Managed Detection and Response (MDR) verspricht Sicherheit auf dem Niveau eines Security Operations Center, ohne dass Sie selbst eines betreiben müssen. Dieser Beitrag erklärt, was MDR ist, wie es sich von Antivirus, EDR, XDR und SOC unterscheidet, wie der Dienst im Ernstfall arbeitet und mit welchen Kosten KMU rechnen sollten.
Das Wichtigste in Kürze
- Definition: MDR ist ein 24/7-Sicherheitsservice, bei dem ein externer Anbieter Bedrohungen auf Endgeräten, in Netzwerken und Cloud-Diensten erkennt und aktiv abwehrt – nicht nur meldet.
- Für KMU: Ohne eigenes Security-Team ist MDR der pragmatischste Weg zu SOC-Qualität, ohne selbst ein SOC zu betreiben.
- Abgrenzung: Anders als Antivirus (EPP) und EDR liefert MDR Technologie plus menschliche Analyse – Bedrohungen werden im Ernstfall auch nachts und am Wochenende gestoppt.
- Kosten: typischerweise 8–20 € pro Endpunkt und Monat, abhängig von Umfang und Reaktionsgarantie.
- Angebot: IWM bietet MDR für Mittelständler in Südwestfalen mit deutschem Support und Reaktionszeiten im Minutenbereich.
Was ist MDR – in einem Satz?
Managed Detection and Response ist ein Sicherheitsservice, der Ihre IT rund um die Uhr auf Cyberangriffe überwacht, verdächtige Aktivitäten identifiziert und im Ernstfall aktiv Gegenmaßnahmen einleitet – betrieben von einem spezialisierten Anbieter mit eigenen Sicherheitsanalysten.
Der Kernnutzen: Sie bekommen die Wirkung eines Security Operations Center (SOC), ohne eines aufbauen und betreiben zu müssen. Für ein SOC mit 24/7-Bereitschaft benötigt ein Unternehmen typischerweise 8–12 Vollzeitkräfte – im Mittelstand nicht darstellbar.
Wie unterscheidet sich MDR von EPP, EDR, XDR und SOC?
Die Begriffe werden häufig verwechselt. Hier die klare Abgrenzung:
| Kürzel | Bedeutung | Was leistet es? | Wer bedient es? |
|---|---|---|---|
| EPP | Endpoint Protection Platform (klassisches Antivirus) | Bekannte Malware blockieren | Automatisch |
| EDR | Endpoint Detection & Response | Verdächtiges Verhalten erkennen, Daten sammeln | Interne IT muss auswerten |
| XDR | Extended Detection & Response | Wie EDR, aber über Endpunkt, Netzwerk, Cloud und E-Mail | Interne IT / Security-Team |
| MDR | Managed Detection & Response | XDR-/EDR-Technologie plus 24/7-Analyse und Reaktion durch Dienstleister | Externer MDR-Anbieter |
| SOC | Security Operations Center | Umfassende Sicherheitsüberwachung und Reaktion | Interne oder externe Sicherheitsanalysten |
Kurzformel: EDR/XDR ist die Technik, MDR ist die Technik plus ein Team, das sie rund um die Uhr bedient. Ein SOC ist das organisatorische Konzept dahinter.
Warum reicht ein modernes Antivirus nicht mehr?
Antivirus (EPP) blockiert Angriffe, deren Signaturen bekannt sind. Moderne Angriffe – Ransomware, Business Email Compromise, gezielte Angriffe – arbeiten dateilos und verhaltensbasiert und nutzen legitime Werkzeuge wie PowerShell oder RDP („Living off the Land"). Ein klassisches Antivirus erkennt sie nicht.
Die typische Angriffskette bei einem Ransomware-Vorfall:
- Initial Access: über eine Phishing-Mail oder gestohlene Zugangsdaten.
- Persistence und Lateral Movement: über Wochen, häufig unentdeckt.
- Privilege Escalation: Ausweitung der Rechte und Zugriff auf Backups.
- Exfiltration: Abfluss sensibler Daten für die Doppelerpressung.
- Verschlüsselung: in einer einzigen Nacht, oft am Wochenende.
MDR setzt in den Schritten 2 bis 4 an – bevor die Verschlüsselung startet. Zwischen Initial Access und Verschlüsselung liegen im Mittel 8–30 Tage: genug Zeit, um Angriffe zu stoppen, wenn jemand hinschaut. Wie Angreifer konkret vorgehen, zeigt unser Beitrag zu Cyberangriffen in Südwestfalen; wie Sie den häufigsten Einstiegsweg schließen, unser Praxis-Guide zu Phishing-Mails.
Wie funktioniert MDR konkret?
Ein MDR-Dienst besteht aus vier Bausteinen:
- Sensoren: Auf Endpunkten (Windows, macOS, Linux, mobile Geräte), Servern, Firewalls und Cloud-Diensten (Microsoft 365, Sage X3 Cloud, Azure) werden Datenpunkte gesammelt.
- Zentrale Analyse: In einer SIEM- oder XDR-Plattform werden die Daten korreliert und mit Bedrohungsinformationen abgeglichen.
- Menschliches SOC-Team: Sicherheitsanalysten prüfen Alarme, filtern Fehlalarme (False Positives) heraus und priorisieren echte Vorfälle.
- Aktive Reaktion: Bei Bedrohungen werden Endpunkte isoliert, Konten gesperrt, Sitzungen beendet und die IT informiert – automatisiert und manuell.
Für Sie als Kunde sichtbar sind meist ein Portal mit Statusübersicht, ein monatlicher Report und im Ernstfall der direkte Kontakt zum SOC.
Welche Vorteile hat MDR für KMU konkret?
- 24/7-Abdeckung: Angriffe finden bevorzugt nachts, am Wochenende und an Feiertagen statt.
- Menschliche Analyse: Fehlalarme werden gefiltert, echte Vorfälle priorisiert; die interne IT wird nicht mit Alarmfluten überschwemmt.
- Schnellere Reaktionszeiten: Professionelle SOCs handeln in Minuten, nicht in Stunden.
- Wissen aus vielen Kunden: Ein MDR-Anbieter sieht Angriffsmuster über Hunderte Umgebungen hinweg; IWM-Analysten korrelieren Vorfälle aus dem gesamten Kundenstamm.
- Compliance und Cyberversicherung: Viele Versicherer und NIS2-relevante Vorgaben verlangen inzwischen Detection- und Response-Fähigkeiten.
Was kostet MDR im Mittelstand?
Die Kosten hängen von Umfang, Reaktionszeit-Garantien und Datenmenge ab. Typische Bandbreiten:
| Servicelevel | Umfang | Preis (Richtwert) |
|---|---|---|
| Basis-MDR | Endpunkte, Basis-Alerts, Reaktion zu Geschäftszeiten | 8–12 € / Endpunkt / Monat |
| Standard-MDR | Endpunkte, Microsoft 365 und Server, 24/7-Reaktion | 12–20 € / Endpunkt / Monat |
| Premium-MDR | inkl. Cloud (Azure/AWS), Threat Hunting, Response-SLA | 18–35 € / Endpunkt / Monat |
Für ein Unternehmen mit 60 Endpunkten liegen die Kosten typischerweise bei 8.000–15.000 € pro Jahr – ein Bruchteil der Kosten eines einzigen Ransomware-Vorfalls, die laut Bitkom im Mittel bei 1,2 Mio. € liegen. Wie sich IT-Sicherheitsbudgets insgesamt zusammensetzen, beschreibt unser Beitrag Was kostet IT-Sicherheit für KMU?
Was leistet ein MDR-Anbieter im Ernstfall?
Ein konkretes Szenario: Ein Mitarbeitender öffnet eine Phishing-Mail, wird auf eine gefälschte Microsoft-365-Anmeldeseite geleitet und gibt dort seine Zugangsdaten ein. Wenige Minuten später melden sich Angreifer aus dem Ausland an.
Ohne MDR: Der Vorgang bleibt tagelang unbemerkt, bis Adminrechte übernommen und Systeme kompromittiert sind.
Mit MDR (Beispiel IWM):
- Alarm nach 30–90 Sekunden: „unmögliche Reise" – Anmeldung aus Deutschland und Nigeria innerhalb weniger Minuten.
- Analyse in unter 5 Minuten: Ein Analyst prüft den Kontext.
- Eindämmung: Das Konto wird gesperrt, aktive Sitzungen werden beendet, der Kunde wird informiert.
- Bereinigung: Passwort-Reset und Ursachenanalyse werden angestoßen.
- Nachbearbeitung: Bericht innerhalb von 24 Stunden.
Wann ist MDR das richtige Investment?
MDR lohnt sich für praktisch jedes Unternehmen ab 20 Mitarbeitenden, das kritische Geschäftsdaten in Microsoft 365, Sage X3 oder ähnlichen Systemen hält. Besonders empfehlenswert ist es bei:
- hohem Homeoffice-Anteil,
- Cloud-Nutzung ohne eigenes Security-Team,
- NIS2-Betroffenheit,
- Anforderungen aus Cyberversicherungen,
- Sicherheitsvorfällen in der Vergangenheit.
Welche Pflichten NIS2 mit sich bringt, lesen Sie in unserem Beitrag zu NIS2 im Mittelstand. Wie MDR sich in ein Gesamtkonzept einfügt, zeigt unser Beitrag zur Zero-Trust-Architektur für KMU.
Häufige Fragen zu MDR
Ersetzt MDR unseren Virenschutz?
Nein. MDR baut in der Regel auf einem modernen EDR auf, etwa Microsoft Defender for Business, SentinelOne oder CrowdStrike, und ergänzt es um Analyse und Reaktion.
Können wir MDR nur für Server oder nur für Endpunkte einsetzen?
Ja. Eine gestaffelte Einführung ist üblich – oft mit Servern und Microsoft 365 als Startpunkt und den Endpunkten in einer zweiten Welle.
Wie schnell reagiert ein MDR-Team?
Bei seriösen Anbietern in unter 15 Minuten für kritische Alarme; viele erreichen im Standardbetrieb 2–5 Minuten. Vertragliche Reaktionszeiten (SLA) sollten schriftlich vereinbart sein.
Was passiert mit unseren Daten?
Sicherheitsdaten werden im Rechenzentrum des MDR-Anbieters analysiert. Achten Sie auf Datenspeicherung in der EU und einen Auftragsverarbeitungsvertrag nach DSGVO.
Können wir bestehende Firewalls und Antivirus weiter nutzen?
In der Regel ja – MDR-Anbieter integrieren sich in vorhandene Landschaften. Ein Wechsel auf EDR/XDR ist häufig sinnvoll, aber nicht immer zwingend.
Wie unterscheidet sich MDR von der Incident Response einer Cyberversicherung?
Cyberversicherungen greifen nach einem Vorfall: Wiederherstellung, Forensik, Rechtsberatung. MDR verhindert oder begrenzt Vorfälle, während sie passieren.
Können wir das Portal selbst einsehen?
Ja. Sie haben Einblick in Alarme, Untersuchungen und Berichte – die Bearbeitung übernimmt der MDR-Anbieter.
Wie lange dauert die Einrichtung?
Für ein KMU mit 50 Endpunkten typischerweise 2–4 Wochen vom Vertrag bis zum produktiven Betrieb.
Fazit
Managed Detection and Response ist der pragmatischste Weg, moderne Cyberangriffe auf mittelständische IT wirksam abzuwehren – ohne selbst ein SOC aufzubauen. Für KMU in Südwestfalen ist MDR kein Luxus mehr, sondern zunehmend Standard – getrieben von NIS2, Cyberversicherern und einer realen Bedrohungslage, die klassische Schutzmaßnahmen überholt hat.
Wie sichtbar wären Angriffe in Ihrer IT?
Sie wollen wissen, ob ein Angriff in Ihrer IT heute auffallen würde? IWM bietet einen 14-tägigen MDR-Testbetrieb inklusive Auswertung. Das Erstgespräch führen wir in Plettenberg oder per Teams.
- Mehr zu unseren Managed Services erfahren Sie auf unserer Leistungsseite.
- Von der Risikoanalyse bis zum Sicherheitskonzept begleitet Sie unsere IT-Beratung.
- Jetzt unverbindlich anfragen und den MDR-Testbetrieb vereinbaren.
