EDR
und XDR.
EDR macht Endpunkte untersuchbar. Es sammelt Telemetrie, erkennt verdächtige Abläufe, unterstützt die Untersuchung und reagiert, etwa durch Isolation des Geräts. XDR verbindet diese Signale mit Identität, E-Mail und Cloud.
Detection braucht Telemetrie.
EDR ist kein schöneres Antivirus. Der Kern ist Sichtbarkeit auf Prozesse, Dateien, Netzwerkverbindungen, Registry, Speicheraktivitäten, Benutzerkontext und Angriffsketten auf dem Endpunkt.
Gute Lösungen helfen einem SOC, aus vielen Einzelereignissen eine nachvollziehbare Story zu bauen: Was ist passiert, wo begann es, welche Systeme sind betroffen und welche Massnahme stoppt die Bewegung?
EPP verhindert. EDR untersucht und reagiert. XDR korreliert zusätzliche Quellen. MDR ergänzt Menschen und Betrieb. Ein Produkt kann mehrere Rollen haben, die Auswahl sollte aber klar sagen, welche Rolle gerade bewertet wird.
In regulierten Umgebungen zählt nicht nur Detection. Wichtig sind Datenhaltung, Transparenz von Regeln, Auditfähigkeit, Response-Rechte und die Fähigkeit, Vorfälle nachvollziehbar zu dokumentieren.
Sehen, verstehen, eingreifen.
Ein EDR-Agent (Endpoint Detection and Response) läuft auf Arbeitsplätzen und Servern und zeichnet laufend auf, was dort geschieht: gestartete Prozesse, Dateizugriffe, Registry-Änderungen, Netzverbindungen, Anmeldungen. Diese Telemetrie geht an eine zentrale Plattform, meist in der Cloud. Dort laufen zwei Dinge parallel. Erstens die Erkennung: Regeln, Verhaltensmodelle und Indikatoren bewerten Abläufe und verknüpfen zusammengehörige Ereignisse zu einem Vorfall. Zweitens die Suche: Analysten fragen die gespeicherten Rohdaten mit einer Abfragesprache ab, etwa um zu prüfen, ob ein bestimmtes Werkzeug schon früher irgendwo lief. Das nennt man Threat Hunting. Die Rückschau ist begrenzt, bei Microsoft Defender XDR zum Beispiel auf 30 Tage Rohdaten, sofern keine Langzeitablage angebunden ist.
Der dritte Teil ist die Reaktion. Eine zentrale Aktion ist die Netzisolation: Der Agent sperrt allen Verkehr des Geräts, ausser der Verbindung zur Sicherheitsplattform. So bleibt das Gerät untersuchbar, kann aber weder Befehle eines Angreifers empfangen noch sich im Netz ausbreiten. Dazu kommen Prozess beenden, Datei in Quarantäne, Fernzugriff auf die Kommandozeile und bei einigen Produkten das Zurückrollen von Änderungen.
XDR (Extended Detection and Response) erweitert diesen Blick über den Endpunkt hinaus. Signale aus Identität (Active Directory, Entra ID), E-Mail, Cloud-Diensten und Netzwerk fliessen in dieselbe Korrelation. Ein Phishing-Mail, die anschliessende verdächtige Anmeldung und der Prozess auf dem Laptop erscheinen dann als ein Vorfall statt als drei Alarme in drei Konsolen. MDR (Managed Detection and Response) schliesslich ist kein Werkzeug, sondern ein Dienst: Ein externes Team überwacht die Plattform rund um die Uhr und greift im vereinbarten Rahmen ein.[1,2,3,4]
| Ansatz | Datenbasis | Wer reagiert, und wie |
|---|---|---|
| Antivirus / EPP | Dateien und Prozesse auf dem Gerät | Agent blockiert selbständig, sonst niemand |
| EDR | Laufende Telemetrie einzelner Endpunkte | Eigenes Team untersucht, isoliert, bereinigt |
| XDR | Endpunkt plus Identität, E-Mail, Cloud, Netzwerk | Eigenes Team, unterstützt durch Korrelation und Automatik |
| MDR | Plattform des Herstellers oder Kunden | Externes Team 24/7 mit vorab freigegebenen Aktionen |
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Alarmflut ohne Triage | Mehr Telemetrie erzeugt mehr Meldungen. Lösung: Erkennungsregeln je Umgebung abstimmen, Alarme nach Kritikalität der Systeme priorisieren und ausserhalb der Bürozeiten einen MDR-Dienst oder Bereitschaft vorsehen. |
| Isolation ohne Rückweg | Ein isoliertes Remote-Gerät oder ein Produktionsserver ohne erlaubten Managementkanal ist nicht mehr bedienbar. Lösung: Ausnahmen für Management-IPs vorab definieren, Isolation kritischer Systeme an eine Freigabe binden und das Aufheben testen.[2] |
| Lücken bei Betriebssystemen | Isolation ist nicht überall gleich verfügbar: Unter Linux setzt sie oft iptables und bestimmte Kernel-Optionen voraus, manche Werkzeuge kennen für macOS keine Quarantäne. Lösung: im Pilot je ein Windows-, macOS- und Linux-System isolieren.[7,8] |
| Abhängigkeit vom Kernel-Agenten | Am 19.07.2024 führte ein fehlerhaftes Inhalts-Update für den CrowdStrike-Falcon-Sensor weltweit zum Ausfall von Windows-Systemen; Ursache war kein Angriff. Lösung: gestaffelte Verteilung von Agenten- und Inhalts-Updates verlangen und einen Wiederanlaufplan für Endpunkte bereithalten.[9] |
| Zu kurze Datenhaltung | Wird ein Angriff erst nach Wochen entdeckt, fehlen die Rohdaten. Lösung: Aufbewahrung im Vertrag festlegen und bei Bedarf in ein SIEM oder eine Langzeitablage streamen.[1] |
Betrieb und Verantwortung
Den Agenten und die Plattform betreibt in der Regel das Endpoint- oder Security-Engineering-Team, die Reaktion auf Vorfälle liegt beim SOC, intern oder als MDR. Welche Aktionen ein MDR-Dienst ohne Rückfrage ausführen darf, gehört schriftlich als vorab freigegebene Aktionen in den Vertrag. Sinnvolle Kennzahlen sind Agenten-Abdeckung der Geräte, Zeit bis zur Erkennung, Zeit bis zur Eindämmung und Anteil der Fehlalarme.[6]
Regulatorischer Bezug
ISO/IEC 27001:2022 adressiert das Thema in Annex A vor allem über 8.7 «Protection against malware», 8.16 «Monitoring activities» und 5.26 «Response to information security incidents». NIS2 verlangt in Art. 21 Abs. 2 Bst. b Massnahmen zur Bewältigung von Sicherheitsvorfällen, DORA in Art. 10 Mechanismen, die anomale Aktivitäten umgehend erkennen und regelmässig getestet werden. In Deutschland beschreibt der IT-Grundschutz-Baustein DER.1 «Detektion von sicherheitsrelevanten Ereignissen» die Anforderungen; in der Schweiz ordnet der IKT-Minimalstandard das Thema den Funktionen Erkennen und Reagieren zu.[10,11,12,13,14,15,16]
Quellen: [1] learn.microsoft.com · [2] learn.microsoft.com · [3] crowdstrike.com · [4] learn.microsoft.com · [5] paloaltonetworks.com · [6] techzone.bitdefender.com · [7] cortex-docs.paloaltonetworks.com · [8] docs.velociraptor.app · [9] cisa.gov · [10] isms.online · [11] isms.online · [12] hightable.io · [13] nis-2-directive.com · [14] digital-operational-resilience-act.com · [15] openkritis.de · [16] ncsc.admin.ch
Siebzehn Werkzeuge im Vergleich.
EDR wird heute fast nur noch als Teil einer Plattform angeboten: Die grossen Anbieter verbinden Endpunkt-Telemetrie mit Signalen aus Identität, E-Mail, Cloud und Netzwerk und nennen das XDR. Nahezu alle Hersteller ergänzen ihr Produkt um einen eigenen MDR-Dienst mit 24/7-Überwachung, sodass Werkzeug und Betrieb oft aus einer Hand kommen. Der Markt konsolidiert: Sophos hat Secureworks übernommen (abgeschlossen 03.02.2025), LevelBlue Cybereason (Abschluss laut Meldung vom 25.11.2025), WithSecure gehört seit 26.03.2026 vollständig einem Konsortium unter Führung eines CVC-Fonds (Angebot 2025, Zwangsabfindung und Delisting im März 2026), und das Unternehmensgeschäft von Trend Micro firmiert seit 23.03.2026 als TrendAI. Eine On-Premises-Konsole bieten vor allem europäische Anbieter und Enterprise-Suiten mit langer Installationsbasis an; die meisten XDR-Plattformen sind reine Cloud-Dienste.
Isolation: Netzisolation des Endpunkts · Telemetrie-Suche: Telemetrie-Suche und Threat Hunting · Auto-Reaktion: automatische Reaktion oder Playbooks · Identität: Identitätssignale · E-Mail/Cloud: E-Mail- oder Cloud-Signale · MDR: MDR-Dienst des Herstellers · On-Prem: On-Premises-Konsole. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Microsoft Defender for Endpoint (Plan 2) und Defender XDR
Microsoft
Endpunkt-EDR für Windows, Windows Server, macOS und Linux; Defender XDR korreliert zusätzlich Signale aus Defender for Identity, Defender for Office 365 und Defender for Cloud Apps.
Geräteisolation trennt das Gerät vom Netz und hält die Verbindung zum Defender-Dienst; automatische Attack Disruption setzt bei hochsicheren Signalen Eindämmungsmassnahmen.
Advanced Hunting mit Kusto Query Language (KQL) über 30 Tage Rohdaten, erweiterbar über Microsoft Sentinel und Streaming-APIs.
Cloud-Dienst; der MDR-Dienst heisst heute Defender Experts MDR (früher Defender Experts for XDR).
Endpunkt, Identität, E-Mail und SaaS-Signale laufen in einem Portal und einer Abfragesprache zusammen.
Native Hunting-Daten reichen ohne Sentinel-Anbindung nur 30 Tage zurück, und der volle XDR-Umfang setzt die entsprechenden Microsoft-Lizenzen voraus.
CrowdStrike Falcon Insight XDR
CrowdStrike
EDR auf dem Falcon-Agenten, erweitert um Identitäts-, Cloud- und Mobile-Telemetrie sowie Daten von Drittanbietern.
Network Containment unterbindet alle Verbindungen ausser zur CrowdStrike-Cloud und zu freigegebenen internen Adressen; Real Time Response erlaubt direkten Zugriff auf das System.
Automatisierung über das integrierte Falcon Fusion SOAR; 10 GB/Tag Drittanbieter-Daten ohne Zusatzkosten laut Produktseite.
Cloud-Plattform mit einem Agenten; Falcon Complete als hauseigener MDR-Dienst mit 24/7-Betrieb.
Isolation, Fernzugriff und Automatisierung sind im selben Agenten und derselben Konsole verfügbar.
Betrieb nur als Cloud-Dienst; eine Konsole im eigenen Netz ist auf den abgerufenen Seiten nicht vorgesehen.
SentinelOne Singularity Endpoint und Singularity XDR
SentinelOne
EDR für Endpunkte, im XDR-Ausbau mit Identität, Cloud und Drittquellen wie E-Mail, Netzwerk, Firewall und SaaS-Anwendungen.
Storyline verknüpft zusammengehörige Ereignisse zu einer Angriffsgeschichte; automatische oder 1-Klick-Reaktion und 1-Klick-Rollback auf den Zustand vor dem Angriff; automatische oder manuelle Netzisolation, bei der Konsole und REST-API das Gerät weiter erreichen.
Hyperautomation-Workflows für Eindämmung und Behebung; Abfragen in natürlicher Sprache über Purple AI.
Laut Datenblatt Betrieb in SaaS-, On-Premises-, Hybrid- und Air-Gapped-Umgebungen; eigener MDR-Dienst mit 24/7-Betrieb.
Rollback stellt veränderte Endpunkte ohne Neuaufsetzen auf den Zustand vor dem Angriff zurück.
Die Netzisolation ist öffentlich nur knapp in der Hersteller-FAQ beschrieben; Ausnahmen, unterstützte Betriebssysteme und Aufhebung sind nicht öffentlich dokumentiert und im Pilot zu prüfen.
Cortex XDR
Palo Alto Networks
Verbindet Daten aus Endpunkt, Netzwerk, Cloud, Identität und E-Mail.
Isolation stoppt jeden Netzverkehr ausser zu Cortex XDR; unterstützt Windows, macOS und Linux mit Mindestversionen des Agenten.
Eigene Erkennungsregeln (BIOC, IOC, Correlation Rules) und native Automatisierung zur Unterbrechung von Angriffen.
Cloud-Tenant; Unit 42 MDR arbeitet direkt im Cortex-XDR-Tenant des Kunden.
Breite Datenbasis aus Endpunkt, Netzwerk und Cloud in einem Tenant mit dokumentierten Isolationsregeln je Betriebssystem.
Isolation unter Linux beruht auf definierten IP-Adressen und Ports und setzt bestimmte Kernel-Optionen voraus.
TrendAI Vision One Security Operations (ehemals Trend Vision One XDR)
Trend Micro (Unternehmensgeschäft: TrendAI)
Native EDR und XDR über Endpunkte, Server, E-Mail, Cloud und Netzwerk, ergänzt um Drittanbieter-Telemetrie.
Isolation von Endpunkten mit Ausnahmen für einzelne IP-Adressen; weitere Aktionen wie Benutzerkonto deaktivieren oder E-Mail in Quarantäne verschieben.
Playbooks in natürlicher Sprache und geführte Workflows automatisieren Eindämmung und Behebung; der XDR Data Explorer (früher Search-App) bietet eine Abfragesprache und vordefinierte Threat-Hunting-Abfragen über die angebundenen Datenquellen.
Cloud-Plattform; MDR als Dienst des Herstellers mit 24/7-Überwachung.
Reaktionsaktionen wirken nicht nur auf Endpunkte, sondern auch auf Konten und E-Mails.
Das Produkt wird seit 2026 als «Agentic SIEM» positioniert; die Abgrenzung zwischen XDR und SIEM ist vor der Auswahl zu klären.
Cisco XDR mit Cisco Secure Endpoint
Cisco
Telemetrie aus Netzwerk, Endpunkt, E-Mail, Cloud und Identität, mit eigenen und fremden Integrationen.
Endpoint Isolation in Secure Endpoint blockiert ein- und ausgehenden Verkehr, die Verbindung des Connectors zur Cisco-Cloud bleibt bestehen.
Priorisierte Incident-Workflows und automatische Eindämmung kritischer Alarme; Threat Hunting nach MITRE ATT&CK in Secure Endpoint.
Cloud-nativer Dienst; die Stufe Cisco XDR Premier bietet XDR als Managed Service durch Sicherheitsexperten von Cisco.
Netzwerk-, E-Mail- und Endpunkt-Telemetrie aus dem eigenen Portfolio in einer Konsole.
Der Managed Service setzt die Stufe Cisco XDR Premier voraus; proaktives Threat Hunting durch Cisco-Experten gehört bei Secure Endpoint zur dortigen Stufe Premier (Talos).
FortiEDR und FortiXDR
Fortinet
FortiEDR für Endpunkte; FortiXDR ergänzt Telemetrie aus E-Mail-Security, IAM, NDR, NGFW und Cloud Security.
Geräteisolation und anpassbare Playbooks für automatische Reaktion.
Teil der Fortinet Security Fabric; Behebungsaktionen auch über Produkte von Drittanbietern.
Cloud-nativ, hybrid oder On-Premises; Managed Service durch Fortinet.
Wahlfreiheit beim Betrieb, inklusive On-Premises.
Der volle XDR-Nutzen hängt stark von weiteren Fortinet-Komponenten wie Firewall und E-Mail-Security ab.
Sophos XDR (Sophos Endpoint mit XDR) und Sophos MDR
Sophos
Endpoint-Schutz und EDR in einem Agenten; XDR mit Signalen aus ITDR, E-Mail-Monitoring, Cloud (AWS, Azure, GCP, OCI) und Microsoft-Integrationen.
Endpunkt-Isolation aus Sophos Central und per API; Abfrage und Aufhebung programmatisch möglich.
Live Discover mit osquery/SQL auf Geräten und im Data Lake; SOAR-Konnektoren und vorgefertigte Playbooks.
Cloud-Verwaltung über Sophos Central; zusätzlich Variante «Sophos XDR Powered by Secureworks» mit Taegis-Funktionen.
EDR, XDR und MDR desselben Herstellers mit gemeinsamer Datenbasis.
Mit Sophos XDR und der Taegis-Linie bestehen zwei XDR-Produktfamilien nebeneinander; die künftige Produktlinie ist vor längeren Verträgen zu klären.
Trellix EDR
Trellix
EDR für Endpunkte; Trellix Wise analysiert und korreliert die zu einer Bedrohung gehörenden Artefakte automatisch.
Quarantine Device trennt Windows- und macOS-Geräte vom Netz und hält die Verbindung zu Trellix; kritische Dienste können ausgenommen werden.
Automatisierte Untersuchung mit Trellix Wise (KI-gestützte Analyse jedes Alarms); Echtzeit-Suche auf Endpunkten und historische Suche im EDR-Repository.
Verwaltung über ePO SaaS (von Trellix gehostete Webkonsole), über einen lokalen ePO-Server im eigenen Netz oder hybrid; Trellix MDR als herstellereigener Managed-Detection-and-Response-Dienst.
Nutzt eine vorhandene On-Premises-ePO-Infrastruktur weiter.
Die Gerätequarantäne ist nur für Windows und macOS dokumentiert, nicht für Linux.
Symantec Endpoint Security Complete mit Symantec EDR
Broadcom (Symantec)
Die Complete-Edition ergänzt den Endpoint-Schutz um EDR, Threat Hunting und weitere Schutztechniken.
Symantec EDR kann Clients in Quarantäne setzen bzw. isolieren; die Isolation läuft über eine vom SEDR verwaltete Firewall-Policy, Ausnahmen für Management- und VPN-Verkehr müssen laut Support-Artikel gegebenenfalls selbst ergänzt werden.
Verhaltensforensik und Untersuchungswerkzeuge für das SOC; Threat Hunting mit Unterstützung durch Symantec-Experten.
Verwaltung aus der Cloud, On-Premises oder hybrid; die Isolationsrichtlinie gehört bei On-Premises zur SEDR-Appliance.
Breite Betriebsoptionen inklusive Appliance im eigenen Netz.
Die offizielle Produktübersicht ist knapp, und zu einem herstellereigenen MDR-Dienst liegen keine Belege vor.
Bitdefender GravityZone EDR und XDR
Bitdefender
EDR für Endpunkte; XDR-Sensoren für AD, Azure AD und Cloud-IdP, für AWS, Azure, Google Cloud sowie für Office 365 und Google Workspace.
Isolation von Hosts, sodass sie keine Verbindungen zu anderen Systemen mehr aufbauen oder annehmen; Reaktionen wie E-Mails löschen oder Konten sperren.
Live- und historische Suche nach Indicators of Compromise (IOCs); automatische Triage und Korrelation über Quellen.
Management On-Premises oder aus der Cloud; die quellenübergreifende Korrelation (XDR) nur in der Cloud; MDR aus drei eigenen SOCs.
EDR, XDR-Sensoren und eigener MDR-Dienst (SOCs u. a. in Rumänien) aus einer Plattform.
Die quellenübergreifende XDR-Korrelation ist laut Funktionsvergleich nur in der Cloud verfügbar.
ESET Inspect (XDR-Modul der ESET PROTECT Platform)
ESET
XDR-Modul der ESET PROTECT Platform mit Sichtbarkeit über Endpunkte, Server, E-Mail und Netzwerk.
Isolation blockiert alle Verbindungen ausser jenen, die ESET-Komponenten für den Betrieb benötigen.
Threat Hunting, Risikobewertung und Incident Response; automatische Incident-Erstellung und Behebung.
Betrieb auf eigenen Servern On-Premises oder als Cloud-Installation; ESET MDR mit 24/7-Überwachung.
Wahl zwischen Betrieb auf eigenen Servern und Cloud-Installation.
Identitätssignale sind auf der Produktseite nicht als XDR-Quelle beschrieben, nur als separates MFA-Modul.
WithSecure Elements EDR / XDR
WithSecure
Erkennung und Reaktion über Endpunkte, Identitäten, Cloud, E-Mail und Collaboration-Werkzeuge.
Netzisolation des Endpunkts, die auch automatisiert ausgelöst werden kann.
Event Search for Threat Hunting als optionale Zusatzkomponente; automatisierte Reaktionsaktionen gegen gezielte Angriffe.
Cloud-Dienst ohne Server-Installation; Co-Monitoring (24/7 oder ausserhalb der Bürozeiten), Elevate und MDR als Dienste.
Abgestufte Betriebsmodelle vom Eigenbetrieb über Co-Monitoring bis MDR.
Threat Hunting über Event Search ist eine kostenpflichtige Zusatzkomponente, eine On-Premises-Konsole gibt es nicht.
HarfangLab EDR
HarfangLab
EDR für Arbeitsplätze und Server; im Portfolio daneben ITDR und Email Security als eigene Produkte.
Mehrere Optionen, Prozesse zu blockieren oder zu unterbrechen und Endpunkte zu isolieren.
Investigation Jobs zur Anreicherung und Ursachenanalyse; Remote Shell mit vordefinierten Befehlen oder Skripten; Zugriff auf alle Daten zur Korrelation.
Betrieb in der Cloud oder On-Premises; CSPN-Zertifizierung durch die französische ANSSI.
Französischer Hersteller mit On-Premises-Betrieb und ANSSI-Zertifizierung, geeignet für Umgebungen mit Souveränitätsvorgaben.
Automatische Playbooks und ein herstellereigener MDR-Dienst sind auf der Produktseite nicht beschrieben.
G DATA 365 | MXDR
G DATA CyberDefense
Managed XDR mit erweiterter Erkennungs-Telemetrie für Angriffe, die die Präventionsschicht nicht blockieren konnte.
G DATA-Analysten untersuchen verdächtige Prozesse und greifen manuell ein, um den Angreifer zu blockieren.
Interaktiver Zugriff der G DATA Security Analysts auf die Telemetrie.
24/7-Betrieb aus Deutschland; Datenspeicherung ausschliesslich auf Servern in Deutschland.
Deutscher MDR-Dienst mit Datenhaltung ausschliesslich in Deutschland.
Als Dienst konzipiert; Funktionen wie Isolation, eigene Telemetrie-Suche oder Identitätssignale sind auf den abgerufenen Seiten nicht als Kundenfunktion beschrieben.
Elastic Security mit Elastic Defend
Elastic
Endpunktschutz und EDR über den Elastic-Defend-Agenten, als Teil von Elastic Security für Endpunkte, Clouds und Container.
Host-Isolation für Windows, macOS und ausgewählte Linux-Distributionen; isolierte Hosts senden weiter Daten an Elastic Security, Ausnahmen für einzelne IP-Adressen möglich.
Hunting über Machine-Learning-Anomalien und osquery; automatische Reaktionen (Prozess beenden, anhalten, isolieren) auf Erkennungen.
Betrieb im eigenen Elastic Stack oder in der Elastic Cloud, auch offline in abgeschirmten Umgebungen; kein Preis pro Endpunkt.
EDR und SIEM auf derselben Such- und Datenplattform, selbst betreibbar.
Host-Isolation setzt eine passende Subskription voraus, und der Eigenbetrieb verlangt Know-how für den Elastic Stack.
Velociraptor
Rapid7 (Projekt Velociraptor)
Werkzeug für digitale Forensik und Incident Response (DFIR) mit eigenem Client auf den Endpunkten.
Quarantäne von Windows- und Linux-Hosts: Der Netzwerkstack erlaubt nur noch die Verbindung zum Velociraptor-Server.
Velociraptor Query Language (VQL) für Hunts über viele Endpunkte; Integration mit Rapid7 InsightIDR dokumentiert.
Eigener Server, Daten bleiben vollständig im eigenen Betrieb; Lizenz AGPLv3.
Sehr flexible Abfragen und Forensik ohne Lizenzkosten, vollständig im eigenen Netz.
Kein Präventionsschutz und keine Quarantäne für macOS; als Ergänzung zu einem EDR, nicht als Ersatz.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Cybereason Defense Platform: seit der Übernahme durch LevelBlue (Abschluss laut Meldung vom 25.11.2025) Teil eines MDR-Portfolios
- VMware Carbon Black Cloud (Broadcom): Broadcom hat am 23.03.2026 «Symantec CBX» (Carbon Black XDR) angekündigt, eine Cloud-Plattform, die Technologien von Symantec und Carbon Black zusammenführt; Verfügbarkeit laut Mitteilung im Lauf von 2026, Bestandskunden sollen migrieren können
- Wazuh: Open Source (GPLv2) mit Active Response; eher SIEM/XDR-Baukasten, eine native Netzisolation des Endpunkts ist nicht belegt
- Cynet All-in-One, Stellar Cyber Open XDR: weitere XDR-Plattformen
- Rapid7 InsightIDR, Elastic Security als SIEM, Exabeam: XDR-Ansatz vom SIEM her; Schwerpunkt Log-Korrelation, eigener EDR-Agent nicht in allen Fällen
- Qualys Multi-Vector EDR, IBM (QRadar EDR): EDR-Angebote von Qualys und IBM
- Kaspersky Next EDR/XDR: fachlich vergleichbar; BSI-Warnung nach § 7 BSIG vom 15.03.2022 und US-Verkaufsverbot 2024 beachten
Was die Plattformen leisten.
CrowdStrike Inc.
CrowdStrike Falcon Insight XDR / EDR
Frühere Namen / Kontext: Falcon Insight
Kernel-Level Telemetrie, Verhaltensereignisse, Process & File Activity
Behavioral Indicators of Attack (IOAs), Cloud KI, CrowdStrike Threat Intel
Falcon Threat Graph / LogScale Query Language (CQL) für schnelle Live-Suchen
Automatische Netzwerkisolierung, Process Suppression, Memory Containment
Automatische Angriffsbaum-Visualisierung mit voller MITRE ATT&CK Mapping
Branchenführende Telemetrie-Verarbeitung bei extrem leichtgewichtigem Agenten
Reiner Cloud-Zwang, keine reine On-Premises-Architektur verfügbar
SentinelOne Inc.
SentinelOne Singularity EDR
Frühere Namen / Kontext: SentinelOne Enterprise / Control
Agentenbasierte Echtzeit-Telemetrie auf Betriebssystem- & Kernel-Ebene
On-Agent Behavioral AI, Machine Learning & Behavioral Storyline
Deep Visibility Query Engine mit grafischer Korrelation
Autonomes Host Containment, Kill, Quarantine & VSS-Ransomware-Rollback
Automatische Rekonstruktion des Angriffs als "Storyline" (MITRE Alignment)
Vollkommen autonomer Schutz & Rollback-Fähigkeit auch im Offline-Zustand
Feingranulare Regelanpassungen erfordern Einarbeitung in die Plattform
Microsoft Corporation
Microsoft Defender for Endpoint (Plan 2)
Frühere Namen / Kontext: Windows Defender ATP (WDATP)
Native OS-Telemetrie (Windows, macOS, Linux) ohne Zusatz-Agenten
KI-gestützte Verhaltensanalyse, Cloud Analytics, Threat Intelligence
Kusto Query Language (KQL) für Advanced Hunting über Rohdaten
Netzwerkisolierung, Process Termination, File Quarantine, Auto-Investigation
Incident Graph mit automatischer Verknüpfung von Alerts zu MITRE TTPs
Nahtlose Betriebssystem-Integration ohne zusätzlichen Agenten-Footprint
Voller Funktionsumfang erfordert komplettes Microsoft 365 E5 / Security Set-up
Palo Alto Networks, Inc.
Cortex XDR Endpoint
Frühere Namen / Kontext: Cyvera / Secdo
Kontinuierliche Endpunkt-Telemetrie kombiniert mit Netzwerk & Cloud Logs
KI-basiertes Behavioral Analytics, Machine Learning & Unit 42 Threat Intel
XQL (Cortex Query Language) für tiefgreifendes Multi-Domain Threat Hunting
Automatisierte Host-Isolierung, Remediation Playbooks via Cortex XSOAR
Causality Chain Analysis mit automatischer MITRE ATT&CK Zuordnung
Unübertroffene Korrelation von Endpunkt-, Netzwerk- und Cloud-Telemetrie
Hohe Gesamtkosten und Fokus auf bestehende Palo Alto Kunden
Sophos Ltd.
Sophos Intercept X Advanced with XDR
Frühere Namen / Kontext: Sophos EDR / Intercept X
Leichtgewichtige Agenten-Telemetrie (Process, Network, File Events)
Deep Learning AI, Verhaltens-Engines, CryptoGuard Anti-Ransomware
Live Discover SQL-basiertes Querying für On-Demand & Historien-Analysen
Automated Host Isolation, Process Kill & CryptoGuard File Rollback
Visualisierung von Angriffsursachen (Root Cause Analysis Graph)
Äusserst benutzerfreundliche Kombination aus präventivem Schutz & EDR
Erforderliche SQL-Abfragen für tieferes Threat Hunting benötigen Praxis
Trend Micro Inc.
Trend Vision One – Endpoint Security (EDR)
Frühere Namen / Kontext: Apex One EDR / XDR
Endpunkt-Aktivitäts-Logs, Prozess- & Netzwerk-Telemetrie
KI-Analysen, Threat Intelligence aus Zero Day Initiative (ZDI), Rulesets
Custom Query Engine & Search Builder für historische Telemetriedaten
Automatische & manuelle Endpunkt-Isolierung, Process Kill, Quarantäne
Incident Execution Views mit automatischer MITRE Mapping Visualisierung
Sehr gute Threat Intelligence durch weltweite ZDI Vulnerability Research
Ältere On-Premises-Komponenten teilweise noch in Umstellung begriffen
Bitdefender
Bitdefender GravityZone EDR / XDR
Frühere Namen / Kontext: Bitdefender Endpoint Security
Telemetrie-Sammlung via GravityZone Endpoint Agent
Advanced Threat Control (Behavioral Monitoring), Live Sandbox, ML
Search & Threat Hunting Console für Prozess- & Netzwerk-Events
One-Click Isolation, Process Termination & Rollback-Aktionen
Root Cause Analysis Graph mit direkter MITRE ATT&CK Verlinkung
Exzellentes Schutz-Niveau bei geringem Systemressourcen-Verbrauch
Erfordert Einarbeitung in die verschachtelte GravityZone-Konsole
Broadcom Inc.
Symantec Endpoint Detection and Response (EDR)
Frühere Namen / Kontext: Symantec EDR / ATP
Deep Endpoint Telemetry via Symantec Endpoint Agent
Advanced Analytics Engine, SONAR Behavioral Detection, Target Attack Analytics
Comprehensive Event Search Engine für On-Demand Forensik
Endpoint Quarantine, File Deletion & Process Termination
Dynamic Attack Chain Visualizer mit MITRE Framework Alignment
Starke Analyse gezielter Angriffe (Targeted Attacks) im Enterprise-Umfeld
Komplexes Lizenzierungsmodell unter Broadcom-Regie
HarfangLab
HarfangLab EDR
Frühere Namen / Kontext: HarfangLab EDR
Agentenbasierte Telemetrie-Erfassung in Echtzeit
Offene Rulesets (YARA, Sigma), KI-Analyse, CTI / MISP Feeds
Zugriff auf 100% aller Rohdaten via Open APIs & Query Console
Netzwerktrennungsverfahren, Process Killing, File Neutralization
Transparente Angriffsbaum-Analyse basierend auf Open Formats & MITRE
ANSSI/BSI-zertifizierte EU-Souveränität mit anpassbaren Open-Source-Regeln (YARA/Sigma)
Ausgerichtet auf erfahrene SOC-Teams; erfordert Regelpflege-Kompetenz
ESET SP. z o.o.
ESET Inspect (XDR / EDR Module)
Frühere Namen / Kontext: ESET Enterprise Inspector
Agentenbasierte Ereignis-Erfassung über ESET PROTECT Agent
ESET LiveGrid® Cloud Telemetrie, Verhaltensprüfungen, Regel-Engine
Flexible Filter- & Such-Engine für rohe Endpoint-Events
Host Isolation, Process Kill, File Block & Registry Remediation
Grafische Incident Visualisierung mit detaillierter MITRE ATT&CK Zuordnung
Ausgezeichnete Performance, EU-Datenschutzkonformität & flexibler On-Premises-Betrieb
Standardisierter Regelsatz benötigt feine Abstimmung in komplexen Netzen
Trellix
Trellix EDR
Frühere Namen / Kontext: McAfee EDR / FireEye Endpoint
Kontinuierliche Telemetrie-Erfassung via Trellix Agent
Guided Investigation AI, Threat Intelligence Exchange (TIE)
Real-Time & Historical Data Search Console
Automated Host Isolation, File Quarantining & Process Killing
Guided Investigation Visualizer mit geführter Ursachenanalyse & MITRE
Geführte Untersuchungsschritte ("Guided Investigation") entlasten Junior-Analysten
Administrationsaufwand der ePO-Infrastruktur kann hoch sein
Cybereason Inc.
Cybereason Defense Platform (EDR)
Frühere Namen / Kontext: Cybereason EDR
Agentenbasierte Erfassung aller Process-, File- & Network-Events
MalOp (Malicious Operation) Engine, Verhaltenskorrelation in Echtzeit
In-Memory Graph Query Engine für blitzschnelle historische Abfragen
Single-Click Response: Network Isolation, Process Kill, File Remediation
MalOp Graph Visualizer zeigt vollständige Angriffskette über alle Endpunkte
Korreliert isolierte Alerts automatisch zu einer einzigen zusammenhängenden MalOp
Marketing-Fokus stark auf Grosskunden; weniger geeignet für kleine KMUs
VMware (Broadcom)
VMware Carbon Black Cloud Enterprise EDR
Frühere Namen / Kontext: Carbon Black Response / Cb Defense
Lückenlose Speicherung aller ungefilterten Endpunkt-Ereignisse (Unfiltered Telemetry)
Threat Intel, Behavioral Patterns, Custom Attack Detection Rules
Unmatched Threat Hunting Engine auf ungefilterten Rohdaten
Automated Endpoint Isolation, Live Response & File Containment
Detaillierter Process Tree Visualizer mit lückenloser Historie & MITRE
Lückenlose Aufzeichnung aller Prozess-Ereignisse ideal für Incident Response & Forensik
Sehr hohes Datenvolumen erfordert erfahrene Threat Hunter
Wazuh, Inc.
Wazuh EDR & SIEM
Frühere Namen / Kontext: Wazuh Open Source Security Platform
Agentenbasierte Telemetrie-Erfassung (Log, Process, File Integrity, Active Response)
Signatur- & Regelprüfungen (SCA, Rootcheck), Anomalienerkennung
OpenSearch / Elastic Query Engine für tiefes Log- & Telemetrie-Hunting
Active Response Engine (automatische Skriptausführung, IP Block, Host Kill)
Detaillierte Alert Visualisierung verknüpft mit MITRE ATT&CK Framework
Vollständig kostenfreie, hochgradig anpassbare Open-Source EDR/SIEM-Plattform
Kein integriertes Machine Learning/KI Out-of-the-Box; erfordert Eigenbetrieb
Kandidaten für später.
Einige Werkzeuge sind relevant, aber in der aktuellen Quelle noch nicht sauber genug als eigenständige EDR-Plattform eingeordnet.
- Velociraptor (Rapid7)Hervorragendes Open-Source-Tool für digitale Forensik und Incident Response (DFIR/Hunting), jedoch primär als On-Demand Forensic Tool positioniert.
- ReaQta (IBM Security QRadar EDR)IBMs EDR-Technologie, heute eng im QRadar XDR Portfolio geführt.
- Qualys EDR (Multi-Vector EDR)In die Qualys Cloud Platform integrierter EDR-Baustein.
Mit echten Incidents testen.
- Telemetrie-Tiefe, Datenhaltung und Suchgeschwindigkeit mit realen Endpunkten prüfen.
- Detection-Regeln, MITRE-Abdeckung und False Positives nicht nur als Marketingfolie betrachten.
- Isolation, Prozessbeendigung, Datei-Quarantäne und Rollback im Betriebsprozess testen.
- SOC-Workflow, Case Management und SIEM-Integration einbeziehen.
- Datenschutz, Mandantenfähigkeit und europäische Betriebsoptionen früh klären.
Security Tool Navigator · Gebiet 04
Im Gebiet Endpoint und Workspace Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Endpoint und Workspace Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.