Was ist Managed Detection and Response (MDR)?

Die Effektivität von Managed Detection and Response (MDR) hängt von mehreren wichtigen Komponenten ab, von denen jede eine Schlüsselrolle im gesamten Sicherheits-Framework spielt:

· Vom Anbieter bereitgestellter Technology-Stack: Das Herzstück der MDR-Services ist ein Technologie-Stack, der vom Anbieter verwaltet und betrieben wird. Dieser Stack ist auf die Bedrohungsüberwachung, -erkennung und -abwehr in Echtzeit zugeschnitten. Er umfasst Tools wie EDR, die für das Erfassen und Analysieren von Sicherheitstelemetriedaten aus verschiedenen Quellen, einschließlich Netzwerken, Endpoints und Cloud-Diensten, unerlässlich sind.

· Fachpersonal: Ein zentraler Bestandteil der MDR-Services ist die menschliche Expertise, die dahinter steckt. Mitarbeiter, die in Bedrohungsüberwachung, -erkennung und -suche sowie in der Bedrohungsanalyse und Reaktion auf Sicherheitsvorfälle geschult sind, kümmern sich täglich um die Kundendaten. Sie sorgen dafür, dass jeder Aspekt der Bedrohungslandschaft kontinuierlich überwacht und beachtet wird.

· Vordefinierte Prozesse und Erkennungsinhalte: MDR-Services stützen sich auf spezialisierte Erkennungsinhalte. Diese umfassen eine Vielzahl von Tools und Methoden, die zur Identifizierung von Bedrohungen verwendet werden. Die Erkennungsinhalte – von Regeln und Signaturen zum Aufspüren bekannter Malware, über die Erkennung von Anomalien, auf eine Sicherheitsverletzung hinweisende Verhaltensmuster, bis hin zu KI und Algorithmen für Machine Learning – werden kontinuierlich aktualisiert, um mit den sich weiterentwickelnden Cyberbedrohungen Schritt zu halten. 

· Remote-Abhilfemaßnahmen: Über die bloße Warnung und Benachrichtigung hinaus bieten MDR-Services Remote-Maßnahmen zur Abhilfe, Untersuchung und Eindämmung von Angriffen. So können Unternehmen schnell und effektiv auf Bedrohungen reagieren, selbst wenn das entsprechende Know-how intern nicht vorhanden ist. Dazu gehören die Wiederherstellung des Zustands vor dem Angriff und die Sicherstellung einer umfassenden Lösung für jeden Vorfall. 

· Priorisierung und Bedrohungssuche: MDR-Services sind in der Lage, durch das Management von Prioritäten zwischen harmlosen Ereignissen und echten Bedrohungen zu unterscheiden. Menschliche Experten für die Bedrohungssuche suchen proaktiv nach Angriffsindikatoren, sodass selbst subtile Bedrohungen erkannt und angegangen werden können.

Managed Detection and Response (MDR) ist ein Oberbegriff, unter dem es mehrere Servicevarianten gibt, aus denen die Unternehmen genau die Lösung auswählen können, die ihren individuellen Anforderungen an die Cybersicherheit am besten entspricht. Die folgenden, häufig genutzten Varianten dieser Cybersicherheitsservices haben jeweils einen eigenen Schwerpunktbereich:

· Managed Endpoint Detection and Response (MEDR) bezeichnet MDR-Services mit Fokus auf Endgeräten wie Laptops, Desktops und Mobiltelefone. Hierbei werden spezielle Tools für den Endpoint-Schutz verwendet, die eine gezielte Abwehr von Bedrohungen wie Malware und Ransomware bieten.

· Managed Network Detection and Response (MNDR) legt den Schwerpunkt auf die Netzwerksicherheit und schützt Elemente wie Router, Switches und Firewalls. Diese Lösung ist auf die Überwachung von Netzwerk-Datenverkehr zugeschnitten und dient der Abwehr von Bedrohungen, die speziell die Netzwerk-Infrastruktur betreffen.

· Managed Extended Detection and Response (MXDR) ist eine erweiterte Lösung mit Funktionen für Endpoints, Netzwerke, Cloud-Dienste und potenziell auch IoT-Geräte. Es handelt sich im Grunde um einen MDR-Komplettservice, bei dem die verschiedenen Sicherheitsaspekte in einer einzigen Lösung zusammengefasst sind. Hierbei ist zu betonen, dass MXDR gegenüber MDR kein anderes Konzept ist, sondern eine Erweiterung davon darstellt. Während MEDR und MNDR den Schwerpunkt auf Sicherheit in bestimmten Bereichen legen, bringt MXDR diese Elemente zusammen und bietet einen stärker integrierten und umfassenderen MDR-Ansatz.

Für Unternehmen, die MDR-Services evaluieren, ist die Entscheidung, ob MEDR, MNDR oder MXDR am besten geeignet ist, weniger eindeutig, da sie von den spezifischen Sicherheitsanforderungen, der vorhandenen Infrastruktur und dem gewünschten Einsatzbereich abhängig ist.

Die meisten Unternehmen stehen heute bezüglich Cybersicherheit vor Herausforderungen, die weit über die reine Bereitstellung von Sicherheitstechnologien hinausgehen. Dabei beziehen sich die Anforderungen an Sicherheitsteams nicht nur auf den Umgang mit Bedrohungen, sondern auch auf die effiziente Nutzung von Ressourcen bei gleichzeitiger Aufrechterhaltung eines kontinuierlichen IT-Betriebs. MDR-Services haben sich als ganzheitliche Lösung für eine Vielzahl von Herausforderungen herauskristallisiert. Hierzu gehören:

· Alarmmüdigkeit: Unternehmen nutzen in der Regel verschiedene Sicherheitstools, die zahlreiche Warnungen generieren, wobei viele davon Fehlalarme sind. Dies kann zu einer Vielzahl von Benachrichtigungen führen, mit denen die Sicherheitsteams überfordert sind. MDR-Services filtern Fehlalarme heraus und setzen den Fokus auf echte Bedrohungen. Dadurch verringert sich die Wahrscheinlichkeit, dass kritische Sicherheitsvorfälle übersehen werden.

· Komplexität der Tools: Leistungsfähige Sicherheitstechnologien sind oft mit einer steilen Lernkurve und hoher Komplexität bei Bereitstellung und Verwaltung verbunden. MDR-Services stellen eine besser zugängliche und benutzerfreundlichere Lösung für Unternehmen dar, mit der sich ihre allgemeine Sicherheitslage schnell verbessert, ohne dass hierfür interne Spezialisten erforderlich sind.

· Begrenzte Fähigkeiten und Ressourcen: Vielen Unternehmen, insbesondere kleineren, fehlen die Ressourcen und das spezielle Know-how für eine effektive Abwehr von Cyberbedrohungen. MDR bietet ein Maß an Sicherheitskompetenz, das für diese Unternehmen sonst unerreichbar wäre, und stellt Expertenanalysen und maßgeschneiderte Reaktionsmaßnahmen zur Verfügung.

· Compliance- und Datenschutzbedenken: Compliance-Vorschriften und Datenschutzstandards ändern sich ständig, und die Unternehmen setzen sich rechtlichen Risiken und Imageschäden aus, wenn sie die Integrität und Vertraulichkeit ihrer Daten nicht gewährleisten. MDR ist oft die praktikabelste Lösung für ein Unternehmen, um sicherzustellen, dass es diese Anforderungen uneingeschränkt erfüllt.

· Kontinuierliche Überwachung: Cyberbedrohungen können jederzeit auftreten, aber viele Unternehmen sind nicht in der Lage, intern einen durchgängigen Sicherheitsbetrieb zu organisieren und das entsprechende Personal dafür zur Verfügung zu stellen. Ein MDR-Service kann hier einspringen, denn er bietet Überwachung und Reaktion auf Sicherheitsvorfälle rund um die Uhr.

· Komplexe Bedrohungen: Die heutigen IT-Landschaften sind mit sich schnell entwickelnden Cyberbedrohungen wie APTs, Zero-Day-Exploits, Ransomware und ausgeklügelten Phishing-Strategien konfrontiert. MDR-Services aktualisieren ihre Bedrohungsdaten kontinuierlich und setzen darüber hinaus proaktive Maßnahmen wie die Bedrohungssuche ein. Dieser Ansatz hilft Unternehmen, sich präventiv zu verteidigen und ein Maß an Wachsamkeit und Fachwissen zu erreichen, das mit internen Ressourcen allein nur schwer möglich wäre.

Für die Leitung eines Unternehmens kommt es bei der Entscheidung, welche MDR-Services integriert werden sollen, vor allem darauf an, dass diese Services erhebliche Vorteile bieten und sowohl die Effektivität als auch die Effizienz der Cybersicherheitsaktivitäten für das Unternehmen verbessern. Hier sind die wichtigsten Vorteile:

·       Mehr Effizienz im Betrieb: MDR optimiert den Sicherheitsbetrieb und reduziert die Arbeitsbelastung der internen Teams erheblich. Durch die Integration verschiedener Sicherheitsfunktionen in ein zusammenhängendes System optimieren diese Services den Prozess der Erkennung und Bewertung von Bedrohungen sowie der Schadensbegrenzung bei Angriffen. Dadurch werden interne Ressourcen frei, die sich auf andere kritische Geschäftsvorgänge konzentrieren können.

·       Schnellere Erkennung und Reaktion: Durch die Nutzung leistungsfähiger Analysen und automatisierter Prozesse können MDR-Services Bedrohungen schnell erkennen und eine Reaktion einleiten, um die potenziellen Auswirkungen zu begrenzen und die Kontinuität des Geschäftsbetriebs zu gewährleisten.

·       Verbesserung der Sicherheitslage: Die MDR-Services reagieren nicht erst dann auf Bedrohungen, wenn sie auftreten, sondern versetzen das Unternehmen auch in die Lage, potenzielle zukünftige Herausforderungen im Bereich der Cybersicherheit vorherzusehen und sich darauf vorzubereiten.

·       Skalierbarkeit und Flexibilität: MDR-Services sind skalierbar und eignen sich daher für Unternehmen jeder Größe. Sie können sich an die sich ändernden Erfordernisse eines Unternehmens anpassen, z. B. wenn das Unternehmen wächst, sich neuen Technologien zuwendet oder in neue Märkte expandiert. 

·       Wirtschaftlichkeit: Die Implementierung der MDR-Services kann insbesondere für KMUs eine kostengünstige Lösung darstellen. Sie ermöglichen den Zugang zu erstklassigen Sicherheitsressourcen und deren Know-how zu einem Bruchteil der Kosten, die für den Aufbau und Betrieb eines internen Teams anfallen.

·       Zugang zu leistungsfähigen Technologien und Fachwissen: In Kombination mit dem vorherigen Punkt profitieren Unternehmen durch MDR-Services Zugang von topaktuellen Tools und von dem für ihren effektiven Einsatz erforderlichen Fachkenntnissen, ohne dass sie erhebliche Investitionen in Technologie und Schulung tätigen müssen.

·       Verbessertes Compliance- und Risikomanagement: Durch die Bereitstellung fachkundiger Beratung und die Gewährleistung, dass die Sicherheitsmaßnahmen den branchenspezifischen und gesetzlichen Anforderungen entsprechen, verringern diese Services das Risiko, durch die Nichteinhaltung von Vorschriften finanzielle Einbußen sowie einen großen Imageschaden zu erleiden.

MDR-Services zeichnen sich dadurch aus, dass sie die Funktionalität herkömmlicher Tools wie EDR, XDR, Managed SIEM und MSSP verbessern und erweitern. Welches sind die wichtigsten Unterschiede?

MDR im Vergleich zu EDR (Endpoint Detection and Response)

Bei EDR liegt der Fokus auf der Überwachung und Analyse des Verhaltens von Endpoints mithilfe automatisierter Reaktionen auf bestimmte Vorfälle auf der Grundlage festgelegter Regeln und Muster. EDR ist zwar ein effektives Mittel bei der Aufzeichnung der Aktivitäten der Endpoints, kann aber komplex und ressourcenintensiv werden.  Die MDR-Services ergänzen EDR, indem sie diese durch menschliches Fachwissen für die Analyse und Entscheidungsfindung ergänzen und ausgereifte Prozesse sowie umfassendere Daten zur Bedrohungsaufklärung bieten. Diese Integration ermöglicht es den Unternehmen, die vorhandenen EDR-Funktionen effektiver zu nutzen, ohne dass dabei Aufwand für die Verwaltung komplexer EDR-Lösungen entsteht.

MDR im Vergleich zu XDR (Extended Detection and Response)

XDR erweitert die Funktionalität von EDR (siehe oben), indem Daten über Endpoints, Netzwerke, die Cloud und andere Quellen hinweg aggregiert werden. So ist eine noch umfassendere Sicherheitsanalyse möglich. MDR ergänzt XDR durch die Integration menschlichen Know-hows bei der proaktiven Bedrohungssuche, der Rund-um-die-Uhr-Überwachung und bei strategischen Reaktionen auf Sicherheitsvorfälle. 

MDR im Vergleich zu Managed SIEM (Security Information and Event Management)

Managed SIEM aggregiert und analysiert Daten von verschiedenen Sicherheitsgeräten und Netzwerkquellen. SIEM-Lösungen sind zwar leistungsstark, können aber ziemlich komplex sein und erhebliches Fachwissen erfordern, um die Daten effektiv zu interpretieren und entsprechende Maßnahmen zu ergreifen.  Die MDR-Services begegnen diesen Herausforderungen mit einem optimierten Ansatz, bei dem klare und umsetzbare Erkenntnisse mit weniger Komplexität zur Verfügung gestellt werden. Diese Services sorgen dafür, dass die Daten und Warnmeldungen richtig interpretiert werden und umgehend geeignete Maßnahmen getroffen werden.

MDR im Vergleich zu MSSP (Managed Security Services Providers)

MSSPs bieten eine breite Palette von Sicherheits-Services an, einschließlich Überwachung und Validierung von Warnmeldungen. Sie sind jedoch in der Regel nicht in die aktive Reaktion auf Bedrohungen eingebunden, sodass sich der Kunde darum kümmern muss. Die MDR-Services gehen über das traditionelle MSSP-Modell hinaus, indem sie Bedrohungen nicht nur identifizieren, sondern auch aktiv darauf reagieren.

Die Anbieter von Cybersicherheitslösungen stellen verschiedene Funktionen mit unterschiedlichen Qualitätsstufen und Kosten zur Auswahl, sodass es nicht ganz einfach ist, die richtige Lösung für Ihr Unternehmen zu finden. Im Folgenden sind einige allgemeine Fragen aufgeführt, die Sie laut Gartner und anderen seriösen Marktforschungsinstituten bei der Bewertung der Anbieter berücksichtigen sollten:

·       Wie viel Erfahrung und Fachkompetenz hat der Anbieter?Der Anbieter sollte Erfolge bei der Bereitstellung effektiver und zuverlässiger MDR-Services für Kunden in verschiedenen Branchen und Regionen vorweisen können. Er sollte außerdem über ein breites und tiefgehendes Wissen in Bezug auf verschiedene Technologien und Telemetriequellen wie Endpoints, Netzwerke, Cloud-Umgebungen und Anwendungen verfügen, damit er in der Lage ist, eine Vielzahl von Bedrohungen zu erkennen und darauf zu reagieren.

·       Wie sieht seine Reaktion auf Sicherheitsvorfälle aus? Der Anbieter sollte in der Lage sein, schnell und entschlossen Maßnahmen für Sie zu ergreifen, um Bedrohungen einzudämmen und zu beseitigen, oder aber zumindest einfache Mechanismen zur Verfügung stellen, mit denen Sie die Maßnahmen selbst genehmigen oder einleiten können.

·       Sind die Services des Anbieters klar definiert, und werden sie konsistent kommuniziert?Geben Sie einem Anbieter den Vorzug, der über eine klare und konsistente Leistungsbeschreibung verfügt und sich verpflichtet, regelmäßig und transparent über den Status und die Ergebnisse der Services sowie über eventuell auftretende Probleme oder Herausforderungen zu informieren.

·       Gibt es einen etablierten Onboarding-Prozess? Der Anbieter sollte über eine klare Vorgehensweise für einen umfassenden Onboarding-Prozess verfügen, bei dem Ihre IT-Infrastruktur und die wesentlichen Attribute Ihres Geschäftsbetriebs erfasst werden. Die Services sollten an Ihre Umgebung und Ihre Anforderungen angepasst werden, und der Anbieter muss den Kontext und die Prioritäten Ihres Unternehmens verstehen.

·       Wer sind die Experten im Team? Wählen Sie einen Anbieter, der ein Team von qualifizierten und zertifizierten Cyberexperten nachweisen kann. Denn dies sind die maßgeblichen Akteure bei der Analyse, Untersuchung und Inaktivierung von Bedrohungen, bevor diese zu Sicherheitsvorfällen werden. Suchen Sie nach MDR-Partnern, die eine Kultur des kontinuierlichen Lernens pflegen und damit gewährleisten, dass ihr Team über die neuesten Trends und Entwicklungen in der Cyberlandschaft auf dem Laufenden ist.

Auch wenn Sie mit den Antworten auf alle oben genannten Fragen zufrieden sind, können Sie nach Referenzen von aktuellen oder früheren Kunden fragen und eine Demo oder eine Testversion des MDR-Services anfordern. Recherchieren Sie, und vergleichen Sie verschiedene Anbieter anhand der Rezensionen oder Tests aus seriösen Quellen, da von diesen objektive und unvoreingenommene Bewertungen zu erwarten sind.