Was ist MDR? Managed Detection & Response erklärt

Es gibt eine Zahl, die das Problem moderner IT-Sicherheit in einem Satz erklärt: 88 % der Ransomware-Angriffe finden außerhalb der üblichen Geschäftszeiten statt — nachts, am Wochenende, an Feiertagen (Quelle: Sophos, State of Ransomware). Angreifer wissen genau, wann niemand auf die Alarme schaut. Die beste Schutzsoftware nützt wenig, wenn ihre Warnmeldung um 2:30 Uhr am Samstagmorgen ungelesen im Dashboard verhallt und am Montag ein verschlüsseltes Netzwerk wartet.

Managed Detection and Response (MDR) ist die Antwort auf genau dieses Problem: ein vollständig betreuter Sicherheitsdienst, bei dem ein externes Expertenteam die IT-Umgebung eines Unternehmens rund um die Uhr überwacht, Bedrohungen aktiv aufspürt, untersucht — und im Ernstfall eingreift, bevor Schaden entsteht. Dieser Beitrag erklärt, wie MDR funktioniert, worin es sich von Antivirus, EDR und SIEM unterscheidet und für welche Unternehmen sich der Service rechnet.

MDR in einem Satz — und was dahintersteckt

MDR kombiniert drei Dinge, die einzeln wenig und zusammen viel bewirken: Technologie (Sensoren auf Endpoints, in Netzwerk, Cloud, E-Mail und Identitäten, die Telemetrie sammeln), Menschen (Analysten, Threat Hunter und Incident Responder, die diese Daten rund um die Uhr bewerten) und Prozesse (definierte Reaktionswege, die aus einer Erkennung in Minuten eine Eindämmung machen). Der entscheidende Unterschied zu klassischen Sicherheitsprodukten liegt im Wort „Response": Ein MDR-Dienst alarmiert nicht nur — er handelt. Kompromittierte Konten werden gesperrt, befallene Systeme isoliert, aktive Angreifer ausgesperrt, im Idealfall bevor Daten verschlüsselt oder gestohlen sind.

Moderne MDR-Dienste arbeiten dabei zunehmend KI-gestützt: Automatisierte Agenten übernehmen die massenhafte Vorab-Analyse und Standardreaktionen in Sekunden, menschliche Analysten steuern, prüfen und verantworten die Entscheidungen — Sophos etwa gibt an, dass inzwischen 52 % der Fälle vollständig durch KI gelöst werden, mit einer durchschnittlichen Zeit von 89 Sekunden vom Alarm bis zur automatisierten Reaktion, während komplexe Fälle bei den Analysten landen. Für das geschützte Unternehmen zählt das Ergebnis: Erkennung und Reaktion in Minuten statt Stunden oder Tagen.

MDR vs. Antivirus, EDR, SIEM und MSSP: die Abgrenzung

Die Begriffswelt ist unübersichtlich — so sortiert sie sich:

Antivirus / Endpoint Protection blockiert bekannte Schadsoftware automatisch. Unverzichtbar, aber machtlos gegen Angreifer, die mit gestohlenen Zugangsdaten und legitimen Admin-Werkzeugen arbeiten — und genau das ist heute der Normalfall.

EDR / XDR (Endpoint/Extended Detection and Response) sind Werkzeuge: Sie zeichnen verdächtiges Verhalten auf und ermöglichen Untersuchung und Reaktion. Nur: Jemand muss sie bedienen — rund um die Uhr, mit Fachwissen. EDR ohne Team ist ein Cockpit ohne Pilot. Die Unterschiede im Detail klärt unser Beitrag XDR vs. MDR vs. EDR.

SIEM sammelt und korreliert Logdaten zentral. Auch hier gilt: Das System erzeugt Alarme, die Bewertung und Reaktion bleiben Aufgabe von Menschen.

MSSP (Managed Security Service Provider) betreiben klassischerweise Sicherheitsinfrastruktur (Firewalls, Filter) und leiten Alarme weiter — die Reaktion bleibt oft beim Kunden.

MDR schließlich ist der Dienst, der die Werkzeuge mit dem Team verbindet: Erkennung, Untersuchung, aktive Reaktion und Threat Hunting als Komplettleistung. Gute MDR-Dienste sind dabei herstellerneutral und integrieren die bereits vorhandenen Sicherheitsprodukte — vom Microsoft-Stack bis zur Firewall —, statt einen Austausch der Infrastruktur zu verlangen.

Was ein guter MDR-Service konkret leistet

Überwachung und Erkennung rund um die Uhr

Telemetrie aus Endpoints, Servern, Netzwerk, Cloud-Diensten, E-Mail und Identity-Systemen (etwa Microsoft 365 / Entra ID) läuft in einer Plattform zusammen und wird kontinuierlich auf Angriffsmuster geprüft — gerade identitätsbasierte Angriffe, die laut Sophos State of Ransomware 2026 inzwischen 79 % aller Ransomware-Vorfälle einleiten, fallen primär hier auf: ungewöhnliche Anmeldungen, neue Postfachregeln, plötzliche Rechteänderungen.

Proaktives Threat Hunting

Statt auf Alarme zu warten, suchen Threat Hunter anlassbezogen nach Spuren aktueller Angriffskampagnen in der Umgebung — informiert durch Threat Intelligence aus tausenden geschützten Umgebungen. So werden Angreifer gefunden, die Schutzmechanismen bereits leise umgangen haben.

Aktive Reaktion statt Alarmweiterleitung

Im Ernstfall dämmt das MDR-Team den Vorfall direkt ein: Konten deaktivieren, Hosts isolieren, Prozesse beenden, Persistenzmechanismen entfernen — abgestimmt auf vorab definierte Befugnisse. Bei ausgewachsenen Vorfällen geht der Fall nahtlos an die Incident Response über, inklusive Ursachenanalyse.

Entlastung und Nachweisbarkeit

Für die interne IT entfällt die Alarmflut („Alert Fatigue") ebenso wie die 24/7-Rufbereitschaft. Und für NIS2-regulierte Unternehmen liefert MDR gleich zwei Pflichtbausteine: die Fähigkeit, erhebliche Vorfälle binnen 24 Stunden zu erkennen und zu melden, und dokumentierte Erkennungs- und Reaktionsprozesse für den Nachweis des Risikomanagements.

Für wen lohnt sich MDR?

Die ehrliche Rechnung: Ein eigenes Security Operations Center mit 24/7-Besetzung erfordert mindestens acht bis zwölf Fachkräfte — bei aktuellem Fachkräftemangel und entsprechenden Gehältern für die meisten Mittelständler weder realistisch noch wirtschaftlich. Genau diese Lücke bestätigen die Zahlen: Im Sophos State of Ransomware 2026 nannten 58 % der Ransomware-Opfer fehlende Leute oder Skills als Mitursache, bei kleinen Unternehmen (100–250 Mitarbeitende) gaben 43 % an, dass schlicht niemand die Systeme ausreichend überwachte. Den vollständigen Make-or-Buy-Vergleich führen wir im Beitrag SOC aufbauen oder MDR nutzen?.

MDR macht den Unterschied messbar: Laut Sophos liegt die durchschnittliche Zeit von Erkennung bis vollständiger Bereinigung einer Bedrohung mit MDR bei 38 Minuten — ein internes Team ohne 24/7-SOC braucht dafür häufig bis zu 30 Stunden. Auch Versicherer honorieren das: Nutzer von MDR-Services verursachen nach Sophos-Analysen 97,5 % geringere Schadenssummen bei ihrer Cyberversicherung als Unternehmen, die allein auf Endpoint-Schutz setzen — was sich zunehmend in Prämien und Annahmebedingungen niederschlägt. Kurz: MDR lohnt sich für praktisch jedes Unternehmen, das geschäftskritisch von IT abhängt, aber kein eigenes Security-Team rund um die Uhr besetzen kann — vom Maschinenbauer über die Klinik bis zur Kanzlei.

Fazit

Managed Detection and Response verlagert den entscheidenden Teil der IT-Sicherheit — das Erkennen und Stoppen laufender Angriffe — zu einem spezialisierten Team, das niemals schläft. Für KMU ist es der realistische Weg zu einem Schutzniveau, das sonst nur Konzernen mit eigenem SOC offensteht: Minuten statt Stunden bis zur Reaktion, Entlastung der eigenen IT und belastbare Nachweise für Regulierung und Versicherer. Welcher Anbieter dafür taugt, prüfen Sie mit unserer 9-Punkte-Checkliste zur MDR-Anbieterwahl.

Wenn Sie prüfen möchten, wie MDR in Ihre bestehende IT-Landschaft passt — welche Systeme angebunden würden, welche Reaktionsbefugnisse sinnvoll sind und was der Service für Ihre Unternehmensgröße kostet —, sprechen Sie gern unverbindlich mit dem Team von Valyros oder sehen Sie sich unsere MDR-Leistungen an.

Quellen

• Sophos: MDR Solution Brochure („AI speed. Human judgment.", 2026) — Service-Kennzahlen (52 % KI-gelöste Fälle, 89 Sek. bis zur automatisierten Reaktion, 88 % der Ransomware-Angriffe außerhalb der Geschäftszeiten).
• Sophos: Infografik „Managed Detection and Response vs. internes SOC" (deutsch) — 38 Minuten vs. bis zu 30 Stunden; 97,5 % geringere Versicherungsansprüche (Sophos Quantifying ROI Report).
• Sophos: The State of Ransomware 2026 — 79 % identitätsbasierte Angriffe, 58 % fehlende Skills, 43 % fehlende Überwachung bei 100–250 Mitarbeitenden.