# NDR, EDR, SIEM, XDR, MDR: die Unterschiede

> Wie sich NDR, EDR und SIEM unterscheiden: was jedes sieht und übersieht, wo XDR und MDR passen und womit Teams ohne SOC anfangen.

Source page: https://netsenx.com/de/blog/2026-09-24_ndr-vs-edr-vs-siem · NetSenX Team · 2026-11-12

EDR schützt die Geräte, auf denen sich ein Agent installieren lässt, ein SIEM sammelt und korreliert die Logs aller Systeme, die welche schreiben, und NDR beobachtet den Netzwerkverkehr zwischen allen Geräten — auch denen, auf denen gar kein Agent läuft. Für ein IT-Team ohne Security Operations Center (SOC) heißt die praktische Reihenfolge meist: zuerst EDR auf jedem verwalteten Endpunkt, dann NDR für den Verkehr und die Geräte, die EDR nicht sieht, und ein SIEM, sobald jemand Zeit hat, täglich Regeln zu schreiben und Logs zu lesen.

## Was jedes Werkzeug beobachtet

| | EDR | SIEM | NDR |
|---|---|---|---|
| **Beobachtet** | Prozesse, Dateien und Speicher auf verwalteten Endpunkten | Logs von Servern, Firewalls, Cloud-Diensten und Anwendungen | Netzwerkverkehr zwischen Hosts, intern und nach außen |
| **Erkennt gut** | Malware, die auf einem Laptop oder Server läuft; Ransomware-Verhalten auf dem Host | Korrelationen über viele Systeme; lange Aufbewahrung; Audit-Berichte | C2-Beaconing, Scans, laterale Bewegung, ungewöhnliche ausgehende Daten |
| **Blinde Flecken** | Geräte ohne Agent: Drucker, Kameras, IoT, OT-Steuerungen, nicht verwaltete Laptops | Alles, was kein Log schreibt oder dessen Log niemand einsammelt | Was in einem Host passiert, ohne das Netzwerk zu berühren; Inhalte verschlüsselter Daten |
| **Betriebsaufwand** | Niedrig bis mittel | Hoch: Parsen, Regeln und Tuning hören nie auf | Niedrig bis mittel |
| **Übliche Preisbasis** | Pro Endpunkt | Pro aufgenommenem Datenvolumen | Pro überwachtem Gerät, Sensor oder Bandbreite |

Die drei überschneiden sich weniger, als es scheint. Ein Angreifer auf einem nicht verwalteten Gerät ist für EDR unsichtbar, und ein SIEM sieht ihn nur, wenn etwas seine Aktivität protokolliert. Derselbe Angreifer muss aber über das Netzwerk kommunizieren — mit einem Command-and-Control-Server, mit anderen Hosts, mit dem Ziel seiner Daten — und genau das sieht NDR. Das Framework MITRE ATT&CK führt [laterale Bewegung](https://attack.mitre.org/tactics/TA0008/) und [Command and Control](https://attack.mitre.org/tactics/TA0011/) aus genau diesem Grund als eigene Taktiken: Sie finden zwischen Maschinen statt.

## Womit Sie ohne SOC anfangen

1. **EDR auf jedem verwalteten Endpunkt.** Es blockiert und protokolliert schädliche Aktivität auf dem Host und braucht nach der Einführung wenig tägliche Aufmerksamkeit.
2. **NDR für das Netzwerk.** Es deckt die Geräte ab, die EDR nicht erreicht, zeigt laterale Bewegung zwischen Hosts und liefert die Zeitleiste eines Vorfalls, die NIS2-Meldungen brauchen. Wählen Sie eines, dessen Alarme sich selbst erklären: Ohne Analysten ist ein Alarm ohne Begründung ein Alarm, um den sich niemand kümmert.
3. **Ein SIEM, wenn Sie es besetzen können.** Ein SIEM lohnt sich, wenn jemand dafür verantwortlich ist — Korrelationsregeln schreibt, Parser pflegt und täglich Logs prüft. Bis dahin lassen sich die Logs, die Ihre Aufsicht verlangt, oft ohne vollständige SIEM-Einführung aufbewahren.
4. **Erwägen Sie MDR, wenn Sie 24/7-Überwachung brauchen.** Ein Managed-Detection-and-Response-Dienst sind Menschen, kein Werkzeug: Ein Anbieter beobachtet Ihre EDR-, NDR- oder SIEM-Alarme rund um die Uhr.

## Fragen vor dem Kauf eines NDR

- Sagt jeder Alarm in verständlicher Sprache, warum er ausgelöst wurde?
- Gibt es eine angegebene Fehlalarm-Obergrenze, und können Sie sie auf Ihren eigenen Daten prüfen?
- Ist die Preisliste veröffentlicht, oder wird jede Installation einzeln angeboten?
- Wo werden die Überwachungsdaten gespeichert, und unter welchem Auftragsverarbeitungsvertrag?
- Liest es OT-Protokolle passiv, ohne Steuerungen abzufragen?

Unsere [Vergleiche von NDR-Anbietern](/de/compare) wenden diese Fragen auf Darktrace, Vectra AI, ExtraHop und Nozomi Networks an, mit einer Quelle für jede Aussage.

## Wo NetSenX passt

NetSenX ist eine Network-Detection-and-Response-Plattform (NDR) für mittelständische Organisationen in der EU, die Angriffe anhand des Netzwerkverhaltens erkennt, jeden Alarm verständlich erklärt und Kundendaten in der EU hält. Es arbeitet neben EDR und SIEM, nicht an ihrer Stelle: Ab dem Business-Plan lassen sich Alarme in das SIEM exportieren, das Sie bereits betreiben. Der Free-Plan deckt bis zu 3 Geräte ohne Zeitlimit ab, sodass Sie sehen, was es findet, bevor Sie entscheiden. Details stehen auf der [Preisseite](/de/pricing) und in den [FAQ](/de#faq). Wenn NIS2 für Sie gilt, ist die [Checkliste zur NIS2-Netzwerküberwachung](/de/blog/2026-09-24_nis2-network-monitoring-checklist) die nächste Lektüre.

## Quellen

- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)
- [MITRE ATT&CK — Command and Control (TA0011)](https://attack.mitre.org/tactics/TA0011/)
- [NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems](https://csrc.nist.gov/pubs/sp/800/94/final)

---

*Verfasst vom NetSenX Team bei TriStiX S.L. Fragen: [info@netsenx.com](mailto:info@netsenx.com).*