XDR vs. EDR: Welche Lösung ist 2026 die richtige?

EDR, XDR, NDR, MDR ... das Ökosystem für Erkennung und Reaktion ist so komplex geworden, dass es für IT-Leiter zum echten Kopfzerbrechen wird. Hinter den Akronymen verbergen sich grundlegend unterschiedliche Ansätze. Hier ist ein pragmatischer Leitfaden für die richtige Wahl im Jahr 2026.

EDR: die unverzichtbare Basis

Endpoint Detection and Response konzentriert sich auf einen präzisen Bereich: die Endpoints (Arbeitsplatzrechner, Server). Ein auf jeder Maschine installierter Agent erfasst Telemetriedaten (Prozesse, Netzwerkverbindungen, Dateiänderungen, Windows-Registry) und wendet Erkennungsregeln an.

• Stärken: granulare Endpoint-Sichtbarkeit, lokale Reaktionsfähigkeit (Isolation, Kill Process), forensische Untersuchung

• Grenzen: Silo-Sicht. Ein EDR sieht keinen Netzwerkverkehr zwischen zwei Maschinen, keine Cloud-Logs und keine E-Mail-Alerts

Referenzanbieter: CrowdStrike Falcon (seit 5 Jahren Gartner-Leader), SentinelOne Singularity, Microsoft Defender for Endpoint und auf französischer Seite HarfangLab (ANSSI-zertifiziert, souverän, vom französischen Verteidigungsministerium genutzt).

XDR: schichtübergreifende Korrelation

Extended Detection and Response erweitert die Erkennung über den Endpoint hinaus durch Korrelation mehrerer Quellen:

• Endpoint: klassische Agent-Telemetrie

• Netzwerk: NetFlow-Datenströme, DNS-Analyse, TLS-Inspektion

• E-Mail: Phishing-Erkennung, bösartige Anhänge

• Cloud: AWS CloudTrail, Azure Activity Log, GCP Audit Log

• Identität: Active Directory, Azure AD, Authentifizierungsverhalten

Der wesentliche Vorteil: Ein XDR kann einen Phishing-Versuch (E-Mail-Schicht) + eine verdächtige Anmeldung (Identitätsschicht) + einen Payload-Download (Endpoint-Schicht) zu einem einzigen korrelierten Vorfall verknüpfen. Ein EDR allein sieht nur das letzte Glied.

Wichtig: Es gibt zwei Modelle. „Native XDR" (Single-Vendor: CrowdStrike, SentinelOne, Palo Alto Cortex) erfordert das gesamte Ökosystem des Anbieters. „Open XDR" (Multi-Vendor) aggregiert heterogene Quellen, erfordert aber mehr Integrationsaufwand.

NDR und MDR: die Ergänzungen

NDR (Network Detection and Response)

Netzwerkverkehrsanalyse durch Deep Packet Inspection und verhaltensbasiertes ML. Erkennt laterale Bewegungen, Datenexfiltration und C2-Kommunikation, die für EDR unsichtbar ist. Anbieter: Darktrace, Vectra AI, ExtraHop.

MDR (Managed Detection and Response)

Dies ist keine Technologie, sondern ein Service: ein ausgelagertes SOC-Team, das Ihr EDR/XDR rund um die Uhr betreibt. Relevant, wenn Sie nicht über die personellen Ressourcen verfügen, um Alerts intern zu bearbeiten. Der MDR-Markt erreichte 2025 5,6 Milliarden US-Dollar (Gartner).

Vergleichsübersicht

• EDR: nur Endpoint-Abdeckung, agentenbasierte Erkennung, lokale Reaktion, Kosten 5–15 €/Endpoint/Monat

• XDR: mehrschichtige Abdeckung, zentralisierte Korrelation, orchestrierte Reaktion, Kosten 15–40 €/Endpoint/Monat

• NDR: nur Netzwerkabdeckung, Erkennung durch Flussanalyse, keine Endpoint-Reaktion, Kosten variabel je nach Bandbreite

• MDR: Abdeckung je nach zugrunde liegendem Tool, 24/7-Humanservice, Kosten 20–60 €/Endpoint/Monat

Wann sollte man was wählen?

• KMU <200 Endpoints, begrenztes Budget: EDR (HarfangLab oder Defender) + ThreatClaw als KI-Korrelationsschicht. Sie erhalten fortgeschrittene Erkennung ohne die Kosten eines vollständigen XDR

• Mittelstand mit hybrider Umgebung: Natives XDR (CrowdStrike oder SentinelOne) bei Akzeptanz eines Single-Vendors, oder EDR + ThreatClaw für einen offenen Ansatz

• Großunternehmen mit internem SOC: XDR + NDR für maximale Abdeckung, ThreatClaw für die Automatisierung der Reaktion

• Keine internen Sicherheitskompetenzen: MDR als Baseline, mit ThreatClaw als Ergänzung für automatisierte Audits

ThreatClaw: die universelle Korrelationsschicht

ThreatClaw ist weder ein EDR noch ein XDR. Es ist ein autonomer KI-Agent, der sich mit Ihren bestehenden Tools verbindet und Korrelationsintelligenz sowie Reaktionsfähigkeit hinzufügt. Unabhängig von Ihrem Stack (CrowdStrike, SentinelOne, Defender, HarfangLab, Wazuh) nimmt ThreatClaw Alerts auf und reichert sie mit seinen 26 CTI-Quellen und 49 Audit-Skills an.

FAQ

Ersetzt XDR ein SIEM?

Nein. XDR konzentriert sich auf Echtzeit-Erkennung und -Reaktion. Das SIEM behält seine Rolle für die langfristige Log-Aufbewahrung, Compliance-Reporting und historische forensische Untersuchungen. Beide sind komplementär.

Ist HarfangLab auf dem Niveau von CrowdStrike?

HarfangLab ist ANSSI-zertifiziert und bietet solide Erkennungsfähigkeiten, insbesondere für auf Frankreich gerichtete Bedrohungen (integrierte CERT-FR-Regeln). Bei ML-Erkennung und Multi-OS-Abdeckung liegt CrowdStrike weiterhin vorne. Die Wahl hängt von Ihren Souveränitätsanforderungen und Ihrem Budget ab.

Wie lange dauert die Bereitstellung eines EDR?

Die Bereitstellung eines EDR-Agenten geht schnell: 1–2 Tage für den Management-Server, dann wenige Minuten pro Endpoint via GPO, SCCM oder Ansible. Die Feinabstimmung der Regeln zur Reduzierung von Fehlalarmen dauert 2–4 Wochen.

Kann ThreatClaw einen MDR ersetzen?

ThreatClaw automatisiert einen großen Teil der Arbeit eines SOC-Analysten (Triage, Anreicherung, Korrelation, Reaktion). Für KMU kann es einen MDR-Service effektiv ersetzen. Für Großunternehmen mit strengen Compliance-Anforderungen ergänzt es den MDR durch beschleunigte Alert-Verarbeitung.