Inhalt in Kürze
- EDR vs XDR vs MDR sind kein Hersteller-Marketing, sondern drei tatsächlich unterschiedliche Schutzstufen für unterschiedliche Unternehmensgrößen.
- Bis 50 MA reicht EDR (Microsoft Defender for Business oder Bitdefender), 50–200 MA brauchen XDR, ab 200 MA oder regulierte Branche ist MDR Pflicht.
- Kosten 2026: EDR 30–45 €/User/Jahr, XDR 100–150 €/User/Jahr, MDR 80–200 €/User/Monat.
- Cyberversicherer verlangen 2026 EDR als Mindeststandard — wer keins hat, bekommt keine Police mehr.
- 24/7-Monitoring ist kein Luxus: 65 % der Ransomware-Angriffe starten am Wochenende, wenn Ihr IT-Team schläft.
EDR, XDR und MDR sind die drei dominanten Begriffe in der Endpoint-Security 2026. Wer als Hamburger Geschäftsführer eine Cybersecurity-Investition rechtfertigen muss, sollte diese drei Stufen verstehen — und ehrlich einordnen, welche zu seiner Unternehmensgröße passt. Dieser Artikel räumt mit Marketing-Nebel auf und nennt konkrete Tools, Preise und Auswahlkriterien.
Die drei Stufen kurz erklärt
EDR — Endpoint Detection & Response. Software-Agent auf jedem Endgerät (Laptop, Desktop, Server). Überwacht Prozesse, Dateizugriffe, Netzwerkverbindungen, erkennt verdächtiges Verhalten und kann Geräte automatisch isolieren. EDR ist die direkte Nachfolge des klassischen Virenscanners — signaturbasierte Erkennung ist 2026 wertlos, EDR arbeitet verhaltensbasiert und mit KI-Modellen.
XDR — Extended Detection & Response. Erweitert EDR um zusätzliche Telemetrie-Quellen: E-Mail-Gateways, Cloud-Workloads (Microsoft 365, Azure, AWS), Identitäts-Plattformen (Entra ID), Netzwerk-Sensoren. Der Witz: Ein Phishing-Angriff sieht im Posteingang harmlos aus, ein Login-Versuch aus Russland sieht für sich unverdächtig aus, ein Datei-Download wirkt wie Routine — erst die Korrelation dieser Einzelereignisse offenbart den Angriff. Genau das macht XDR.
MDR — Managed Detection & Response. Ist keine Software, sondern eine Dienstleistung: Ein externes Security-Operations-Center (SOC) überwacht Ihre EDR/XDR-Telemetrie rund um die Uhr, untersucht Alerts, eskaliert nur das, was wirklich relevant ist, und reagiert aktiv (z.B. kompromittiertes Notebook binnen 5 Minuten isolieren). MDR ist die Antwort auf das ehrlichste Problem im Mittelstand: Tools alleine helfen nichts, wenn niemand hinguckt.
Direktvergleich auf einen Blick
| Kriterium | EDR | XDR | MDR |
|---|---|---|---|
| Was es ist | Software-Agent auf Endpoints | Plattform über mehrere Datenquellen | 24/7-Service durch externes SOC |
| Wer überwacht | Sie selbst (oder Ihr IT-Dienstleister) | Sie selbst (oder Ihr IT-Dienstleister) | Externes Security-Operations-Center |
| Reaktionszeit | Stunden bis Tage | Stunden | Minuten |
| Erkennt | Verdächtiges Verhalten auf Endpunkt | Mehrstufige Angriffe über Endpoint + Cloud + E-Mail + Identity | Alles plus aktive Bedrohungsjagd (Threat Hunting) |
| Personal-Bedarf intern | 1 Admin (Konfiguration, gelegentliche Alerts) | 1 Security-Fokus-Mitarbeiter | Keiner — extern abgedeckt |
| Kosten 2026 (80 MA) | 2.400–3.600 €/Jahr | 8.000–12.000 €/Jahr | 76.800–192.000 €/Jahr |
| Geeignet ab | 10 MA | 50 MA | 100 MA / reg. Branchen |
| Top-Tools | Defender for Business, Bitdefender, Sophos | Defender XDR, CrowdStrike Falcon, SentinelOne | Falcon Complete, Arctic Wolf, Sophos MDR |
| NIS2-tauglich | Grundschutz | Empfohlen | Pflichtniveau |
| Cyberversicherung | Mindestanforderung 2026 | Erleichterte Tarife | Beste Konditionen |
Lassen Sie sich nicht von Hersteller-Marketing verwirren. „XDR" steht inzwischen oft auf Produkten, die eigentlich nur EDR sind. Echtes XDR erkennen Sie an drei Merkmalen: Korrelation über mindestens drei Datenquellen, vordefinierte Angriffsketten-Erkennung (MITRE ATT&CK Mapping) und einheitliche Konsole für Endpoint + Cloud + Identity.
Empfehlung nach Unternehmensgröße
Bis 25 Mitarbeiter: EDR-Light reicht
Für kleine Hamburger Betriebe — Werbeagenturen, Architekturbüros, kleine Anwaltskanzleien — ist Microsoft Defender for Business die pragmatischste Lösung. Im Microsoft 365 Business Premium für 22 €/User/Monat enthalten. Funktional ist es Defender for Endpoint Plan 1, also vollwertiges EDR mit zentraler Konsole. Kein Extra-Vertrag, keine weitere Agent-Installation, keine separate Lizenz. Voraussetzung: Sie nutzen ohnehin Microsoft 365.
Alternativ: Bitdefender GravityZone Business Security Premium etwa 38 €/Endpoint/Jahr. Stark wenn Sie aus Datenschutz-Gründen keine US-Cloud-Telemetrie wollen — Bitdefender hat Hauptsitz in Rumänien, EU-Datenstandort möglich. Mehr Tiefe zur Plattform im Artikel Bitdefender GravityZone aus IT-Leiter-Sicht.
25–100 Mitarbeiter: EDR mit professionellem Tuning
Hier wird die Konfiguration kritisch. Wir sehen bei Neukunden in dieser Größe regelmäßig: EDR ist installiert, aber 2.000 Alerts/Woche werden ignoriert, weil keiner Zeit hat. Pragmatischer Ansatz: EDR (Defender for Business oder GravityZone) plus extern verwaltete Alert-Triage durch Ihren IT-Dienstleister. Bei hagel IT machen wir das im Rahmen des Managed IT Services — Sie zahlen Festpreis pro User, wir kümmern uns inklusive Tuning.
100–200 Mitarbeiter: XDR — der Sprung in die Korrelation
Ab dieser Größe wird Endpoint-Sicht zu wenig. Sie haben Microsoft 365, mehrere Cloud-Anwendungen, eine zunehmend komplexe Identity-Landschaft (Entra ID, vielleicht Conditional Access). Phishing-Angriffe nutzen heute zwingend mehrere Vektoren: gestohlene Credentials + MFA-Bypass + Lateral Movement. EDR sieht nur das letzte Drittel davon.
Microsoft Defender XDR (im Lizenzpaket Microsoft 365 E5 oder über E5 Security Add-on für etwa 12 €/User/Monat) korreliert Defender for Endpoint + Defender for Office 365 + Defender for Cloud Apps + Defender for Identity. Wenn Sie ohnehin im Microsoft-Ökosystem leben, ist das die effizienteste Option.
Alternativen: CrowdStrike Falcon Insight XDR (premium, beste Detection-Quote in MITRE ATT&CK Evaluations 2025) — vertieft in unserem Praxisartikel CrowdStrike Falcon — effektives Bedrohungsmanagement. SentinelOne Singularity — KI-getrieben, etwas günstiger, gutes Mittelstand-Angebot.
Bei mittelständischen Kunden sehen wir oft EDR im Einsatz, aber die Alerts schlafen in der Konsole. Erst wenn jemand mit Stoppuhr drauf guckt — egal ob intern oder extern — wird EDR wirklich wirksam. Tools alleine sind teurer Datenmüll.
Philip KraatzGeschäftsführer, hagel IT-Services GmbH
Ab 200 Mitarbeiter oder regulierte Branche: MDR ist Pflicht
Sobald Sie 200+ Mitarbeiter haben oder in einer der folgenden Branchen aktiv sind, ist MDR keine Frage mehr: Anwaltskanzleien (BRAO §43e), Steuerkanzleien (DATEV-Compliance), Medizinprodukte (MDR, IVDR), KRITIS-Betreiber (BSI-Gesetz), NIS2-betroffene wichtige Einrichtungen. Hier verlangen Behörden, Mandanten und Versicherer 24/7-Überwachung.
Drei Optionen für Hamburger Mittelständler:
- Hersteller-MDR — CrowdStrike Falcon Complete, SentinelOne Vigilance, Sophos MDR. Vorteil: Tiefste Tool-Integration. Nachteil: Wenig Lokal-Bezug, oft englischsprachiges SOC.
- Spezialisierte MDR-Anbieter — Arctic Wolf (europäisches SOC), eSentire, Trustwave. Vorteil: Unabhängig vom Tool-Hersteller, oft 24/7-deutschsprachig. Nachteil: Premium-Preise.
- Regionaler Managed-Security-Provider — IT-Dienstleister mit eigener Tier-1-SOC-Triage und Backend zu Hersteller-SOC. Vorteil: Lokaler Ansprechpartner, Hamburger Kunde-Wissen, ein Vertrag. Nachteil: SOC-Kapazität abhängig vom Anbieter.
Was 2026 wirklich anders ist
Drei Trends sollten in jeder Hamburger Sicherheits-Entscheidung 2026 bedacht werden:
KI-getriebene Angriffe sind Standard
Massenangriffe nutzen seit 2024 generative KI für hochpersonalisiertes Phishing, polymorphe Malware und automatisches Lateral Movement. Signaturbasierte Erkennung ist tot — nur verhaltensbasierte EDR/XDR sieht solche Angriffe überhaupt. Wer 2026 noch einen klassischen Virenscanner einsetzt, schützt sich gegen Angreifer von 2018. Mehr im Artikel IT-Sicherheit Trends 2026: KI-Agenten als Bedrohung und Chance.
Identitäts-Angriffe überholen Malware
Laut Microsoft Digital Defense Report 2024 sind Identity-Attacken (Token-Theft, MFA-Bypass, AiTM-Phishing) die häufigste Initial-Access-Methode. EDR alleine sieht das nicht — nur XDR mit Identity-Telemetrie erkennt verdächtige Logins, Token-Replay und ungewöhnliche Conditional-Access-Bypass-Versuche.
Time-to-Ransomware sinkt auf Stunden
Der CrowdStrike Global Threat Report 2024 nennt eine durchschnittliche „Breakout Time” von 62 Minuten — die Zeit vom ersten Foothold bis zur Bewegung im Netz. Wer nur Werktags 9–17 Uhr Augen auf der Konsole hat, verliert dieses Rennen verlässlich.
Ob Sie 5 oder 500 Mitarbeiter haben — einem KI-gesteuerten Massenangriff ist das völlig egal. Die verschlüsseln Sie automatisiert, einfach weil sie können. Deshalb braucht heute jedes Unternehmen einen Grundschutz.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Hamburger Praxis: Drei Szenarien
Szenario 1: Architekturbüro Eppendorf, 18 Mitarbeiter
Ausgangslage: Microsoft 365 Business Premium, Laptops mit Defender Antivirus, kein zentrales Monitoring. Risiko: Phishing-Mail an Buchhaltung, kompromittierter Account, Datenabfluss aus OneDrive.
Empfehlung: Defender for Business aktivieren (in Business Premium schon enthalten — 0 € extra), zentrale Konsole im Microsoft 365 Defender Portal einrichten, Conditional Access mit MFA aktivieren. Aufwand 4 Wochen, laufende Kosten praktisch null. Schutzniveau: deutlich über deutschem Mittelstands-Durchschnitt.
Szenario 2: Hamburger Steuerkanzlei Neustadt, 65 Mitarbeiter
Ausgangslage: DATEV, Microsoft 365 E3, ein interner IT-Verantwortlicher, sensible Mandantendaten, BRAO-/StBerG-Compliance.
Empfehlung: Upgrade auf Microsoft 365 E5 oder E5 Security Add-on, Defender XDR mit Defender for Identity. Plus externe Alert-Triage durch IT-Dienstleister (z.B. unser Co-Managed IT Service). Geschätzter Mehraufwand 700–900 €/Monat, deutlich unter dem, was ein DSGVO-Vorfall mit Mandantendaten kosten würde. Mehr zur Branche im Artikel IT für Anwaltskanzleien Hamburg.
Szenario 3: Hamburger Hafenlogistiker HafenCity, 240 Mitarbeiter
Ausgangslage: SAP, Microsoft 365, eigene OT-Systeme im Hafenumschlag, NIS2-betroffen als wichtige Einrichtung (Logistik-Sektor), heterogene Standorte mit 24/7-Betrieb.
Empfehlung: Vollwertiges MDR mit 24/7-SOC. Hier macht ein externer MDR-Anbieter Sinn, weil Sie auch nachts und am Wochenende operativ sind und ein Vorfall im Hafenbetrieb sofort Schaden anrichtet. Kosten 80–120 €/User/Monat, also etwa 230.000–345.000 €/Jahr — ein Bruchteil eines Ransomware-Schadens, gegen NIS2-Bußgelder und Cyberversicherer absicherbar. Sehen Sie auch unsere Cybersecurity-Beratung Hamburg.
Auswahl-Workflow: In 6 Schritten zur Entscheidung
- Schritt 1 — Status ehrlich bewerten: Was haben Sie heute? Klassischer Virenscanner, EDR-Light, schon EDR mit Monitoring? Welche Tools sind aktiv konfiguriert, welche dümpeln?
- Schritt 2 — Risiken priorisieren: Welche Daten sind unternehmenskritisch? Welche Branchen-Compliance trifft Sie (DSGVO, NIS2, BRAO, MDR, KRITIS)? Welche Versicherung hat welche Anforderungen?
- Schritt 3 — Größenklasse einsortieren: Bis 50 MA, 50–200 MA, ab 200 MA — daraus folgt die Stufe EDR / XDR / MDR.
- Schritt 4 — Microsoft-Affinität prüfen: Wenn Sie tief im Microsoft-365-Ökosystem sind, hat Defender XDR den natürlichen Vorteil der Lizenz-Integration. Sonst CrowdStrike oder SentinelOne ins Auge fassen.
- Schritt 5 — 24/7-Frage stellen: Können Sie intern 24/7-Augen auf Alerts garantieren? Nein? Dann kommt MDR rein, egal in welcher Größenklasse.
- Schritt 6 — Pilot starten: Vor flächigem Rollout 4-Wochen-Pilot auf 10 % der Endpunkte. Misst Alert-Volumen, False-Positive-Rate und Lärm-Pegel — wichtige Eingangsgröße für die Service-Vereinbarung.
Häufige Fehler
Aus über 40 EDR/XDR/MDR-Projekten in Hamburg und Norddeutschland haben wir folgende Stolperfallen gesammelt:
- „EDR ist installiert, alles gut." Falsch — ohne Baseline-Tuning, Whitelisting und aktive Triage ist EDR nutzlos.
- „Wir nehmen das Günstigste." Sparen am Tool, das die Existenz Ihres Unternehmens absichert, ist falscher Sparfleiß. Pragmatisch: Nehmen Sie das, was zu Ihrem Ökosystem passt.
- „MDR brauchen wir nicht, wir haben Backup." Backups sind die letzte Verteidigungslinie, nicht die erste. Wenn die erste Reihe fehlt, wird Backup zur Daueraufgabe.
- „Defender Antivirus reicht aus." Defender (Free/Gratis-Variante in Windows) ist solider AV, aber kein EDR. Erst Defender for Endpoint / for Business ist EDR — mit separatem Lizenz-Bedarf.
- „24/7 brauchen wir nicht, wir haben keine Schicht." Angreifer arbeiten auch in Ihrer Mittagspause. Bedrohungslage ist 24/7, Verteidigung muss es auch sein.
- „Wir sammeln alle Logs und schauen sie monatlich an." Forensik-Sammlung ist gut, aber nur, wenn jemand sie zeitnah auswertet. Ohne Echtzeit-Auswertung sind Logs nur teurer Speicherplatz.
NIS2- und Versicherungs-Realität 2026
NIS2 trifft in Hamburg und Norddeutschland viele Mittelständler härter, als sie glauben. „Wichtige Einrichtungen” sind unter anderem mittlere Unternehmen (50+ MA und 10+ Mio € Umsatz) in Logistik, Postdiensten, digitalen Diensten, Lebensmittel, Maschinenbau. Diese müssen nach Art. 21 NIS2-RL „geeignete und verhältnismäßige technische Maßnahmen” treffen — und das ist nach BSI-Auslegung 2026 mindestens EDR plus Vulnerability Management plus 24/7-Reaktionsfähigkeit. Mehr Praxisbericht: NIS2 nach 12 Monaten Praxis und NIS2-Audit-Vorbereitung Hamburg.
Cyberversicherungen 2026: Hiscox, AXA, Allianz und Munich Re verlangen in ihren Fragebögen explizit nach (a) EDR-Lösung in Produktion, (b) MFA für alle privilegierten Konten, (c) getestete Backups offline/immutable, (d) Incident-Response-Plan. Wer auch nur einen dieser vier Punkte nicht nachweisen kann, bekommt entweder keine Police oder eine mit Selbstbehalt von 100.000 € und Prämienzuschlag.
Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt — jedes Dokument, jede E-Mail, jede Rechnung. Seitdem weiß ich: IT-Sicherheit ist kein Luxus, sondern Überlebensfrage.
Wie hagel IT EDR/XDR/MDR umsetzt
Bei hagel IT begleiten wir Hamburger Mittelständler in allen drei Stufen. Unser Vorgehen:
- Cyber-Risiko-Analyse mit der Geschäftsführung (kostenfreies 15-Min-Erstgespräch + 2-Stunden-Workshop) — ehrliche Standort-Bestimmung.
- Tool-Empfehlung passend zum Ökosystem — keine Lizenz-Verkaufs-Logik, sondern passgenau.
- Pilot-Rollout auf 10 % der Endpunkte (typisch 4 Wochen) — Alert-Volumen messen, Baseline tunen.
- Vollroll-out mit Festpreis pro User/Monat — Sie zahlen pro Mitarbeiter, nicht nach Stunden.
- Monatlicher Reporting-Termin mit Geschäftsführung — was war diesen Monat los, welche Risiken sehen wir.
- Quartalsweise Risiko-Review — passt das Schutzniveau noch zur Bedrohungslage, zur Unternehmensgröße, zu neuen Compliance-Anforderungen.
Wir setzen je nach Kundenumgebung Microsoft Defender (XDR/MDR-fähig), Bitdefender GravityZone oder CrowdStrike ein — keine Religion, sondern Pragmatismus. Wenn Sie eine bestehende Lösung haben, übernehmen wir die Konfiguration und Triage; wenn nichts da ist, bauen wir mit Ihnen den passenden Schutz von Grund auf.
Welche Stufe passt zu Ihrem Hamburger Mittelstand?
15-Min-Erstgespräch kostenlos. Wir klären: EDR, XDR oder MDR — was sinnvoll ist, was übertrieben wäre, was Ihre Versicherung verlangt. Ohne Vertriebsdruck.
Erstgespräch buchen →
