MDR (Managed Detection and Response)

Definition:

MDR (Managed Detection and Response) ist ein Sicherheitsdienst, bei dem ein externes Expertenteam die IT eines Unternehmens rund um die Uhr überwacht, Angriffe erkennt und aktiv darauf reagiert. Anders als bei einer reinen Software-Lösung steht hinter MDR immer menschliche Expertise: Analysten bewerten Warnmeldungen, filtern Fehlalarme heraus und leiten bei echten Vorfällen sofort Gegenmaßnahmen ein. Technisch stützt sich MDR meist auf ein SIEM sowie Sensoren auf Endgeräten, Servern und im Netzwerk. Organisatorisch wird der Dienst aus einem Security Operations Center (SOC) heraus erbracht.

Einsatz:

-Überwachung: Protokolle und Ereignisse aus Firewalls, Servern, Endgeräten und Cloud-Diensten werden zentral gesammelt und permanent ausgewertet, auch nachts, am Wochenende und an Feiertagen.

-Erkennung: Analysten suchen gezielt nach Auffälligkeiten wie ungewöhnlichen Anmeldungen, Rechteausweitungen oder großen Datenabflüssen. Dazu gehört auch aktives Threat Hunting, also die Suche nach Angreifern, die bereits unbemerkt im Netzwerk sind.

-Reaktion: Bei einem bestätigten Vorfall wird gehandelt, etwa durch das Isolieren betroffener Systeme oder das Sperren kompromittierter Konten. So wird ein Angriff gestoppt, bevor größerer Schaden entsteht.

-Entlastung: Viele Unternehmen haben weder das Personal noch das Know-how für eine eigene 24/7-Sicherheitsüberwachung. MDR schließt diese Lücke und verhindert, dass wichtige Warnungen in der Masse untergehen.

-Regulatorik: NIS2 verlangt von betroffenen Unternehmen, Sicherheitsvorfälle zu erkennen, zu bewältigen und innerhalb kurzer Fristen zu melden. MDR liefert dafür die nötige Erkennung und Dokumentation.

Beispiel aus der Praxis:

In einer Kommune meldet sich an einem Samstag um 2 Uhr nachts ein Verwaltungskonto an mehreren Servern gleichzeitig an. Kurz darauf werden Sicherheitsprogramme deaktiviert. Ohne Überwachung würde das niemand bemerken, am Montag wären alle Daten durch Ransomware verschlüsselt. Mit MDR schlägt das System sofort Alarm. Ein Analyst prüft die Aktivität, erkennt den Angriff und isoliert die betroffenen Server innerhalb weniger Minuten vom Netzwerk. Das Konto wird gesperrt, die IT-Leitung informiert. Am Montag läuft die Verwaltung normal weiter.

Tipps für die Praxis:

-Achten Sie darauf, dass Ihr MDR-Anbieter nicht nur alarmiert, sondern bei Vorfällen auch aktiv eingreift.

-Klären Sie vorab, welche Maßnahmen der Anbieter eigenständig ergreifen darf, etwa das Isolieren von Systemen.

-Binden Sie möglichst alle relevanten Quellen an: Endgeräte, Server, Firewall, E-Mail und Cloud-Dienste.

-Verknüpfen Sie MDR mit Ihrem IT-Notfallmanagement und dem Cyber-Krisenmanagement, damit nach der Erkennung klar ist, wer was tut.

-Ergänzen Sie MDR durch Prävention wie Multi-Faktor-Authentifizierung und Security Awareness.

-Lassen Sie sich regelmäßig berichten, welche Vorfälle erkannt wurden, und nutzen Sie die Erkenntnisse zur Verbesserung Ihrer IT-Sicherheit.

-Mehr zur 24/7-Überwachung durch keepbit erfahren Sie auf unserer Seite zu MDR und SOC.