NDR, EDR, SIEM, XDR, MDR

NDR ist Sicherheitssoftware, die den Netzwerkverkehr beobachtet, Verhalten meldet, das nach einem Angriff aussieht, und die Belege für die Reaktion liefert. Firewalls und Endpunkt-Agenten sehen jeweils ihr eigenes Gerät; NDR sieht, wie Hosts miteinander kommunizieren — Command-and-Control-Beaconing, Scans, laterale Bewegung und ungewöhnlich große ausgehende Datenmengen. NetSenX ist eine Network-Detection-and-Response-Plattform (NDR) für den EU-Mittelstand, die Angriffe am Netzwerkverhalten erkennt, jeden Alarm in verständlicher Sprache erklärt und Kundendaten in der EU speichert.

Für Network Detection and Response: Sicherheitswerkzeuge, die den Verkehr zwischen Geräten analysieren, um Angreiferverhalten zu erkennen und die Reaktion darauf zu unterstützen. Frühere Produkte dieser Kategorie hießen oft Network Traffic Analysis (NTA).

Es kopiert den Verkehr zwischen Ihren Geräten zu einem Sensor, lernt, was für jedes Gerät normal ist, und meldet einen Alarm, wenn sich eines wie ein Angreifer verhält. Die Kopie kommt von einem Spiegelport am Switch (SPAN), einem kleinen Hardware-TAP am Kabel oder einem Agenten auf ausgewählten Hosts. Der Sensor muss keine Inhalte lesen: Zeitpunkte, Volumen, Ziele, Ports, DNS-Antworten und die unverschlüsselten Teile des TLS-Handshakes genügen, um einen Rechner zu sehen, der alle paar Minuten einen externen Server anruft, an viele interne Hosts klopft, sich an Server anmeldet, die er nie genutzt hat, oder weit mehr Daten nach außen sendet als üblich. Die Reaktion ist das, was Ihr Team mit dem Alarm macht: untersuchen, den Host isolieren, Konten zurücksetzen. So arbeitet NetSenX: Es entschlüsselt nie Verkehr, erklärt jeden Alarm in jedem Plan verständlich und überlässt Ihnen die Entscheidung über die Reaktion. Geräte, die schweigen, und Segmente, die Sie nicht spiegeln, sieht es nicht.

EDR läuft auf jedem Endgerät und sieht die Prozesse und Dateien auf diesem Rechner. Ein SIEM sammelt Logs aus vielen Systemen und korreliert sie. NDR beobachtet den Verkehr zwischen Geräten und erfasst so auch Geräte, auf denen kein Agent laufen kann, sowie Aktivität, die kein Log hinterlässt. Die drei ergänzen sich.

EDR beobachtet jeden Rechner von innen, NDR beobachtet den Verkehr zwischen Geräten, XDR bündelt mehrere Quellen in einer Konsole, und MDR ist ein Team, das die Alarme für Sie im Blick hat. EDR (Endpoint Detection and Response) ist Software auf Laptops und Servern, die Prozesse, Dateien und Speicher dieser Maschine sieht. NDR (Network Detection and Response) ist ein Sensor, der sieht, wie Geräte miteinander sprechen, auch Drucker, Kameras und Maschinen, auf denen sich keine Software installieren lässt. XDR (Extended Detection and Response) ist eine Plattform, die Signale von Endpunkten, E-Mail, Identität, Cloud und manchmal Netzwerk zusammenführt. MDR (Managed Detection and Response) ist gar keine Software, sondern ein Dienst: Menschen, die die Alarme rund um die Uhr lesen und handeln. Außerdem begegnet Ihnen SIEM (Security Information and Event Management), das Logs sammelt. NetSenX ist ein NDR; es arbeitet neben den anderen und ersetzt sie nicht.

Nein. NetSenX ergänzt die Netzwerksicht, die Endpunkt- und Log-Werkzeugen fehlt; es ersetzt weder Endpunktschutz (EDR) noch Virenschutz, Log-Aggregation (SIEM) oder einen verwalteten Erkennungsdienst (MDR). Ab dem Business-Plan lassen sich Alarme in Ihr vorhandenes SIEM exportieren.

Oft ja, weil EDR und NDR an unterschiedlichen Stellen versagen. EDR (Endpoint Detection and Response) sieht nur Maschinen, auf denen sein Agent läuft und intakt ist. Drucker, Kameras, Telefone im WLAN, Gebäudetechnik, Maschinen oder den Laptop eines Dienstleisters sieht es nicht, und Angreifer schalten es auf dem übernommenen Rechner oft als Erstes ab. NDR (Network Detection and Response) beobachtet den Verkehr zwischen Geräten und sieht deshalb weiterhin einen kompromittierten Host, der einen externen Server anruft, das Netz scannt oder Daten abzieht, egal was mit seinem Endpunkt-Agenten geschieht. Besteht Ihr Unternehmen aus einer Handvoll Laptops und alles liegt in der Cloud, reichen EDR und gute Backups vorerst vielleicht aus. Haben Sie ein lokales Netz mit Servern und Geräten, auf denen Sie nichts installieren können, schließt NDR die Lücke. NetSenX meldet Beaconing, Scans, laterale Bewegung und ungewöhnliches ausgehendes Volumen in jedem Plan, auch im Free-Plan, sodass Sie in Ihrem eigenen Netz sehen, was es bringt, bevor Sie zahlen.

Meist zuerst EDR, weil der Schutz jedes Rechners vor Schadsoftware das grundlegendere Bedürfnis ist. EDR (Endpoint Detection and Response) oder ein guter moderner Virenschutz stoppt viel gängige Schadsoftware auf Laptops und Servern und deckt zusammen mit Mehrfaktor-Authentifizierung, zeitnahen Updates und getesteten Offline-Backups die Angriffe ab, die kleine Unternehmen am häufigsten erleben. NDR (Network Detection and Response) kommt danach und rückt nach oben, wenn Sie ein lokales Netz mit Servern, Druckern, Kameras oder Produktionsmaschinen ohne Agent haben, wenn ein Kundenvertrag oder NIS2 verlangt, Vorfälle zu erkennen und zu melden, oder wenn Sie unabhängig prüfen wollen, dass das Endpunkt-Werkzeug nicht der einzige Zeuge ist. Sie müssen nicht blind entscheiden: Der Free-Plan von NetSenX umfasst 3 Geräte ohne Zeitlimit, sodass Sie einen Agenten an einen Spiegelport setzen und sehen können, was das Netz zeigt, bevor Sie Geld ausgeben.

Nein, allein nicht, auch wenn er ein notwendiger Anfang ist. Virenschutz und Endpunktschutz stoppen bekannte Schadsoftware auf den Rechnern, auf denen sie laufen. Sie helfen nicht gegen ein gestohlenes Passwort, mit dem sich jemand von außen anmeldet, gegen eine E-Mail, die die Buchhaltung zur Zahlung einer falschen Rechnung bringt, auf Geräten, auf denen kein Virenschutz läuft, oder gegen einen Eindringling, der Ihre eigenen Administrationswerkzeuge nutzt, die der Virenschutz als legitim ansieht. Eine sinnvolle Grundausstattung für kleine Unternehmen sind Mehrfaktor-Authentifizierung für E-Mail und Fernzugang, schnell eingespielte Updates, Endpunktschutz auf jedem Rechner, offline oder unveränderlich gespeicherte und getestete Backups und ein kurzer schriftlicher Plan, wen man anruft. Danach zeigt Netzwerküberwachung, was der Virenschutz nicht sieht: ein Gerät, das plötzlich mit vielen anderen spricht, alle paar Minuten einen externen Server anruft oder nachts viele Daten hinausschickt. NetSenX tut das in jedem Plan; Ihren Virenschutz ersetzt es nicht.

Verhalten zwischen Maschinen, das ein Virenschutz auf einem einzelnen Rechner nicht sehen kann. Vier Muster zählen am meisten. Beaconing: Ein Host ruft in regelmäßigen Abständen denselben externen Server an, so empfängt die Software eines Angreifers ihre Befehle (Command and Control, C2). Scans: Ein Gerät klopft an viele Adressen oder Ports, um Ihr Netz zu kartieren. Laterale Bewegung: Ein Arbeitsplatzrechner öffnet plötzlich administrative Sitzungen zu Servern, die er nie genutzt hat, oft mit legitimen Werkzeugen, die der Virenschutz zulässt. Ungewöhnliches ausgehendes Volumen: Deutlich mehr Daten verlassen einen Host als sonst, zum Beispiel nachts. Netzwerkerkennung deckt außerdem Geräte ab, auf denen kein Virenschutz installiert werden kann, wie Drucker, Kameras und Maschinen. NetSenX meldet diese vier Muster in jedem Plan, auch im Free-Plan, und erklärt jeden Alarm verständlich. Was im Rechner geschieht, ohne das Netz zu berühren, etwa das Öffnen einer schädlichen Datei, sieht es nicht: Das bleibt Aufgabe von Virenschutz oder EDR.

Geräte ohne Agent, abgeschaltete Agenten und das Verkehrsmuster eines Angriffs, der sich über mehrere Maschinen verteilt. EDR (Endpoint Detection and Response) berichtet aus dem Inneren jedes Rechners, auf dem es läuft. Es berichtet nicht von einem Drucker, einem Kamerarekorder, einem NAS, einer Gebäudesteuerung, dem Telefon eines Gastes oder einem nicht verwalteten Laptop, den jemand eingesteckt hat. Es berichtet nicht von einem Server, auf dem es deinstalliert oder manipuliert wurde. Und jeder Agent sieht einen Host, sodass ein langsames Muster, das erst über viele Hosts hinweg Sinn ergibt, leicht untergeht, etwa eine Maschine, die Dutzende Dateifreigaben berührt oder still alle fünf Minuten nach außen telefoniert. Das Netzwerk sieht all das, weil jedes Gerät kommunizieren muss, um Schaden anzurichten. NetSenX beobachtet diesen Verkehr und führt eine Netzwerkkarte der Geräte, die es sieht. In einen Host hinein sieht es nicht, deshalb ergänzen sich beide Werkzeuge.

Der Endpunkt verstummt, und das Endpunkt-Werkzeug kann sein eigenes Schweigen nicht melden, also brauchen Sie einen zweiten Zeugen. Das Abschalten oder Deinstallieren des Endpunktschutzes ist ein häufiger früher Schritt von Eindringlingen und Ransomware-Gruppen, mit gestohlenen Administratorrechten oder über einen verwundbaren Treiber. Ab dann zeigt die Konsole die Maschine womöglich als offline an oder erhält einfach keine Ereignisse mehr. Zwei Dinge helfen. Erstens: Behandeln Sie einen stummen Agenten als Vorfall, richten Sie in der EDR-Konsole einen Alarm für Agenten ein, die sich nicht mehr melden, und prüfen Sie, wer sie deinstallieren darf. Zweitens: Beobachten Sie das Netzwerk, das der Angreifer von dieser einen Maschine aus nicht abschalten kann. NetSenX sieht das Verhalten des Hosts weiter, egal was mit seinem EDR geschieht: Beaconing, Scans, laterale Bewegung und ungewöhnliche Uploads. Den Zustand des EDR selbst sieht es nicht, es meldet also nicht, dass der Agent stoppte, sondern was die Maschine als Nächstes tut.

Machen Sie das Schweigen selbst zum Alarm in Ihrer Endpunkt-Konsole und behalten Sie eine unabhängige Sicht aus dem Netzwerk. Die meisten EDR- und Virenschutz-Konsolen können Agenten melden, die sich eine bestimmte Zeit nicht gemeldet haben; schalten Sie das ein, leiten Sie es an ein Postfach, das jemand liest, und legen Sie vorab fest, was geschieht, wenn ein Server verstummt: den Verantwortlichen anrufen, prüfen, ob es eine geplante Neuinstallation war, und ansehen, was die Maschine im Netz getan hat. Gleichen Sie monatlich die Liste der Maschinen, die einen Agenten haben sollten, mit denen ab, die einen haben. Beschränken Sie das Recht, den Agenten zu deinstallieren oder zu pausieren, auf wenige benannte Konten mit Mehrfaktor-Authentifizierung. Die Netzwerksicht ist der zweite Zeuge: NetSenX liest den Status Ihres EDR nicht, markiert den Server aber weiterhin, wenn er mit Beaconing, Scans, lateraler Bewegung oder ungewöhnlichem Ausgangsvolumen beginnt. Ein stummer Agent bedeutet also keinen stillen Angriff.

Nein. XDR (Extended Detection and Response) ist eine Plattform, die Signale aus mehreren Quellen in einer Konsole zusammenführt, während NDR (Network Detection and Response) eine dieser möglichen Quellen ist. Die meisten XDR-Produkte sind um einen Endpunkt-Agenten herum gebaut und ergänzen E-Mail-, Identitäts- und Cloud-Logs; manche nehmen Netzwerkdaten auf, manche nicht. Das zählt bei Geräten, auf denen kein Agent läuft, etwa Drucker, Kameras, Gebäudetechnik, Maschinen und Appliances: Ein XDR, das nur auf Endpunkten beruht, sieht sie nicht, solange keine Netzwerkdaten einfließen. Fragen Sie vor dem Kauf, welche Quellen das XDR in Ihrer Lizenz tatsächlich verarbeitet, nicht in der Broschüre. NetSenX ist ein NDR: Es beobachtet den Verkehr zwischen Geräten und meldet Beaconing, Scans, laterale Bewegung und ungewöhnliches ausgehendes Datenvolumen in jedem Plan, auch im Free-Plan. Es ersetzt weder ein EDR noch eine XDR-Plattform, und ab dem Business-Plan lassen sich seine Alarme in das SIEM oder XDR exportieren, das Sie bereits betreiben.

MDR (Managed Detection and Response) ist ein Dienst, bei dem ein externes Team Ihre Sicherheitsalarme rund um die Uhr beobachtet und für Sie reagiert; Sie brauchen ihn, wenn in Ihrem Unternehmen nachts oder am Wochenende niemand auf einen Alarm reagieren kann. Es ist ein Dienst, kein Werkzeug: Der Anbieter stützt sich weiterhin auf Sensoren wie EDR (Endpoint Detection and Response) auf Ihren Rechnern und manchmal auf Netzwerkdaten. Prüfen Sie vor der Unterschrift, was der Anbieter um 3 Uhr nachts tatsächlich tut. Isoliert er einen Rechner oder schickt er nur eine E-Mail? Welche Sensoren sind enthalten, und wem gehören die Daten, wenn Sie kündigen? Wie schnell reagiert er, schriftlich zugesagt? Viele kleine Unternehmen kombinieren stattdessen automatische Erkennung mit einer Rufbereitschaft ihres IT-Dienstleisters. NetSenX ist Software, kein MDR: Es erkennt und erklärt Alarme zu jeder Stunde, und die Alarme gehen an Ihr Team oder Ihren IT-Dienstleister, die entscheiden, was zu tun ist.

EDR ist Software, MDR ist ein Dienst, den Menschen erbringen. EDR (Endpoint Detection and Response) wird auf Ihren Rechnern und Servern installiert; es beobachtet Prozesse und Dateien, meldet Alarme und lässt einen Administrator eine Maschine isolieren. Jemand muss diese Alarme trotzdem lesen und entscheiden. MDR (Managed Detection and Response) ist ein Anbieter, dessen Analysten die Alarme für Sie lesen, rund um die Uhr, und in einer vereinbarten Zeit reagieren. Die meisten MDR-Dienste bringen ein eigenes EDR mit oder setzen es voraus, manche nehmen auch Netzwerk- oder Cloud-Daten auf. Die eigentliche Frage lautet also nicht EDR oder MDR, sondern wer die Alarme nachts liest. Haben Sie Personal oder einen IT-Dienstleister in Rufbereitschaft, können EDR und Netzwerkerkennung genügen. Kann außerhalb der Bürozeiten niemand reagieren, schließt ein Managed Service diese Lücke. NetSenX ist Erkennungssoftware, kein MDR: Es erklärt jeden Alarm, damit Ihr Team oder Dienstleister handeln kann.

Wählen Sie danach, was um 3 Uhr nachts geschieht, schriftlich, nicht nach der Broschüre. Stellen Sie jedem Anbieter fünf Fragen. Was genau tun Sie, wenn Sie einen Angriff sehen: uns anrufen, die Maschine isolieren, Konten zurücksetzen oder nur ein Ticket öffnen? Welche Reaktionszeit sagt der Vertrag zu, und wie wird sie gemessen? Welche Sensoren sind enthalten: nur Endpunkte oder auch Netzwerk, E-Mail, Identität und Cloud? Wo liegen unsere Daten und Ihre Analysten, und welche Unterauftragsverarbeiter setzen Sie ein? Was behalten wir, wenn wir kündigen? Lassen Sie sich einen Beispielbericht zu einem Vorfall und einen Referenzkunden Ihrer Größe geben. Prüfen Sie, ob das Preismodell passt: pro Endpunkt, pro Nutzer oder pro Standort. Ein Netzwerksensor kann neben einem MDR-Dienst laufen: NetSenX-Alarme gehen in jedem Plan per E-Mail, ab dem Pro-Plan per Slack oder Webhook und ab dem Business-Plan an ein SIEM, sodass ein Anbieter sie empfangen kann.

Die meisten Unternehmen unter einigen hundert Mitarbeitern lagern es aus oder kommen ohne vollständiges SOC aus, weil eine Abdeckung rund um die Uhr mehrere geschulte Personen erfordert, nicht eine. Ein SOC (Security Operations Centre) ist ein Team, das Alarme beobachtet und reagiert, oft rund um die Uhr. Selbst aufbauen heißt, Analysten für Nacht- und Wochenendschichten einzustellen und zu halten, Werkzeuge zu kaufen und abzustimmen und Abläufe zu schreiben; für ein mittelständisches Unternehmen sind das hohe Fixkosten. Die Auslagerung an einen MDR- oder MSSP-Anbieter macht daraus einen Vertrag, doch intern brauchen Sie weiterhin jemanden, der das Geschäft kennt und entscheidet. Für viele passt ein Mittelweg: automatische Erkennung zu jeder Stunde, Alarme, die auch ein Generalist versteht, eine Rufbereitschaft beim IT-Dienstleister und eine Incident-Response-Firma unter Vertrag. NetSenX passt als Erkennungssoftware in diesen Mittelweg; es ist kein SOC, und niemand bei NetSenX beobachtet Ihre Alarme für Sie.

Nein, aber Sie brauchen einen Plan für die Stunden, in denen dieser Administrator nicht da ist. Ein SOC (Security Operations Centre) ist ein Team, das Alarme rund um die Uhr beobachtet; ein Unternehmen mit einem Administrator kann keines besetzen und muss es meist auch nicht. Was es braucht, ist enger gefasst: Erkennung, die von allein läuft, Alarme, die kurz und klar genug sind, um zu handeln, eine zweite Person, die sie erhält, wenn der Administrator abwesend ist, und die Telefonnummer einer Incident-Response-Firma. Halten Sie schriftlich fest, wer im Notfall entscheidet, einen Rechner oder die Internetleitung zu trennen. Behalten Sie die Grundlagen bei: Mehrfaktor-Authentifizierung, Updates, Endpunktschutz und Offline-Backups. NetSenX wurde für genau diese Lage gebaut: Ein Agent an einem Spiegelport beobachtet ein ganzes Segment, jeder Alarm wird verständlich erklärt, und Alarme gehen in jedem Plan per E-Mail hinaus, also auch an eine Vertretung oder Ihren IT-Dienstleister.

Ja, wenn das Werkzeug Minuten am Tag verlangt und keinen eigenen Analysten. Möglich machen das weniger, klarere Alarme und eine Routine. Legen Sie fest, wer jeden Morgen die Alarme liest, wer im Urlaub vertritt und was dringend genug ist, um nachts jemanden anzurufen. Schreiben Sie eine einseitige Reaktionsnotiz: wie man einen Rechner isoliert, wer Konten zurücksetzen darf, welchen Dienstleister man anruft. Sehen Sie einmal im Monat die geschlossenen Alarme durch, um zu erkennen, was normal war und so markiert werden sollte. Wählen Sie ein Werkzeug, das seine Alarme erklärt, denn ein bloßer Regelname oder Wert schickt einen Generalisten zurück zu den Rohlogs. NetSenX erklärt jeden Alarm in jedem Plan verständlich und lässt Sie Fehlalarme markieren. Den Menschen ersetzt es nicht: Einen Vorfall zu untersuchen und einzudämmen bleibt Sache Ihres Teams, Ihres IT-Dienstleisters oder einer Incident-Response-Firma.

Um Logs aus vielen Systemen an einem Ort zu halten, sie zu durchsuchen und Ereignisse systemübergreifend zu verknüpfen. Ein SIEM (Security Information and Event Management) sammelt Logs von Firewalls, Servern, Verzeichnisdiensten, VPNs und Cloud-Diensten, bewahrt sie eine festgelegte Zeit auf und führt Suchen nach verdächtigen Kombinationen aus, etwa einer fehlgeschlagenen VPN-Anmeldung, auf die eine erfolgreiche aus einem anderen Land folgt. Unternehmen nutzen es aus drei Gründen: Erkennung, nachträgliche Untersuchung und Nachweise für Prüfer und Behörden, die eine zentrale Log-Aufbewahrung erwarten. Seine Schwäche ist der Aufwand: Jemand muss Quellen auswählen, Suchen schreiben und abstimmen und die Ergebnisse lesen, sonst wird das SIEM zum teuren Archiv. Ein SIEM sieht nur, was Systeme protokollieren; Verkehr, der kein Log hinterlässt, sieht es nicht. Diesen Teil deckt die Netzwerkerkennung ab, und NetSenX kann seine Alarme ab dem Business-Plan in Ihr SIEM exportieren.

Meist nicht als ersten Schritt, es sei denn, ein Kunde, ein Prüfer oder eine Behörde verlangt ausdrücklich eine zentrale Log-Aufbewahrung. Ein SIEM (Security Information and Event Management) lohnt sich, wenn jemand Zeit hat, Quellen anzubinden, Suchen zu schreiben und Ergebnisse zu lesen. Ein kleines Unternehmen gewinnt oft schneller mehr Schutz durch Mehrfaktor-Authentifizierung, Endpunktschutz, Offline-Backups und Erkennung, die ohne Log-Engineering läuft. Aufbewahren sollten Sie in jedem Fall die Logs, die bei einer Untersuchung am meisten zählen: Anmeldungen an E-Mail und Fernzugang, Firewall- und VPN-Logs sowie Sicherheitslogs der Server, an einem Ort gespeichert, an dem ein Angreifer sie nicht leicht löschen kann, und mit korrekter Uhrzeit auf jedem Gerät. Viele Cloud-Dienste bewahren Anmeldeprotokolle für Sie auf, wenn Sie das einschalten. NetSenX führt in jedem Plan ein Audit-Log und eine planabhängige Alarmhistorie, und wenn Sie später ein SIEM einführen, lassen sich die Alarme ab dem Business-Plan dorthin exportieren.

Nicht unbedingt: Viele kleine und mittlere Unternehmen haben von NDR plus gutem Endpunktschutz mehr als von einem SIEM, das niemand pflegen kann. Ein SIEM (Security Information and Event Management) sammelt und korreliert Logs aus vielen Systemen: Firewalls, Server, Verzeichnisdienste, Cloud-Dienste. Es ist mächtig, wenn jemand seine Suchen schreibt und pflegt, und schwerfällig, wenn das niemand tut. NDR (Network Detection and Response) liefert Erkennungen aus dem Netzwerkverkehr ohne Log-Engineering. Beide beantworten unterschiedliche Fragen: Das SIEM sagt, wer sich wo angemeldet hat, NDR sagt, was die Geräte im Netzwerk getan haben. Ein SIEM kann trotzdem nötig sein, wenn ein Prüfer, ein Kundenvertrag oder eine Behörde eine zentrale Log-Aufbewahrung erwartet oder sobald Sie Personal haben, das es nutzt. Wenn Sie bereits eines betreiben, können NDR-Alarme dorthin fließen: NetSenX hat SIEM-Export ab dem Business-Plan, sodass Netzwerkerkennungen bereits erklärt im SIEM ankommen.

Ja, die meisten Werkzeuge zur Netzwerkerkennung können das, und es ist meist besser, als rohe Netzwerklogs zu senden. Ein SIEM (Security Information and Event Management), das erklärte Netzwerkalarme erhält, gewinnt eine Sicht, die ihm sonst fehlt, ohne die Speicherkosten und das Rauschen jedes einzelnen Verbindungsdatensatzes. Legen Sie vor dem Anbinden fest, welche Alarmstufen ins SIEM gehen, wer sie dort liest und wie beide Werkzeuge einen Hostnamen oder eine Adresse gemeinsam nutzen, damit sich Alarme mit Log-Ereignissen abgleichen lassen. Bei NetSenX ist der SIEM-Export ab dem Business-Plan enthalten. Im Pro-Plan können Alarme außerdem über die API, Slack oder einen Webhook hinausgehen, und in jedem Plan werden sie per E-Mail versendet und im Dashboard für die Alarmhistorie Ihres Plans aufbewahrt. Der Export ändert nichts daran, was NetSenX sieht: Es bleibt Netzwerkverhalten, nie der Inhalt verschlüsselter Sitzungen.

Ein signaturbasiertes IDS vergleicht Verkehr mit bekannten Angriffsmustern; NetSenX bewertet das Verhalten jedes Hosts, sodass auch eine neue Malware-Variante ohne Signatur Spuren hinterlässt. Jeder Alarm nennt in verständlicher Sprache die Netzwerkmerkmale, die seine Bewertung bestimmt haben (SHAP-Werte). NetSenX arbeitet neben Ihrem IDS, EDR und SIEM — es ersetzt sie nicht.

Ein IDS oder IPS gleicht Verkehr mit bekannten Angriffsmustern ab; NDR betrachtet, wie sich jedes Gerät über die Zeit verhält. Ein IDS (Intrusion Detection System) meldet einen Alarm, wenn Verkehr zu einer Signatur passt, etwa einem bekannten Exploit oder Schadsoftware-Muster. Ein IPS (Intrusion Prevention System) tut dasselbe und kann passenden Verkehr verwerfen, meist als Teil einer Firewall. Beide sind stark bei bekannten Bedrohungen und schwächer, wenn ein Angreifer legitime Werkzeuge oder eine neue Variante ohne Signatur nutzt. NDR (Network Detection and Response) lernt, was für jeden Host normal ist, und markiert Abweichungen: neue Gegenstellen, regelmäßige Verbindungen nach außen, Scans, ungewöhnliche Volumen. Viele Unternehmen betreiben beides. NetSenX ist ein NDR: Es bewertet Host-Verhalten, erklärt jeden Alarm verständlich und verwirft oder blockiert keinen Verkehr, sodass es neben dem IPS Ihrer Firewall laufen kann, ohne Ihren Netzwerkpfad zu ändern.

Eine Firewall entscheidet, welche Verbindungen erlaubt sind; NDR beobachtet, was in den erlaubten Verbindungen geschieht. Eine Firewall sitzt am Rand des Netzes oder zwischen Segmenten und setzt Regeln durch: Diese Adresse darf jenen Server auf diesem Port erreichen, alles andere wird abgewiesen. Sie ist unverzichtbar, doch ein Angreifer, der über eine Phishing-Mail oder ein gestohlenes Passwort hereinkommt, nutzt Verbindungen, die die Firewall zulässt, und die meisten Firewalls sehen den Verkehr zwischen Geräten im selben Segment gar nicht. NDR (Network Detection and Response) erhält eine Kopie des Verkehrs und sucht nach Verhalten: ein Arbeitsplatzrechner, der plötzlich mit vielen Servern spricht, ein Host, der alle paar Minuten eine externe Adresse anruft, Daten, die nachts hinausgehen. Sie brauchen beides. NetSenX filtert oder blockiert nichts; es meldet und erklärt, und Sie oder Ihre Firewall handeln auf den Alarm hin.

NetFlow-Monitoring hält fest, wer mit wem gesprochen hat, Netzwerkverkehrsanalyse wertet diese Aufzeichnungen aus, und NDR setzt Erkennung und Reaktion obendrauf. NetFlow und ähnliche Formate sind Zusammenfassungen, die Router und Switches für jede Verbindung exportieren: Adressen, Ports, Startzeit, Bytes und Pakete. Monitoring-Werkzeuge machen daraus Bandbreitengrafiken und Top-Talker-Listen, nützlich für Kapazitätsplanung und Fehlersuche, aber das Sicherheitsurteil bleibt bei Ihnen. Network Traffic Analysis (NTA) war der frühere Name für Werkzeuge, die Verkehr unter Sicherheitsgesichtspunkten betrachteten. NDR (Network Detection and Response) ist der heutige Name: Es lernt, was pro Host normal ist, meldet Angreiferverhalten und stützt die Reaktion mit Belegen. Flusszusammenfassungen allein übersehen Details wie DNS-Antworten oder den TLS-Handshake. NetSenX liest seine eigene Kopie des Verkehrs von einem Agenten oder Spiegelport, statt sich nur auf exportierte Flussdatensätze zu verlassen.

Keines ist allein besser: Signaturen sind präzise bei bekannten Bedrohungen, Verhaltensverfahren erfassen, was noch keine Signatur hat, und gute Werkzeuge nutzen beides. Eine Signatur erkennt etwas bereits Bekanntes, etwa einen Schadsoftware-Fingerabdruck oder eine Exploit-Zeichenkette; sie löst deshalb selten Fehlalarme aus, übersieht aber neue Varianten und Angreifer, die Ihre eigenen Administrationswerkzeuge verwenden. Verhaltensbasierte oder auf maschinellem Lernen beruhende Erkennung vergleicht Aktivität mit dem Normalen und kann ein neues Werkzeug sehen, das nach Hause telefoniert, braucht aber Zeit, um Ihr Netz kennenzulernen, und muss sich erklären, sonst wird jeder Alarm zum Rätsel. Seien Sie vorsichtig mit dem Etikett: Fragen Sie den Anbieter, worauf das Modell tatsächlich schaut, wie es Fehlalarme auf Ihren Daten senkt und ob jeder Alarm sagt, warum er ausgelöst wurde. NetSenX bewertet Host-Verhalten und erklärt jeden Alarm verständlich. Eine Fehlalarmrate, die es nicht mit Ihren eigenen Daten belegen kann, nennt es nicht.

Ein Spiegelport oder TAP ist für ein ganzes Bürosegment meist besser, Agenten eignen sich besser für bestimmte Server oder Orte, an denen sich kein Verkehr spiegeln lässt. Mit SPAN (einer Switch-Einstellung, die Verkehr auf einen Port kopiert) oder einem TAP (einem kleinen Gerät, das den Verkehr auf einem Kabel kopiert) sieht ein einziger Sensor jedes Gerät im Segment, auch Drucker, Kameras und Maschinen, ohne dass dort etwas installiert wird. Dafür braucht es einen verwalteten Switch oder einen TAP, und gesehen werden nur die gespiegelten Segmente. Ein Agent auf einem Host sieht dessen eigenen Verkehr, wo immer er steht, auch Server in einem Rechenzentrum oder in der Cloud, wo sich nichts spiegeln lässt. Viele Unternehmen kombinieren beides. NetSenX unterstützt beides: Ein Agent an einem SPAN- oder TAP-Port zählt als ein Gerät für das ganze Segment, und Agenten laufen unter Linux und macOS. TLS-Fingerprinting braucht Paketerfassung, die der Basismodus unter macOS nicht leistet.

Ja, in Grenzen. Timing, Datenmenge, Ziele und der TLS-Handshake bleiben ohne Entschlüsselung sichtbar und reichen aus, um Beaconing, Scans oder ungewöhnliche Uploads zu erkennen. Ohne Entschlüsselung kann kein NDR den Inhalt einer Sitzung lesen. NetSenX entschlüsselt nie.

Teilweise: Es sieht die Verbindungen Ihrer Geräte zu Cloud- und SaaS-Diensten, nicht aber, was in diesen Diensten geschieht. Aus dem Büronetz sieht NDR (Network Detection and Response), welche Hosts sich mit welchen Cloud-Anbietern verbinden, wie oft und wie viele Daten sie senden; ein Server, der nachts ein großes Archiv auf ein unbekanntes Speicherkonto lädt, fällt also auf. Was es nicht sieht, ist die Aktivität in der SaaS-Anwendung selbst: eine in Ihrem E-Mail-Dienst angelegte Postfachregel, eine öffentlich freigegebene Datei aus einem Cloud-Laufwerk oder eine Anmeldung mit gestohlenem Passwort aus einem anderen Land. Das steht in den Audit- und Anmeldeprotokollen des Anbieters, die Sie einschalten und prüfen sollten. Auch der Verkehr von Laptops im Homeoffice, der Ihr Netz nie berührt, bleibt unsichtbar, sofern dort kein Agent läuft. NetSenX zeigt Cloud-Ziele in jedem Plan in einer Prüfliste auf der Netzwerkkarte und ungewöhnliches ausgehendes Volumen als Alarm.

Das hängt vom Produkt ab; NetSenX alarmiert und empfiehlt und blockiert keinen Verkehr von sich aus. Manche NDR-Produkte sitzen im Verkehrsweg oder arbeiten mit Firewalls zusammen, um Verbindungen automatisch zu kappen. Das kann einen Angriff stoppen, aber bei einem Fehlalarm auch Ihre Produktionslinie, weshalb automatisches Blockieren meist auf enge, gut getestete Fälle beschränkt bleibt. Ein Sensor an einem Spiegelport, so wird NDR meist eingesetzt, erhält nur eine Kopie des Verkehrs und kann selbst nichts blockieren; die Reaktion läuft über Ihre Firewall, Ihren Switch, Ihr Endpunkt-Werkzeug oder einen Menschen. NetSenX erklärt jeden Alarm, bietet ab dem Starter-Plan manuelle Reaktionsmaßnahmen und ab dem Pro-Plan automatische Reaktionsempfehlungen und blockiert nie selbst Verkehr. Die Entscheidung, eine Maschine zu isolieren, eine Adresse zu sperren oder Konten zurückzusetzen, bleibt bei Ihrem Team, und deshalb landet jede Maßnahme im Audit-Log.

Beobachten Sie das Netz eine Weile und erfassen Sie jedes Gerät, das Verkehr sendet, mit dem Namen, den es ankündigt, seiner Adresse und seinen Gesprächspartnern. Geräte geben sich zu erkennen, wenn sie eine Adresse anfordern (DHCP), Namen auflösen (DNS), sich im lokalen Netz ankündigen oder mit Servern verbinden. Ein Sensor an einem Spiegelport sammelt das passiv, ohne etwas zu scannen, was bei empfindlichen Geräten wie Druckern, Kameras und Maschinen wichtig ist. Vergleichen Sie das Ergebnis mit der Liste, die Sie zu haben glauben: Unbekannte Geräte, vergessene Server und private Geräte tauchen meist in den ersten Tagen auf. Weisen Sie dann jedem Gerät einen Verantwortlichen zu und entscheiden Sie, ob es dazugehört. NetSenX führt in jedem Plan, auch im Free-Plan, eine Netzwerkkarte: im LAN gesehene Geräte, ihre angekündigten Namen, erstes und letztes Auftreten und wer mit wem spricht. Es sieht nur überwachte Segmente, und ein Gerät, das nie Verkehr sendet, erscheint nicht.

Nein. Eine passive Netzwerkkarte kennt nur Geräte, die in einem überwachten Segment etwas senden; ein völlig stilles Gerät bleibt unsichtbar. In der Praxis sind nur wenige Geräte ganz still: Die meisten fordern eine Adresse an, lösen Namen auf, suchen nach Updates oder antworten ab und zu im Netz und erscheinen daher innerhalb von Stunden oder Tagen. Die übrigen sind meist ausgeschaltet, ausgesteckt, in einem nicht gespiegelten Segment oder absichtlich still. Um diese Lücke zu schließen, vergleichen Sie die Karte mit anderen Quellen: der Tabelle der belegten Switch-Ports, den Leases des DHCP-Servers, Ihren Einkaufsbelegen und einem Rundgang durchs Gebäude. Aktive Scans finden stille Geräte, die auf Anfrage antworten, setzen Sie sie bei Druckern und Industrieanlagen aber vorsichtig ein. NetSenX erstellt seine Netzwerkkarte in jedem Plan passiv und fragt Geräte nie aktiv ab; das ist schonend für empfindliche Technik und heißt zugleich, dass ein stilles Gerät nicht auf der Karte steht.

Kleine Teams haben selten Zeit, täglich Firewall- und DNS-Logs zu lesen, und Angreifer, die legitime Administrationswerkzeuge nutzen, hinterlassen anderswo kaum Spuren. NDR beobachtet den Verkehr ununterbrochen und meldet, was abweicht. NetSenX hat einen Free-Plan, sodass ein Team es im eigenen Netz ausprobieren kann, bevor es bezahlt.

Fragen Sie nach Preis, Voraussetzungen, blinden Flecken und Begründung der Alarme, und testen Sie im eigenen Netz. Preis: Ist er veröffentlicht, und was ist die Einheit, ein Gerät, ein Sensor oder ein Gigabit? Bereitstellung: Braucht es Hardware an jedem Standort, oder deckt ein Sensor an einem Spiegelport ein Segment ab? Sichtbarkeit: welche Segmente, verschlüsselter Verkehr, Cloud und Laptops unterwegs; lassen Sie den Anbieter klar sagen, was außer Sicht bleibt. Alarme: Erklärt jeder, warum er ausgelöst wurde, in Worten, die Ihr Team versteht? Fehlalarme: Wie wird die Rate gemessen, und mit wessen Daten? Daten: Wo werden sie gespeichert, wer sind die Unterauftragsverarbeiter, was erhalten Sie beim Ausstieg zurück? Reaktion: Blockiert es oder alarmiert es nur? Lassen Sie es dann einige Wochen auf echtem Verkehr laufen. NetSenX veröffentlicht seine Preise und hat für diesen Test einen Free-Plan ohne Zeitlimit.

Erzeugen Sie auf einem eigenen Testrechner harmlose Varianten des Verhaltens, das sie erkennen soll, und prüfen Sie, welche Alarme wie schnell erscheinen. Beginnen Sie einfach und kündigen Sie den Test allen an, die reagieren könnten. Ein Portscan von einem Ersatz-Laptop gegen Ihr eigenes Subnetz sollte gemeldet werden. Ein Skript, das eine Stunde lang alle paar Minuten denselben externen Testserver anruft, ahmt Beaconing nach. Das nächtliche Kopieren eines großen Archivs von einem Testserver auf ein externes Speicherkonto ahmt Datendiebstahl nach. Notieren Sie, was Sie wann getan haben und was das Werkzeug gemeldet hat, und lesen Sie dann den Alarmtext: Wüsste ein Kollege, was zu tun ist? Wiederholen Sie das nach größeren Änderungen an Netz oder Werkzeug. Breach and Attack Simulation (BAS) automatisiert solche Tests. NetSenX enthält BAS ab dem Business-Plan; in jedem Plan können Sie solche Tests von Hand gegen die Erkennungen fahren, die es meldet.

Breach and Attack Simulation (BAS) ist Software, die das Verhalten von Angreifern in Ihrem Netz gefahrlos nachahmt, damit Sie prüfen können, ob Ihre Sicherheitswerkzeuge es bemerken. Statt auf einen echten Angriff oder den jährlichen Penetrationstest zu warten, führt sie kontrollierte Szenarien aus, etwa einen Scan, eine Verbindung zu einem Testserver oder eine simulierte Datenübertragung, und hält fest, welche davon Ihre Werkzeuge erkannt haben. Ein mittelständisches Unternehmen profitiert am meisten, wenn es Prüfern oder Kunden zeigen muss, dass die Erkennung funktioniert und nicht nur installiert ist, oder nach Änderungen an Netz oder Werkzeugen. Haben Sie noch kein Erkennungswerkzeug, kaufen Sie zuerst die Erkennung: Eine Simulation, die niemand bemerkt, beweist nur genau das. Ein Penetrationstest durch Menschen findet weiterhin Dinge, die BAS nicht findet, etwa schwache Passwörter oder Fehlkonfigurationen. NetSenX enthält Breach and Attack Simulation ab dem Business-Plan, sodass Sie seine eigenen Erkennungen testen können.

Führen Sie nach jeder wesentlichen Änderung einen kleinen Test durch, mindestens einmal im Quartal einen umfassenderen und zusätzlich vor einer Prüfung. Erkennung fällt leise aus: Ein Switch wird getauscht und der Spiegelport nicht neu eingerichtet, ein Agent stoppt nach einem Update, ein Segment kommt hinzu, das niemand überwacht. Ein kurzer Test nach jeder Änderung fängt das ab. Eine vierteljährliche Runde der Hauptszenarien wie Scan, Beaconing, laterale Bewegung und eine große Übertragung nach außen zeigt, ob sich etwas verschoben hat, und liefert datierte Nachweise für Prüfer, Versicherer und Kunden. Führen Sie ein einfaches Protokoll: Datum, Szenario, erwarteter Alarm, tatsächlicher Alarm, Zeit bis zum Alarm, Nacharbeit. Informieren Sie Ihr Team und Ihre Dienstleister vor dem Test, damit niemand versehentlich eine Maschine isoliert. NetSenX enthält Breach and Attack Simulation ab dem Business-Plan; in den anderen Plänen können Sie dieselben Szenarien von Hand durchspielen.