Wenn der Virenscanner schweigt: Wie Mittelständler verteilte Cyberangriffe frühzeitig erkennen
Montagmorgen in einem Maschinenbaubetrieb mit 180 Beschäftigten. Der Virenscanner meldet keine Funde, alle Server laufen, die Mitarbeitenden melden sich wie gewohnt an. Am Donnerstag sind die Daten der Buchhaltung verschlüsselt, und im Postfach der Geschäftsführung liegt eine Lösegeldforderung.
Solche Fälle sind im deutschen Mittelstand längst Alltag. Datendiebstahl, Spionage und Sabotage haben der deutschen Wirtschaft 2025 einen Schaden von 289,2 Milliarden Euro verursacht. Rund 202 Milliarden Euro davon gehen direkt auf Cyberangriffe zurück. Fast sechs von zehn Unternehmen sehen sich durch solche Attacken in ihrer Existenz bedroht.
Warum klassischer Endpunktschutz an seine Grenzen stößt
Antivirenprogramme und Endpoint Protection Platforms (EPP) arbeiten in erster Linie vorbeugend. Sie gleichen Dateien mit Signaturen ab, prüfen verdächtiges Verhalten und blockieren bekannte Schadsoftware direkt auf dem Gerät. Gegen Massenmalware funktioniert das zuverlässig.
Gezielte Angriffe verlangen einen anderen Blickwinkel. Hier setzt Extended Detection and Response (XDR) an. Statt jeden Rechner einzeln zu bewerten, werden die Signale vieler Endpunkte zentral zusammengeführt und gemeinsam analysiert. Warum dieser Ansatz nötig ist, zeigt ein Blick auf die Methoden professioneller Täter.
Ausgewertet wurden mehr als 400 reale Sicherheitsvorfälle aus dem Jahr 2024. In 56 Prozent der Fälle meldeten sich die Angreifer mit gültigen Zugangsdaten an, statt technische Schwachstellen auszunutzen. Ein Login mit echtem Passwort löst keinen Malware-Alarm aus.
Danach nutzen Täter häufig Werkzeuge, die ohnehin im Netzwerk vorhanden sind, etwa PowerShell, den Remotedesktop oder Verwaltungsprogramme wie PsExec. In der Fachsprache heißt diese Taktik „Living off the Land“.
Wie geräteübergreifende Erkennung in der Praxis funktioniert
Basis ist ein Agent auf jedem Endpunkt. Dieser sammelt Prozesse, Arbeitsspeicher, Registry-Änderungen, Netzwerkverbindungen und Anmeldeversuche. So funktioniert Endpoint Detection and Response (EDR), das seit Mitte der 2010er-Jahre gebräuchlich ist.
XDR leitet den Blick auf das gesamte Netzwerk. Je nach Lösung fließen auch Daten aus E-Mail-Systemen, Identitätsdiensten oder Cloud-Anwendungen ein. Aus vielen Einzelereignissen wird so ein Vorfall mit Zeitachse, betroffenen Systemen und Angriffsweg.
Kleine IT-Abteilungen freuen sich vor allem über die Priorisierung. Statt Hunderte Einzelwarnungen zu bearbeiten, erhält das Team nur wenige, bereits bewertete Meldungen. Maßnahmen lassen sich zentral anstoßen: einen Rechner vom Netzwerk trennen, einen Prozess beenden, eine Datei in Quarantäne schieben.
Kriterien für die Auswahl einer Lösung
Der Markt für Erkennungslösungen ist groß, und die Begriffe werden nicht einheitlich verwendet. Diese Prüfpunkte helfen beim Vergleich:
- Datenquellen: Welche Systeme liefern Telemetrie? Nur Clients oder auch Server, E-Mail, Identitäten und Cloud-Dienste?
- Erkennungsqualität: Unabhängige Prüfungen wie die MITRE ATT&CK Evaluations oder EDR-Zertifizierungen von Testlaboren wie AV-Comparatives geben belastbare Anhaltspunkte. Hilfreich ist außerdem, wenn Meldungen den Taktiken des MITRE-ATT&CK-Frameworks zugeordnet werden.
- Reaktion: Welche Gegenmaßnahmen laufen automatisch, welche brauchen eine Freigabe?
- Betrieb: Gibt es eine webbasierte Konsole, oder ist ein eigener Management-Server nötig? Wer spielt Updatesein?
- Datenschutz: Wo stehen die Rechenzentren? Liegen ein Vertrag zur Auftragsverarbeitung nach DSGVO und eine Zertifizierung nach ISO 27001 vor?
- Personal: Wer bewertet Meldungen nachts und am Wochenende? Fehlen interne Kapazitäten, kann ein Managed-Detection-and-Response-Dienst (MDR) mit eigenem Security Operations Center diese Aufgabe übernehmen.
NIS-2 erhöht den Handlungsdruck
Seit Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Es erweitert den Kreis der regulierten Unternehmen deutlich und erfasst erstmals zahlreiche mittelständische Betriebe, etwa aus Produktion, Logistik, Lebensmittelwirtschaft oder digitalen Diensten.
Das Gesetz verlangt Sicherheitsmaßnahmen nach dem Stand der Technik, darunter Verfahren zur Erkennung und Bewältigung von Vorfällen. Erhebliche Sicherheitsvorfälle müssen spätestens nach 24 Stunden als Frühwarnung an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gehen. Nach 72 Stunden folgt eine ausführlichere Meldung. Ohne zuverlässige Erkennung ist diese Frist kaum einzuhalten.
Die Geschäftsleitung muss die Maßnahmen billigen und ihre Umsetzung überwachen. Bei Pflichtverletzungen haftet sie.
