EDR oder klassischer Virenschutz: Was schützt Ihr Unternehmen besser?

Kurz gesagt: Klassischer Virenschutz blockiert bekannte Schadsoftware und ist als Grundschutz weiterhin sinnvoll. EDR erkennt zusätzlich verdächtiges Verhalten, zeichnet auf, was auf einem Gerät passiert, und ermöglicht eine gezielte Reaktion. Für Unternehmen mit Kunden- oder Finanzdaten ist EDR heute der angemessene Standard – entscheidend ist, dass jemand die Meldungen auch auswertet.

Wie klassischer Virenschutz arbeitet

Herkömmliche Antivirenprogramme vergleichen Dateien mit einer Datenbank bekannter Schadsoftware, den Signaturen. Ergänzend prüfen sie Dateien auf typische Merkmale. Das funktioniert zuverlässig gegen bekannte Schädlinge und ist ressourcenschonend.

Die Schwäche: Neue Varianten tauchen täglich auf, und viele Angriffe kommen ganz ohne klassische Schadsoftware aus. Angreifer melden sich mit gestohlenen Zugangsdaten an, nutzen Systemwerkzeuge wie die PowerShell oder Fernwartungssoftware. Für einen signaturbasierten Scanner sieht das unauffällig aus.

Was EDR anders macht

EDR steht für Endpoint Detection and Response. Ein Agent auf jedem Gerät protokolliert Prozesse, Dateizugriffe und Netzwerkverbindungen und bewertet sie im Zusammenhang. Verschlüsselt ein Programm plötzlich Hunderte Dateien, startet Word eine Kommandozeile oder verbindet sich ein Rechner mit einer auffälligen Adresse, schlägt das System Alarm.

Der zweite Teil ist die Reaktion: Ein betroffenes Gerät lässt sich isolieren, Prozesse beenden, Änderungen zurückrollen. Die Aufzeichnungen zeigen später, wie ein Angreifer hereinkam und was er getan hat. Moderne Lösungen kombinieren das mit einem Virenschutz der neuen Generation (NGAV), der auch unbekannte Schädlinge über Verhaltensmuster erkennt.

Der entscheidende Punkt: Wer reagiert?

EDR erzeugt Meldungen, und Meldungen helfen nur, wenn jemand sie prüft. In vielen kleinen Unternehmen landet ein Alarm im Postfach einer Person, die keine Zeit oder kein Fachwissen hat, ihn zu bewerten. Deshalb ist EDR für KMU vor allem als verwalteter Dienst sinnvoll: Ein Dienstleister pflegt Richtlinien, wertet Alarme aus und meldet sich, wenn gehandelt werden muss.

Wichtig ist eine ehrliche Erwartung: Automatische Schutzmaßnahmen wie Blockieren und Isolieren greifen sofort, menschliche Auswertung erfolgt im Rahmen der vereinbarten Servicezeiten.

Aufwand und Kosten

Klassischer Virenschutz ist günstig und schnell installiert. EDR-Lösungen kosten pro Gerät mehr, verwaltete Varianten zusätzlich für die Betreuung. Dem gegenüber stehen die Kosten eines erfolgreichen Angriffs: Betriebsausfall, Wiederherstellung, mögliche Meldepflichten. Für Unternehmen mit Microsoft 365 Business Premium ist mit Defender for Business bereits ein EDR enthalten – es muss aber eingerichtet und überwacht werden. Mehr Hintergrund im Ratgeber Antivirus vs. EDR.

EDR ist kein Komplettschutz

Auch das beste EDR ersetzt keine anderen Bausteine. Gegen Ransomware brauchen Sie zusätzlich getrennte Backups, aktuelle Updates, eine Firewall und Mehrfaktor-Anmeldung. Mitarbeitende, die Phishing-Mails erkennen, bleiben eine der wirksamsten Schutzmaßnahmen.

Typische Angriffswege in kleinen und mittleren Unternehmen

Viele Angriffe auf Mittelständler folgen einem ähnlichen Muster. Am Anfang steht häufig eine Phishing-Mail mit gefälschter Anmeldeseite oder einem verseuchten Anhang. Alternativ nutzen Angreifer Schwachstellen in nicht aktualisierten Systemen, die aus dem Internet erreichbar sind, etwa VPN-Zugänge oder Fernwartungsdienste.

Ist der erste Rechner übernommen, verschaffen sich Angreifer weitere Rechte, sehen sich im Netzwerk um und suchen Datensicherungen. Erst am Ende werden Daten verschlüsselt oder abgezogen. Zwischen dem ersten Zugriff und dem sichtbaren Schaden vergeht oft einige Zeit.

Genau diese Zwischenphase bleibt einem klassischen Virenschutz meist verborgen, weil kaum neue Schadsoftware im Spiel ist. EDR erkennt dagegen Auffälligkeiten wie ungewöhnliche Anmeldungen, das Ausführen von Werkzeugen zum Auslesen von Passwörtern oder das massenhafte Ändern von Dateien. Je früher solche Signale bemerkt werden, desto kleiner ist der Schaden. Mehr zur Vorbeugung im Ratgeber Ransomware-Schutz für KMU.

So unterstützt STKom

Wir betreiben Managed Antivirus und EDR aktiv: Lizenzen, Richtlinien, Alarmierung und Reaktion. Kritische Ereignisse landen automatisch in unserem Ticketsystem; das Software-Monitoring läuft durchgehend, die Bearbeitung durch unser Team erfolgt zu unseren Geschäftszeiten. Bei auffälligen Ereignissen meldet sich ein Techniker bei Ihnen.