Welche Stufe braucht Ihr Unternehmen? EDR, XDR und MDR richtig auswählen — mit Vergleichstabelle und Kaufkriterien für KMU

Wenn der Virenschutz Erfolg meldet und trotzdem niemand sagen kann, was passiert ist

Ein Montagmorgen, wie er in jeder Firma vorkommt: Der Virenschutz meldet, dass er auf dem Notebook der Buchhaltung eine Schaddatei entfernt hat. Status grün, Häkchen, erledigt. Zwei Fragen später wird es unangenehm. Wie ist die Datei auf das Gerät gekommen? Und lag sie vielleicht auch auf den elf anderen Geräten, die im selben Zeitraum dieselbe E-Mail bekommen haben?

Genau an dieser Stelle beginnt der Bereich, für den es die drei Kürzel EDR, XDR und MDR gibt. Sie stehen nicht für drei konkurrierende Produkte, sondern für drei aufeinander aufbauende Antworten auf dieselbe Lücke. Dieser Beitrag ordnet ein, was die Begriffe bedeuten, wo die Grenze zwischen ihnen verläuft, welche Stufe zu welcher Ausgangslage passt und worauf Sie im Angebot achten müssen, damit Sie nicht für Funktionen zahlen, die Sie nicht betreiben können.

Warum kann ein klassischer Virenschutz nach einem Angriff nicht sagen, was passiert ist?

Weil er dafür nicht gebaut ist. Ein Endpoint-Protection-Produkt, also der klassische Virenschutz mit Verhaltensanalyse, Firewall und Web-Filter, hat die Aufgabe, einen Angriff zu verhindern. Gelingt das, ist der Fall aus seiner Sicht abgeschlossen. Gespeichert wird eine Meldung — Zeitpunkt, Dateiname, Aktion — aber nicht der Verlauf, der zu dieser Datei geführt hat.

Der Unterschied lässt sich in einem Satz fassen: Virenschutz erkennt, EDR rekonstruiert. Nach einem Vorfall brauchen Sie nicht die Information, dass etwas blockiert wurde. Sie brauchen die Kette davor und danach. Welcher Prozess hat die Datei geschrieben? Wurde vorher ein Makro ausgeführt? Hat sich der Rechner danach mit einer fremden Adresse verbunden? Und vor allem: Ist derselbe Ablauf auf anderen Geräten ebenfalls passiert, dort aber ohne Treffer, weil die Datei leicht verändert war?

Ohne Aufzeichnung beantworten Sie diese Fragen mit «wir wissen es nicht genau». Das ist der Moment, in dem viele Betriebe vorsichtshalber alle Geräte neu aufsetzen — nicht weil es nötig wäre, sondern weil sie es nicht ausschliessen können.

Was bedeutet EDR und was zeichnet ein EDR-Agent tatsächlich auf?

EDR steht für Endpoint Detection and Response. Der Agent protokolliert fortlaufend das Systemgeschehen: welcher Prozess welchen anderen gestartet hat, welche Dateien geschrieben oder umbenannt wurden, welche Registry-Schlüssel sich geändert haben, welche Netzwerkverbindungen aufgebaut wurden. Diese Aufzeichnung liegt in der Verwaltungskonsole und bleibt auch dann verfügbar, wenn der auslösende Vorgang längst beendet ist.

Daraus ergeben sich drei Funktionen, die im Alltag zählen. Die Ursachenanalyse zeigt die Kette als Prozessbaum: Outlook öffnet ein Dokument, das Dokument startet PowerShell, PowerShell lädt eine Datei nach. Kaspersky nennt das Root-Cause-Analyse, Bitdefender spricht von geräteübergreifender Erkennung und Visualisierung, Sophos legt einen Threat Case in Sophos Central an.

Die zweite Funktion ist die rückwirkende Suche über den gesamten Bestand. Sie haben einen Datei-Hash oder eine Domain aus einer Warnmeldung und fragen alle Geräte gleichzeitig, ob das dort schon einmal aufgetaucht ist. Bei Kaspersky heisst das IoC-Suche, bei WithSecure Event Search, bei ThreatDown Flight Recorder Search. Diese Abfrage ersetzt im Ernstfall tagelange Handarbeit.

Die dritte Funktion ist die Reaktion aus der Konsole: Gerät vom Netz isolieren, Prozess beenden, Datei in Quarantäne verschieben, Remote-Shell öffnen. Hier unterscheiden sich die Produkte deutlich stärker als bei der Erkennung. ThreatDown bietet zusätzlich eine Rücknahme von Ransomware-Schäden über sieben Tage, ESET Inspect erlaubt Remote-PowerShell auf verwaltete Rechner.

Was kostet EDR im Betrieb, das in keinem Angebot steht?

Arbeitszeit. Ein Virenschutz meldet «entfernt», ein EDR meldet «ungewöhnlich, bitte prüfen». Das ist kein Konstruktionsfehler, sondern der Zweck: Der Agent zeigt Vorgänge, die verdächtig aussehen, aber nicht eindeutig bösartig sind. Jemand muss diese Meldungen lesen, bewerten und abschliessen.

Realistisch sind mehrere Stunden pro Woche, bis die Richtlinien und Ausnahmen für Ihre Umgebung eingespielt sind — Branchensoftware, die zur Laufzeit Skripte startet, erzeugt am Anfang zuverlässig Fehlalarme. Danach brauchen Sie ein festes Zeitfenster pro Tag. Wer diese Rolle nicht besetzen kann, kauft eine Aufzeichnung, die im Ernstfall wertvoll ist, im Alltag aber niemanden erreicht. Für diesen Fall gibt es die weiter unten beschriebenen betreuten Varianten, und die sind meist günstiger als ein grösseres Lizenzpaket, das ungenutzt bleibt.

Was ist der Unterschied zwischen EDR und XDR?

XDR steht für Extended Detection and Response. Erweitert wird nicht die Reaktion, sondern die Datenbasis. Neben der Endpunkt-Telemetrie fliessen weitere Quellen in dieselbe Auswertung: Anmeldevorgänge aus dem Verzeichnisdienst, Mail- und Cloud-Ereignisse aus Microsoft 365, Firewall-Protokolle, Cloud-Workloads.

Der Grund ist praktisch: Ein grosser Teil der heutigen Vorfälle beginnt nicht mit Schadsoftware, sondern mit einem funktionierenden Passwort. Wer sich mit gültigen Zugangsdaten anmeldet, löst auf dem Endpunkt zunächst gar nichts aus. Auffällig wird erst die Kombination — Anmeldung aus einem ungewöhnlichen Land, kurz darauf eine neue Weiterleitungsregel im Postfach, danach ein Zugriff auf die Dateiablage. Jedes Signal für sich ist unauffällig. Erst die Verknüpfung ergibt einen Vorfall, und genau die stellt XDR her.

Wie XDR technisch dazukommt, unterscheidet sich je nach Hersteller. Bitdefender setzt Sensoren für Identität, Netzwerk und Produktivitäts-Anwendungen auf Business Security Enterprise auf und nennt das Ergebnis Defense XDR. Sophos führt Endpunkt-, Server-, Firewall-, E-Mail- und Cloud-Daten in einer eigenen Lizenzstufe zusammen. WithSecure deckt mit Elements XDR Endpunkt, Identität, Microsoft 365 und Cloud über einen Agenten ab. Kaspersky führt XDR als eigene Edition oberhalb der EDR-Stufen. ESET positioniert Inspect als XDR-Komponente mit Anbindung an SIEM- und Ticketsysteme.

Lohnt sich XDR ohne eigenes Sicherheitsteam?

Nur unter einer Bedingung: Sie müssen die zusätzlichen Quellen tatsächlich besitzen, und heute darf sie niemand systematisch auswerten. Wer Microsoft 365 einsetzt, eine Sophos-Firewall betreibt und beides bisher getrennt anschaut, gewinnt spürbar. Wer ausschliesslich lokale Geräte und keine Cloud-Dienste hat, zahlt für Sensoren, die nichts zu tun bekommen.

Der zweite Punkt wird oft übersehen: XDR erhöht die Aussagekraft der Meldungen, aber auch deren Anzahl und Komplexität. Ohne feste Zuständigkeit ist die Kombination aus EDR und einem zugekauften Überwachungsdienst in der Regel wirtschaftlicher als eine XDR-Plattform, die niemand vollständig auswertet.

Was genau kaufe ich, wenn ich MDR kaufe?

Menschen und eine Schicht. MDR steht für Managed Detection and Response und ist keine Technologie, sondern eine Dienstleistung: Analystinnen und Analysten des Herstellers schauen rund um die Uhr auf Ihre Meldungen, prüfen sie und greifen im vertraglich vereinbarten Rahmen selbst ein.

Der Nutzen ist zeitlich, nicht funktional. Verschlüsselungsangriffe werden bevorzugt nachts, an Wochenenden und an Feiertagen ausgelöst, weil dann niemand am Bildschirm sitzt. Ein EDR-Alarm um zwei Uhr morgens, den erst um acht Uhr jemand liest, hat sechs Stunden verschenkt — genau die Zeitspanne, in der ein Angriff typischerweise vom ersten Gerät auf den Dateiserver übergreift.

Bei der Auswahl zählt vor allem eine Frage: Darf der Dienstleister handeln oder nur anrufen? Das ist in den Stufen abgebildet. Sophos unterscheidet MDR Essentials und MDR Complete. ESET bietet PROTECT MDR für kleinere Organisationen und MDR Ultimate mit forensischer Unterstützung. Bitdefender trennt MDR und MDR PLUS, wobei die höhere Stufe zusätzlich Darknet-Überwachung enthält. Bei ThreatDown ist die betreute Erkennung und Reaktion ab dem Bundle Elite enthalten.

ThreatDown Elite Corporate

ThreatDown Elite Corporate ansehen ⧉

Elite entspricht dem Bundle Advanced und ergänzt es um die rund um die Uhr betreute Erkennung und Reaktion durch Malwarebytes-Analysten. Für Betriebe ohne eigene Sicherheitsrolle ist das der Punkt, an dem aus einem Werkzeug ein Dienst wird. Server werden bei ThreatDown separat lizenziert.

Gibt es einen Zwischenschritt zwischen EDR und MDR?

Ja, und für mittelgrosse Betriebe ist er oft die richtige Wahl. Zwischen «wir machen alles selbst» und «wir geben alles ab» liegt bezahlte Expertenhilfe auf Abruf, ohne vollständigen Betriebsvertrag.

WithSecure hat diese Stufen am deutlichsten getrennt. Elevate gibt Anwendern von Elements EDR bei Bedarf Zugriff auf Analysten, die einen konkreten Fall bewerten und die Reaktion anleiten. Der Co-Monitoring Service ergänzt die eigene Mannschaft um eine Überwachung rund um die Uhr, bei der Bedrohungsjäger Meldungen mit hohem Risiko prüfen und bestätigte Vorfälle an Ihr Team eskalieren. Erst darüber steht die vollständige MDR mit eigenem Reaktionsteam. Ein ähnliches Muster gibt es bei ThreatDown, wo das betreute Threat Hunting bereits im Bundle Advanced enthalten ist und kritische Funde meldet, während die Übernahme der Reaktion erst ab Elite dazukommt.

WithSecure Co-Monitoring Service

WithSecure Co-Monitoring Service ansehen ⧉

Passend für Betriebe, die eine EDR-Installation betreiben, aber keine Nacht- und Wochenendabdeckung stellen können und die Reaktion trotzdem im Haus behalten wollen.

WithSecure Elevate

WithSecure Elevate ansehen ⧉

Die kleinere Variante: Expertenunterstützung für einzelne schwierige Fälle, wahlweise über den betreuenden Partner oder direkt durch das eigene Unternehmen verwaltet. Sinnvoll, wenn Ihre IT die Meldungen grundsätzlich selbst bearbeitet und nur bei komplexen Vorfällen eine zweite Meinung braucht.

Wie unterscheiden sich Virenschutz, EDR, XDR und MDR direkt nebeneinander?

Kriterium	Virenschutz	EDR	XDR	MDR
Beantwortet die Frage	Ist es blockiert?	Wie kam es herein?	Wo sonst noch?	Wer reagiert jetzt?
Laufende Aufzeichnung	✕	✓	✓	✓
Daten ausserhalb des Endpunkts	✕	✕	✓	Depends
Wer bedient es	Läuft mit	Ihr Team	Ihr Team	Der Anbieter
Abdeckung nachts und am Wochenende	Nur Automatik	Nur Automatik	Nur Automatik	✓
Beleg für Dritte nutzbar	Limited	✓	✓	✓

Zwei Felder sind bewusst offen gehalten. Bei MDR hängt es vom gebuchten Umfang ab, ob nur Endpunkt-Daten oder auch Identitäts- und Cloud-Signale betreut werden. Ein Virenschutz-Protokoll taugt als Beleg nur eingeschränkt, weil es den Hergang nicht abbildet, sondern lediglich einzelne Treffer auflistet.

Welche Stufe passt zu welcher Ausgangslage?

Die Entscheidung hängt weniger an der Mitarbeiterzahl als daran, wer bei Ihnen auf Meldungen schaut und wie lange ein Stillstand tragbar wäre.

Ihre Ausgangslage	Sinnvolle Stufe	Begründung
Keine eigene IT, Betreuer auf Abruf	Virenschutz mit zentraler Konsole	Ungelesene Meldungen erhöhen die Sicherheit nicht
Eine IT-Person, viele Aufgaben	EDR plus Hilfe auf Abruf	Aufzeichnung selbst betreiben, Analyse zukaufen
Kleines IT-Team, Bürozeiten besetzt	EDR, bei Cloud-Nutzung XDR	Auswertung ist leistbar, die Nachtschicht nicht
Produktion oder Logistik, Stillstand kostet sofort	MDR	Reaktionszeit ist hier eine betriebswirtschaftliche Grösse
Meldepflichtig oder Zulieferer eines Grosskunden	EDR mit langer Aufbewahrung	Sie müssen den Hergang belegen, nicht behaupten
IT-Dienstleister mit mehreren Mandanten	EDR oder XDR mit Mandantenkonsole	Ohne Mandantentrennung wird jeder Kunde zum Einzelfall

Welche Betriebe konkret unter eine Meldepflicht fallen und ab wann Grosskunden Nachweise verlangen, entscheidet sich an Sektor und Grösse — nicht an der gewählten Sicherheitsstufe. Diese Abgrenzung führt über dieses Thema hinaus.

Welche Pflichten gelten ab welcher Unternehmensgrösse?
Ordnet ein, ab wann Meldepflichten, Kundenanforderungen und Nachweispflichten für einen Betrieb tatsächlich greifen.

Welche EDR-Produkte sind vergleichbar und worin unterscheiden sie sich?

Vergleichbar sind die Pakete, die eine EDR-Komponente tatsächlich enthalten und für Betriebe ohne eigenes Sicherheitszentrum gedacht sind. Die Tabelle stellt sie gegenüber. Reine Präventionspakete wie Sophos Intercept X Essentials oder ThreatDown Core stehen bewusst nicht darin, weil sie keine Detection-and-Response-Funktion mitbringen; ebenso wenig die Plattformen für grosse Sicherheitsabteilungen wie die Kaspersky Anti Targeted Attack Platform, die eine andere Zielgruppe bedienen.

Eigenschaft	Kaspersky Next EDR Optimum	Bitdefender GravityZone Business Security Enterprise	ESET Inspect mit PROTECT Elite	SOPHOS Intercept X Advanced with XDR	ThreatDown Advanced
EDR-Komponente enthalten	✓	✓	✓	✓	✓
Daten ausserhalb des Endpunkts	Erst in XDR Expert	Über Sensoren	See note	✓	✕
Konsole lokal betreibbar	✓	✓	✓	✕	✕
Patch-Management im Paket	✓	Nur als Add-On	See note	✕	✓
Verschlüsselungsverwaltung im Paket	✓	Nur als Add-On	See note	Separat	✕
Verlängerte Aufbewahrung buchbar	See note	90, 180, 365 Tage	See note	See note	See note
Rücknahme von Ransomware-Schäden	✓	✓	See note	✓	Bis 7 Tage
Betreuter Dienst derselben Familie	✓	✓	✓	✓	✓
Server separat zu lizenzieren	See note	See note	See note	✓	✓

Zu den offenen Feldern: Bei ESET ist Inspect eine Komponente, deren Umfeld an der gewählten PROTECT-Stufe hängt — welche Zusatzfunktionen mitkommen, ergibt sich also aus der Stufe und nicht aus Inspect selbst. Die Aufbewahrungsdauer der Telemetrie veröffentlicht nur Bitdefender als klar abgestuftes Modul; bei den übrigen Anbietern richtet sie sich nach Bereitstellungsart und Vereinbarung und gehört deshalb ins Angebot. Ob Server mitlizenziert sind, unterscheidet sich ebenfalls: Sophos und ThreatDown führen Server als eigene Artikel, bei den anderen hängt es vom Paket und vom Verhältnis Server zu Arbeitsplätzen ab.

Welches Produkt passt zu welchem Bedarf?

Die Zuordnung folgt der Ausgangslage, nicht der Marke. Vier typische Fälle:

Kaspersky Next EDR Optimum

Kaspersky Next EDR Optimum ansehen ⧉

Die Stufe, ab der die EDR-Komponente tatsächlich enthalten ist — zusammen mit Patch-Verwaltung, Verschlüsselungsverwaltung, adaptiver Anomaliekontrolle und Schutz für Microsoft 365. Wahlweise aus der Cloud oder lokal betrieben. Sinnvoll für Betriebe, die mehrere Bausteine in einer Konsole bündeln wollen, statt drei Produkte nebeneinander zu pflegen.

Bitdefender GravityZone Business Security Enterprise

Bitdefender GravityZone Business Security Enterprise ansehen ⧉

Die Stufe mit geräteübergreifender Erkennung, Untersuchung samt Ein-Klick-Reaktion, Threat Hunting und der Option, die Aufbewahrung auf 90, 180 oder 365 Tage zu verlängern. Über Sensoren für Identität, Netzwerk und Produktivitäts-Anwendungen zu Defense XDR ausbaubar, ohne den Agenten zu wechseln.

SOPHOS Central Intercept X Advanced with XDR

SOPHOS Central Intercept X Advanced with XDR ansehen ⧉

Führt Endpunkt-, Server-, Firewall-, E-Mail- und Cloud-Daten in Sophos Central zusammen. Der Nutzen ist dort am grössten, wo bereits eine Sophos-Firewall und Microsoft 365 im Einsatz sind, weil die Korrelation dann ohne zusätzliche Anbindung funktioniert.

ESET Inspect

ESET Inspect ansehen ⧉

Die Detection-and-Response-Komponente von ESET, mit API-Anbindung an SIEM, SOAR und Ticketsysteme sowie Remote-PowerShell auf verwaltete Rechner. Die richtige Wahl für Umgebungen, die bereits eine zentrale Protokollauswertung betreiben und die Meldungen dort einsammeln wollen, statt eine weitere Oberfläche zu bedienen.

Wie lange müssen die aufgezeichneten Daten aufbewahrt werden?

Mindestens so lange, wie ein Angriff bei Ihnen realistisch unentdeckt bleiben könnte. Das ist der am häufigsten übersehene Punkt beim Kauf. Wenn ein Vorfall erst nach sechzig Tagen auffällt, die Telemetrie aber nur dreissig Tage vorgehalten wird, haben Sie ein EDR bezahlt und trotzdem keine Antwort.

Als Orientierung: Dreissig Tage decken den typischen Verschlüsselungsfall ab, der schnell sichtbar wird. Für stille Zugriffe auf Daten, die niemand sofort bemerkt, sind neunzig Tage oder mehr angemessen. Bei Bitdefender ist die Verlängerung ein kostenpflichtiges Modul mit den Stufen 90, 180 und 365 Tage, verfügbar ab Business Security Enterprise. Fragen Sie diesen Wert bei jedem Angebot aktiv ab, er steht selten von selbst darin.

Muss die Verwaltungskonsole in der Cloud laufen, und sind Server mitlizenziert?

Beim Betriebsort gibt es echte Unterschiede. ThreatDown wird ausschliesslich über die Cloud-Konsolen Nebula beziehungsweise OneView verwaltet, eine Installation im eigenen Rechenzentrum ist nicht vorgesehen. Auch Sophos Central ist ein reiner Cloud-Dienst. Kaspersky Next EDR Optimum lässt sich wahlweise aus der Cloud oder lokal betreiben, Bitdefender und ESET bieten neben der Cloud ebenfalls eine eigene Installation an. Für Betriebe mit Auflagen zum Betriebsort ist das ein Ausschlusskriterium, kein Detail.

Bei den Servern lohnt der Blick in die Artikelbezeichnung. Sophos und ThreatDown führen Serverlizenzen als eigene Produkte, die zusätzlich zu den Arbeitsplätzen bestellt werden. Ein EDR, das den Dateiserver auslässt, verfehlt genau das Gerät, auf dem der Schaden entsteht — bei einem Verschlüsselungsangriff ist der Server das Ziel, der Arbeitsplatz nur der Weg dorthin.

SOPHOS Central Intercept X Advanced for Server with XDR

SOPHOS Central Intercept X Advanced for Server with XDR ansehen ⧉

Die Servervariante derselben Stufe. Wer die Arbeitsplätze mit XDR abdeckt, sollte die Server auf dieselbe Stufe heben, sonst bricht die Kette genau dort ab, wo sie am wichtigsten ist.

ThreatDown Advanced Corporate

ThreatDown Advanced Corporate ansehen ⧉

EDR mit Rücknahme von Ransomware-Schäden über sieben Tage, Patch-Verwaltung und betreutem Threat Hunting, das kritische Funde meldet, ohne dass ein voller Dienstleistungsvertrag nötig wird. Für Server existiert eine eigene Variante.

Warum steht bei manchen Produkten EDR im Namen, obwohl kein EDR enthalten ist?

Weil Produktnamen Marketingnamen sind und keine Funktionsbeschreibungen. Drei Beispiele, die regelmässig zu Fehlkäufen führen.

In der offiziellen Editionsübersicht von Kaspersky ist die Funktion Endpoint Detection and Response nur bei Next EDR Optimum aufgeführt. Next EDR Foundations enthält die Root-Cause-Analyse, also die Ursachenermittlung, aber nicht die vollständige EDR-Komponente mit IoC-Suche und geführter Reaktion. Ebenfalls erst ab Optimum: Patch-Verwaltung, Verschlüsselungsverwaltung, adaptive Anomaliekontrolle und der Schutz für Microsoft 365.

Kaspersky Next EDR Foundations

Kaspersky Next EDR Foundations ansehen ⧉

Trotzdem ein sinnvolles Paket — aber für einen anderen Zweck: starker Schutz mit zentraler Verwaltung, Schwachstellenbewertung, Geräte- und Anwendungssteuerung und Ursachenanalyse. Wer bewusst noch keine EDR-Auswertung betreiben will, ist hier richtig. Wer EDR im engeren Sinn sucht, greift zu Optimum.

Der zweite Fall ist Bitdefender: «Premium» klingt nach der obersten Stufe, enthält laut Herstellervergleich aber weder die geräteübergreifende Erkennung noch Threat Hunting. Beides beginnt erst bei Business Security Enterprise. Premium ist die starke Präventionsstufe mit Sandbox und forensischer Aufbereitung, nicht die Detection-and-Response-Stufe.

Bitdefender GravityZone Business Security Premium

Bitdefender GravityZone Business Security Premium ansehen ⧉

Die richtige Wahl, wenn Prävention und Sandbox-Analyse gefragt sind, aber niemand im Haus Meldungen auswerten wird. Wer später EDR braucht, wechselt innerhalb derselben Konsole auf die Enterprise-Stufe.

Der dritte Fall betrifft Sophos: Ohne den Zusatz «with XDR» erhalten Sie die Präventionsstufe. Die frühere Variante «with EDR» wurde in die XDR-Stufe überführt, weshalb ältere Offerten und aktuelle Artikelnamen nicht mehr zusammenpassen. Prüfen Sie beim Vergleich zweier Angebote, ob wirklich dieselbe Stufe kalkuliert wurde.

Dazu kommen reine Umbenennungen ohne Funktionsänderung: ESET Inspect hiess früher ESET Enterprise Inspector, und die Geschäftskundenlinie von Malwarebytes tritt seit November 2023 unter dem Namen ThreatDown auf. Wer nach den alten Bezeichnungen sucht, findet die aktuellen Produkte oft nicht.

Kann ich EDR zu meinem bestehenden Virenschutz dazukaufen?

Innerhalb derselben Herstellerfamilie meistens ja, herstellerübergreifend praktisch nie. Zwei Agenten unterschiedlicher Anbieter auf demselben Gerät führen zu Leistungsproblemen und gegenseitigen Blockaden, und im Fehlerfall verweist jeder Support auf den anderen.

Innerhalb einer Familie gibt es zwei Wege: den Wechsel auf die höhere Paketstufe oder ein Zusatzmodul. Bitdefender bietet die Detection-and-Response-Funktion sowohl als Bestandteil von Business Security Enterprise als auch als eigenständige Artikel an. Kaspersky führt neben den Next-Editionen ebenfalls separate EDR-Produkte, teils als Add-on, das ein passendes Basisprodukt voraussetzt. Welche Kombination für Ihre bestehende Lizenz zulässig ist, hängt vom Ausgangspaket ab — das gehört vor der Bestellung geklärt, sonst kaufen Sie ein Modul, das sich nicht aktivieren lässt.

Als Faustregel: Der Wechsel auf die höhere Stufe desselben Herstellers ist fast immer günstiger und betrieblich einfacher als ein Nebeneinander von zwei Anbietern.

Ob ein bestellter Artikel sich überhaupt aktivieren lässt, hängt an der Bezeichnung im Shop. Welche davon eine bestehende Lizenz voraussetzt, ist ein eigenes Thema.

Base, Base Plus, Add-On oder Renewal — was diese Bezeichnungen bedeuten
Erklärt, wie die Paketbezeichnungen im Handel zu lesen sind und welche davon eine bestehende Lizenz voraussetzen.

Welche Basislizenz setzt ein MDR-Dienst voraus?

Fast immer eine bestimmte, und das verändert die Kalkulation deutlich. Sophos verlangt laut eigener Leistungsbeschreibung, dass auf den betreuten Geräten Sophos XDR beziehungsweise der XDR Sensor läuft. ESET setzt für PROTECT MDR und MDR Ultimate die Stufen PROTECT Elite oder Enterprise voraus. Bitdefender baut seine betreuten Dienste auf GravityZone Business Security Enterprise auf.

Ein MDR-Preis pro Gerät ist also nie der Gesamtpreis. Rechnen Sie immer Basislizenz plus Dienst, und vergleichen Sie erst dann mit Angeboten anderer Anbieter. Sonst wirkt ein Angebot günstig, das die Grundlage stillschweigend voraussetzt.

ESET PROTECT Elite

ESET PROTECT Elite ansehen ⧉

Die Stufe, in der ESET Inspect bereits enthalten ist und die gleichzeitig als Grundlage für den betreuten Dienst dient. Wer beides plant, fährt damit günstiger, als Inspect und Basisschutz getrennt zu beschaffen.

Wie hilft EDR bei der Meldepflicht in der Schweiz?

Seit dem 1. April 2025 gilt in der Schweiz eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Rechtsgrundlage ist das revidierte Informationssicherheitsgesetz zusammen mit der Cybersicherheitsverordnung. Betroffen sind Behörden und Organisationen nach Art. 74b ISG, darunter Energie- und Trinkwasserversorgung, Transportunternehmen, Listenspitäler, Anbieter von Cloud-Diensten und Rechenzentren sowie die Verwaltungen von Kantonen und Gemeinden. Für kleinere Organisationen und für Angriffe mit geringen Auswirkungen sieht die Verordnung Ausnahmen vor.

Die Frist ist kurz: Eine Erstmeldung muss innerhalb von 24 Stunden nach Entdeckung an das Bundesamt für Cybersicherheit gehen, fehlende Angaben können innerhalb von 14 Tagen nachgereicht werden. Für die Erstmeldung brauchen Sie Angaben zum Zeitpunkt der Entdeckung, zur Art des Angriffs und zum betroffenen Bereich. Ohne aufgezeichnete Telemetrie schreiben Sie dort Vermutungen hinein; mit Aufzeichnung schreiben Sie Zeitstempel, betroffene Systeme und den nachvollzogenen Ablauf. Die 14 Tage zur Vervollständigung sind wiederum genau die Zeit, in der eine rückwirkende Suche über den gesamten Gerätebestand ihren Wert entfaltet.

Was diese Produkte nicht leisten: Sie erkennen nicht, ob Ihr Betrieb meldepflichtig ist, sie füllen kein Formular aus, und sie ersetzen weder eine benannte verantwortliche Person noch einen geübten Ablauf für den Ernstfall. Ein EDR ohne definierte Zuständigkeit und ohne getestete Meldekette erfüllt keine einzige organisatorische Anforderung.

Was verlangt die NIS-2-Richtlinie, und was davon deckt EDR ab?

Für Betriebe mit Standorten oder Kunden in der Europäischen Union ist die NIS-2-Richtlinie massgebend. Kein Produkt stellt Konformität her, denn die Richtlinie verlangt Massnahmenkategorien und keine bestimmte Software. Dazu gehören Risikoanalyse und Sicherheitskonzepte, die Bewältigung von Sicherheitsvorfällen, Betriebskontinuität und Backup-Verwaltung, Sicherheit der Lieferkette, Schwachstellenbehandlung, Konzepte zur Bewertung der Wirksamkeit, Schulung sowie Zugriffskontrolle und Multi-Faktor-Authentisierung.

Unterstützt werden davon die Bewältigung von Vorfällen, die Schwachstellenbehandlung, sofern Schwachstellenbewertung und Patch-Verwaltung enthalten sind, und die Zugriffskontrolle auf Geräteebene. Die gestufte Meldung, die die Richtlinie vorsieht — eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden, ein Abschlussbericht innerhalb eines Monats — stützt sich auf dieselbe Aufzeichnung wie die schweizerische Meldepflicht.

Nicht abgedeckt sind Backup und Wiederanlauf, das Lieferantenmanagement, die Schulung der Belegschaft, die Bewertung der eigenen Wirksamkeit und die Verantwortlichkeit der Leitungsebene. Wer diese Punkte über Endpunktsoftware abdecken will, wird sie nicht erfüllen.

Betriebe mit Sitz in der Schweiz und Kunden in der EU müssen beide Regelwerke nebeneinander erfüllen. Die vollständige Gegenüberstellung sprengt diesen Artikel und steht separat.

Cybersicherheitspflichten in der Schweiz und in der EU im Vergleich
Stellt die schweizerische Meldepflicht und die Anforderungen der NIS-2-Richtlinie nebeneinander und zeigt, wo sie sich unterscheiden.

Was sollten Käufer zu den behördlichen Bewertungen von Kaspersky wissen?

Weil in diesem Beitrag Kaspersky-Produkte vorkommen, gehört der Punkt sachlich dazu. Das deutsche Bundesamt für Sicherheit in der Informationstechnik warnt seit dem 15. März 2022 vor dem Einsatz von Virenschutzsoftware des Herstellers Kaspersky und empfiehlt, entsprechende Anwendungen durch alternative Produkte zu ersetzen. Begründet wird das mit dem Vertrauen in Zuverlässigkeit und Handlungsfähigkeit eines Herstellers, das angesichts der tiefen Eingriffsrechte solcher Software erforderlich sei. Die Warnung besteht weiterhin und ist in Deutschland seit dem 6. Dezember 2025 in § 13 BSIG geregelt. In den Vereinigten Staaten hat das Handelsministerium im Juni 2024 eine Untersagung erlassen: Neugeschäft ist seit dem 20. Juli 2024 untersagt, seit dem 29. September 2024 dürfen dort zudem keine Signatur- und Codebase-Aktualisierungen mehr bereitgestellt und das Kaspersky Security Network nicht mehr betrieben werden.

Kaspersky widerspricht dieser Einschätzung. Das Unternehmen verweist darauf, dass es als privates, international tätiges Unternehmen geführt wird, dass es nach eigener Darstellung nicht verpflichtet ist, Daten an staatliche Stellen weiterzugeben, und dass es seine Transparenzmassnahmen seit Jahren extern prüfen lässt. Gegen die Warnung geht es juristisch vor.

Praktisch bedeutet das: In der Schweiz besteht keine entsprechende behördliche Warnung oder Verkaufsbeschränkung. Relevant wird der Punkt trotzdem in drei Konstellationen — bei Aufträgen der öffentlichen Hand, bei Konzernvorgaben internationaler Muttergesellschaften und bei Lieferantenfragebogen von Grosskunden, in denen Herkunft und Sitz der eingesetzten Sicherheitssoftware abgefragt werden. Wer in einer dieser Konstellationen steht, klärt die Vorgabe, bevor er sich festlegt. Wer nicht, entscheidet wie bei jeder anderen Beschaffung nach Funktion, Betriebsaufwand und Preis.

Wer den zeitlichen Ablauf aller behördlichen Äusserungen braucht, etwa als Grundlage für eine interne Begründung oder die Antwort auf einen Lieferantenfragebogen, findet ihn ausführlich an anderer Stelle.

Behördliche Warnungen zu Kaspersky im Überblick
Fasst zusammen, welche Stellen sich wann geäussert haben, was weiterhin gilt und für welche Käufer das eine Rolle spielt.

Was decken EDR, XDR und MDR nicht ab?

Einen erheblichen Teil dessen, was im Ernstfall zählt. Keine dieser Stufen ersetzt eine funktionierende Datensicherung mit getesteter Wiederherstellung — und die Wiederherstellung entscheidet über die Ausfalldauer, nicht die Erkennung. Ebenso wenig ersetzt sie einen E-Mail-Schutz vor dem Postfach, eine saubere Verwaltung von Zugriffsrechten, Multi-Faktor-Authentisierung oder die Sensibilisierung der Belegschaft.

Sinnvoll ist deshalb die umgekehrte Reihenfolge: erst Datensicherung mit Rückspieltest, Mehrfaktor-Anmeldung und aktuelle Software, danach EDR. Wer EDR kauft, während die Sicherung ungetestet auf einer per Netzlaufwerk erreichbaren Festplatte liegt, hat das teurere Produkt an der falschen Stelle eingesetzt — Verschlüsselungssoftware findet dieses Laufwerk zuverlässig.

Wie entscheide ich am Ende?

Virenschutz beantwortet, ob etwas blockiert wurde. EDR beantwortet, wie es hereinkam und wo es sonst noch liegt. XDR beantwortet dieselbe Frage auch dann, wenn der Angriff mit einem gültigen Passwort statt mit einer Datei begonnen hat. MDR beantwortet, wer um drei Uhr morgens reagiert.

Stellen Sie deshalb nicht die Frage, welche Technologie die beste ist, sondern welche Frage Sie im Ernstfall beantworten müssen und wer im Haus sie beantworten kann. Danach richtet sich die Stufe — und erst danach der Hersteller.

---