Managed Extended Detection and Response: Wie Unternehmen ihre IT-Sicherheit auslagern

Quelle / Copyright: Youtube /SWR Doku

Ausgangslage - Warum klassische IT-Sicherheit an Grenzen stößt

Viele Unternehmen betreiben Firewalls, Virenscanner und Endpoint Protection, ohne eine durchgehende Überwachung ihrer IT-Systeme sicherzustellen. Angriffe verlaufen oft mehrstufig und nutzen legitime Systemwerkzeuge, wodurch klassische signaturbasierte Schutzmechanismen allein nicht ausreichen. Gleichzeitig fehlt es insbesondere kleinen und mittleren Unternehmen an Personal, um Sicherheitswarnungen kontinuierlich auszuwerten. Aus dieser Lücke haben sich Managed-Security-Dienstleistungen entwickelt.

Was ist Managed Extended Detection and Response (MXDR)?

Ein Sicherheitsdienst, bei dem ein externer Anbieter die Erkennung und Reaktion auf Cyberbedrohungen für ein Unternehmen übernimmt, wird als Managed Extended Detection and Response (MXDR) bezeichnet. Die Basis bildet eine Plattform, die Daten aus mehreren Quellen zusammenführt, etwa aus Endgeräten, Netzwerken, Cloud-Diensten und E-Mail-Systemen. Der Zusatz "Managed" beschreibt, dass diese Plattform nicht nur bereitgestellt, sondern von einem Team aus Sicherheitsanalysten betrieben und überwacht wird.

Funktionsweise des Dienstes

Ein solcher Dienst sammelt fortlaufend Telemetriedaten aus den angebundenen Systemen und wertet diese mithilfe von Regeln, Verhaltensanalysen und teilweise maschinellem Lernen aus. Auffällige Ereignisse werden von einem Security Operations Center gesichtet und eingeordnet. Bestätigt sich ein Verdacht, leitet das Analystenteam vordefinierte Gegenmaßnahmen ein, etwa die Isolation eines betroffenen Endgeräts vom Netzwerk. Der Kunde erhält üblicherweise eine Meldung samt Einschätzung zur Vorfallslage sowie zu den bereits durchgeführten Schritten.

Abgrenzung zu MDR und klassischem SOC

Der Begriff Managed Detection and Response (MDR) bezieht sich meist auf die Überwachung von Endgeräten. Der erweiterte Ansatz bezieht zusätzliche Datenquellen wie Netzwerkverkehr, Cloud-Infrastruktur und Identitätssysteme ein und schafft dadurch einen breiteren Blick auf mögliche Angriffspfade. Ein klassisches, intern betriebenes Security Operations Center erfordert dagegen eigenes Fachpersonal, eigene Werkzeuge und einen durchgehenden Schichtbetrieb, was insbesondere für kleinere Unternehmen mit hohem personellem und finanziellem Aufwand verbunden ist.

Nutzen für Unternehmen

Durch die Auslagerung an einen spezialisierten Anbieter entfällt für Unternehmen der Aufbau einer eigenen durchgehenden Überwachung. Fachpersonal für IT-Sicherheit ist am Arbeitsmarkt knapp, weshalb externe Dienste eine Möglichkeit darstellen, dennoch Zugang zu spezialisiertem Wissen zu erhalten. Eine pauschale Aussage zur Wirksamkeit im Einzelfall lässt sich daraus jedoch nicht ableiten, da diese von der individuellen IT-Umgebung und Konfiguration abhängt.

Herausforderungen und offene Fragen

Der Einsatz eines solchen Dienstes setzt voraus, dass Telemetriedaten an einen externen Anbieter übermittelt werden, was Fragen zu Datenschutz und Vertraulichkeit aufwirft. Unternehmen sollten vertraglich klären, welche Reaktionsbefugnisse der Dienstleister im Ernstfall erhält, etwa das eigenständige Trennen von Systemen vom Netzwerk. Zudem ersetzt dieser Ansatz keine grundlegenden Sicherheitsmaßnahmen wie Patch-Management, Zugriffskontrollen oder Mitarbeiterschulungen, sondern ergänzt diese.

Einordnung für den Mittelstand

Kleine und mittlere Unternehmen verfügen häufig nicht über ein eigenes IT-Sicherheitsteam, das rund um die Uhr besetzt ist. Für diese Zielgruppe kann ein extern betriebener Sicherheitsdienst eine Ergänzung zur bestehenden IT-Infrastruktur darstellen. Bei der Anbieterwahl spielt für manche Unternehmen auch der Standort des Dienstleisters eine Rolle, etwa im Hinblick auf geltende Datenschutzanforderungen.

Fazit

Der beschriebene Ansatz verlagert die technische Überwachung und die erste Reaktion auf Sicherheitsvorfälle zu einem externen, spezialisierten Anbieter. Für Unternehmen ohne eigenes Sicherheitsteam kann dies eine praktikable Ergänzung zur bestehenden IT-Sicherheit sein. Gleichzeitig bleibt die Verantwortung für grundlegende Schutzmaßnahmen im Unternehmen selbst bestehen, und vertragliche Regelungen zu Datenzugriff und Reaktionsbefugnissen sollten vor einer Beauftragung sorgfältig geprüft werden.