Endpoint Security

Endpoint Security umfasst alle technischen und organisatorischen Maßnahmen, die Endgeräte wie PCs, Laptops, Smartphones und Tablets vor unberechtigten Zugriffen und Schadsoftware schützen. Wir erklären die wichtigsten Schutzmaßnahmen sowie die Unterschiede zwischen EPP, EDR, MDR und XDR.

Das Wichtigste in Kürze

Unter Endpoint Security versteht man technische und organisatorische Maßnahmen um unberechtigte Zugriffe und die Ausführung von Schadsoftware auf Endgeräten abzuwehren.
Zu Endgeräten gehören Geräte wie PCs, Laptops, Smartphones, Tablets, aber andere Geräte die mit dem Unternehmensnetz verbunden sind.

1. Was ist Endpoint Security?

Unter Endpoint Security (Endpunktsicherheit) versteht man den Schutz von Endgeräten wie Desktops, Laptops und mobilen Geräten vor der Ausnutzung durch bösartige Aktivitäten.

Zu den Bedrohungen denen Endgeräten ausgesetzt sind gehören das Aufbringen von Schadsoftware oder eines Remote-Access-Trojaners (RAT). Auch der unerwünschte Datenabfluss oder der Anschluss externer Massenspeichergeräte können die Vertraulichkeit der Unternehmensdaten gefährden.

Das Maßnahmenpaket setzt sich üblicherweise aus

Technische Maßnahmen auf dem Endgerät,
Technische Maßnahme im Unternehmensnetzwerk und
Organisatorische Maßnahmen für die Benutzer

zusammen.

Die digitale Transformation von Unternehmen mit einer stetig steigenden Anzahl mobiler Arbeitsplätze, die Adaption der Cloud und die vergrößerte Angriffsoberfläche erhöhen den Absicherungsbedarf. Der Endgeräteschutz gewinnt damit weiterhin an Relevanz.

2. Maßnahmen zum Schutz der Endgeräte

Technische Maßnahmen für Endgeräte werden von Herstellern oft als Endpoint Protection Platform (EPP) vermarktet. Dazu können präventive, erkennende aber auch reaktive Maßnahmen gehören wie:

Schutz vor Malware und Ransomware (signaturbasiert und verhaltensbasiert)
Schutz der administrativen Berechtigungen
Desktop-Firewalls
Clientseitige IDS/IPS
Web-Filtersysteme
Isolation der Anwendungen durch Virtualisierung
Data Loss Prevention (DLP)
Management von externen Geräten wie USB-Sticks

Zu den wichtigsten organisatorischen Maßnahmen für Benutzer zählen regelmäßige Security Awareness Trainings zu aktuellen Bedrohungen wie Phishing. Auch die Sicherheitsrichtlinien für den Umgang mit Endgeräten, externen Datenspeichern oder dem Unternehmensnetz müssen mit einbezogen werden.

Auf Ebene des Netzwerkes können zusätzliche Maßnahmen wie IDS/IPS, Web-Proxys, Phishing-Erkennung die Endpunktsicherheit unterstützen.

Der Vorteil von netzwerkbasierten Maßnahmen besteht in der Reduktion des Ressourcenverbrauchs auf den Endgeräten durch weniger Agenten und einer breiteren, netzwerkbasierten Sichtbarkeit.

3. Endgeräteschutzplattformen (Plattform EPP, Endpoint Protection Platforms)

Eine Endgeräteschutzplattform soll Bedrohungen wie bekannte Malware und fortschrittliche Bedrohungen wie dateilose Angriffe und Ransomware verhindern. Klar, Zero-Day-Exploits werden eher nicht erwischt, aber eine grundlegende IT-Hygiene kann erreicht werden. Eine erkennt bösartige Aktivitäten mithilfe verschiedener Techniken:

Signatur: Erkennung von Bedrohungen anhand bekannter Malware-Signaturen
Statische Analyse: Analyse von Binärdateien und Suche nach bösartigen Merkmalen vor der Ausführung mithilfe von Algorithmen des maschinellen Lernens
Verhaltensanalyse: EPP-Security-Lösungen können Verhaltensanomalien erkennen, auch wenn es keine bekannte Bedrohungssignatur gibt
Whitelisting und Blacklisting: Blockieren des Zugriffs oder Erlauben des Zugriffs nur auf bestimmte IP-Adressen, URLs, Anwendungen und Prozesse.
Sandbox: Testen auf bösartiges Verhalten von Dateien, indem sie in einer virtuellen Umgebung ausgeführt werden, bevor sie zur Ausführung zugelassen werden

Oft bieten diese Endgeräteschutzplattformen weitere passive Schutzfunktionen an wie Datei- und Festplattenverschlüsselung, Host-basierte Firewalls und Data Loss Prevention -Funktionen.

Viele dieser Lösungen arbeiten cloudbasiert ohne einen on-premises Management-Server um auch in einem mobilen Arbeitsumfeld ein kontinuierliches Monitoring sicherzustellen. Bei einigen Anbietern wird nicht nur das Management in die Cloud ausgelagert, sondern auch Teile der Erkennungsfunktionen selbst. Der Endgeräte-Agent muss keine lokale Datenbank mit allen bekannten IOCs (Indicators of Compromise) mehr unterhalten. Eine Cloud-API reicht um unbekannte Objekte zu klassifizieren.

Zu den Anbietern dieser klassischen Endpunktgeräte-Plattformen zählen unter anderem Broadcom (Symantec), Microsoft, Trend Micro, SentinelOne, Sophos, Crowdstrike. Eine stetig aktualisierte Liste findet sich bei Gartner.

4. Endpoint Detection und Response (EDR)

EDR-Lösungen ergänzen EPP-Plattformen, indem sie auch die zeitliche vorgelagerten verdächtigen Aktivitäten und das zeitlich nachgelagerte Incident-Response mit in die Überwachung einbeziehen.

Das wird auch durch die Buchstaben D und R in EDR reflektiert.

Die wichtigsten Funktionen einer EDR-Plattform sind:

Kontinuierliche Überwachung und Sammlung von Aktivitätsdaten von Endpunkten, die auf eine Bedrohung hindeuten könnten,
Automatisierte Reaktion auf erkannte Bedrohungen, unterstützt von Machine Learning/Künstliche Intelligenz und anderen Threat-Intelligence Quellen wie dem MITRE ATT&CK Framework,
Benachrichtigung des SOC-Teams falls eine Bedrohung erkannt wird und
als Forensik- und Analysetool fungieren, um erkannte Bedrohungen zu untersuchen und nach verdächtigen Aktivitäten zu suchen.

Für den Schutz der Endgeräte bietet EDR-Software im Vergleich zu klassischer EPP/Anti-Virensoftware insbesondere mehr Sichtbarkeit und Einflussnahme bei Angriffen mit aktueller Malware.

Zu den Anbietern von EDR-Software zählen viele Hersteller die bereits im vorhergehenden EPP-Abschnitt aufgeführt sind ( EDR-Liste von Gartner).

Zugegebenermaßen verschwimmt die Linie auf Anbieterseite zwischen EPP-Software und EDR-Software, da oftmals Features beider Produktlinien in ein integriertes Produkt überführt werden. Als Folge wird Endpoint Protection auf Basis der eigenen DER/EPP-Software bei jedem Hersteller ein wenig anders definiert.

Vergleich Endpoint Protection Platform vs. Endpoint Detection & Response

Feature	Endpoint Protection Platform (EPP)	Endpoint Detection & Response (EDR)
Ziel	Prävention bekannter Bedrohungen und vielleicht ein paar unbekannter	Verbesserung der Transparenz und Möglichkeit von Incident-Response Aktivitäten auf dem Endgerät
Einflussnahme	Gering	aktive Erkennung von Bedrohungen möglich
Unterstützung bei Sicherheitsvorfällen	passiver Schutz vor Bedrohungen	unterstützt die Behandlung von Sicherheitsvorfällen als Incident-Response Tool

5. MDR und XDR

Die EDR-Plattform bietet dem eigenen Sicherheitsteam hervorragende Einblicke und Transparenz, um eine Überwachung der Infrastruktur sicherzustellen. Um die Leistung aber voll zu nutzen benötigt es genügen Ressourcen, die häufig in den eigenen Teams nur schwer verfügbar sind.

Managed Detection and Response (MDR): erweitert eine EDR-Plattformen um eine externe menschliche Komponente, idealerweise durch ein Team von IT-Sicherheitsexperten.
Extended Detection and Response (XDR): XDR-Softwarelösungen dehnen die gute Endgerätesichbarkeit die EDR erzeugt auf die gesamte IT-Infrastruktur eines Unternehmens aus. Auch die Cloud-Infrastruktur, mobile Geräte und Netzwerkgeräte werden dabei mit betrachtet. Diese einheitliche Sichtbarkeit vereinfacht das Management der IT-Sicherheit und auch die Durchsetzung von Sicherheitsrichtlinien.

Häufig gestellte Fragen: Endpoint Security

Endpoint Security (Endpunktsicherheit) umfasst alle technischen und organisatorischen Maßnahmen, die Endgeräte wie PCs, Laptops, Smartphones und Tablets vor unberechtigten Zugriffen und Schadsoftware schützen. Da jedes mit dem Unternehmensnetz verbundene Gerät ein potenzielles Einfallstor ist, sichert Endpoint Security jeden dieser Endpunkte gezielt ab.

Eine Endpoint Protection Platform (EPP) dient der Prävention bekannter Bedrohungen direkt auf dem Endgerät – per Signatur-, Verhaltens- und Sandbox-Analyse. Endpoint Detection and Response (EDR) ergänzt diese Prävention um kontinuierliche Überwachung, automatisierte Reaktion und forensische Analyse und schafft so mehr Sichtbarkeit bei laufenden Angriffen. In modernen Produkten verschmelzen beide Funktionen zunehmend.

Managed Detection and Response (MDR) erweitert eine EDR-Lösung um ein externes Team aus IT-Sicherheitsexperten, das Erkennung und Reaktion übernimmt. Extended Detection and Response (XDR) dehnt die Sichtbarkeit von EDR über die Endgeräte hinaus auf die gesamte IT-Infrastruktur aus – inklusive Cloud, mobiler Geräte und Netzwerk.

Endpoint Security kombiniert drei Ebenen: technische Maßnahmen auf dem Gerät (Schutz vor Malware und Ransomware, Desktop-Firewalls, IDS/IPS, Anwendungs-Isolation, Data Loss Prevention, Verwaltung externer Geräte), netzwerkbasierte Maßnahmen (Web-Proxys, Phishing-Erkennung) sowie organisatorische Maßnahmen wie regelmäßige Security-Awareness-Trainings und klare Sicherheitsrichtlinien.

Durch die digitale Transformation, immer mehr mobile Arbeitsplätze und die zunehmende Nutzung der Cloud wächst die Angriffsfläche von Unternehmen stetig. Da Endgeräte häufig der erste Einstiegspunkt für Cyberangriffe sind, steigt der Bedarf, sie wirksam abzusichern.