Endpoint Security: EDR, EPP und ganzheitlicher Geräteschutz

Endpoints - Laptops, Workstations, Server, mobile Geräte, virtuelle Maschinen - sind der primäre Angriffspunkt für Cyberkriminelle. 80% aller Sicherheitsvorfälle beginnen auf einem Endpoint. Endpoint Security ist deshalb kein optionales Feature, sondern die Grundlage jeder Sicherheitsarchitektur.

Von Antivirus zu EDR: Die Evolution

Generation 1: Signaturbasiertes Antivirus (1990er-2010er)

Das klassische Antivirus vergleicht Dateien gegen eine Datenbank bekannter Malware-Signaturen. Funktioniert gut für bekannte Schadsoftware - versagt komplett bei:

Zero-Day-Exploits (kein Signatur vorhanden)
Polymorphe und metamorphe Malware (verändert Signatur)
Fileless Malware (keine Datei auf der Festplatte)
Living-off-the-Land-Techniken (legitime System-Tools missbraucht)

Status: Notwendig als Grundlage, aber bei weitem nicht ausreichend.

Generation 2: Endpoint Protection Platform (EPP)

EPP kombiniert mehrere Erkennungsmethoden:

Signaturbasierte Erkennung
Verhaltensbasierte Heuristik (verdächtige Aktivitätsmuster)
Machine-Learning-Modelle
URL/Reputation-Filter
Application Whitelisting

EPP ist reaktiv: Es versucht Malware beim Eintritt zu blockieren.

Generation 3: Endpoint Detection and Response (EDR)

EDR geht einen Schritt weiter - es kombiniert Prävention mit Erkennung und Response:

Kontinuierliche Überwachung: EDR zeichnet alle Aktivitäten auf jedem Endpoint auf: Prozesse, Netzwerkverbindungen, Dateioperationen, Registry-Änderungen, Speicherzugriffe. Dieser Telemetrie-Stream fließt in eine zentrale Cloud-Plattform.

Bedrohungserkennung: Verhaltensbasierte Erkennung auf Basis von MITRE ATT&CK-Techniken. Ein EDR erkennt nicht "das ist bekannte Malware" - sondern "dieses Verhalten entspricht Technik T1003 (Credential Dumping)".

Forensik und Investigation: Nach einem Alarm: Vollständige Prozess-Baumansicht, was hat der Prozess gemacht, welche Verbindungen aufgebaut, welche Dateien geschrieben. In Minuten statt Stunden.

Automated Response:

Prozess automatisch beenden
Host isolieren (Netzwerkverbindung trennen, aber Management-Verbindung behalten)
Datei unter Quarantäne stellen

Marktführer (Gartner Magic Quadrant 2024): CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Palo Alto Cortex XDR, Sophos Intercept X, Trend Micro Vision One.

Generation 4: XDR (Extended Detection and Response)

XDR erweitert EDR um weitere Telemetriequellen:

Endpoint (EDR)
Netzwerk (NDR)
Cloud Workloads
E-Mail
Identitäten (Active Directory, Entra ID)

Korrelation über alle Quellen ermöglicht: "Phishing-E-Mail empfangen → Nutzer klickt Link → Browser startet PowerShell → PowerShell verbindet zu C2 → Lateral Movement zu DC" - als zusammenhängenden Angriffspfad erkannt, nicht als 5 separate Alerts.

Endpoint-Härtung (Hardening)

Härtung reduziert die Angriffsfläche bevor Malware überhaupt aktiv wird.

Windows Hardening (Wesentliche Maßnahmen)

PowerShell-Einschränkungen:

# Constrained Language Mode (verhindert PowerShell als Angriffswerkzeug)
Set-ExecutionPolicy -ExecutionPolicy AllSigned -Scope LocalMachine

# Script Block Logging (für forensische Analyse)
# Via GPO: Computer Configuration → Admin Templates → Windows Components → PowerShell

Windows Defender Application Control (WDAC): Nur signierte und zugelassene Anwendungen dürfen starten - Application Whitelisting auf Kernel-Ebene. Verhindert Ausführung nicht genehmigter Binärdateien.

Credential Guard: Schützt LSASS (Local Security Authority Subsystem) vor Credential-Dump-Angriffen (Mimikatz). Speichert Anmeldeinformationen in einer isolierten Hyper-V-Umgebung.

Den Credential Guard Status prüft man über msinfo32 → Systemzusammenfassung → Virtualisierungsbasierte Sicherheit.

Windows Defender Exploit Guard:

Attack Surface Reduction (ASR) Rules: Blockiert typische Angriffstechniken (Office-Makros, Skript-Ausführung aus Temp-Ordnern)
Controlled Folder Access: Verhindert Ransomware-Verschlüsselung (nur autorisierte Apps können Dateien schreiben)
Network Protection: Blockiert ausgehende Verbindungen zu bekannten schädlichen Domains

LAPS (Local Administrator Password Solution): Jeder Windows-Computer erhält ein einzigartiges, rotierendes lokales Admin-Passwort. Verhindert Pass-the-Hash-Lateral-Movement (ein kompromittierter Rechner gibt kein Passwort das auf 500 anderen Rechnern gilt).

UAC (User Account Control): Standardnutzer statt Admin-Rechte im Alltag. Erhöhte Rechte nur bei expliziter Bestätigung - verhindert dass Malware automatisch mit Admin-Rechten läuft.

macOS Hardening

Gatekeeper: Nur signierte und notarisierte Anwendungen
System Integrity Protection (SIP): Schützt kritische Systempfade vor Manipulation
FileVault: Vollverschlüsselung (analog zu BitLocker)
Managed Device Management (MDM): Unternehmensverwaltung via Apple Business Manager

Mobile Endpoints (iOS/Android)

Mobile Device Management (MDM): Unternehmensrichtlinien für mobile Geräte: Passwort-Anforderungen, App-Whitelist, Remote-Wipe.

Mobile Application Management (MAM): Trennung von privaten und Unternehmens-Apps/Daten auf BYOD-Geräten (Bring Your Own Device).

Conditional Access: Nur verwaltete und compliant-Geräte erhalten Zugang zu Unternehmensressourcen (Microsoft Intune, Jamf, VMware Workspace ONE).

Patch Management - kritische Grundlage

Ungepatchte Systeme sind der häufigste Angriffsvektor. WannaCry (2017) nutzte eine 2 Monate alte Windows-Schwachstelle für die ein Patch existierte - aber nicht eingespielt war.

Patch-SLAs als Best Practice:

CVSS-Score	Kritikalität	Patch-Deadline
9.0-10.0	Kritisch	24-48 Stunden
7.0-8.9	Hoch	7 Tage
4.0-6.9	Mittel	30 Tage
0-3.9	Niedrig	90 Tage

Automatisierung: Microsoft WSUS/Intune, Red Hat Satellite, Ansible, Puppet für automatisierte Patch-Verteilung.

EDR und SIEM: Zusammenspiel

EDR liefert hochwertige Endpoint-Telemetrie. Im SIEM wird diese mit anderen Quellen (Netzwerk, DNS, AD-Logs, Cloud) korreliert:

Beispiel: Ein EDR-Alert über einen verdächtigen PowerShell-Befehl, kombiniert mit einem Active-Directory-Log über einen neu angelegten Domain-Admin zu ungewöhnlicher Zeit sowie einem Firewall-Log über eine ausgehende Verbindung zu einer bekannten C2-IP - diese drei Signale werden im SIEM zu einem priorisierten P1-Alert mit vollständigem Kontext korreliert. Ohne SIEM würden dieselben drei Signale als separate, möglicherweise übersehene Alerts auflaufen.

Endpoint Security für Remote-Arbeit

Homeoffice verändert das Threat-Modell:

Geräte befinden sich nicht im geschützten Perimeter
Private Netzwerke ohne Enterprise-Firewall
Gemischte Nutzung (privat und beruflich)

Empfehlungen:

EDR auf allen Unternehmensgeräten (auch Homeoffice-PCs)
VPN oder ZTNA für Unternehmens-Traffic
Conditional Access: Nur compliant-Geräte erhalten Zugang
Endpoint-DLP (Data Loss Prevention): Verhindert unkontrollierten Datenabfluss auf private USB-Sticks
Obligatorische Festplattenverschlüsselung (BitLocker/FileVault)

Compliance-Anforderungen

NIS2 Art. 21: "Erkennung von Cybersicherheitsvorfällen" und "Schutz von IKT-Systemen" sind explizite Anforderungen - EDR ist die technische Umsetzung.

BSI IT-Grundschutz SYS.2.1: "Allgemeiner Client" enthält detaillierte Anforderungen an Betriebssystem-Härtung, Virenschutz und Patch-Management.

ISO 27001 A.8.7: "Schutz gegen Schadsoftware" als explizite Kontrolle.

PCI DSS 5.x: Anti-Malware-Schutz auf allen Systemen im Cardholder Data Environment.

Endpunkt als Vertrauensanker im Zero Trust

In Zero-Trust-Architekturen ist der Endpoint-Gesundheitszustand eine Zugangsentscheidung:

Bei jeder Zugriffsanfrage an eine Unternehmensapp prüft Conditional Access vier Faktoren: die Nutzeridentität (MFA bestanden?), die Gerätecompliance (MDM enrolliert, Antivirus aktiv, OS gepatcht?), den aktuellen Gerätezustand laut EDR (kein aktiver Alert?) sowie den Netzwerkstandort (vertrauenswürdiges Netzwerk oder bekannte IP?). Erst wenn alle Checks bestehen, wird der Zugang gewährt - andernfalls wird er verweigert oder mit einem zusätzlichen MFA-Schritt belegt.

Nur Geräte die alle Checks bestehen erhalten Zugang - unabhängig vom Netzwerkstandort.