Wer 2026 ein Sicherheitsbudget plant, stößt unweigerlich auf drei Buchstabenkürzel: EDR, XDR und MDR. Alle drei versprechen, Angriffe schneller zu erkennen und einzudämmen, bevor Ransomware-Gruppen wie Akira oder Qilin Daten verschlüsseln. Doch die Unterschiede zwischen den drei Ansätzen sind größer, als Marketingfolien vermuten lassen. Laut IBM dauert es weltweit im Schnitt 241 Tage, bis ein Unternehmen einen Angriff erkennt und eindämmt. Firmen mit einem Lebenszyklus über 200 Tagen zahlen dabei rund 1,88 Millionen US-Dollar mehr pro Vorfall als Firmen, die schneller reagieren. Dieser Vergleich ordnet EDR, XDR und MDR technisch ein, zeigt reale Preise, MITRE-ATT&CK-Ergebnisse aus 2025 und gibt eine klare Kaufempfehlung für Unternehmen in Deutschland, Österreich und der Schweiz.

EDR, XDR und MDR: Was die drei Begriffe wirklich bedeuten

Endpoint Detection and Response (EDR) überwacht einzelne Geräte wie Laptops, Server und virtuelle Maschinen. Ein Agent zeichnet Prozessstarts, Datei- und Registry-Zugriffe sowie Netzwerkverbindungen auf und meldet verdächtige Muster an eine Analyse-Engine. EDR-Werkzeuge wie CrowdStrike Falcon oder SentinelOne Singularity Core sind seit Jahren Standard, weil klassische Antivirus-Software signaturbasiert arbeitet und neue Angriffstechniken oft übersieht.

Extended Detection and Response (XDR) erweitert dieses Prinzip über den Endpoint hinaus. Telemetrie aus Netzwerk, Cloud-Workloads, Identitäten, E-Mail und SaaS-Anwendungen fließt in einen gemeinsamen Data Lake. Eine Korrelations-Engine verknüpft Ereignisse über mehrere Ebenen, um mehrstufige Angriffe zu erkennen, die ein reines EDR-Tool isoliert betrachten würde. Cortex XDR von Palo Alto Networks oder Singularity XDR von SentinelOne funktionieren nach diesem Muster.

Managed Detection and Response (MDR) ist kein Technologie-Typ, sondern ein Servicemodell. Ein externer Dienstleister betreibt ein SOC-Team rund um die Uhr, das die zugrunde liegende EDR- oder XDR-Technologie bedient, Alarme priorisiert und im Ernstfall selbst eingreift. Sophos MDR, Arctic Wolf und Rapid7 MDR gehören zu den bekanntesten Anbietern in diesem Segment. Wer MDR bucht, kauft also nicht in erster Linie Software, sondern Personal und einen Rund-um-die-Uhr-Betrieb.

Die drei Begriffe schließen sich dabei nicht gegenseitig aus, sondern bauen aufeinander auf. MDR-Anbieter betreiben in aller Regel selbst eine EDR- oder XDR-Plattform im Hintergrund, entweder eine eigene Entwicklung oder eine lizenzierte Technologie von CrowdStrike, SentinelOne oder Sophos. Ein Unternehmen kauft also nie MDR “statt” EDR, sondern MDR “zusätzlich zu” einer Erkennungstechnologie, nur dass der Betrieb dieser Technologie an einen externen Partner ausgelagert wird. Diese Verschachtelung sorgt in der Praxis für Verwirrung, wenn Anbieter ihre Produkte in Marketingunterlagen unscharf abgrenzen.

Technische Unterschiede im Detail

Datenquellen und Scope

Der größte technische Unterschied zwischen EDR und XDR liegt in der Breite der Datenquellen. EDR sammelt fast ausschließlich Agent-Telemetrie vom Endpoint. XDR-Plattformen aggregieren zusätzlich Signale aus Firewalls, Cloud-APIs, Identity-Providern und E-Mail-Gateways in einer zentralen Oberfläche, oft als “Single Pane of Glass” bezeichnet. Diese Korrelation verkürzt laut einer Benchmark-Studie von ACSMI aus 2025 die Zeit bis zur Root-Cause-Analyse deutlich: XDR-Lösungen senkten in den Testreihen die durchschnittliche Vorfall-Lösungszeit um 41 Prozent gegenüber reinem EDR-Einsatz.

Technisch gesehen ist der entscheidende Baustein dafür ein zentraler Data Lake, in dem Telemetrie aus allen angebundenen Quellen normalisiert und miteinander verknüpft wird. Erkennt das System etwa eine verdächtige PowerShell-Ausführung auf einem Endpoint und gleichzeitig eine ungewöhnliche Anmeldung desselben Nutzerkontos aus einem anderen Land, verknüpft die XDR-Engine beide Ereignisse zu einem einzigen, priorisierten Vorfall statt zwei getrennten Alarmen. Bei reinem EDR-Einsatz müsste ein Analyst diese Verbindung manuell herstellen, was in der Praxis oft schlicht nicht passiert, weil die Zeit fehlt oder die beiden Systeme technisch gar nicht miteinander kommunizieren.

Wer betreibt die Lösung?

EDR und XDR sind in erster Linie Produkte, die ein internes IT- oder Security-Team konfiguriert, überwacht und pflegt. MDR verschiebt diese Verantwortung nach außen. Der Anbieter übernimmt Alarmpflege, Use-Case-Entwicklung, Playbooks und im Bedarfsfall die direkte Reaktion auf einen Vorfall, etwa das Isolieren eines kompromittierten Endpoints. Für Unternehmen ohne eigenes 24/7-SOC ist das oft der entscheidende Faktor, denn viele Ransomware-Angriffe starten außerhalb der regulären Bürozeiten, häufig gezielt an Freitagabenden oder vor Feiertagen, wenn interne Teams am dünnsten besetzt sind.

Ein interner Nebeneffekt, den Unternehmen bei der Wahl von MDR oft unterschätzen: Der Wissenstransfer läuft in beide Richtungen. Ein guter MDR-Provider liefert nicht nur Reaktion, sondern auch regelmäßige Berichte über erkannte Muster, aus denen das interne Team langfristig lernen kann, etwa welche Abteilungen besonders häufig Ziel von Phishing-Versuchen werden. Wer MDR ausschließlich als Blackbox betrachtet und die gelieferten Reports ignoriert, verschenkt einen Teil des eigentlichen Werts des Services.

Automatisierung: Wie viel entscheidet die Maschine?

Ein dritter Unterschied liegt im Grad der Automatisierung. EDR-Systeme können einen einzelnen Endpoint automatisch isolieren, sobald ein Prozess eindeutig bösartig eingestuft wird, etwa bei erkannter Ransomware-Verschlüsselung. XDR-Plattformen gehen weiter und verknüpfen automatisierte Reaktionen über mehrere Systeme, zum Beispiel das gleichzeitige Sperren eines kompromittierten Nutzerkontos in Azure AD und die Isolation des zugehörigen Endpoints. Playbooks lassen sich meist über SOAR-Module (Security Orchestration, Automation and Response) definieren, entweder nativ in der Plattform oder über eine Anbindung an Splunk, Microsoft Sentinel oder andere SIEM-Systeme. Bei MDR entscheidet dagegen meist ein menschlicher Analyst über die konkrete Reaktion, automatisierte Eindämmung kommt nur bei eindeutigen, vertraglich vorab definierten Szenarien zum Einsatz. Diese Balance zwischen Automatisierung und menschlicher Kontrolle ist einer der Hauptgründe, warum viele Unternehmen keine einzelne Lösung, sondern eine Kombination aus allen drei Ansätzen betreiben.

EDR vs. XDR vs. MDR: Die Vergleichstabelle

Die folgende Tabelle fasst die wichtigsten Unterschiede zwischen den drei Ansätzen zusammen.

KriteriumEDRXDRMDR
Fokus / ScopeEndpoint (Laptop, Server, VM)Endpoint + Netzwerk + Cloud + Identity + E-MailNutzt vorhandene EDR-/XDR-/SIEM-Daten des Kunden
ArtSoftware-ProduktPlattform / SuiteManaged Service mit SOC-Team
BetriebInternes TeamInternes TeamExterner Dienstleister, 24/7
Benötigtes Personal internMittel bis hochHoch (Korrelation braucht Fachwissen)Gering (Provider übernimmt Betrieb)
Typische ReaktionAlarm an internes TeamKorrelierte Alarme, teils automatisierte ResponseDirekte Eindämmung durch Provider-SOC
PreismodellPro Endpoint / JahrPro Endpoint / Jahr, oft höhere Tier-StufeIndividuelles Angebot, meist pro Endpoint + Service-Fee
BeispielanbieterCrowdStrike Falcon Go, SentinelOne Singularity CoreCortex XDR, Singularity XDR, Trend Vision OneSophos MDR, Arctic Wolf, Rapid7 MDR
MITRE-ATT&CK-Teilnahme 2025Teilweise (abhängig vom Produkt)CrowdStrike, Trend Micro, Sophos nahmen teilNicht direkt getestet (Basis-Technologie zählt)
Marktgröße 2026 (Schätzung)ca. 6,3 Mrd. US-Dollarca. 2,1–2,6 Mrd. US-Dollarca. 1,6 Mrd. US-Dollar
Erwartetes Wachstum (CAGR)ca. 24 % (2026–2031)ca. 20–21 % (2026–2034)ca. 27 % / ca. 20 % laut Gartner (2021–2025)
Integration mit SIEM/SOARMeist über KonnektorenHäufig nativ integriertProvider bringt eigenes SIEM/SOAR mit
Ideal fürUnternehmen mit eigenem, erfahrenem Security-TeamMulti-Cloud- und Multi-Standort-UmgebungenUnternehmen ohne 24/7-SOC-Kapazität

Quellen für die Marktzahlen: MarketsandMarkets, Straits Research, Grand View Research und der Gartner Market Guide for Managed Detection and Response 2025.

Die wichtigsten Anbieter 2026 im Überblick

Im Gartner Magic Quadrant for Endpoint Protection Platforms 2025 (veröffentlicht am 14. Juli 2025) zählen fünf Anbieter zu den Leadern: CrowdStrike, Microsoft, Palo Alto Networks, Sophos und SentinelOne. Alle fünf bieten heute EDR als Basis und bauen darauf XDR-Funktionen auf, teils als kostenlosen Zusatz zur bestehenden Lizenz.

  • CrowdStrike Falcon kombiniert EDR, XDR und die MDR-Variante Falcon Complete auf einer Plattform. Seit 2026 können Falcon-EDR-Kunden native XDR-Funktionen über Connector-Packs freischalten, inklusive 10 GB/Tag kostenlosem Ingest für Drittanbieterdaten.
  • Microsoft Defender for Endpoint / Sentinel liefert EDR über Defender und XDR-Funktionalität über die Kombination mit der Cloud-SIEM-Plattform Sentinel. Microsoft ist seit sechs Jahren in Folge Leader im Gartner MQ für Endpoint Protection Platforms.
  • Palo Alto Networks Cortex XDR vereinheitlicht Endpoint-, Netzwerk- und Cloud-Telemetrie mit automatisierter Response und gehört laut Palo Alto Networks zum dritten Mal in Folge zu den Gartner-Leadern.
  • SentinelOne Singularity setzt auf KI-gestützte Analyse und wurde 2025 sowohl im Gartner MQ als auch im IDC MarketScape für Worldwide XDR Software als Leader eingestuft.
  • Sophos Intercept X / Sophos MDR ist zum 16. Mal in Folge Gartner-Leader. Sophos MDR baut auf der hauseigenen XDR-Telemetrie auf und richtet sich stark an Unternehmen ohne eigenes SOC.
  • Trend Micro Vision One positioniert sich als Unified-Security-Operations-Plattform mit XDR-Funktionalität über Endpoint, E-Mail, Netzwerk und Cloud.
  • Arctic Wolf und Rapid7 MDR sind reine MDR-Spezialisten, die im Gartner Market Guide for MDR als Anbieter von “human-led, remotely delivered, turnkey SOC functions” geführt werden. Beide Anbieter integrieren dabei Telemetrie aus bestehenden Kunden-Tools statt eine eigene Endpoint-Agent-Technologie zu erzwingen, was den Wechsel für Unternehmen mit bereits vorhandenem EDR erleichtert.

Ein klarer Trend über alle Anbieter hinweg ist die Konsolidierung: Statt separater Tools für Endpoint, Cloud und Identität bündeln die großen Hersteller ihre Produkte zunehmend in einer einzigen Plattform mit gestaffelten Lizenzstufen. Das vereinfacht den Einkauf, erschwert aber gleichzeitig den direkten Preisvergleich zwischen Anbietern, weil vergleichbare Funktionsumfänge unterschiedlich benannt und gebündelt werden. Wer Angebote einholt, sollte deshalb immer nach dem konkreten Funktionsumfang je Tier fragen, statt sich allein auf Produktnamen zu verlassen.

Die Rolle von KI in EDR, XDR und MDR

Alle großen Anbieter bewerben mittlerweile KI-gestützte Erkennung als Kernfunktion. SentinelOne integriert generative KI-Funktionen direkt in seine Singularity-Plattform, um Analysten bei der Untersuchung von Vorfällen mit automatisch generierten Zusammenfassungen zu unterstützen. CrowdStrike bietet mit Charlotte AI eine vergleichbare Funktion, die komplexe Korrelationen in natürlicher Sprache erklärt, statt Analysten mit Rohdaten allein zu lassen. Der Nutzen liegt weniger in einer höheren reinen Erkennungsrate, sondern vor allem in der Geschwindigkeit, mit der ein Analyst einen Alarm einordnen kann, was die Zeit bis zur ersten Reaktion (Time to Triage) senkt.

Kritisch betrachtet werden sollte dabei, dass KI-Funktionen die zugrunde liegende Erkennungsqualität nicht ersetzen. Ein Modell, das Alarme gut zusammenfasst, aber die eigentliche Bedrohung nicht erkennt, bringt wenig. Die MITRE-ATT&CK-Ergebnisse aus dem vorherigen Abschnitt bleiben deshalb der verlässlichere Indikator für die technische Erkennungsleistung, während KI-Funktionen vor allem die Effizienz des ohnehin knappen Sicherheitspersonals erhöhen, ein Aspekt, der angesichts des Fachkräftemangels im DACH-Raum kaum zu unterschätzen ist.

False Positives und Alert Fatigue: Der unterschätzte Kostenfaktor

Ein Faktor, der in Preislisten nie auftaucht, aber die tatsächlichen Betriebskosten stark beeinflusst, ist die Zahl der Fehlalarme. Je mehr Datenquellen eine Plattform anbindet, desto mehr potenzielle Störsignale entstehen, wenn die Korrelationslogik nicht sauber kalibriert ist. Sicherheitsteams, die täglich Hunderte Alarme sichten müssen, neigen nachweislich dazu, echte Bedrohungen zu übersehen, ein Effekt, den die Branche als Alert Fatigue bezeichnet. Genau deshalb wiegt der Wert “0 False Positives”, den CrowdStrike für die MITRE-ATT&CK-Evaluation 2025 meldete, schwerer als die reine Erkennungsrate. Ein Tool, das jede Technik erkennt, aber gleichzeitig Dutzende harmlose Prozesse fälschlich markiert, bindet mehr Analystenzeit, als es einspart.

XDR-Plattformen adressieren dieses Problem, indem sie Alarme aus verschiedenen Quellen zu einem einzigen, kontextreichen Vorfall zusammenfassen, statt zehn Einzelalarme parallel auszugeben. Das reduziert die Alarmzahl, verlangt aber im Gegenzug eine sorgfältige Ersteinrichtung der Korrelationsregeln, sonst verschiebt sich das Problem nur auf eine andere Ebene. MDR-Anbieter lösen die Frage anders: Ihr SOC-Team filtert Alarme vor, bevor sie überhaupt beim Kunden ankommen, wodurch interne Teams in der Praxis nur noch die tatsächlich relevanten Vorfälle sehen. Für Unternehmen mit kleinem Sicherheitsteam ist das oft der eigentliche Mehrwert von MDR, nicht die reine Erkennungstechnologie im Hintergrund.

Compliance-Reporting: NIS2 und DORA treiben die Nachfrage

Ein wachsender Treiber für EDR-, XDR- und MDR-Investitionen in Deutschland ist regulatorischer Druck. Mit dem NIS2-Umsetzungsgesetz fallen laut BSI-Schätzungen rund 29.500 Unternehmen in Deutschland unter verschärfte Melde- und Nachweispflichten, darunter eine 24-Stunden-Frist für die erste Meldung eines erheblichen Sicherheitsvorfalls an das BSI. Ohne durchgehendes Monitoring lässt sich diese Frist kaum einhalten, denn ein Vorfall muss zuerst überhaupt erkannt werden, bevor er gemeldet werden kann. Für den Finanzsektor kommt mit der DORA-Verordnung eine vergleichbare Pflicht hinzu, inklusive Nachweisen über Reaktionsfähigkeit und Testszenarien für IKT-Vorfälle.

Alle drei Ansätze liefern hierfür unterschiedlich verwertbare Nachweise. EDR-Tools protokollieren Endpoint-Ereignisse granular, liefern aber selten fertige Compliance-Berichte. XDR-Plattformen wie Prowler-Ergänzungen oder native Dashboards bilden oft direkt Rahmenwerke wie CIS, NIST oder ISO 27001 ab und exportieren Berichte auf Knopfdruck. MDR-Provider übernehmen die Dokumentation meist komplett, inklusive Nachweisen über Reaktionszeiten, was bei einer behördlichen Prüfung nach einem Vorfall den administrativen Aufwand für das Unternehmen erheblich reduziert. Wer aktuell eine NIS2-Betroffenheitsprüfung durchführt, sollte die Wahl der Detection-Technologie deshalb nicht getrennt von der Compliance-Strategie treffen.

MITRE-ATT&CK-Evaluation 2025: Die Testergebnisse

Die MITRE ATT&CK Enterprise Evaluations gelten als unabhängigster verfügbarer Test für EDR- und XDR-Plattformen, auch wenn Hersteller die Konfiguration für den eigenen Testlauf selbst wählen. In der Runde 2025, die Angriffsmuster der Gruppen Scattered Spider und Mustang Panda simulierte, nahmen laut SecurityWeek nicht alle großen Anbieter teil.

Anbieter / ProduktTeilnahme 2025Ergebnis (Herstellerangabe)Quelle
CrowdStrike FalconJa100 % Detection, 100 % Protection, 0 False Positivescrowdstrike.com
Trend Micro Vision OneJa100 % Analytic Coverage, 100 % Protection, 100 % Cloud Layer CoverageTrend Micro / Herstellerbericht
Sophos XDR / Intercept XJa100 % Detection bei 16 Angriffsschritten, Technique-Level Detection bei 86 von 90 Sub-Stepssophos.com
Microsoft Defender / SentinelNeinKeine 2025er MITRE-Zahlen verfügbarSecurityWeek
SentinelOne SingularityNeinKeine 2025er MITRE-Zahlen verfügbarSecurityWeek
Palo Alto Cortex XDRNeinKeine 2025er MITRE-Zahlen verfügbarSecurityWeek

Wichtig für die Einordnung: Die 100-Prozent-Werte stammen aus Herstellerkommunikation zur eigenen Testkonfiguration, nicht aus einer MITRE-eigenen Gesamtnote, denn MITRE selbst vergibt keine Scores, sondern veröffentlicht nur Rohdaten zu erkannten Techniken. Dass Microsoft, SentinelOne und Palo Alto Networks 2025 nicht teilnahmen, bedeutet nicht automatisch schwächere Produkte. Mehrere Anbieter begründeten den Rückzug öffentlich mit dem hohen Ressourcenaufwand, den eine Teilnahme bindet.

Für Einkäufer bedeutet das in der Praxis: MITRE-Ergebnisse taugen als ein Datenpunkt unter mehreren, nicht als alleinige Kaufentscheidung. Wer einen Anbieter ausschließlich wegen eines MITRE-Resultats auswählt, sollte zusätzlich prüfen, wie die Testkonfiguration im Detail aussah, denn Hersteller dürfen ihre Produkte für den Test optimal einstellen, was von der Standardkonfiguration im eigenen Unternehmen abweichen kann. Ein eigener Proof-of-Concept mit realitätsnaher Konfiguration bleibt deshalb unverzichtbar, bevor eine mehrjährige Lizenz unterschrieben wird.

Preise im Vergleich: Was EDR, XDR und MDR kosten

Öffentliche Preislisten sind in der Sicherheitsbranche die Ausnahme. CrowdStrike und SentinelOne veröffentlichen jedoch Einstiegspreise für kleinere Umgebungen, die eine grobe Orientierung erlauben. Alle Preise sind US-Dollar-Listenpreise, deutsche Reseller kalkulieren DACH-Angebote üblicherweise individuell.

AnbieterProdukt / TierKategorieListenpreis
CrowdStrikeFalcon GoEDR (Einstieg)59,99 $/Gerät/Jahr (≈7,99 $/Monat)
CrowdStrikeFalcon ProEDR erweitert99,99 $/Gerät/Jahr (≈14,99 $/Monat)
CrowdStrikeFalcon EnterpriseEDR/XDR184,99 $/Gerät/Jahr (≈19,99 $/Monat)
CrowdStrikeFalcon CompleteMDRKein öffentlicher Listenpreis, Angebot auf Anfrage
SentinelOneSingularity CoreEDR (Einstieg)≈69,99 $/Endpoint/Jahr (≈5,83 $/Monat)
SentinelOneSingularity ControlEDR erweitert≈79,99 $/Endpoint/Jahr (≈6,67 $/Monat)
SentinelOneSingularity CompleteEDR/XDR179,99 $/Endpoint/Jahr (≈15 $/Monat)
SentinelOneSingularity CommercialXDR229,99 $/Endpoint/Jahr (≈19,17 $/Monat)
SophosSophos MDRMDRKein öffentlicher Listenpreis, individuelles Angebot
MicrosoftDefender for Endpoint / SentinelEDR/XDRTeil von Microsoft-365-E5-Lizenzbündeln, kein separater EDR-Listenpreis
Trend MicroVision OneXDRKein öffentlicher Listenpreis, volumenbasiertes Angebot
Arctic WolfManaged Detection and ResponseMDRKein öffentlicher Listenpreis, individuelles Angebot
Rapid7MDRMDRKein öffentlicher Listenpreis, individuelles Angebot

Analysten beobachten bei Enterprise-Deals häufig Rabatte von rund 30 Prozent gegenüber den Listenpreisen, offizielle Zahlen dazu veröffentlichen die Hersteller allerdings nicht. Wer MDR bucht, zahlt zusätzlich zur Technologie-Lizenz meist eine separate Service-Gebühr für das SOC-Team, die je nach Reaktionszeit-Garantie (SLA) und Endpoint-Zahl stark variiert.

Marktwachstum: Wie groß sind EDR, XDR und MDR wirklich?

Marktschätzungen für XDR schwanken zwischen den Analysehäusern erheblich, ein Hinweis darauf, wie jung und unscharf abgegrenzt das Segment noch ist. MarketsandMarkets beziffert den globalen XDR-Markt für 2025 auf 7,92 Milliarden US-Dollar mit einem Wachstum auf 30,86 Milliarden US-Dollar bis 2030 (31,2 % CAGR). Straits Research kommt für 2025 nur auf 2,13 Milliarden US-Dollar bei 20,1 % CAGR bis 2034. Der EDR-Markt gilt als reifer und wird für 2026 auf rund 6,33 Milliarden US-Dollar geschätzt, bei weiterhin hohen 24,15 % Wachstum pro Jahr bis 2031. Der Gartner Market Guide for Managed Detection and Response prognostizierte für 2025 einen MDR-Umsatz von 2,15 Milliarden US-Dollar bei rund 20 % CAGR zwischen 2021 und 2025, dazu die Einschätzung, dass bereits 50 Prozent aller Organisationen MDR-Services nutzen.

Gemeinsam ist allen Studien der Trend: Wachstumsraten von 20 bis über 30 Prozent pro Jahr zeigen, dass Unternehmen weltweit von reinem EDR auf breitere Erkennungsmodelle umsteigen, auch wenn EDR als Basistechnologie nicht verschwindet, sondern die Grundlage für XDR und MDR bleibt. Auffällig ist zudem, dass der MDR-Markt laut Gartner mit der höchsten geschätzten Wachstumsrate aller drei Segmente wächst, ein Indiz dafür, dass der Fachkräftemangel im Sicherheitsbereich Unternehmen stärker in Richtung Managed Services drängt, als es reine Technologiepräferenzen erklären würden. Für den deutschsprachigen Raum passt das zum wiederholt dokumentierten Mangel an ausgebildeten SOC-Analysten, der viele mittelständische Unternehmen faktisch zwingt, entweder MDR zu buchen oder Erkennungslücken in Kauf zu nehmen.

Der Preis der Langsamkeit: IBM-Zahlen zu Erkennungszeit und Kosten

Der IBM Cost of a Data Breach Report 2025 liefert die stärkste Begründung dafür, warum die Wahl zwischen EDR, XDR und MDR mehr ist als eine Technikfrage. Global dauert es im Schnitt 241 Tage von der Kompromittierung bis zur vollständigen Eindämmung eines Vorfalls, der niedrigste Wert seit neun Jahren, nach einem Höchststand von 287 Tagen 2021. Aufgeteilt sind das 181 Tage bis zur Identifizierung (Mean Time to Identify) und 60 Tage bis zur Eindämmung (Mean Time to Contain).

Der finanzielle Effekt ist deutlich messbar. Vorfälle mit einem Lebenszyklus unter 200 Tagen kosten laut Auswertung der IBM-Daten im Schnitt 3,61 Millionen US-Dollar, Vorfälle über 200 Tage kosten 5,49 Millionen US-Dollar, ein Unterschied von 1,88 Millionen US-Dollar pro Vorfall. Unternehmen, die KI und Automatisierung umfassend in ihre Erkennung integrieren, identifizieren und dämmen Angriffe im Schnitt 80 Tage schneller ein als Unternehmen ohne solche Werkzeuge. Deutschland schneidet im internationalen Vergleich gut ab: Mit 170 Tagen Lebenszyklus liegt der deutsche Durchschnitt 71 Tage unter dem globalen Wert, bei durchschnittlichen Kosten von 3,87 Millionen Euro pro Datenleck, ein Rückgang gegenüber 4,9 Millionen Euro im Vorjahr.

Diese Zahlen liefern die eigentliche Rechtfertigung für Investitionen in EDR, XDR oder MDR, denn keine der drei Technologien verhindert Angriffe zu hundert Prozent. Ihr eigentlicher Wert liegt darin, die Zeitspanne zwischen erstem Eindringen und vollständiger Eindämmung zu verkürzen, und genau diese Zeitspanne bestimmt laut IBM maßgeblich, wie teuer ein Vorfall am Ende wird. Ein Unternehmen, das durch bessere Detection-Technologie von einem 241-Tage-Durchschnitt auf einen 170-Tage-Wert wie in Deutschland kommt, bewegt sich damit finanziell in Richtung des günstigeren Kostenszenarios, auch wenn die genaue Ersparnis je nach Branche und Vorfalltyp variiert.

Bedrohungslage DACH: Warum Unternehmen jetzt handeln müssen

Der BSI-Lagebericht 2025 stuft die IT-Sicherheitslage in Deutschland weiterhin als angespannt ein. Täglich registriert das BSI rund 280.000 neue Schadprogramm-Varianten. Im Berichtszeitraum wurden 950 Ransomware-Angriffe angezeigt, wovon laut BKA rund 80 Prozent kleine und mittlere Unternehmen trafen. Bei etwa 72 Prozent dieser Ransomware-Fälle wurden zusätzlich Daten exfiltriert und auf Leak-Sites veröffentlicht, was den reinen Verschlüsselungsschaden noch verschärft. Mehr als 30.000 verwundbare Microsoft-Exchange-Server stehen laut BSI weiterhin in kritischen Einrichtungen, etwa im Gesundheitswesen und in der Bildung. Die Zahl neu entdeckter Schwachstellen stieg im Berichtszeitraum um 24 Prozent auf durchschnittlich 119 pro Tag.

In der Schweiz registrierte das Bundesamt für Cybersicherheit (BACS) im ersten Halbjahr 2025 insgesamt 35.727 Meldungen zu Cybervorfällen, ein stabil hohes Niveau. Für Österreich veröffentlichen Behörden bislang weniger granulare, endpoint-bezogene Statistiken als das BSI oder das BACS, was die Einordnung erschwert, aber nichts an der grundsätzlichen Bedrohungslage ändert, da Angreifergruppen Landesgrenzen innerhalb der DACH-Region ohnehin kaum als Hindernis betrachten.

Für Endpoint-Security bedeuten diese Zahlen in Summe: Angreifer nutzen ungepatchte Systeme und Schwachstellen gezielt für Lateral Movement, genau die Angriffskette, die EDR-, XDR- und MDR-Lösungen unterbrechen sollen, bevor Daten das Netzwerk verlassen. Die Kombination aus 280.000 täglich neuen Schadprogramm-Varianten und tausenden verwundbaren Exchange-Servern zeigt, dass klassisches, rein signaturbasiertes Virenschutz-Denken in Deutschland als alleinige Verteidigungslinie nicht mehr ausreicht.

5 Praxisbeispiele aus dem Unternehmensalltag

Wie sich die Wahl zwischen EDR, XDR und MDR in der Praxis auswirkt, zeigen sechs typische Szenarien aus dem deutschsprachigen Mittelstand und Konzernumfeld. Die Beispiele sind anonymisierte, typische Konstellationen, wie sie IT-Dienstleister und Systemhäuser im DACH-Raum regelmäßig beschreiben.

  • Maschinenbauer, 120 Mitarbeiter, kein eigenes SOC: Nach einem Ransomware-Vorfall, der eine Produktionslinie für zwei Tage lahmlegte, entscheidet sich das Unternehmen für Sophos MDR, weil die IT-Abteilung aus zwei Personen besteht und niemand Nachtschichten für Alarm-Monitoring übernehmen kann. Der Provider übernimmt Triage und Eindämmung rund um die Uhr, während sich das interne Team auf Patch-Management und Netzwerksegmentierung zwischen Büro- und Produktions-IT konzentriert. Innerhalb von drei Monaten sinkt die durchschnittliche Reaktionszeit auf sicherheitsrelevante Alarme von mehreren Stunden auf unter 15 Minuten.
  • Regionalbank mit AWS- und Azure-Workloads: Die IT-Sicherheitsleitung setzt auf Cortex XDR, weil Angriffe zunehmend über Cloud-Identitäten statt klassische Endpoints laufen. Reines EDR hätte die Kompromittierung eines Azure-Service-Accounts nicht mit einer verdächtigen VPN-Anmeldung aus einem anderen Land korreliert. Die Bank begründet die Investition zusätzlich mit den strengeren Nachweispflichten aus der DORA-Verordnung, die für Finanzinstitute lückenlose Reaktionsnachweise verlangt.
  • Kommunalverwaltung mit begrenztem Budget: Für rund 300 Arbeitsplatzrechner reicht laut IT-Leitung zunächst CrowdStrike Falcon Go als Einstiegs-EDR, kombiniert mit einer schrittweisen Migration zu Falcon Pro, sobald zusätzliches Budget im nächsten Haushaltsjahr freigegeben wird. Die Entscheidung fiel bewusst gegen ein MDR-Angebot, weil vergaberechtliche Vorgaben eine mehrjährige Ausschreibung für Managed Services erfordert hätten.
  • Krankenhaus als KRITIS-Betreiber: Wegen gesetzlicher 24/7-Meldepflichten unter dem KRITIS-Dachgesetz und chronischem Fachkräftemangel im IT-Sicherheitsbereich entscheidet sich die Klinik für Arctic-Wolf-MDR-Services, die auf der vorhandenen Endpoint-Infrastruktur aufsetzen, statt ein eigenes SOC aufzubauen. Ausschlaggebend war, dass medizinische Geräte im Netzwerk oft veraltete Betriebssysteme nutzen und besonders engmaschige Überwachung benötigen.
  • SaaS-Unternehmen mit Microsoft-365-Stack: Da das Unternehmen bereits vollständig auf Microsoft 365 E5 lizenziert ist, kombiniert das interne Security-Team Defender for Endpoint mit Microsoft Sentinel zu einer nativen XDR-Lösung, ohne zusätzliche Drittanbieter-Plattform einzuführen. Das spart nicht nur Lizenzkosten, sondern vereinfacht auch das Onboarding neuer Mitarbeiter, da dieselbe Plattform bereits für Identity- und Compliance-Aufgaben genutzt wird.
  • E-Commerce-Händler mit Black-Friday-Lastspitzen: Wegen stark schwankender Serverlast während saisonaler Verkaufsspitzen setzt der Händler auf Singularity Complete von SentinelOne, weil die KI-gestützte Verhaltensanalyse laut internem Test weniger manuelle Regel-Pflege benötigt als klassische signaturbasierte Ansätze, wenn kurzfristig neue Cloud-Instanzen hochgefahren werden.

Vor- und Nachteile von EDR, XDR und MDR

EDR: Vorteile und Nachteile

Vorteile: Günstigster Einstieg, granulare Kontrolle über Endpoint-Verhalten, breite Anbieterauswahl, ausgereifte Technologie mit langer Marktpräsenz und entsprechend großer Community für Troubleshooting.
Nachteile: Blind für Angriffe, die primär über Cloud, Identität oder Netzwerk laufen, erfordert internes Fachpersonal für Alarmauswertung, keine automatische Korrelation über mehrere Systeme hinweg, bei reiner Bürozeiten-Besetzung entstehen Erkennungslücken über Nacht und am Wochenende.

XDR: Vorteile und Nachteile

Vorteile: Korrelierte Sicht über Endpoint, Cloud, Netzwerk und Identität, laut ACSMI-Benchmark 41 Prozent schnellere Vorfall-Lösung, oft nativ in bestehende EDR-Lizenz integrierbar.
Nachteile: Höherer Preis pro Endpoint, benötigt qualifiziertes internes Personal für Tuning und Untersuchung, Datenmenge im zentralen Data Lake kann Kosten treiben.

MDR: Vorteile und Nachteile

Vorteile: 24/7-Abdeckung ohne eigenes Nachtschicht-Team, direkter Zugriff auf erfahrene Analysten, planbare Kosten über Service-Vertrag.
Nachteile: Wenig öffentliche Preistransparenz, Abhängigkeit von der Reaktionsgeschwindigkeit des Providers, sensible Daten verlassen die eigene Infrastruktur zur Analyse.

Migrationsleitfaden: Von EDR zu XDR oder MDR wechseln

Unternehmen, die von einem reinen EDR-Setup zu XDR oder MDR wechseln wollen, sollten strukturiert vorgehen, statt Lizenzen überstürzt zu ersetzen. Ein überstürzter Wechsel mitten im laufenden Betrieb erzeugt in der Regel genau die Erkennungslücken, die die neue Plattform eigentlich schließen soll, weil Übergangsphasen ohne durchgängige Abdeckung entstehen. Die folgenden acht Schritte haben sich in der Praxis als Mindeststandard etabliert.

  1. Bestandsaufnahme der aktuellen Tools: Welche Endpoints, Cloud-Konten und Identitätssysteme sind bereits an das EDR angebunden?
  2. Datenquellen priorisieren: Netzwerk, Cloud-Workloads, E-Mail oder Identity zuerst anbinden, je nach größtem Risiko im Unternehmen.
  3. Zwei bis drei Anbieter im Proof-of-Concept testen, idealerweise mit echten, anonymisierten Telemetriedaten aus dem eigenen Netz.
  4. Integration mit bestehendem SIEM oder SOAR planen, um Doppelalarme zu vermeiden.
  5. Parallelbetrieb von 4 bis 8 Wochen einplanen, bevor die alte EDR-Lösung abgeschaltet wird.
  6. Playbooks und Runbooks für das SOC-Team oder den MDR-Provider an die neue Plattform anpassen.
  7. Bei MDR: Service-Level-Agreements zur Reaktionszeit vertraglich fixieren, inklusive Eskalationswegen außerhalb der Geschäftszeiten.
  8. Nach dem Go-Live: Erkennungsregeln über die ersten drei Monate laufend nachjustieren, um Fehlalarme zu reduzieren.

Wichtig ist zudem, den alten Vertrag nicht vor erfolgreichem Abschluss des Parallelbetriebs zu kündigen. Gerade bei MDR-Wechseln kommt es vor, dass der neue Provider länger für die Einarbeitung in die individuelle Netzwerktopologie benötigt als ursprünglich vereinbart, insbesondere wenn viele Alt-Systeme oder Speziallösungen im Einsatz sind.

Welche Lösung passt zu wem? Konkrete Empfehlungen

Eine pauschale Empfehlung gibt es nicht, da die richtige Wahl stark von Unternehmensgröße, Branche, vorhandenem Personal und regulatorischem Druck abhängt. Die folgenden sechs Profile orientieren sich an den Konstellationen, die in deutschen und österreichischen IT-Abteilungen am häufigsten vorkommen.

  • Start-ups und Kleinunternehmen (unter 50 Mitarbeiter): Ein Einstiegs-EDR wie Falcon Go oder Singularity Core reicht meist aus, MDR ist häufig zu teuer im Verhältnis zum Risiko. Wichtiger als die Plattformwahl ist hier oft, überhaupt einen Agenten auf jedem Endpoint zu haben, denn viele kleine Unternehmen verlassen sich noch komplett auf Betriebssystem-eigene Schutzfunktionen.
  • Mittelstand ohne eigenes SOC (50 bis 500 Mitarbeiter): MDR ist hier oft die wirtschaftlichste Lösung, weil ein eigenes 24/7-Team schlicht nicht finanzierbar ist. Die Rechnung ist einfach: Drei Vollzeitstellen für Schichtbetrieb kosten in Deutschland deutlich mehr im Jahr als die meisten MDR-Verträge für eine mittelgroße Endpoint-Flotte.
  • Unternehmen mit Multi-Cloud-Infrastruktur: XDR ist praktisch Pflicht, sobald Workloads über AWS, Azure oder GCP verteilt sind und Angriffe über Cloud-Identitäten statt klassische Endpoints laufen können. Reines EDR sieht in diesen Umgebungen nur einen Bruchteil der tatsächlichen Angriffsfläche.
  • Konzerne mit eigenem, ausgebautem SOC: EDR plus selbst betriebenes XDR bietet die größte Kontrolle über Erkennungsregeln und Datenhoheit, erfordert aber ausreichend qualifiziertes Personal für Tuning, Untersuchung und ständige Weiterentwicklung der Playbooks.
  • KRITIS-Betreiber (Kliniken, Energieversorger, Wasserwirtschaft): MDR mit vertraglich fixierten Reaktionszeiten erfüllt gesetzliche Meldepflichten zuverlässiger als ein unterbesetztes internes Team, das im Ernstfall zusätzlich noch die Meldung an die Behörden formulieren müsste.
  • Microsoft-365-lastige Organisationen: Die native Kombination aus Defender for Endpoint und Sentinel spart eine zusätzliche Plattform-Lizenz, sofern E5-Lizenzen ohnehin vorhanden sind, und reduziert die Zahl der Konsolen, die das Team täglich im Blick behalten muss.

Checkliste: Die richtigen Fragen vor dem Vertragsabschluss

Bevor ein Vertrag mit einem EDR-, XDR- oder MDR-Anbieter unterschrieben wird, lohnt sich eine strukturierte Abfrage. Die folgenden Fragen sollten in jedem Angebotsvergleich beantwortet sein, unabhängig davon, welcher Hersteller am Ende gewählt wird.

  • Welche garantierte Reaktionszeit (SLA) gilt für kritische Alarme, und gilt diese auch nachts und am Wochenende?
  • Werden Daten in der EU verarbeitet und gespeichert, oder erfolgt die Analyse auf Servern außerhalb der EU?
  • Wie viele Fehlalarme produziert die Lösung im Schnitt pro 1.000 Endpoints und Monat, belegt durch Referenzkunden?
  • Welche Compliance-Reports lassen sich direkt aus der Plattform exportieren, etwa für NIS2- oder DORA-Nachweise?
  • Ist eine Ausstiegsklausel vorhanden, falls die Erkennungsleistung die vertraglich zugesicherten Werte nicht erreicht?
  • Wie lange dauert die durchschnittliche Onboarding-Zeit bis zur vollständigen Betriebsbereitschaft, belegt durch Referenzprojekte?
  • Welche Drittanbieter-Integrationen (SIEM, SOAR, Ticketsystem) sind bereits vorkonfiguriert, und welche erfordern Zusatzaufwand?

Gerade die Frage nach dem Verarbeitungsstandort der Daten gewinnt in Deutschland an Bedeutung, seit Aufsichtsbehörden und Kunden zunehmend auf Datenresidenz innerhalb der EU bestehen. Mehrere der hier vorgestellten Anbieter betreiben mittlerweile eigene EU-Rechenzentren, dies sollte im Angebot jedoch explizit schriftlich bestätigt werden, statt sich auf allgemeine Marketingaussagen zu verlassen.

Das Verdikt: Unsere Einschätzung mit Zahlen

EDR bleibt 2026 die Pflichtbasis für jedes Unternehmen, unabhängig von Größe, denn ohne Endpoint-Sichtbarkeit funktioniert weder XDR noch MDR. Die Entscheidung fällt danach entlang zweier Fragen: Wie verteilt ist die Infrastruktur, und wie viel qualifiziertes Personal steht rund um die Uhr zur Verfügung? Wer Workloads über mehrere Clouds verteilt und ein eigenes, erfahrenes Team hat, profitiert von XDR und der belegten 41-prozentigen Beschleunigung bei der Vorfall-Lösung. Wer dagegen kein 24/7-SOC stemmen kann, fährt mit MDR besser, selbst wenn die Preistransparenz hier am geringsten ist.

Die IBM-Zahlen liefern den härtesten Business-Case: Ein um 200 Tage kürzerer Erkennungszeitraum spart im Schnitt 1,88 Millionen US-Dollar pro Vorfall, ein Betrag, der jede Investition in bessere Detection-Technologie in den meisten Fällen rechtfertigt. Für die MITRE-Ergebnisse gilt gleichzeitig: Ein 100-Prozent-Score in der Herstellerkommunikation ersetzt keinen eigenen Proof-of-Concept, denn Testkonfiguration und reale Unternehmensumgebung unterscheiden sich fast immer. Wer 2026 investiert, sollte deshalb weniger nach dem vermeintlich besten Anbieter suchen, sondern nach der Kombination aus Technologie und Betriebsmodell, die zur eigenen Personalsituation und regulatorischen Pflicht tatsächlich passt.

Häufig gestellte Fragen zu EDR, XDR und MDR

Was ist der Unterschied zwischen EDR und klassischem Antivirus?
Antivirus arbeitet signaturbasiert und erkennt vor allem bekannte Schadsoftware. EDR überwacht kontinuierlich Verhalten und Prozesse, um auch unbekannte Angriffstechniken zu erkennen, und erlaubt eine forensische Untersuchung nach einem Vorfall.

Brauche ich XDR, wenn ich bereits EDR im Einsatz habe?
Das hängt von der Infrastruktur ab. Wer ausschließlich lokale Endpoints betreibt, kommt oft mit reinem EDR aus. Sobald Cloud-Workloads, Identitätssysteme oder E-Mail-Gateways ins Spiel kommen, schließt XDR die Erkennungslücken zwischen diesen Systemen.

Ersetzt MDR ein eigenes internes Security-Team komplett?
Nein. MDR übernimmt Monitoring, Triage und oft die Erstreaktion, ersetzt aber nicht die strategische IT-Sicherheitsarbeit wie Patch-Management, Awareness-Schulungen oder Architekturentscheidungen im eigenen Haus.

Wie viel kostet EDR pro Endpoint im Monat?
Bei den beiden Anbietern mit öffentlichen Preisen liegt der Einstieg zwischen 5,83 US-Dollar (SentinelOne Singularity Core) und 7,99 US-Dollar (CrowdStrike Falcon Go) pro Endpoint und Monat. XDR-Tiers kosten bei beiden Anbietern zwischen 15 und rund 20 US-Dollar pro Endpoint und Monat.

Welcher Anbieter hat 2025 bei MITRE ATT&CK am besten abgeschnitten?
CrowdStrike, Trend Micro Vision One und Sophos XDR meldeten für die Enterprise-Evaluation 2025 jeweils nahezu perfekte Erkennungsergebnisse. Microsoft, SentinelOne und Palo Alto Networks nahmen 2025 nicht teil, weshalb für diese drei Anbieter keine aktuellen MITRE-Vergleichszahlen vorliegen.

Reicht Microsoft Defender for Endpoint allein aus, oder brauche ich zusätzlich XDR?
Defender for Endpoint deckt EDR-Funktionen ab. Für vollständige XDR-Korrelation über Cloud, Identität und E-Mail benötigen Unternehmen zusätzlich Microsoft Sentinel, was bei vorhandener Microsoft-365-E5-Lizenz meist ohne separate Plattform möglich ist. Ohne Sentinel bleibt Defender ein starkes, aber isoliertes Endpoint-Werkzeug ohne Korrelation zu Cloud- oder Identitätsereignissen.

Wie lange dauert eine Migration von EDR zu XDR in der Praxis?
Je nach Unternehmensgröße und Anzahl der anzubindenden Datenquellen sollten Unternehmen 8 bis 16 Wochen einplanen, inklusive Proof-of-Concept, Parallelbetrieb und Nachjustierung der Erkennungsregeln. Größere Konzerne mit vielen Altsystemen und komplexen Cloud-Umgebungen sollten eher am oberen Ende dieser Spanne planen, kleinere Unternehmen mit überschaubarer Infrastruktur kommen oft schneller zum Abschluss.

Lohnen sich Open-Source-Alternativen zu kommerziellen EDR-Lösungen?
Für Unternehmen mit begrenztem Budget und vorhandenem Sicherheitsfachwissen können Open-Source-SIEM-Lösungen als Ergänzung sinnvoll sein, ersetzen aber selten die Endpoint-Agent-Technologie kommerzieller EDR-Anbieter vollständig, da diese auf tiefe Betriebssystem-Integration und ständig aktualisierte Bedrohungsdaten angewiesen ist.

Was ist der Unterschied zwischen MDR und einem klassischen MSSP?
Ein klassischer Managed Security Service Provider (MSSP) überwacht meist nur Alarme und leitet sie an den Kunden weiter, ohne selbst tief in die Untersuchung einzusteigen. MDR-Anbieter übernehmen dagegen aktiv Threat Hunting, forensische Analyse und oft die direkte Eindämmung eines Vorfalls, weshalb Gartner MDR explizit als eigene, weiterentwickelte Kategorie von SOC-Dienstleistungen führt.