MDR (Managed Detect and Response)

Was ist das?

MDR steht für Managed Detection and Response (grob übersetzt: „Gemanagte Erkennung und Reaktion“). Es handelt sich hierbei um einen externen Cybersicherheits-Dienst, der die IT-Infrastruktur eines Unternehmens rund um die Uhr überwacht, Angriffe frühzeitig erkennt und sofort Gegenmaßnahmen einleitet.

Sie können sich MDR wie eine professionelle, ferngesteuerte Sicherheitszentrale für ein Gebäude vorstellen: Während eine normale Alarmanlage (wie ein herkömmliches Antivirenprogramm) im Ernstfall nur laut schrillt, schaut beim MDR-Dienst rund um die Uhr ein Team aus echten Sicherheitsexperten auf die Monitore. Bricht jemand ein, schlägt das Team nicht nur Alarm, sondern greift sofort aktiv ein, um den Einbrecher zu stoppen und den Schaden zu begrenzen.

Wie funktioniert das?

Ein MDR-Dienst kombiniert modernste Software mit der Erfahrung menschlicher Analysten. Der Prozess läuft in drei Phasen ab:

Erkennung (Detection): Auf den Servern, Computern und Netzwerken des Unternehmens werden Überwachungsprogramme installiert. Diese senden kontinuierlich Daten an die Sicherheitszentrale des MDR-Anbieters. Künstliche Intelligenz filtert Milliarden von harmlosen Ereignissen heraus und schlägt bei verdächtigen Mustern Alarm.
Analyse (Analysis): Ein spezialisiertes Team von Cybersicherheits-Experten (oft in einem sogenannten SOC – Security Operations Center) prüft die Warnung sofort. Sie unterscheiden echte Angriffe von Fehlalarmen.
Reaktion (Response): Wird ein echter Angriff festgestellt, wartet das MDR-Team nicht auf die Rückmeldung des Kunden. Es handelt sofort: Infizierte Computer werden isoliert, Benutzerkonten gesperrt und Angreifer aus dem Netzwerk geworfen, bevor sie Schaden anrichten können.

Aus der Praxis

Der nächtliche Ransomware-Angriff

Ein Hacker versucht am Sonntag um 02:00 Uhr nachts, die Server eines mittelständischen Betriebs mit Verschlüsselungssoftware (Ransomware) lahmzulegen.

Angriff erkannt
       │
KI bewertet Verhalten
       │
SOC prüft Alarm
       │
Infizierte Systeme werden isoliert
       │
└──► Ergebnis:
Der Angriff wird gestoppt,
bevor Daten verschlüsselt werden.

Diebstahl von Zugangsdaten (Phishing)

Ein Mitarbeiter fällt auf eine gefälschte E-Mail herein. Der Angreifer loggt sich mit den echten Daten des Mitarbeiters aus dem Ausland ein.

Anmeldung erkannt
       │
Ungewöhnlicher Standort
       │
SOC bestätigt Angriff
       │
Benutzerkonto wird gesperrt
       │
└──► Ergebnis:
Der Angreifer verliert sofort
den Zugriff auf das Konto.

Warum ist das relevant?

Angreifer nutzen zunehmend Methoden, die von rein automatisierter Sicherheitssoftware nicht mehr erkannt werden. Zudem agieren Cyberkriminelle oft nachts oder am Wochenende.

Fachkräftemangel ausgleichen: Den meisten Unternehmen fehlen die Ressourcen und das Budget, um eine eigene IT-Sicherheitsabteilung aufzubauen, die 24 Stunden am Tag, 7 Tage die Woche besetzt ist.
Schnelligkeit entscheidet: Bei Cyberangriffen zählt jede Minute. Je schneller ein infiziertes Gerät vom restlichen Netzwerk getrennt wird, desto geringer ist das Risiko eines Totalausfalls.
Empfehlung von Experten: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) betont regelmäßig, dass eine reine Prävention (wie Firewalls) heute nicht mehr ausreicht. Eine kontinuierliche Detektion und schnelle Reaktion sind für die Resilienz von Unternehmen unerlässlich.

Hinweis zur Abgrenzung in der Praxis

Wichtig: MDR ist kein Ersatz für klassische Schutzmaßnahmen wie Antivirenprogramme oder Firewalls, sondern die logische Erweiterung.

Während klassische Werkzeuge bekannte Gefahren automatisch blockieren, kümmert sich MDR um die komplexen, versteckten Angriffe, die durch die ersten Verteidigungslinien schlüpfen.

Fernwartung