Lassen Sie sich diesen Blog-Artikel von einer Künstlichen Intelligenz vorlesen.
Ein Angriff auf ein Endgerät kann schnell weitere Systeme betreffen. Angreifer nutzen gestohlene Zugangsdaten, erweitern ihre Berechtigungen oder bewegen sich im Netzwerk weiter. Einzelne Security-Signale zeigen dann nur einen Teil des Angriffsverlaufs. Angriffe früh zu erkennen und ihre Ausbreitung zu begrenzen, ist daher auch ein wichtiger Baustein der Cyber Resilience. Im Beitrag geht es darum, wie Endpoint Security zur Angriffserkennung und -eindämmung beiträgt, wie XDR den Blick erweitert und wie Managed Security Services und das Security Operations Center die laufende Überwachung und Reaktion unterstützen.
Wenn das Endgerät zum Einstiegspunkt wird
Was EDR auf dem Endgerät sichtbar macht
Wenn der Angriff das Endgerät verlässt
XDR erweitert den Blick über den Endpoint hinaus
Erkennen allein reicht nicht
Endpoint Security als Baustein der Cyber Resilience
Endpoint Security mit ACP
Wenn das Endgerät zum Einstiegspunkt wird
Notebook, Smartphone oder Workstation können zum Ausgangspunkt eines Cyberangriffs werden. Schadcode wird über Anwendungen ausgeführt oder Angreifer melden sich mit gestohlenen Zugangsdaten an. Endpoint Security macht verdächtige Aktivitäten auf dem Endgerät sichtbar und ermöglicht eine schnelle Reaktion. Bewegt sich ein Angreifer anschließend durch die IT-Umgebung, stößt diese Sicht jedoch an Grenzen.
Was EDR auf dem Endgerät sichtbar macht
EDR, also Endpoint Detection and Response, überwacht sicherheitsrelevante Aktivitäten auf Endgeräten. Dazu gehören beispielsweise Prozessaktivitäten, Dateiänderungen und Anmeldungen. So lässt sich nachvollziehen, was vor und nach einem verdächtigen Ereignis auf einem Gerät passiert ist. Ein verdächtiger PowerShell-Aufruf, eine ungewöhnliche Netzwerkverbindung oder ein Prozess, der Zugangsdaten ausliest, kann auf diese Weise erkannt und untersucht werden. EDR kann auch direkt eingreifen und beispielsweise ein kompromittiertes Gerät isolieren, einen schädlichen Prozess stoppen oder eine Datei unter Quarantäne stellen. Zum EDR gehören außerdem Threat Hunting und Forensik sowie manuelle oder automatisierte Response-Maßnahmen.
Wenn der Angriff das Gerät verlässt
Nach dem initialen Zugriff versuchen Angreifer häufig, weitere Zugangsdaten zu erlangen, Berechtigungen auszuweiten und andere Systeme zu erreichen. Mit den Daten eines einzelnen Endgeräts lässt sich diese laterale Bewegung nur begrenzt nachvollziehen. Weitere Hinweise können Aktivitäten im Netzwerk, Anmeldungen unter kompromittierten Identitäten oder Zugriffe auf Cloud-Dienste liefern. Solche Bewegungen finden teilweise außerhalb des Sichtfelds von Endpoint-Lösungen statt. Einzelne Alarme sind zwar sichtbar, ihr Zusammenhang bleibt aber möglicherweise unklar.
XDR erweitert den Blick über den Endpoint hinaus
XDR, also Extended Detection and Response, führt Security-Signale aus unterschiedlichen Quellen zusammen. Dazu gehören unter anderem Endpoints, Identitäten, E-Mail und Cloud-Anwendungen. Eine ungewöhnliche Anmeldung lässt sich so beispielsweise mit einem verdächtigen Prozess auf einem Endgerät und anschließenden Zugriffen auf weitere Systeme in Verbindung bringen. XDR korreliert solche Ereignisse, unterstützt bei der Priorisierung von Sicherheitsvorfällen und ermöglicht Reaktionen über mehrere Security-Ebenen hinweg. Wie relevant dabei die Einbindung von Identitäten ist, zeigen auch die Angriffsmuster im Microsoft Digital Defense Report 2026. Der Bericht zählt User Execution und gültige Accounts zu den häufigsten beobachteten Techniken für den initialen Zugriff. Bei mehr als der Hälfte der Angriffe mit gültigen Accounts folgte weiterer Credential-Diebstahl. Welche Datenquellen eingebunden und wie die Signale zusammengeführt werden, hängt von der vorhandenen IT- und Security-Architektur ab.
Erkennen allein reicht nicht
Auch ein korrelierter Security-Alarm muss eingeordnet werden: Welche Systeme sind betroffen? Wie kritisch ist der Vorfall? Welche Maßnahmen sind notwendig?
Im Security Operations Center werden kritische Alarme analysiert, mit weiteren Security-Signalen abgeglichen und je nach Vorfall die vereinbarten Maßnahmen eingeleitet. Zuständigkeiten und Eskalationswege sollten dafür bereits im Vorfeld feststehen. Im laufenden Betrieb müssen Security-Ereignisse fortlaufend überwacht und bewertet werden. Dafür braucht es Security-Know-how und personelle Ressourcen. Unterschiedliche Security-Lösungen und eine hohe Zahl an Einzelmeldungen können die Analyse zusätzlich erschweren. Eine durchgängige 24/7-Überwachung lässt sich mit internen Ressourcen nicht in jedem Unternehmen abdecken.
Endpoint Security als Baustein der Cyber Resilience
Auch mit umfassenden Schutzmaßnahmen lässt sich ein erfolgreicher Angriff nicht vollständig ausschließen. Ein kompromittiertes Endgerät muss aber nicht zwangsläufig zu einer größeren Betriebsunterbrechung führen. Wie weit sich ein Angriff ausbreiten kann, hängt auch davon ab, wie schnell er erkannt und eingedämmt wird. Cyber Resilience setzt deshalb eine übergreifende Betrachtung der IT-Sicherheit voraus. Endpoint Security und Detection & Response sind Teil einer Sicherheitsarchitektur, in der unterschiedliche Security-Lösungen und die notwendigen Reaktionsprozesse zusammenspielen.
Endpoint Security mit ACP
Bei ACP betrachten wir Endpoint Security deshalb im Zusammenspiel mit der gesamten Security-Architektur. Auf Basis der bestehenden Umgebung und der individuellen Anforderungen entwickeln wir passende Detection-&-Response-Architekturen und unterstützen bei deren Implementierung und Betrieb. Unser Security-Portfolio umfasst Audits und Pentests, Security-Beratung, Implementierung, Sourcing, Support und Managed Security Services. So lassen sich technische Lösungen und die notwendigen Prozesse für Überwachung, Analyse und Reaktion aufeinander abstimmen.
Endpoint Security ganzheitlich gedacht: Tauschen Sie sich mit unseren Security-Expertinnen und -Experten vom 27. bis 29. Oktober auf der it-sa 2026 aus – Halle 7A, Stand 322.
-1.png?width=238&height=69&name=acp_itforinnovators_logo_RGB%20(1)-1.png "ACP Gruppe | IT for Innovators"){kind=logo}
