EDR oder klassisches Antivirus: Was braucht der Mittelstand?

Worin unterscheiden sich EDR und klassisches Antivirus?

Ein klassischer Virenscanner arbeitet nach dem Prinzip des Türstehers mit Fahndungsliste: Er vergleicht jede Datei mit einer Datenbank bekannter Schadsoftware, den sogenannten Signaturen. Steht ein Muster auf der Liste, wird die Datei blockiert. Das funktioniert zuverlässig — aber nur bei Bedrohungen, die bereits bekannt und katalogisiert sind.

EDR steht für Endpoint Detection and Response, also Erkennung und Reaktion auf den Endgeräten. Statt nur Dateien abzugleichen, beobachtet EDR das Verhalten von Programmen in Echtzeit. Versucht eine Anwendung plötzlich, massenhaft Dateien zu verschlüsseln, Schattenkopien zu löschen oder Systemeinstellungen zu verändern, schlägt EDR Alarm — selbst wenn die Schadsoftware brandneu und auf keiner Signaturliste verzeichnet ist.

Der zweite große Unterschied steckt im Wort „Response": Ein EDR kann nicht nur erkennen, sondern auch eingreifen. Ein verdächtiges Gerät lässt sich aus der Ferne vom Netz isolieren, ein Schadprozess beenden, eine Datei unter Quarantäne stellen. Das klassische Antivirus blockiert oder lässt durch — dazwischen gibt es nichts. EDR liefert zusätzlich die Spurensicherung: Es protokolliert, welcher Prozess was getan hat, und macht so im Nachhinein nachvollziehbar, wie ein Angriff abgelaufen ist.

Warum reicht ein klassischer Virenscanner heute nicht mehr aus?

Angreifer entwickeln ihre Schadsoftware ständig weiter und verändern sie automatisiert, sodass sie auf keiner Fahndungsliste auftaucht. Gegen solche neuen, bisher unbekannten Varianten — im Fachjargon „Zero-Day" — ist ein reiner Signaturabgleich machtlos: Die Datei ist schlicht noch nicht bekannt, also wird sie durchgelassen.

Hinzu kommt eine Technik, die klassische Scanner systematisch aushebelt: Living off the Land. Dabei missbrauchen Angreifer legitime Windows-Bordmittel wie PowerShell oder die Eingabeaufforderung, statt eigene Schaddateien einzuschleusen. Für einen signaturbasierten Scanner sieht das aus wie normale Systemaktivität — es gibt keine bösartige Datei, die er erkennen könnte. EDR dagegen bewertet das ungewöhnliche Zusammenspiel: Warum startet ein Office-Dokument plötzlich PowerShell, das eine Verbindung ins Internet aufbaut? Genau diese Kette schlägt Alarm.

Auch das BSI ordnet diese Entwicklung ein. Das Rahmenwerk MITRE ATT&CK, eine öffentliche Wissensdatenbank realer Angreifer-Taktiken, listet Hunderte solcher Techniken — die wenigsten davon lassen sich allein über Dateisignaturen abfangen. Deshalb gilt verhaltensbasierte Erkennung heute als empfohlener Standard und ist Bestandteil moderner Sicherheitsanforderungen, etwa im Risikomanagement nach NIS2.

Ist EDR nur etwas für große Konzerne?

Nein. Dieser Eindruck stammt aus einer Zeit, in der EDR teuer und kompliziert zu betreiben war. Das hat sich grundlegend geändert. Als gemanagter Dienst ist EDR heute auch für kleine und mittlere Unternehmen bezahlbar — und gerade für sie besonders wertvoll.

Der Grund ist einfach: Kleinere Betriebe haben selten ein eigenes Sicherheitsteam, das rund um die Uhr Alarme auswertet. Genau diese Lücke schließt ein gemanagtes EDR. Angreifer machen ohnehin längst keinen Unterschied mehr zwischen Konzern und Mittelständler — im Gegenteil, kleinere Unternehmen gelten oft als leichteres Ziel, weil sie als schlechter geschützt vermutet werden.

Hinzu kommt, dass viele Angriffe heute automatisiert und breit gestreut ablaufen. Massenhaft verschickte Phishing-Mails und automatisierte Scans suchen schlicht nach verwundbaren Systemen, unabhängig von der Firmengröße. Ein Mittelständler ist damit genauso im Visier wie ein Großkonzern — nur ohne dessen Ressourcen zur Abwehr. Genau deshalb ist moderne Erkennung gerade hier so wichtig: Sie gleicht den fehlenden Personalpuffer durch Technik und externes Know-how aus.

Was bedeutet ‚managed‘ bei EDR und warum ist es entscheidend?

EDR allein erzeugt nur Alarme. Ohne jemanden, der diese Meldungen liest, bewertet und darauf reagiert, ist es lediglich ein weiteres Warnlämpchen, das niemand beachtet. Genau hier setzt der gemanagte Ansatz an. „Managed" bedeutet, dass ein erfahrenes Team die Überwachung und Reaktion übernimmt — oft auch als Managed Detection and Response (MDR) bezeichnet. Konkret heißt das:

• Überwachung: Alarme werden rund um die Uhr im Blick behalten, nicht nur zu Bürozeiten — denn Angriffe laufen bevorzugt nachts und am Wochenende.
• Bewertung: Echte Bedrohungen werden von harmlosen Fehlalarmen unterschieden, sodass das Team nicht in Meldungen ertrinkt.
• Reaktion: Im Ernstfall wird sofort gehandelt — ein betroffenes Gerät lässt sich binnen Minuten isolieren, bevor sich der Angriff im Netz ausbreitet.
• Nachbereitung: Nach einem Vorfall wird ausgewertet, wie der Angreifer hereinkam, damit dieselbe Lücke nicht ein zweites Mal genutzt wird.

So wird aus einem technischen Werkzeug ein wirksamer Schutz, der auch ohne eigenes Sicherheitsteam funktioniert. Bei implec mit ∅ 29 Minuten Reaktionszeit auf gemeldete Störungen verbinden wir die Technik mit der nötigen Reaktionsgeschwindigkeit — denn im Ernstfall entscheidet jede Minute über das Ausmaß des Schadens.

Wie hilft EDR konkret gegen Ransomware?

Ransomware ist die Bedrohung, gegen die EDR seine Stärken am deutlichsten ausspielt. Ein Verschlüsselungsangriff verläuft selten als ein einziger schneller Schlag, sondern in Phasen: erster Zugang, unbemerkte Ausbreitung im Netz, Rechteausweitung, Suche nach Backups — und erst ganz am Ende die eigentliche Verschlüsselung. Ein klassischer Scanner sieht meist nur die finale Schaddatei, wenn überhaupt. Da ist es oft zu spät.

EDR setzt früher an. Es erkennt die verräterischen Verhaltensmuster der Vorbereitungsphase: ungewöhnliche Anmeldungen, das Auslesen von Zugangsdaten, das systematische Durchsuchen von Netzlaufwerken. Beginnt ein Prozess, in hohem Tempo Dateien zu verschlüsseln, kann das EDR ihn stoppen und das Gerät isolieren, bevor sich der Schaden auf den ganzen Betrieb ausweitet.

Klassisches Antivirus fragt: Kenne ich diese Datei? EDR fragt: Ist dieses Verhalten normal? Genau dieser Perspektivwechsel rettet im Ernstfall den Betrieb.

Trotzdem ersetzt EDR kein Backup. Es senkt die Wahrscheinlichkeit, dass ein Angriff überhaupt durchschlägt, drastisch — aber die letzte Verteidigungslinie bleibt eine getrennt aufbewahrte, getestete Datensicherung nach der 3-2-1-Regel. Wie diese Bausteine zusammenwirken, vertiefen wir im Beitrag zum Ransomware-Schutz.

Worauf sollten Sie bei der Auswahl einer EDR-Lösung achten?

Entscheidend ist nicht das Produkt mit der längsten Funktionsliste, sondern die Frage, wer die Lösung im Alltag betreibt. Eine EDR-Software, deren Alarme niemand auswertet, ist im Mittelstand wenig wert. Achten Sie deshalb zuerst darauf, ob die Überwachung als Dienst rund um die Uhr abgedeckt ist — denn die meisten Angriffe laufen nachts und am Wochenende, wenn keine eigene IT erreichbar ist.

Weitere Punkte, die in der Praxis den Unterschied machen:

• Reaktionsgeschwindigkeit: Wie schnell wird im Ernstfall ein Gerät isoliert? Minuten zählen, nicht Stunden.
• Fehlalarm-Behandlung: Gute Anbieter filtern harmlose Meldungen heraus, damit echte Bedrohungen nicht untergehen.
• Abdeckung: Werden alle relevanten Systeme unterstützt — Windows, macOS und vor allem die Server?
• Transparenz: Erhalten Sie verständliche Berichte, statt nur eine Datenflut technischer Logs?

Ein verbreitetes Missverständnis ist, EDR sei eine Investition, die man einmal tätigt und dann vergisst. Tatsächlich entfaltet die Technik ihren Wert erst durch den laufenden Betrieb und die menschliche Bewertung dahinter. Genau deshalb empfiehlt sich für die meisten Mittelständler ein gemanagter Ansatz, bei dem ein erfahrenes Team die Überwachung übernimmt — statt eigene Fachkräfte für eine Aufgabe abzustellen, die rund um die Uhr Aufmerksamkeit verlangt.

Ersetzt EDR andere Sicherheitsmaßnahmen?

Nein, EDR ist ein Baustein in einem mehrschichtigen Schutzkonzept, kein Ersatz für alles andere. Es schützt die Endgeräte — also Laptops, PCs und Server — und damit das heute häufigste Einfallstor. Den Übergang nach außen sichert weiterhin die Firewall, und gegen den Diebstahl von Zugangsdaten hilft die Multi-Faktor-Authentifizierung, die selbst ein gestohlenes Passwort wertlos macht.

Auch ein getestetes Backup bleibt unverzichtbar als letzte Verteidigungslinie für den Fall, dass doch einmal etwas durchkommt. Ebenso gehören zeitnahes Patch-Management und geschulte Mitarbeitende dazu — die beste Erkennung nützt wenig, wenn bekannte Lücken monatelang offenstehen oder Phishing-Mails arglos angeklickt werden.

Die Stärke liegt im Zusammenspiel: Jede Schicht fängt das ab, was die anderen übersehen. EDR ergänzt dieses Gefüge um eine moderne, verhaltensbasierte Erkennung direkt dort, wo gearbeitet wird. Möchten Sie wissen, ob Ihre aktuelle Endpoint-Absicherung diesem Standard genügt? Sprechen Sie uns an — wir schauen gemeinsam, wo Ihr Schutz heute steht und wo der größte Hebel liegt.