Managed Detection and Response (MDR) ist ein ausgelagerter Sicherheitsdienst, bei dem Analysten eines Anbieters die Umgebung eines Kunden rund um die Uhr überwachen, nach Bedrohungen suchen und auf Angriffe reagieren.
Wie MDR funktioniert
Ein MDR-Anbieter installiert Erkennungstechnik beim Kunden oder bindet vorhandene an – meist EDR-Agenten auf Endgeräten, oft ergänzt um Telemetrie aus Netzwerk, Cloud und Identitätsdiensten oder eine vollständige XDR-Plattform. Die Analysten des Anbieters:
- bewerten Alarme rund um die Uhr und filtern Fehlalarme heraus;
- untersuchen verdächtige Aktivitäten und betreiben proaktives Threat Hunting;
- ergreifen Gegenmaßnahmen, etwa einen Host isolieren, einen Prozess beenden oder ein kompromittiertes Konto sperren;
- berichten über ihre Ergebnisse und geben Empfehlungen zur Bereinigung.
Der wesentliche Unterschied zu einem klassischen Managed Security Service Provider (MSSP) liegt in der Reaktion: Ein MSSP leitet Alarme typischerweise nur weiter, während ein MDR-Team Bedrohungen aktiv untersucht und eindämmt.
Warum MDR wichtig ist
Ein eigenes Security Operations Center erfordert Schichtbetrieb rund um die Uhr, erfahrene Analysten und teure Werkzeuge – für viele mittelständische Unternehmen unerreichbar. Ransomware-Banden greifen gezielt nachts, am Wochenende und an Feiertagen an, wenn niemand die Konsolen beobachtet; vergehen zwischen Erstzugriff und Verschlüsselung nur Stunden, kann man nicht bis Montag warten. MDR bietet solchen Firmen kontinuierliche Überwachung und fachkundige Reaktion zu planbaren Kosten.
So wählen Sie einen MDR-Dienst aus
- Klären, welche Gegenmaßnahmen der Anbieter ohne Rückfrage ergreifen darf.
- Die Abdeckung prüfen: nur Endgeräte oder auch Cloud, E-Mail und Identitäten.
- Nach zugesicherten Reaktionszeiten und dem Eskalationsprozess fragen.
- Sicherstellen, dass der Dienst in den eigenen Incident-Response-Plan passt und Sie Zugriff auf die gesammelten Daten behalten.
