Ein Mitarbeiter öffnet eine harmlos wirkende Rechnung. Der Virenscanner prüft den Anhang und meldet: alles sauber. Zwei Tage später sind die Server verschlüsselt. Wie kann das sein? Der Anhang enthielt keine bekannte Schadsoftware. Er startete nur ein paar Befehle mit Werkzeugen, die auf jedem Windows-Rechner ohnehin vorhanden sind. Für einen klassischen Virenscanner gab es schlicht nichts zu finden.
Genau an dieser Stelle setzt EDR an. Die Abkürzung steht für Endpoint Detection and Response, also Erkennung und Reaktion auf Endgeräten. In diesem Beitrag erfahren Sie, wie sich EDR und Antivirus unterscheiden, was das BSI für Unternehmen vorgibt und für wen sich der Umstieg lohnt.
Wie ein klassischer Virenscanner arbeitet
Ein herkömmliches Antivirenprogramm funktioniert im Kern wie ein Türsteher mit Fahndungsliste. Jede Datei wird mit einer Datenbank bekannter Schadprogramme verglichen, den sogenannten Signaturen. Gibt es einen Treffer, wird die Datei blockiert oder in Quarantäne verschoben.
Das funktioniert gut, solange die Schadsoftware bekannt ist. Moderne Virenschutzprogramme ergänzen die Signaturen zwar um einfache Verhaltensregeln und Cloud-Abfragen. Das Grundprinzip bleibt aber gleich: Geprüft wird vor allem die Datei, nicht das, was danach auf dem Rechner passiert.
Das BSI weist in seinem Maßnahmenkatalog Ransomware ausdrücklich darauf hin, dass neue Schadsoftware selten sofort über klassische Signaturen erkannt wird.
Was EDR anders macht
EDR schaut nicht nur auf Dateien, sondern auf Verhalten. Die Software zeichnet laufend auf, was auf einem Endgerät passiert: welche Prozesse starten, welche Dateien verändert werden, welche Verbindungen ins Netz aufgebaut werden. Fällt ein verdächtiges Muster auf, schlägt sie Alarm und kann sofort reagieren.
Ein Beispiel: Ein Word-Dokument startet die PowerShell, die wiederum eine Verbindung zu einem unbekannten Server im Ausland aufbaut und anschließend beginnt, hunderte Dateien umzubenennen. Jeder einzelne Schritt kann harmlos sein. Die Kombination ist es nicht. Ein EDR-System erkennt diese Kette, stoppt den Prozess, trennt den Rechner vom Netz und macht im besten Fall die Änderungen rückgängig.
Dazu kommt die Nachvollziehbarkeit. Weil EDR alle Ereignisse protokolliert, lässt sich nach einem Vorfall genau rekonstruieren, wie der Angreifer hereingekommen ist und was er getan hat. Ein klassischer Virenscanner liefert diese Informationen nicht.
EDR und Antivirus im direkten Vergleich
| Merkmal | Klassischer Antivirus | EDR |
|---|---|---|
| Erkennung | vor allem bekannte Signaturen | Verhalten und Zusammenhänge |
| Unbekannte Angriffe | werden oft nicht erkannt | werden am Verhalten erkannt |
| Angriffe ohne Schadsoftware | praktisch unsichtbar | erkennbar, etwa Missbrauch von PowerShell |
| Reaktion | Datei löschen oder isolieren | Prozess stoppen, Gerät isolieren, Änderungen zurücknehmen |
| Analyse nach einem Vorfall | kaum möglich | vollständige Ereigniskette |
| Betreuung | läuft weitgehend selbstständig | Alarme müssen bewertet werden |
| Kosten | gering | höher, je nach Umfang |
Warum Angreifer heute oft gar keine Schadsoftware brauchen
Viele Angriffe kommen inzwischen ohne klassische Schadsoftware aus. Die Täter melden sich mit gestohlenen Zugangsdaten an oder nutzen Bordmittel des Betriebssystems wie PowerShell, Fernwartung oder Admin-Konsolen. In der Fachsprache heißt das „Living off the Land“. Für einen Virenscanner sieht das aus wie normale IT-Arbeit.
Hinzu kommt das Tempo. Laut Lagebericht 2025 des BSI werden im Schnitt 119 neue Schwachstellen pro Tag bekannt. Gleichzeitig warnt das BSI, dass KI-Systeme Schwachstellen inzwischen teilweise autonom finden und ausnutzbar machen. Neue Angriffsvarianten entstehen damit schneller, als Signaturdatenbanken aktualisiert werden können. Wie Angreifer KI konkret einsetzen, lesen Sie in unserem Beitrag zu KI in der Cybersicherheit.
Was das BSI für Unternehmen vorgibt
Ein bestimmtes Produkt schreibt das BSI nicht vor. Im IT-Grundschutz, Baustein OPS.1.1.4 „Schutz vor Schadprogrammen“, stehen aber klare Anforderungen:
- Im professionellen Betrieb dürfen nur Produkte für Unternehmen mit passendem Herstellersupport eingesetzt werden. Kostenlose Programme für Privatanwender sind ausgeschlossen.
- Erkennungsmodule und Signaturen müssen regelmäßig und zeitnah aktualisiert werden.
- Nutzer dürfen sicherheitsrelevante Einstellungen nicht selbst ändern können.
Im Maßnahmenkatalog Ransomware empfiehlt das BSI zudem, alle verfügbaren Module professioneller Schutzsoftware zu nutzen, also auch verhaltensbasierte und cloudgestützte Erkennung. Genau das ist der Kern moderner EDR-Lösungen. Wer unter die NIS2-Pflichten fällt, muss nach § 30 BSIG außerdem Sicherheitsvorfälle erkennen und bewältigen können. Ohne Einblick in die Vorgänge auf den Endgeräten ist das kaum nachweisbar.
Braucht man noch Antivirus, wenn man EDR hat?
In der Regel nein, zumindest nicht als separates Programm. Moderne EDR-Lösungen enthalten einen eigenen Schutz vor bekannter Schadsoftware, oft unter dem Begriff „Next-Generation Antivirus“. Zwei Virenscanner parallel zu betreiben, führt eher zu Konflikten und bremst die Rechner aus.
Umgekehrt gilt: Ein Unternehmen, das nur einen klassischen Virenscanner einsetzt, sieht einen großen Teil der heutigen Angriffe nicht. Für sehr kleine Betriebe mit wenigen Rechnern kann ein guter Unternehmens-Virenschutz mit aktiver Verhaltenserkennung ein vertretbarer Einstieg sein. Ab dem Moment, in dem Server, Kundendaten oder Produktionsabläufe auf dem Spiel stehen, reicht das nicht mehr.
Die Kehrseite: Was EDR nicht von selbst erledigt
EDR ist kein Gerät, das man einsteckt und vergisst. Drei Punkte sollten Sie vorher kennen:
- Alarme brauchen Menschen. Ein EDR-System meldet Auffälligkeiten. Jemand muss entscheiden, ob es ein echter Angriff ist, und zwar auch nachts und am Wochenende. Viele Unternehmen lösen das mit einem Managed Service, bei dem ein externes Sicherheitsteam die Überwachung übernimmt.
- Einrichtung braucht Sorgfalt. Zu scharf eingestellt, blockiert die Software legitime Programme. Zu locker eingestellt, übersieht sie Angriffe. Eine saubere Einführung mit Testphase zahlt sich aus.
- Auch Schutzsoftware kann Fehler haben. Im Sommer 2024 führte ein fehlerhaftes Update einer Sicherheitslösung weltweit zu massiven IT-Ausfällen. Das BSI hat den Vorfall gemeinsam mit den Herstellern aufgearbeitet und mit EDR-Anbietern über robustere Update-Prozesse gesprochen. Für Unternehmen heißt das: Updates gestaffelt ausrollen und einen Notfallplan für den Ausfall der eigenen Sicherheitssoftware haben.
EDR in der Praxis: das Beispiel SentinelOne
Wie EDR im Alltag aussieht, zeigt die Plattform SentinelOne, mit der wir als Partner arbeiten. Sie überwacht Windows-, macOS- und Linux-Systeme sowie Server und Cloud-Workloads. Erkennt sie einen Angriff, kann sie den betroffenen Prozess automatisch stoppen, das Gerät vom Netz isolieren und Änderungen, etwa durch Ransomware, rückgängig machen. Alle Ereignisse laufen in einer zentralen Konsole zusammen. Mehr dazu, wie wir SentinelOne einrichten und betreiben, lesen Sie auf unserer Seite zu SentinelOne und KI-gesteuerter Cybersicherheit.
Wer über den einzelnen Rechner hinausblicken will, landet bei XDR. Diese Erweiterung verknüpft die Daten der Endgeräte mit Informationen aus Netzwerk, E-Mail und Cloud. Einen Überblick über beide Ansätze finden Sie auf unserer Seite zu EDR und XDR. Die Grundlagen zum Schutz von Laptops, Smartphones und Servern erklärt unser Beitrag Was ist Endpoint Security?.
Fazit: Virenschutz ist die Pflicht, EDR die Antwort auf heutige Angriffe
Ein klassischer Virenscanner erkennt, was schon bekannt ist. Heutige Angreifer setzen aber gezielt auf das, was noch niemand kennt, oder verzichten ganz auf Schadsoftware. EDR schließt diese Lücke, weil es auf Verhalten statt auf Dateien achtet, Angriffe stoppen kann und hinterher zeigt, was passiert ist. Entscheidend ist, dass jemand die Alarme auswertet, entweder im eigenen Team oder über einen Dienstleister.
Sie wollen wissen, ob Ihr aktueller Virenschutz noch ausreicht? Wir prüfen Ihre Endgeräte und zeigen Ihnen, wie ein Umstieg auf EDR in Ihrer Umgebung aussehen kann. Kostenlose Erstberatung buchen
Quellen
- BSI: Maßnahmenkatalog Ransomware
- BSI: IT-Grundschutz-Baustein OPS.1.1.4 Schutz vor Schadprogrammen
- BSI: Die Lage der IT-Sicherheit in Deutschland 2025
- BSI: Auswirkungen auf die Cybersicherheit von Organisationen durch die Entwicklung im Bereich Künstlicher Intelligenz
- BSI: Cyberresilienz stärken, Pressemitteilung vom 24.02.2025
