Was ist Managed Detection and Response (MDR)?

Managed Detection and Response (MDR) ist ein Cybersicherheitsdienst, der einen Erkennungs-Technologiestack mit menschlichen Analysten kombiniert, die Bedrohungen kontinuierlich überwachen, untersuchen und eindämmen.

Gartner definiert MDR-Dienste als solche, die Kunden remote bereitgestellte, menschengeführte, schlüsselfertige und moderne Funktionen eines Security Operations Center (SOC) liefern und letztlich die Unterbrechung und Eindämmung von Bedrohungen ermöglichen.

MDR unterscheidet sich von präventiven Sicherheitstools in einem Punkt: Der Anbieter führt die Reaktion aus. Herkömmliche Tools erzeugen Alarme und übergeben das Problem an das interne IT-Team. MDR-Anbieter validieren das Ereignis, filtern das informationelle Rauschen und ergreifen autorisierte Maßnahmen innerhalb der Kundenumgebung.

Welche Kernkomponenten bilden eine MDR-Lösung?

Sechs Komponenten bilden eine MDR-Lösung. Die Technologieschichten liefern Telemetrie, und das Analystenteam wandelt diese Telemetrie in Entscheidungen um.

• Endpoint Detection and Response (EDR). Agenten auf Endpunkten (Workstations, Server, Laptops), die Prozesse, Registry-Änderungen und das Verhalten des Betriebssystems überwachen.
• Network Detection and Response (NDR. Analyse auf Paketebene, die Blindspots im Netzwerk auflöst. NDR identifiziert Bedrohungen ohne bestehende Signaturen, einschließlich Command-and-Control (C2)-Tunneln und lateraler Bewegung.
• User and Entity Behavior Analytics (UEBA). Machine-Learning-Modelle, die eine Verhaltens-Baseline für die Organisation etablieren und Abweichungen markieren. Zu den Baseline-Attributen gehören administrative Login-Zeiten, Datenübertragungsvolumina und Authentifizierungsmuster.
• Cyber Threat Intelligence (CTI). Externe Daten zu Angreiferkampagnen, -infrastruktur und -techniken. CTI verankert die Erkennung im aktuellen Angreiferverhalten.
• Response-Playbooks. Standardisierte Reaktionsszenarien, die auf definierten Workflows, Analytik und integrierter Telemetrieanalyse aufbauen. Playbooks machen die Eindämmung konsistent und wiederholbar.
• Das SOC-Analystenteam. Analysten, die Triage, hypothesengetriebenes Threat Hunting, forensische Untersuchung und autorisierte Behebung durchführen. Gartner fordert eine 24/7-Besetzung, die täglich mit den individuellen Kundendaten arbeitet, als verpflichtendes MDR-Merkmal.

MDR-Anbieter liefern diese Komponenten über drei Betriebsmodelle. Das vollständig verwaltete Modell (Fully Managed) überträgt dem Anbieter den gesamten Bedrohungslebenszyklus, von der Bereitstellung der EDR-Sensoren bis zur Malware-Beseitigung und zum Zurücksetzen von Anmeldedaten. Das gemeinsam verwaltete Modell (Co-Managed) positioniert den Anbieter als Erweiterung einer bestehenden Sicherheitsfunktion: Der Anbieter filtert das Rauschen und bereitet Behebungsstrategien vor, und das interne Team führt die Maßnahmen an der Produktivarchitektur aus. Das herstellerunabhängige Modell (Vendor-Agnostic) integriert sich über APIs mit einem bestehenden Stack (Microsoft Defender, CrowdStrike, Checkpoint-Firewalls), was frühere Kapitalinvestitionen schützt.

Wie funktioniert MDR? 5 proaktive Schritte der Bedrohungsabwehr

MDR funktioniert über fünf aufeinanderfolgende Schritte, die rohe Telemetrie in eine eingedämmte Bedrohung umwandeln. Die Servicequalität hängt von der Übergangsgeschwindigkeit zwischen den einzelnen Schritten ab.

Schritt 1: Priorisierung von Cyberbedrohungen

Um Cyberbedrohungen zu priorisieren, nehmen MDR-Plattformen Telemetrie auf und ordnen Ereignisse nach ihrer Abweichung von einer etablierten Baseline ein. MDR-Agenten, Netzwerksensoren und API-Konnektoren erfassen kontinuierlich Daten von Endpunkten, Servern, Cloud-Umgebungen und Identitätssystemen.

Maschinelles Lernen übernimmt den ersten Filterdurchlauf, da kein Analyst Zehntausende Ereignisse pro Sekunde prüfen kann. Unüberwachte Clustering-Algorithmen analysieren Ereignisse auf Baseline-Abweichungen und korrelieren einzelne Anomalien zu Clustern. Clustering reduziert das Datenvolumen und deckt koordinierte Slow-and-Low-Angriffe auf, die auf der Ebene einzelner Ereignisse unsichtbar bleiben. Der Analyst erhält eine priorisierte Menge validierter Signale.

Schritt 2: Aktives Threat Hunting

Aktives Threat Hunting lokalisiert Angreifer, die automatisierte Erkennungsschwellen umgangen haben. Analysten konstruieren eine Hypothese und durchsuchen dann die Umgebung nach Beweisen, die diese bestätigen oder widerlegen.

Hypothesengetriebenes Hunting unterscheidet sich von automatisierter Erkennung in seinem Ausgangspunkt: Automatisierte Erkennung gleicht bekannte Muster ab, während Threat Hunting annimmt, dass bereits eine Kompromittierung vorliegt, und nach deren Spuren sucht. Dazu gehören anomale Aktivität von Dienstkonten, unerwartete Rechteeskalation und nicht erkannte Persistenzmechanismen.

Schritt 3: Untersuchung von Sicherheitsvorfällen

Um einen Sicherheitsvorfall zu untersuchen, führen SOC-Analysten eine Triage gegen bekannte Taktiken, Techniken und Verfahren (TTPs) der Angreifer durch, die im MITRE ATT&CK-Framework katalogisiert sind. Das automatisierte System eskaliert hochriskante Klassifizierungen an das Analystenteam.

Die Untersuchung führt zu einer Entscheidung mit vier Attributen: Einbruchsstatus, Angreiferaktionen, Einbruchstiefe und erforderliche Reaktion. Die Untersuchung beseitigt Alert-Fatigue, den Zustand, in dem echte Angriffe zwischen False Positives verschwinden. Der SANS 2025 SOC Survey stellte fest, dass in traditionellen Setups 40 Prozent der Alarme nie untersucht werden und 90 Prozent der untersuchten Alarme sich als False Positives erweisen.

Schritt 4: Behebung und Wiederherstellung

Um einen bestätigten Einbruch zu beheben, führen MDR-Ingenieure die Response-Playbooks aus. Vier Maßnahmen dominieren die Eindämmungsphase.

Die erste Maßnahme isoliert kompromittierte Hosts kryptografisch über den Agenten, die zweite erzwingt das Zurücksetzen von Passwörtern und den Widerruf von Anmeldedaten im Identitätssystem, die dritte ändert vorübergehend die Netzwerkregeln, um den Datenverkehr zu C2-Servern zu unterbrechen, und die vierte beendet schädliche Prozesse auf Betriebssystemebene.

Die Wiederherstellung entfernt die Persistenz des Angreifers und versetzt Geräte in einen vertrauenswürdigen Zustand zurück. Zu den Persistenzmechanismen gehören Registry-Einträge, geplante Aufgaben und Dienstinstallationen, die einen Server-Neustart überstehen.

Schritt 5: Neutralisierung der Bedrohung

Die Neutralisierung schließt den Angriffsvektor dauerhaft. Analysten erstellen forensische Berichte und eine Ursachenanalyse, die den initialen Angriffsvektor und die vollständige Einbruchskette dokumentieren.

Diese Ausgabe erfüllt zwei Funktionen: die kontinuierliche Verbesserung der Erkennungsregeln und die Erfüllung gesetzlicher Meldepflichten. Deutsche Einrichtungen unter NIS-2 melden erhebliche Vorfälle an das BSI innerhalb von 24 Stunden als Frühwarnung, innerhalb von 72 Stunden als Meldung und innerhalb eines Monats als Abschlussbewertung.

Was sind die 6 wichtigsten Vorteile von MDR für Unternehmen?

MDR liefert Unternehmen sechs messbare Vorteile. Jeder Vorteil entspricht einem dokumentierten Defizit im deutschen Markt für Sicherheitsoperationen.

• Kontinuierliche 24/7-Abdeckung. Sophos maß die Ausbringung von Ransomware außerhalb der Geschäftszeiten in 88,1 Prozent der Fälle und die Datenexfiltration außerhalb der Geschäftszeiten in 78,85 Prozent. Angreifer wählen das Zeitfenster, in dem die Überwachung aussetzt. Derselbe Datensatz verzeichnet eine mediane Verweildauer (Dwell Time) von 2 Tagen in MDR-Umgebungen gegenüber 5 Tagen in klassischen Incident-Response-Fällen.
• Zugang zu nicht verfügbarer Expertise. Ein 24/7-SOC erfordert sechs bis acht Vollzeit-Analysten im Schichtbetrieb. Bitkom zählt 109.000 unbesetzte Stellen für IT-Fachkräfte in der deutschen Wirtschaft, und 85 Prozent der Unternehmen berichten von einem Mangel. Das IW Köln ermittelte, dass 69,9 Prozent der offenen Stellen für Informatik-Experten im Verhältnis zum verfügbaren Bewerberpool unbesetzt blieben, und prognostizierte, dass die IT-Fachkräftelücke bis 2028 neue Höchstwerte erreicht. Eine IT-Stelle dauert durchschnittlich 7,7 Monate bis zur Besetzung.
• Vertragliche Reaktion, keine Benachrichtigung. Der Anbieter trägt die Verantwortung für die Eindämmung. Gartner listet die sofortige remote durchgeführte abschwächende Reaktion und Eindämmungsaktivitäten über das reine Alarmieren und Benachrichtigen hinaus als verpflichtendes MDR-Merkmal.
• Vorhersehbare Betriebskosten. Der Aufbau eines internen SOC verursacht veröffentlichten Schätzungen zufolge Kosten von 800.000 Euro pro Jahr am schlanken Ende bis zu 1,4–1,75 Millionen US-Dollar, sobald SIEM-Lizenzierung, Räumlichkeiten und Management-Overhead in die Rechnung einfließen. Die MDR-Abonnementpreise skalieren mit der Anzahl der Endpunkte und dem Serviceumfang statt mit dem Personalbestand.
• Regulatorische und Audit-Bereitschaft. MDR liefert die Protokollaufbewahrung und Metadaten, die forensische und regulatorische Audits erfordern. Der BSI-Mindeststandard empfiehlt, sicherheitsrelevante Ereignisvarianten ein Jahr lang aufzubewahren.
• Reduzierte Schadenskosten durch schnellere Erkennung. Deutsche Unternehmen benötigten 2025 durchschnittlich 170 Tage, um eine Sicherheitsverletzung zu identifizieren und einzudämmen, was 71 Tage unter dem globalen Durchschnitt liegt und der schnellste Wert aller von IBM gemessenen Länder ist. IBM stellte fest, dass Organisationen mit umfangreicher KI-gestützter Sicherheitsausstattung den Lebenszyklus einer Sicherheitsverletzung um 15 Tage verkürzten und 1,35 Millionen Euro pro Vorfall einsparten.

Für welche spezifischen Cyberbedrohungen und Anwendungsfälle ist MDR am effektivsten?

MDR ist am effektivsten gegen sechs Bedrohungskategorien und einen regulatorischen Anwendungsfall. Jede Kategorie teilt ein Attribut: Die Erkennung erfordert menschliches Urteilsvermögen, das auf korrelierte Telemetrie angewendet wird.

• Ransomware. Ransomware ist die häufigste Angriffsform gegen deutsche Unternehmen. Die Studie Bitkom Wirtschaftsschutz 2025 verzeichnete Ransomware-Schäden bei 34 Prozent der befragten Unternehmen innerhalb von zwölf Monaten, vor DDoS-Angriffen (25 Prozent) und Malware-Infektionen (24 Prozent). 15 Prozent der Unternehmen haben ein Lösegeld gezahlt. Das BSI erfasste zwischen Juli 2024 und Juni 2025 950 gemeldete Ransomware-Fälle, von denen 72 Prozent ein Datenleck umfassten, und 80 Prozent der gemeldeten Angriffe richteten sich gegen kleine und mittlere Unternehmen.
• Angriffsgeschwindigkeit gegen Active Directory. Der Sophos Active Adversary Report 2026 analysierte 661 Incident-Response- und MDR-Fälle in 70 Ländern. Die mediane Zeit vom initialen Zugriff bis zum Zugriff auf Active Directory beträgt 3,4 Stunden, was 70 Prozent schneller ist als im Vorjahr. Active Directory steuert die Berechtigungen der gesamten Organisation.
• Identitätsbasierte Angriffe. Sophos führt 67 Prozent der Grundursachen auf identitätsbezogene Techniken zurück: kompromittierte Anmeldedaten, Brute-Force-Aktivität und Phishing. Brute-Force-Aktivität (15,6 Prozent) hat mit der Ausnutzung von Schwachstellen (16 Prozent) als initiale Zugriffsmethode gleichgezogen. In 59 Prozent der Fälle fehlte eine ordnungsgemäße Multi-Faktor-Authentifizierung (MFA).
• Supply-Chain-Angriffe. Deutschland beherbergt Hunderte von Hidden Champions, also kleinen Firmen mit überproportionaler technologischer Bedeutung für globale Lieferketten. Der IBM Cost of a Data Breach Report 2025 führt 16 Prozent der deutschen Sicherheitsverletzungen auf den initialen Zugriff über die Lieferkette oder Drittanbietersysteme zurück. Diese Sicherheitsverletzungen kosten durchschnittlich 4,52 Millionen Euro gegenüber einem deutschen Durchschnitt von 3,87 Millionen Euro pro Vorfall.
• Dateilose und Living-off-the-Land-Einbrüche. Diese Angriffe bringen keine schädliche Datei aus, sondern missbrauchen stattdessen legitime Systemwerkzeuge, was bedeutet, dass signaturbasierte Verteidigungen keine passende Signatur besitzen, während Verhaltensanalytik und Analystenprüfung das Verhalten erkennen.
• Staatlich geförderte Spionage und Advanced Persistent Threats (APT). Das BSI bewertet, dass 25 Prozent der weltweit relevanten APT-Gruppen deutsche Einrichtungen ins Visier nehmen, was Deutschland an vierter Stelle unter den weltweit am stärksten angegriffenen Staaten platziert. Bitkom stellte fest, dass 28 Prozent der befragten Unternehmen Angriffe ausländischen Nachrichtendiensten zuschreiben, gegenüber 7 Prozent im Jahr 2023, und nennt Russland und China mit jeweils 46 Prozent. Drei Sektoren tragen ein konzentriertes Risiko: Verteidigung, Halbleiter und Maschinenbau.
• Ausnutzung von Zero-Days. Das BSI registrierte zwischen Juli 2024 und Juni 2025 durchschnittlich 119 neue Schwachstellen pro Tag, ein Anstieg von 24 Prozent gegenüber 96 im Jahr 2024 und 68 im Jahr 2022, und viele betreffen öffentlich erreichbare Dienste. Patch-Zyklen schließen dieses Volumen nicht, und die Erkennung des Ausnutzungsverhaltens gleicht dies aus.

Deutsche Betreiber kritischer Infrastrukturen (KRITIS) bilden den primären regulatorischen Anwendungsfall. § 8a Abs. 1a BSIG verpflichtet KRITIS-Einrichtungen zur Implementierung von Systemen zur Angriffserkennung (SzA). Die BSI-Vorgaben stellen fest, dass der Kauf von IT-Sicherheitssoftware, etwa eines SIEM oder einer eigenständigen EDR-Instanz, kein nachweisbares SzA darstellt. Die Qualifikation erfordert ein untrennbares prozessual-technisches Konstrukt: Software unter kontinuierlicher Aufsicht durch qualifiziertes Personal, die eingehende Logs sofort analysiert, parametrische Abweichungen über die Netzwerktopologie hinweg bewertet und Infektionen über Playbooks abschwächt. Diese Spezifikation beschreibt MDR.

Wie unterscheidet sich MDR von anderen Cybersicherheitslösungen?

MDR unterscheidet sich von anderen Cybersicherheitslösungen in einem Attribut: der Verantwortung für die Neutralisierung von Bedrohungen. Punktlösungen nehmen unterschiedliche Positionen auf diesem Spektrum ein, und die folgenden Vergleiche legen fest, wo jede Lösungsklasse endet und wo MDR beginnt.

MDR vs. EDR: Was ist der Unterschied?

Der Unterschied zwischen MDR und EDR ist Dienst gegenüber Technologie. EDR ist eine Softwareschicht, die MDR konsumiert.

EDR operiert auf Endpunktebene, überwacht Prozesse und Betriebssystemänderungen und erzeugt Erkennungen. EDR untersucht diese Erkennungen nicht, sucht nicht nach unentdeckten Bedrohungen und dämmt bestätigte Einbrüche nicht ein. Eine Organisation mit einer EDR-Lizenz und einer Besetzung nur während der Geschäftszeiten besitzt eine Erkennungsengine und eine ungeprüfte Alarmwarteschlange. Gartner bezeichnet technologiezentrierte Angebote, die keinen menschengeführten Dienst liefern, als Managed EDR (MEDR) statt als MDR.

Die folgende Tabelle vergleicht EDR und MDR anhand von sechs operativen Attributen: Lösungsklasse, Telemetrieumfang, Betreiber, Abdeckungszeiten, Ausgabe und Threat Hunting.

Attribut	EDR	MDR
Lösungsklasse	Software-Technologieschicht	Managed Service
Telemetrieumfang	Endpunkte (Workstations, Server)	Endpunkte, Netzwerk, Cloud, Identität
Betreiber	Internes Team	SOC-Analysten des Anbieters
Abdeckung	Nur besetzte Stunden	24/7/365
Ausgabe	Erkennungen und Alarme	Validierte Vorfälle plus Eindämmung
Threat Hunting	Nicht enthalten	Hypothesengetrieben, proaktiv

MDR vs. XDR: Was ist der Unterschied?

Der Unterschied zwischen MDR und XDR ist Dienst gegenüber Technologie. XDR ist eine Korrelationsplattform, die MDR konsumiert.

XDR (Extended Detection and Response) erweitert die Erkennung über den Endpunkt hinaus und vereint Telemetrie von Endpunkten, Netzwerken, Cloud-Umgebungen und Identitätssystemen in einer einzigen Korrelationsengine. XDR löst die Blindspots, die endpunktbasierte Tools hinterlassen, da laterale Bewegung und Command-and-Control (C2)-Verkehr Domänengrenzen überschreiten.

XDR erzeugt korrelierte Erkennungen und erfordert Analysten für den Betrieb, was bedeutet, dass eine Organisation, die XDR ohne ein 24/7-Analystenteam betreibt, eine Korrelationsausgabe besitzt, die zwischen 23 und 3 Uhr niemand prüft, also genau dann, wenn Sophos die Ausbringung von Ransomware außerhalb der Geschäftszeiten in 88,1 Prozent der Fälle maß.

MDR konsumiert XDR-Telemetrie und fügt vier Elemente hinzu: 24/7-Analystenbesetzung, hypothesengetriebenes Threat Hunting, forensische Untersuchung und vertragliche Eindämmungsbefugnis. Gartner bezeichnet technologiezentrierte Angebote, die keinen menschengeführten Dienst liefern, als herstellergelieferte Service-Wrapper statt als MDR.

Die folgende Tabelle vergleicht XDR und MDR anhand von sechs operativen Attributen: Lösungsklasse, Telemetrieumfang, Betreiber, Abdeckungszeiten, Ausgabe und Threat Hunting.

Attribut	XDR	MDR
Lösungsklasse	Software-Korrelationsplattform	Managed Service
Telemetrieumfang	Endpunkte, Netzwerk, Cloud, Identität	Endpunkte, Netzwerk, Cloud, Identität
Betreiber	Internes Team	SOC-Analysten des Anbieters
Abdeckung	Nur besetzte Stunden	24/7/365
Ausgabe	Korrelierte Erkennungen	Validierte Vorfälle plus Eindämmung
Threat Hunting	Nicht enthalten	Hypothesengetrieben, proaktiv

Wie wählt man den richtigen MDR-Anbieter aus?

Um den richtigen MDR-Anbieter auszuwählen, bewerten Sie zuerst das Liefermodell und beurteilen dann acht Kriterien.

Das Liefermodell bestimmt, wie sich der Dienst in das bestehende Team integriert: Das vollständig verwaltete Modell eignet sich für Organisationen ohne Sicherheitspersonal, das gemeinsam verwaltete Modell für Organisationen, die eine interne Funktion erweitern, und das herstellerunabhängige Modell für Organisationen, die einen bestehenden Technologiestack schützen.

Die folgenden acht Bewertungskriterien gelten für deutsche Organisationen über alle drei Liefermodelle hinweg.

• Reaktionsbefugnis. Bestätigen Sie, dass der Vertrag den Anbieter autorisiert, die Eindämmung in der Umgebung auszuführen. Gartner legt fest, dass Eindämmungsaktionen vorab von den Endnutzern genehmigt werden.
• Reaktions-SLA. Fordern Sie numerische Zusagen für Time-to-Detect und Time-to-Contain. Der mediane Wert von 3,4 Stunden bis zur Kompromittierung von Active Directory setzt den Maßstab, an dem ein SLA seine Bedeutung gewinnt.
• Telemetrieabdeckung. Prüfen Sie, ob Netzwerk-, Cloud- und Identitätsquellen im Umfang enthalten sind. Eine reine Endpunktabdeckung lässt laterale Bewegung und C2-Tunnel unentdeckt.
• Technologiekompatibilität. Klären Sie, ob der Anbieter über APIs mit dem bestehenden Stack integriert oder einen Agentenaustausch erfordert.
• Regulatorische Ausrichtung. Stellen Sie fest, dass der Anbieter nachweist, was NIS-2 und, für KRITIS-Einrichtungen, § 8a Abs. 1a BSIG verlangen. Richtlinien zur Protokollaufbewahrung bestimmen die Audit-Ergebnisse.
• BSI-Qualifikation. Konsultieren Sie die Liste der qualifizierten APT-Response-Dienstleister auf bsi.bund.de. Das BSI akkreditiert diese Anbieter gemäß § 3 Abs. 3 BSIG durch ein zweistufiges Verfahren, das eine Angreifersimulation umfasst.
• Berichtsqualität. Fordern Sie eine Beispiel-Ursachenanalyse an. Das Beispiel dokumentiert die analytische Tiefe des SOC.
• Eskalationspfad. Legen Sie den benannten Ansprechpartner und die definierte Erstreaktionssequenz für einen Vorfall um 3 Uhr morgens fest.

[CTA] SecureVisio kann Ihr MDR vorantreiben. Ob intern betrieben oder über einen MDR-Partner – die SIEM + SOAR + UEBA-Plattform hinter Erkennung, Untersuchung und Reaktion kann SecureVisio sein – On-Premises oder in der EU einsetzbar, mit integrierter BSI-konformer Berichterstattung.

SecureVisio SIEM entdecken →
Demo anfordern →

Häufig gestellte Fragen (FAQ) zu Managed Detection and Response