NDR (Network Detect and Response)

Was ist das?

NDR steht für Network Detection and Response (Netzwerk-Erkennung und Reaktion). Es handelt sich um eine Cybersecurity-Technologie, die den gesamten Datenverkehr innerhalb eines Unternehmensnetzwerks kontinuierlich überwacht, um versteckte Bedrohungen und Cyberangriffe aufzuspüren und abzuwehren.

Sie können sich NDR wie eine Kombination aus Verkehrsüberwachung und verdeckten Ermittlern in einem großen Bürogebäude vorstellen: Während die Zugangskontrolle am Eingang (die Firewall) nur prüft, wer rein und raus geht, überwacht das NDR-System die Flure und Räume im Inneren. Es registriert, wenn sich Personen (Datenströme) ungewöhnlich verhalten – beispielsweise, wenn jemand nachts heimlich Akten von einem Büro in ein anderes schafft.

Wie funktioniert das?

NDR-Lösungen setzen dort an, wo herkömmliche Sicherheitswerkzeuge wie Antivirenprogramme blind sind: beim Datenverkehr zwischen den Geräten (dem sogenannten Ost-West-Verkehr).

Datenanalyse (Schnittstelle): Das NDR-System schneidet den Netzwerkverkehr im Hintergrund mit, ohne den laufenden Betrieb zu verlangsamen.
Lernen des Normalzustands: Mithilfe von Künstlicher Intelligenz und maschinellem Lernen analysiert das System über Tage und Wochen, wie das „normale“ Verhalten im Netzwerk aussieht (welcher PC spricht wann mit welchem Server).
Erkennung von Anomalien: Weicht ein Datenstrom drastisch vom Normalzustand ab – versucht etwa ein normaler Büro-PC plötzlich, Passwörter von einem zentralen Server abzufragen –, schlägt das System sofort Alarm.
Automatische Reaktion: NDR kann direkt Gegenmaßnahmen einleiten, beispielsweise den betroffenen Netzwerkport abschalten oder die Kommunikation des verdächtigen Geräts blockieren.

Aus der Praxis

Seitwärtsbewegung eines Angreifers (Lateral Movement)

Ein Angreifer hat das Passwort eines Buchhaltungs-PCs erstritten. Nun versucht er, sich von diesem PC aus im internen Netzwerk zu den Entwickler-Servern vorzuarbeiten, auf die dieser PC normalerweise nie zugreift.

Buchhaltungs-PC
        │
        ├────────────► Entwickler-Server
        │
        └──► REAKTION:
             Verbindung wird sofort gekappt.

Unbemerkter Datenabfluss (Data Exfiltration)

Schadsoftware auf einem internen Server versucht, unbemerkt große Datenmengen verschlüsselt an einen unbekannten Server im Internet zu senden – und zwar in winzigen, regelmäßigen Häppchen, um nicht aufzufallen.

Interner Server
        │
        ├────────────► Unbekannter Server
        │
        └──► REAKTION:
             Datenstrom wird blockiert.

Warum ist das relevant?

Professionelle Angreifer versuchen heute verstärkt, sich direkt nach dem Eindringen in ein Netzwerk „normal“ zu verhalten, um unentdeckt zu bleiben.

Sichtbarkeit im „toten Winkel“: Viele Angriffe finden im internen Netzwerk statt, nachdem eine Firewall bereits überwunden wurde. NDR leuchtet genau diesen Bereich aus.
Schutz für Geräte ohne eigene Sicherheitssoftware: In modernen Netzwerken gibt es viele Geräte, auf denen kein Antivirenprogramm installiert werden kann (z. B. IP-Kameras, Drucker, IoT-Geräte oder Produktionsmaschinen). NDR schützt diese, indem es ihr Verhalten im Netzwerk überwacht.
Frühwarnsystem laut BSI: Sicherheitsbehörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfehlen eine lückenlose Netzwerküberwachung, um komplexe Angriffe (Advanced Persistent Threats) im Keim zu ersticken, bevor es zur Sabotage oder Erpressung kommt.

Hinweis zur Abgrenzung in der Praxis

Wichtig: NDR konzentriert sich ausschließlich auf das Netzwerk.

Es ist die ideale Ergänzung zu Systemen wie EDR (Endpoint Detection and Response), welche die einzelnen Endgeräte (PCs und Server) überwachen.

Erst das Zusammenspiel beider Welten (oft als XDR bezeichnet) bietet einen lückenlosen Schutzschirm.

Fernwartung