Was ist EDR? Endpoint Detection and Response einfach erklärt
EDR (Endpoint Detection and Response) einfach erklärt: was es ist, wie es sich von klassischem Antivirus unterscheidet, warum auch der Mittelstand es braucht und was betreutes EDR kostet.
- EDR (Endpoint Detection and Response) bedeutet: eine Software läuft auf jedem Endgerät mit, zeichnet dessen Verhalten auf, meldet verdächtige Muster und kann das Gerät im Ernstfall vom Netz trennen.
- Klassischer Antivirus erkennt Schädlinge, die er bereits kennt. Das BSI zählte im Juni 2026 rund 247.000 neue Malware-Varianten pro Tag – eine Signaturliste kommt dagegen nicht mehr hinterher.
- Der eigentliche Unterschied ist die Aufzeichnung: Microsoft Defender for Endpoint speichert die Verhaltenstelemetrie eines Geräts sechs Monate lang, sodass sich ein Vorfall bis zum ersten verdächtigen Prozess zurückverfolgen lässt.
- EDR ohne Betreuung schützt kaum: Warnungen entstehen rund um die Uhr, aber nur ein Mensch oder ein Team, das sie einordnet, macht daraus eine Reaktion.
- Bei kjello ist EDR ein betreutes Modul für 10 €/Arbeitsplatz/Monat zusätzlich zur Basis von 29 €/Arbeitsplatz/Monat (netto).
Ransomware kann einen Betrieb wochenlang lahmlegen, und klassischer Virenschutz allein reicht dagegen oft nicht mehr. An dieser Stelle fällt regelmäßig der Begriff EDR – meist im Angebot eines Dienstleisters, selten mit einer Erklärung dabei. Was ist EDR also konkret? Dieser Ratgeber erklärt, was dahintersteckt, wie sich EDR von Antivirus unterscheidet, was es kostet und warum das Werkzeug ohne Betreuung wenig bringt.
Was ist EDR?
EDR steht für Endpoint Detection and Response – auf Deutsch etwa „Erkennung und Reaktion an den Endgeräten“. EDR bedeutet: eine Software läuft auf jedem Endgerät mit, zeichnet dessen Verhalten auf, meldet verdächtige Muster und kann das Gerät im Ernstfall vom Netz trennen.
Der entscheidende Unterschied zu älteren Schutzprogrammen: EDR wartet nicht nur darauf, einen bekannten Virus zu blockieren. Es beobachtet, wie sich Programme verhalten, und schlägt Alarm, wenn etwas untypisch ist – etwa wenn ein Prozess anfängt, massenhaft Dateien zu verschlüsseln.
Technisch besteht eine EDR-Lösung aus drei Teilen, die zusammenarbeiten:
- Sensor. Ein kleiner Dienst auf dem Gerät protokolliert laufend, was passiert. Die Herstellerdokumentation zu Microsoft Defender for Endpoint nennt als erfasste Telemetrie unter anderem Prozessinformationen, Netzwerkaktivitäten, Einblicke in Kernel- und Speicher-Manager, Benutzeranmeldungen sowie Änderungen an Registry und Dateisystem.
- Analyse. Aus diesen Rohdaten werden Muster erkannt und zu einem Vorfall gebündelt, statt hundert Einzelmeldungen zu erzeugen.
- Reaktion. Ein betroffenes Gerät lässt sich isolieren, eine Datei beenden und einsperren, ein Indikator netzweit blockieren.
Die aufgezeichneten Daten bleiben bei Defender for Endpoint sechs Monate abrufbar. Das klingt nach einer Randnotiz, ist aber der praktische Kern: Erst dadurch lässt sich nach einem Vorfall rückwärts rekonstruieren, welcher Klick, welche Datei oder welcher Fernzugang der Anfang war. Verwandte Begriffe ordnet unser Wissenseintrag zur Endpoint Security ein.
EDR vs. Antivirus: der Unterschied
Klassischer Antivirus arbeitet überwiegend signaturbasiert. Er vergleicht Dateien mit einer Liste bekannter Schädlinge. Das ist schnell und günstig, hat aber eine Lücke: Neue oder getarnte Angriffe, für die es noch keine Signatur gibt, werden leicht übersehen. Wie breit diese Lücke ist, zeigt die schiere Menge an Schadsoftware, die täglich neu auftaucht.
Die Zahl stammt aus dem monatlichen Lagebild des BSI zur Bedrohungslage: Im Juni 2026 wurden rund 7,42 Millionen neue Schadprogramm-Varianten bekannt, im Schnitt 247.000 pro Tag (Stand: 07.08.2026). Der Trend zeigt dabei nach unten – im Juni 2025 waren es noch 9,5 Millionen –, doch an der Größenordnung ändert das nichts: Gegen ein Verfahren, das jede einzelne Variante kennen muss, bleibt das ein aussichtsloses Rennen.
Der Vergleich in der Übersicht:
| Merkmal | Klassischer Antivirus | EDR |
|---|---|---|
| Erkennungsprinzip | Signatur: kennt den Schädling | Verhalten: erkennt das Muster |
| Unbekannte Angriffe | rutschen leicht durch | werden am Verhalten auffällig |
| Aufzeichnung | kaum vorhanden | Verhaltenstelemetrie, Monate rückwirkend |
| Reaktion | Datei löschen oder in Quarantäne | Gerät isolieren, Prozess stoppen, netzweit blockieren |
| Nachvollziehbarkeit eines Vorfalls | nicht möglich | Angriffskette rekonstruierbar |
| Betriebsaufwand | gering, „installiert und vergessen“ | erzeugt Warnungen, die jemand bewerten muss |
In der Praxis ersetzt EDR den Virenschutz nicht, sondern setzt darauf auf. Die Signaturerkennung fängt weiter die große Masse bekannter Schädlinge ab; EDR kümmert sich um das, was durchkommt.
Warum auch der Mittelstand EDR braucht
Die Vorstellung, dass Cyberangriffe nur große Unternehmen treffen, ist überholt. Viele Angriffe laufen automatisiert und suchen schlicht nach verwundbaren Zielen – unabhängig von der Firmengröße. Kleine und mittlere Betriebe sind dabei oft besonders gefährdet, weil der Schutz schwächer und die IT dünner besetzt ist.
Dass der Bedarf real ist, zeigt auch der Markt: Microsoft bietet mit Defender for Business ausdrücklich eine EDR-Variante für Unternehmen mit bis zu 300 Benutzern an – zugeschnitten auf Firmen ohne eigenes Sicherheitsteam. Lange war diese Technik vor allem in Organisationen zu finden, die eine eigene Sicherheitsabteilung unterhalten.
Was ein Angriff im Mittelstand konkret bedeutet, beschreiben Betroffene meist nüchterner als jede Statistik:
Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt — jedes Dokument, jede E-Mail, jede Rechnung.
EDR erhöht die Chance, einen solchen Angriff früh zu erkennen und einzudämmen, statt ihn erst zu bemerken, wenn die Systeme bereits verschlüsselt sind. Zusammen mit einem geprüften Backup und aktuellen Systemen ist es einer der wirksamsten Bausteine gegen Ransomware – aber eben nur einer. Welche Maßnahmen darüber hinaus zum Grundschutz gehören, fasst unsere IT-Sicherheit-Checkliste für KMU zusammen. Wo Sie aktuell stehen, zeigt in wenigen Minuten der IT-Sicherheit-Check.
Woran EDR einen Angriff erkennt
Interessant wird EDR erst, wenn man weiß, wonach es sucht. Das BSI listet in seinen Top-10-Maßnahmen zur Detektion von Ransomware auf, worauf ein Monitoring achten sollte – und verweist beim Abgreifen von Anmeldedaten ausdrücklich darauf, dass man bei einem EDR-Produkt üblicherweise auf die mitgelieferten Regeln des Herstellers zurückgreifen kann. Vier dieser Punkte tauchen in nahezu jedem Vorfall auf:
- Auffällige Fernzugriffe. RDP-Anmeldungen werden auf ungewöhnliche Kombinationen aus IP-Adresse, Standort, Benutzerkonto und Rechnername geprüft – auch innerhalb des Netzes, weil Angreifer sich so seitlich weiterbewegen.
- Untypische Kommandozeilen. Nach dem ersten Zugriff wird meist PowerShell genutzt, um Schadcode nachzuladen. Änderungen an der Execution Policy sind ein klassisches Alarmsignal.
- Abgreifen von Anmeldedaten. Zugriffe auf den LSASS-Prozess, die SAM-Datenbank oder LSA Secrets sind der Schritt, mit dem aus einem gekaperten Rechner ein gekapertes Netzwerk wird.
- Neue geplante Aufgaben. Damit nistet sich ein Angreifer dauerhaft ein – auch über einen Neustart hinweg.
Keiner dieser Punkte ist eine Datei mit Virensignatur. Alle vier sind Verhalten – und genau deshalb sieht sie ein Antivirus nicht. Denselben Angriffswegen entzieht man übrigens parallel den Boden, indem man Systeme aktuell hält; wie das planbar wird, steht im Beitrag zum Patch-Management im Mittelstand.
„Managed EDR“: Werkzeug allein reicht nicht
Ein wichtiger Punkt wird oft übersehen: EDR erzeugt Warnungen – aber jemand muss sie beobachten, einordnen und darauf reagieren. Eine Warnung um 03:15 Uhr, die erst am nächsten Werktag jemand liest, hat einem Ransomware-Angriff die ganze restliche Nacht Vorsprung gelassen – über ein Wochenende sind es zwei Tage. Ein Werkzeug, das niemand betreut, ist deshalb vor allem ein Werkzeug, das Lizenzkosten verursacht.
Ob Sie 5 oder 500 Mitarbeitende haben — einem automatisierten Massenangriff ist das egal. Der verschlüsselt Sie, weil er kann. Deshalb braucht heute jedes Unternehmen einen Grundschutz.
Jens HagelGründer & Geschäftsführer
Deshalb ist EDR bei kjello ein betreutes Modul: Die Technik wird passend ausgewählt, ausgerollt, überwacht und im Ernstfall bedient. Sie buchen es zur Basis hinzu und müssen sich weder um Auswahl noch um Überwachung kümmern. Wie sich das in einen Gesamt-Grundschutz einfügt, sehen Sie unter Sicherheit & Compliance; die Modul-Seite Sicherheit & EDR beschreibt den Leistungsumfang im Detail.
Was EDR kostet
Bei kjello kostet EDR 10 €/Arbeitsplatz/Monat zusätzlich zur Basis von 29 €/Arbeitsplatz/Monat (netto, Stand 07.08.2026). Für einen Betrieb mit 30 Arbeitsplätzen sind das 300 € im Monat für den betreuten Endgeräteschutz – alle Preise stehen offen auf der Seite Preise.
Der häufigste Einwand lautet, das sei für ein „Nice-to-have“ zu viel. Die Gegenrechnung ist unangenehm einfach: Der Sanitärbetrieb oben stand drei Monate. Selbst wenn man nur den entgangenen Umsatz eines einzigen Ausfalltags ansetzt, ist die Jahresgebühr für 30 Arbeitsplätze in der Regel längst überschritten – ohne Wiederherstellungsaufwand, ohne Meldepflichten, ohne Vertrauensschaden.
EDR ist kein Ersatz für ein Backup. Wenn Daten trotz Erkennung verschlüsselt werden, entscheidet allein die Frage, ob eine getestete Sicherung existiert. Wie ein belastbarer Wiederanlauf aussieht, steht im IT-Notfallplan.
Grenzen: Was EDR nicht leistet
Ehrlichkeit gehört zur Beratung. EDR schützt nicht vor einem Mitarbeitenden, der freiwillig Zugangsdaten auf einer gefälschten Anmeldeseite eingibt – dagegen helfen Mehrfaktor-Anmeldung und Schulung. Es schützt auch nicht vor Geräten, die niemand kennt: Was nicht im Inventar steht, bekommt keinen Sensor. Ein sauberes Geräte-Management im KMU ist deshalb die Voraussetzung, nicht die Kür.
EDR ist außerdem kein lückenloses Protokoll: Microsoft weist für Defender for Endpoint ausdrücklich darauf hin, dass der Sensor nicht jede Aktivität eines Endgeräts festhält und identische Ereignisse gedrosselt werden. Wer eine revisionssichere Vollprotokollierung benötigt, braucht dafür ein eigenes Werkzeug.
Und schließlich: EDR erzeugt Fehlalarme. Ein Team, das sie nicht bewertet, gewöhnt sich daran, sie wegzuklicken – der Punkt, an dem der Schutz faktisch wieder aus ist.
Sie möchten EDR nicht selbst betreiben? kjello übernimmt den verhaltensbasierten Endgeräteschutz für 10 € pro Arbeitsplatz und Monat – mit einem Team, das auf die Warnungen schaut.
EDR & Endpoint Security ansehenFazit
EDR ist die zeitgemäße Antwort auf Angriffe, die klassischer Virenschutz übersieht: Es erkennt verdächtiges Verhalten, macht sichtbar, was auf den Geräten passiert, und kann Angriffe eindämmen, bevor sie sich ausbreiten. Für den Mittelstand ist es damit kein Luxus mehr, sondern ein sinnvoller Grundbaustein – vorausgesetzt, es wird betreut und nicht nur installiert.
Wer den Aufbau ordnen will, beginnt nicht mit dem Produkt, sondern mit der Frage, welche Risiken überhaupt priorisiert werden sollen. Einen Rahmen dafür liefert das IT-Sicherheitskonzept. Die Technik folgt danach – und lässt sich dann auch begründen.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was ist EDR (Endpoint Detection and Response)?
Was ist der Unterschied zwischen EDR und Antivirus?
Braucht auch ein kleines Unternehmen EDR?
Was bedeutet 'managed EDR'?
Was kostet EDR bei kjello?
Ersetzt EDR ein Backup?
Sicherheit & Compliance ansehen
EDR ist Teil eines durchdachten Grundschutzes. Sehen Sie, wie kjello Sicherheit, DSGVO und Compliance im Alltag zusammenbringt – betreut statt bloß bereitgestellt.
