Er bringt SOC-Fähigkeiten, ohne ein eigenes Team aufzubauen.
Wie funktioniert Managed Detection and Response?
Managed Detection and Response überwacht Endgeräte, Netzwerk, Identität und Cloud rund um die Uhr, korreliert die gesammelten Ereignisse und lässt Sicherheitsanalysten eingreifen, sobald ein Alarm auf einen echten Angriff hindeutet statt auf Rauschen. Anders als ein reines SIEM, das nur Daten sammelt und Regeln anwendet, liefert MDR die menschliche Analyse und die Reaktion gleich mit: eindämmen, beseitigen, wiederherstellen.
Für ein KMU ersetzt das ein eigenes Security Operations Center, das sich mit wenigen Mitarbeitenden kaum rund um die Uhr betreiben lässt. Der Unterschied zur reinen Prävention, etwa Firewall und Virenschutz, ist der Ausgangspunkt: MDR geht davon aus, dass Prävention irgendwann scheitert, und sorgt dafür, dass der Durchbruch auffällt, statt unentdeckt zu bleiben.
Für wen ist MDR relevant (KMU DE/CH)?
Relevant wird MDR für jedes Unternehmen, das rund um die Uhr angreifbar ist, aber kein eigenes Team hat, das rund um die Uhr wacht, in der Praxis fast jedes KMU. Besonders dringlich wird es für Unternehmen mit Meldepflichten nach NIS2 oder DORA, weil ein erkannter Vorfall dort nicht nur behandelt, sondern auch fristgerecht gemeldet werden muss.
Auch ausserhalb einer gesetzlichen Meldepflicht verschiebt sich der Massstab: Weil sich Managed Security Services über eine EU-weite Definition und ein geplantes Zertifizierungsschema zunehmend standardisieren, wird eine belastbare Erkennungs- und Reaktionsfähigkeit vom Sonderfall zum erwartbaren Standard, auch in Lieferketten mit regulierten Grosskunden.
Was müssen Sie tun?
- Klären, welche Systeme angebunden werden: Endpoint, Identität, Cloud, Netzwerk
- Eskalations- und Kommunikationswege für den Ernstfall festlegen
- Reaktionsmodell definieren: begleitet der Anbieter nur, oder übernimmt er die Reaktion
- Anbindung an Meldepflichten nach NIS2 oder DORA mitdenken
Typische Fehler
- SIEM oder Log-Sammlung wird mit MDR verwechselt, ohne dass jemand die Alarme auswertet
- Kein geübter Incident-Response-Plan, der Plan existiert nur auf Papier
- Meldepflichten werden erst im Ernstfall geklärt statt vorher
- Nur Endpoints angebunden, während Identität und Cloud blind bleiben
Aufwand und Kostentreiber
Der Aufwand richtet sich nach Anzahl und Art der angebundenen Systeme, Endpoint, Identität, Cloud, Netzwerk, dem Reaktionsmodell, Begleitung oder vollständige Übernahme, der geforderten Reaktionszeit, und ob bereits ein SIEM oder Log-Management besteht, das sich weiterverwenden lässt.
Häufige Fragen
Was ist der Unterschied zwischen SIEM und MDR?
Ein SIEM sammelt und korreliert Ereignisse, MDR liefert zusätzlich die menschliche Analyse und die Reaktion auf einen erkannten Vorfall.
Übernimmt MDR die komplette Reaktion auf einen Vorfall?
Je nach Modell begleitet der Anbieter die Reaktion oder übernimmt sie vollständig. Das wird vorher vertraglich festgelegt.
Brauchen wir MDR, wenn wir schon ein SIEM haben?
Häufig ja, weil ein SIEM allein niemanden hat, der die Alarme rund um die Uhr auswertet und reagiert. MDR liefert genau diesen Teil.
Hängt MDR mit NIS2 oder DORA zusammen?
Ja, ein erkannter Vorfall muss unter diesen Regelungen fristgerecht gemeldet werden. MDR liefert dafür die frühe Erkennung.
Was macht die BSI in einem solchen Fall?
Die BSI selbst bietet keinen laufenden Rund-um-die-Uhr-Überwachungsdienst, sondern reaktive Unterstützung bei der Vorfallbewältigung und Vermittlung an geeignete Dienstleister.
Ist MDR nur für grosse Unternehmen sinnvoll?
Nein, gerade KMU ohne eigenes Sicherheitsteam profitieren, weil sie sonst gar keine Rund-um-die-Uhr-Erkennung hätten.
Quellen
- Incident Response, BSI, Bundesamt für Sicherheit in der Informationstechnik, 2026
- EU Managed Security Services Certification to drive the cybersecurity market, ENISA, European Union Agency for Cybersecurity, 2025