ITDRWerkzeuge.
Identity Threat Detection and Response erkennt Angriffe auf Verzeichnisdienste, privilegierte Konten und Identity Provider. Die Klasse verbindet Identitätstelemetrie mit Detection und Response, nicht mit der Governance über Berechtigungen.
Marktbild: hohe Priorität in hybriden Identitätsumgebungen. Der Markt ist mittelbreit und wird von Identity-Spezialisten, EDR/XDR-Plattformen und AD-Resilienz-Anbietern besetzt. Die Marktsektion unten vergleicht elf Werkzeuge.
Identitätsangriffe erkennen.
Relevant bei Active Directory, Entra ID, hybriden Identitäten und privilegierten Zugriffen, wenn verdächtige Änderungen oder Anmeldungen schnell eingeordnet werden müssen.
Directory-, Entra-, Authentisierungs- und privilegierte Ereignisse. Ohne eindeutige Korrelation, Zeitstempel und Reaktionsweg bleibt der Befund unvollständig.
Warum ITDR zu
Identity Security gehört.
ITDR schützt die Identitätsinfrastruktur selbst: Active Directory, Entra ID und Identity Provider. Ein grosser Teil der Arbeit ist Vorbeugung, nämlich Fehlkonfigurationen und Angriffspfade finden und schliessen, und Wiederherstellung, also Active Directory nach einem Angriff sauber zurückholen. Diese Aufgaben liegen meist beim IAM- oder Verzeichnis-Team. Deshalb führt STOP.LI ITDR unter Identity Security.
| Klasse | Schwerpunkt | Verhältnis zu ITDR |
|---|---|---|
| ITDR | Angriffe auf Identitäten und Verzeichnisse erkennen, Angriffsfläche verkleinern, Verzeichnis wiederherstellen | – |
| EDR und XDR | Angriffe auf Endgeräten und Servern erkennen und eindämmen | Mehrere EDR/XDR-Anbieter bieten ITDR als Modul an; die Signale ergänzen sich |
| SIEM | Ereignisse aus allen Quellen sammeln und korrelieren | ITDR-Alarme fliessen ins SIEM und in die SOC-Abläufe |
| IGA | Wer welche Berechtigung haben darf | ITDR erkennt Missbrauch, IGA verhindert unnötige Rechte |
Die Alarme bearbeitet in der Praxis das SOC. Wer ITDR einführt, legt deshalb fest, welches Team auf welche Meldung reagiert.
Elf Werkzeuge im Vergleich.
ITDR wird von drei Seiten angeboten: von XDR- und Endpoint-Plattformen (Microsoft, CrowdStrike, SentinelOne), von AD-Spezialisten mit Schwerpunkt Erkennung, Blockade und Wiederherstellung (Semperis, Netwrix, Quest, Cayosoft) sowie von Identity-Security-Anbietern mit Exposure-, Täuschungs- oder Durchsetzungsansatz (Tenable, Proofpoint, Silverfort, Okta). Die meisten Produkte verbinden die Erkennung laufender Angriffe wie DCSync, DCShadow, Golden Ticket oder Kerberoasting mit Identity Security Posture Management für Fehlkonfigurationen in AD und Entra ID. Wiederherstellung des AD-Forests bieten vor allem die AD-Spezialisten; Endpoint-Plattformen setzen auf automatische Eindämmung wie erzwungene MFA oder Kontosperre. Zukäufe erweitern das Feld, etwa CrowdStrike mit SGNL und Silverfort mit Fabrix Security (laut Herstellerseiten); Daten dieser Übernahmen sind in dieser Runde nicht geprüft.
AD: Active Directory on-premises · Entra ID: Entra ID oder Cloud-IdP · Erkennung: Erkennung von Identitätsangriffen · Blockade: Blockade in Echtzeit · Recovery: AD- oder Identitäts-Wiederherstellung · Posture: Identity Posture (ISPM) · On-Prem: Sensor und Management im eigenen Netz möglich (reiner AD-Sensor bei Cloud-Konsole zählt nicht). ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Microsoft Defender for Identity
Microsoft
Signale aus On-Premises Active Directory, Microsoft Entra ID und weiteren IAM-Lösungen wie Okta.
Erkennung unter anderem von DCShadow, bösartiger DC-Replikation, Golden Ticket, Brute Force und lateraler Bewegung; Posture-Bewertungen über Microsoft Secure Score und Analyse von Lateral-Movement-Pfaden.
Korrelation mit Endpunkt-, E-Mail- und Cloud-Signalen in Microsoft Defender; automatische Angriffsunterbrechung in Defender XDR sperrt betroffene Konten in Echtzeit.
Leichtgewichtige Sensoren und API-Konnektoren senden die nötigen Signale an den Defender-for-Identity-Cloud-Dienst.
Tiefe Einbindung in die Microsoft-Sicherheitsplattform mit gemeinsamer Vorfallansicht für Identität, Endpunkt und E-Mail.
Keine Wiederherstellung von AD oder Entra ID; die automatische Unterbrechung setzt Microsoft Defender XDR voraus.
CrowdStrike Falcon Next-Gen Identity Security (Identity Protection)
CrowdStrike
On-Premises Active Directory und Cloud-Identitäten wie Entra ID und Okta.
Erkennung in Echtzeit und autonome Reaktion, einschliesslich automatisch erzwungener MFA oder Passwort-Zurücksetzung; Verhinderung lateraler Bewegung.
Korrelation von Identitäts-, Endpunkt- und Datenschutz-Telemetrie; Identity Security Posture Management und Falcon Privileged Access als weitere Module.
Teil der Falcon-Plattform; Managed Service über Falcon Complete MDR verfügbar.
Identitäts- und Endpunktschutz mit einem Agenten und automatischer Eindämmung.
Keine AD-Wiederherstellung; Nutzen am höchsten bei bestehender Falcon-Endpunktabdeckung.
SentinelOne Singularity Identity
SentinelOne
Active Directory und Cloud-Identitätsanbieter wie Entra ID, Okta, Ping, SecureAuth und Duo.
Erkennung von Credential-Diebstahl und Privilegieneskalation; Blockade lateraler Bewegung in Echtzeit, Sperren kompromittierter Identitäten und erzwungene Passwortwechsel.
Identitätstäuschung mit Ködern, Schutz vor kompromittierten Zugangsdaten aus dem Darknet und richtlinienbasierter bedingter Zugriff mit MFA-Neuanmeldung.
Identitäts- und Endpunkt-Telemetrie auf gemeinsamer Datenbasis in der Singularity-Plattform.
Kombination aus Erkennung, Täuschung und automatischer Eindämmung auf Endpunkt und Identität.
Keine AD-Wiederherstellung; volle Wirkung im Zusammenspiel mit dem Singularity-Endpunktagenten.
Semperis Directory Services Protector und Active Directory Forest Recovery
Semperis
Hybrides Active Directory und Entra ID; Wiederherstellung über ADFR sowie eigene Produkte für Entra- und Okta-Tenants.
Manipulationssichere Aufzeichnung jeder Verzeichnisänderung, KI-gestützte Mustererkennung und automatischer Rollback bösartiger Änderungen in AD und Entra ID.
Weitergabe an SIEM, SOAR und Ticketing; Microsoft-Sentinel-Lösung über den Azure Marketplace.
ADFR stellt Forests automatisiert und malwarefrei auf beliebiger virtueller oder physischer Hardware wieder her.
Erkennung, automatischer Rollback und Forest-Wiederherstellung für AD aus einer Hand.
Schwerpunkt auf Microsoft-Verzeichnissen; Erkennung und Wiederherstellung sind getrennte Produkte.
Netwrix ITDR (Threat Prevention, Threat Manager, PingCastle, Identity Recovery)
Netwrix
Active Directory und Entra ID; Erkennung unter anderem von Kerberoasting, DCShadow, DCSync, Golden Ticket und Password Spraying.
Netwrix Threat Prevention (vormals StealthINTERCEPT) blockiert verdächtige Aktivitäten und riskante AD-Änderungen in Echtzeit.
Massenbehebung von Risiken und Fehlkonfigurationen; Ereignisdaten an SIEM und weitere Sicherheitsplattformen.
Automatisierte Forest-Wiederherstellung laut ITDR-Seite, im Portfolio als Netwrix Identity Recovery geführt; PingCastle für AD-Sicherheitsbewertungen.
Breite Abdeckung von Bewertung, Blockade und Wiederherstellung für AD und Entra ID.
ITDR ist ein Bündel mehrerer Produkte mit eigener Lizenzierung und Einführung.
Quest Security Guardian und Recovery Manager for Active Directory
Quest Software
Active Directory und Entra ID einschliesslich Service Principals und weiterer nicht-menschlicher Konten.
Alarme zu Angreifer-TTPs; Funktion «Shields Up» blockiert laterale Bewegung und Persistenz in Echtzeit und schützt kritische Objekte wie GPOs.
Konfigurationsvergleich mit Best Practices, Identifikation von Tier-0-Assets und Fehlkonfigurationen mit Behebungshinweisen.
Security Guardian als SaaS; Recovery Manager for AD Disaster Recovery Edition automatisiert die AD-Forest-Wiederherstellung.
SaaS-basierte Erkennung und Blockade kombiniert mit etablierter AD-Forest-Wiederherstellung.
Erkennung und Wiederherstellung sind getrennte Produkte; konkrete Angriffstechniken werden auf der Produktseite nicht einzeln benannt.
Cayosoft Guardian
Cayosoft
Active Directory, Entra ID, Teams, Exchange Online und Intune.
Laufende Änderungsüberwachung und Echtzeit-Bedrohungserkennung (Guardian Protector) für AD und Entra ID.
Nachverfolgung und Rollback von Änderungen auf Objekt- und Attributebene (Guardian Audit & Restore).
Wiederherstellung bis zum vollständigen AD-Forest (Guardian Instant Forest Recovery); Betrieb on-premises oder SaaS-basiert.
Änderungsüberwachung und schnelle Wiederherstellung für die Microsoft-Identitätsumgebung.
Auf Microsoft-Verzeichnisse beschränkt; eine automatische Blockade von Angriffen ist auf der Produktseite nicht beschrieben, Posture-Hinweise beschränken sich auf Risikoindikatoren zu Fehlkonfigurationen und übermässigen Rechten.
Tenable One Identity Exposure
Tenable
Menschliche und maschinelle Identitäten in Active Directory und Entra ID, einschliesslich Systemkonten und Zertifikaten.
Indicators of Exposure für Schwachstellen wie gefährliche Kerberos-Delegation; Indicators of Attack für DCShadow, Brute Force, Password Spraying, DCSync und Golden Ticket in Echtzeit.
Identitätskontext in Tenable One für Angriffspfad-Analysen über Identität und Infrastruktur.
Laut Hersteller ohne Agenten und ohne hochprivilegierte Zugangsdaten; kontinuierliche Überwachung statt Punktaudit.
Exposure-Analyse von AD und Entra ID mit Angriffspfaden im Kontext der gesamten Angriffsfläche.
Schwerpunkt Erkennung und Exposure; Blockade und Wiederherstellung sind auf der Produktseite nicht beschrieben.
Proofpoint Identity Threat Defense
Proofpoint
Laufende Suche nach Identitäts-Exposures in Active Directory, Entra ID, Endpunkten, PAM und weiteren Identitätssystemen.
Agentenlose, täuschungsbasierte Erkennung lateraler Bewegung und Privilegieneskalation in Echtzeit mit forensischer Beweissicherung.
Automatische Bereinigung zwischengespeicherter Zugangsdaten, Fehlkonfigurationen und überflüssiger Rechte auf Endpunkten; Angriffspfad-Analyse.
Identity-Posture-Dashboard mit risikobasierter Bewertung; Einsatz auch für Identitätsprüfungen bei Firmenübernahmen.
Täuschungsbasierte Erkennung mit Bereinigung von Zugangsdaten auf Endpunkten.
Automatische Blockade laufender Angriffe und AD-Wiederherstellung sind auf der Produktseite nicht beschrieben.
Silverfort Identity Security Platform (ITDR, ISPM)
Silverfort
Anbindung an Active Directory, Cloud-IdPs, SaaS, Legacy-Systeme und OT ohne Änderungen an den Systemen.
Kontextanalyse jeder Zugriffsanfrage mit Erlauben, MFA-Abfrage oder Blockieren in Echtzeit ohne manuellen Eingriff.
Module für ITDR, ISPM, Universal MFA, Authentication Firewall, Privileged Access Security und Non-Human-Identity-Security.
Laut Hersteller keine Agenten und keine Code-Änderungen; Abdeckung von On-Premises, OT, Hybrid und Multi-Cloud.
Durchsetzung direkt im Authentisierungsfluss, auch für Legacy- und Kommandozeilen-Zugriffe.
Keine Wiederherstellung von Verzeichnissen; die Produktseiten sind stark marketingorientiert, technische Details zu einzelnen Erkennungen sind in der Dokumentation zu prüfen.
Okta Identity Threat Protection mit Okta AI
Okta
Laufende Bewertung von Sitzungs- und Benutzerrisiko in der Okta-Umgebung anhand von Verhalten, Gerätezustand und Kontext.
Automatische Reaktion bei Anomalien, etwa Universal Logout zur Beendigung von Sitzungen ohne manuellen Eingriff.
Austausch von Sicherheitsereignissen über das Shared Signals Framework, unter anderem mit CrowdStrike, Zscaler, Palo Alto Networks und Jamf.
Teil der Okta-Plattform; unter der Rubrik Identity Threat Detection & Response führt Okta Identity Threat Protection und Identity Security Posture Management als getrennte Produkte.
Reaktion direkt im Cloud-IdP mit Sitzungsbeendigung über angebundene Anwendungen.
Deckt die Okta-Umgebung ab, nicht On-Premises Active Directory; Posture-Management ist ein separates Produkt.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Vectra AI Platform (Identity): Erkennung von Identitätsangriffen als Teil der Vectra AI Platform
- Cisco Identity Intelligence: Identitätsanalyse aus der Übernahme von Oort
- BeyondTrust Identity Security Insights: Identity-Posture und Erkennung
- Microsoft Entra ID Protection: risikobasierte Erkennung für Entra-Anmeldungen; als Bestandteil von Entra eher Access Management
- Zscaler ITDR, Varonis Identity Protection: ITDR-Funktionen innerhalb von SSE- bzw. Datensicherheitsplattformen
- Semperis Purple Knight, Netwrix PingCastle Basic: kostenlose AD-Sicherheitsbewertungen; Assessment-Werkzeuge ohne laufende Erkennung
Einführung
in Etappen.
- Identitätsquellen anbinden: Active Directory, Entra ID oder andere IdPs, PAM und VPN mit synchronen Zeitstempeln.
- Tier-0-Konten und -Systeme (Domain Controller, IdP-Administration, Synchronisation) gesondert überwachen.
- Reaktionen vorab festlegen: Sitzung beenden, Konto sperren, Passwort oder Token zurücksetzen, Freigabe durch wen.
- Erkennungen regelmässig mit gezielten Tests nachweisen.
- Zeit von Erkennung bis Eindämmung eines kompromittierten Kontos
- Anteil Tier-0-Konten mit vollständiger Telemetrie
- Offene Identity-Exposures wie unsichere Delegationen oder veraltete Admin-Konten
ISO/IEC 27001:2022 Annex A 5.16 (Identitätsmanagement), 8.5 (sichere Authentisierung) und 8.16 (Überwachung).
NIS2 Art. 21 verlangt Zugriffskontrolle und, wo angemessen, Multi-Faktor-Authentisierung; ITDR prüft, ob diese Kontrollen im Angriff halten.
MFA macht ITDR nicht überflüssig. Token-Diebstahl, MFA-Ermüdung und Missbrauch privilegierter Synchronisationskonten umgehen die Anmeldung.
Identity als Kette.
IGA entscheidet, ob Rechte bestehen dürfen. PAM schützt privilegierte Sitzungen. MFA stärkt die Anmeldung. SIEM nimmt Ereignisse zur Korrelation auf.
- Unvollständige Logs oder fehlende Korrelation verbergen Angriffe.
- Erkennung ohne abgestimmte Kontosperrung verlängert den Vorfall.
- Teste privilegierten Login, AD-Änderung und Sperrablauf. Nachweis muss Erkennung, Entscheidung und Wiederherstellung verbinden.
Security Tool Navigator · Gebiet 03
Im Gebiet Identity Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Identity Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.