: Prüft Abdeckung und Reaktion auf Ihrer vorhandenen Technik.
„Erklären Sie diesen Alarm so, wie Sie es unserer Geschäftsführung erklären würden.“: Prüft, ob ein kleines Team ohne Spezialisten handeln kann.
„Bringen Sie eine Schwachstelle vom Fund bis zum bestätigten Fix.“: Prüft, ob Patching geprüft oder nur installiert wird.
„Exportieren Sie die Nachweise für den letzten Monat.“: Prüft, was Sie dem Prüfer übergeben werden.
„Wo liegen diese Daten, und wohin ging gerade die KI-Anfrage?“: Prüft Datenstandort und KI-Datenrichtlinie in der Praxis.
„Was kostet es für unsere Rechner, mit den Erweiterungen, die wir brauchen?“: Prüft, ob der genannte Preis der ist, den Sie zahlen.

Gehostet oder selbst betrieben

Gehostet heißt: Der Anbieter betreibt und aktualisiert die Server; fragen Sie, in welcher Region Ihre Daten liegen und ob jeder Kunde getrennt ist. Selbst betrieben heißt: Jedes Log bleibt auf Ihren eigenen Servern, Hardware und Backups stellen Sie.

Schildmark ist in beiden Fällen dasselbe Produkt, und jeder Kunde erhält eine eigene Installation. Eine gehostete Installation läuft in der Region, die Sie bei der Einrichtung wählen. Im Selbstbetrieb läuft sie auf einem oder zwei Ihrer Linux-Server und hält eine ausgehende HTTPS-Verbindung zu unserer Steuerungsebene, ohne eingehenden Zugriff. Details auf der Seite Betrieb, Preise unter Preise.

Häufige Fragen

Welches XDR eignet sich für den Mittelstand?

Eines, das alle Rechner, Firewalls, Microsoft 365 und Ihre Cloud-Konten abdeckt, auf der vorhandenen Firewall sperren kann, Patches mit Prüfung einspielt, Nachweise für NIS2 und ISO 27001 exportiert, einen klaren Datenstandort und eine KI-Datenrichtlinie hat und sich von einem kleinen IT-Team oder dem Systemhaus bedienen lässt.

Was kostet ein XDR für ein mittelständisches Unternehmen?

Die meisten XDR-Produkte werden pro Endgerät oder Rechner abgerechnet, monatlich oder jährlich; Log-Plattformen rechnen oft nach Datenvolumen. Vergleichen Sie den Gesamtpreis für Ihre Rechnerzahl mit den nötigen Erweiterungen. Schildmark gehostet beginnt bei 800 US-Dollar im Monat; der Preis hängt von Rechnern und Erweiterungen ab, Selbstbetrieb wird separat angeboten.

Brauchen wir für NIS2 ein XDR?

Weder die Richtlinie noch das BSIG schreiben ein bestimmtes Produkt vor. § 30 BSIG verlangt unter anderem die Bewältigung von Sicherheitsvorfällen und ein Management von Schwachstellen, § 32 die Meldung erheblicher Vorfälle binnen 24 Stunden. Ein XDR ist ein naheliegender Weg, das technisch umzusetzen und zu belegen.

Kann unser Systemhaus das XDR für uns betreiben?

Ja. Schildmark lässt sich von einem Systemhaus, MSP oder MSSP betreiben. Jeder Kunde hat dabei eine eigene Installation mit eigenen Daten, Anmeldungen und Zertifikaten.

Wo liegen die Daten bei einem gehosteten XDR?

Das ist je Anbieter verschieden; fragen Sie nach Region, Rechenzentrum und Unterauftragsverarbeitern. Bei Schildmark wählen Sie die Region bei der Einrichtung, etwa Frankfurt oder einen anderen EU-Standort. Logs, Alarme, Inventar und Backups bleiben dort. Im Selbstbetrieb bleibt alles auf Ihren Servern.

Prüfen Sie Schildmark mit dieser Checkliste

Nennen Sie uns Ihre Rechner, Firewalls und Clouds und das Audit oder die Regulierung, auf die Sie sich vorbereiten. Wir antworten innerhalb eines Werktags und richten auf Wunsch einen 30-Tage-Test für bis zu 25 Rechner ein.

Vertrieb kontaktieren sales@schildmark.com