Managed Endpoint Security: Endgeräte schützen und überwachen lassen

Laptops, Arbeitsplatzrechner, Server und Smartphones sind die Geräte, an denen Beschäftigte arbeiten und auf denen Daten liegen. In der IT-Sicherheit heißen sie Endpunkte. Managed Endpoint Security bedeutet: Ein Dienstleister richtet den Schutz dieser Geräte ein, betreibt ihn laufend und kümmert sich um die Meldungen, die er erzeugt.

Dieser Beitrag erklärt, aus welchen Bausteinen Endpoint Security besteht, was der Zusatz „Managed“ ändert, was Sie mit einem Dienstleister klären sollten und wie das Thema mit den NIS2-Pflichten zusammenhängt. Wie Protokolle, Netz und Endgeräte gemeinsam überwacht werden, beschreibt unser Beitrag zum IT-Security-Monitoring.

Was mit Endpunkten gemeint ist

Der Begriff ist weiter, als er klingt. Microsoft zählt in der Beschreibung seines Produkts Defender for Endpoint Laptops, Smartphones, Tablets und PCs zu den Endpunkten, außerdem Zugriffspunkte, Router und Firewalls. Das BSI weist darauf hin, dass Schadprogramme auf allen Betriebssystemen laufen können, also auch auf mobilen Geräten, Netzkomponenten und vernetzten Geräten wie Kameras.

Für die Praxis heißt das: Am Anfang steht eine vollständige Liste der Geräte, die geschützt werden sollen. Das BSI verlangt im IT-Grundschutz ein Konzept, das genau das festhält: welche Systeme vor Schadprogrammen geschützt werden müssen und wie.

Die Bausteine von Endpoint Security

Virenschutz

Die Grundlage bildet ein Programm, das Schadsoftware auf dem Gerät erkennt und blockiert. Der Baustein OPS.1.1.4 „Schutz vor Schadprogrammen“ im IT-Grundschutz-Kompendium des BSI (Edition 2023) stellt dafür unter anderem diese Anforderungen:

• Schutzmechanismen, die Betriebssystem und Anwendungen bereits mitbringen, werden genutzt oder ihr Verzicht wird begründet.
• Im professionellen Betrieb werden nur Produkte für Unternehmen mit Service und Support eingesetzt, keine Produkte für Privatanwender.
• Benutzerinnen und Benutzer dürfen sicherheitsrelevante Einstellungen nicht ändern können.
• Die Programme werden regelmäßig und zeitnah aktualisiert.
• Infektionen sollen automatisch blockiert und an eine zentrale Stelle gemeldet werden. Das Vorgehen bei Alarmen soll geplant, dokumentiert und getestet sein.

Das BSI nennt auch eine Grenze: Maßgeschneiderte Schadprogramme werden von Virenschutzprogrammen häufig nicht unmittelbar erkannt. Bei erhöhtem Schutzbedarf empfiehlt es deshalb zu prüfen, ob Produkte mit erweitertem Schutzumfang sinnvoll sind.

Endpoint Detection and Response (EDR)

EDR heißt auf Deutsch etwa „Erkennung und Reaktion auf Endgeräten“. Solche Werkzeuge suchen nicht nur nach bekannter Schadsoftware, sondern zeichnen das Verhalten auf dem Gerät auf. Microsoft beschreibt das für Defender for Endpoint so: Das Produkt erfasst laufend Verhaltensdaten, etwa zu Prozessen, Netzwerkaktivität, Anmeldungen sowie Änderungen an Registrierung und Dateisystem. Erkennt das System eine Bedrohung, erzeugt es eine Warnung. Zusammengehörige Warnungen werden zu einem Vorfall gebündelt, den Fachleute untersuchen (Microsoft Learn: Übersicht über EDR).

Wichtig für die Auswahl: Der Funktionsumfang hängt von der Lizenz ab. Bei Microsoft enthalten Defender for Endpoint Plan 1 und Defender for Business laut Herstellerdokumentation nur einige manuelle Reaktionen, zum Beispiel ein Gerät isolieren oder eine Datei stoppen und in Quarantäne verschieben. Prüfen Sie bei jedem Produkt, welche Funktionen in Ihrer Lizenz enthalten sind. Wie Sie Defender for Business einrichten, zeigt unser Beitrag Defender in Microsoft 365 Business Premium.

Verwaltung und Aktualisierung der Geräte

Zum Schutz gehört auch, die Geräte aktuell und einheitlich eingerichtet zu halten. Das BSI verweist in seinem Baustein ausdrücklich auf das Patch- und Änderungsmanagement. Wie Microsoft Intune Geräte zentral verwaltet, erklärt unser Beitrag Was ist Microsoft Intune?.

Was „Managed“ dabei bedeutet

Ein EDR-Werkzeug erzeugt Warnungen. Jemand muss sie bewerten und entscheiden, was zu tun ist. Genau hier setzt der Managed-Ansatz an: Ein Dienstleister übernimmt Einrichtung, Pflege, Bewertung der Warnungen und die vereinbarten Reaktionen. Ihr Unternehmen bleibt für die Entscheidungen verantwortlich, die das Geschäft betreffen. Wie Sie festlegen, wer welche Warnung erhält und ab wann ein Wert ein Problem ist, beschreibt unser Beitrag IT-Monitoring-Konzept.

In diesem Zusammenhang fallen oft die Begriffe Managed Detection and Response (MDR) und Security Operations Center (SOC). Was sie bedeuten und wie sie sich von Managed Endpoint Security abgrenzen, erklärt unser Beitrag zum IT-Security-Monitoring.

Was Sie mit einem Dienstleister klären sollten

Wir empfehlen, vor dem Vertrag diese Fragen schriftlich zu beantworten:

• Umfang: Welche Geräte sind erfasst? Auch Server, Smartphones und Geräte im Homeoffice?
• Erreichbarkeit: Wer bewertet Warnungen außerhalb der Bürozeiten, und wie schnell?
• Befugnisse: Welche Reaktionen darf der Dienstleister ohne Rückfrage auslösen, etwa ein Gerät vom Netz isolieren? Wann muss er Sie vorher erreichen?
• Information: Wer wird bei einem Vorfall wie informiert, und wer bei Ihnen entscheidet?
• Berichte: Welche Auswertungen erhalten Sie regelmäßig, etwa zu Warnungen, Gerätestand und offenen Punkten?
• Daten: Wo werden die Verhaltensdaten gespeichert, wie lange, und ist ein Vertrag zur Auftragsverarbeitung geschlossen?
• Ende: Was passiert mit Daten und Einstellungen, wenn Sie den Vertrag beenden?

Was Endpoint Security nicht ersetzt

Endpoint Security erkennt Angriffe auf Geräten und kann sie eindämmen. Sie senkt das Risiko, beseitigt es aber nicht. Das BSI ordnet den Schutz vor Schadprogrammen deshalb in weitere Bausteine ein: Datensicherung, Sensibilisierung und Schulung der Beschäftigten, Behandlung von Sicherheitsvorfällen und Patch-Management. Ohne geprüfte Datensicherung und ohne Plan für den Ernstfall bleibt eine Lücke, auch wenn auf jedem Gerät ein EDR-Werkzeug läuft.

Endpoint Security und NIS2

Unternehmen, die unter die deutsche Umsetzung der NIS2-Richtlinie fallen, müssen geeignete, verhältnismäßige und wirksame Maßnahmen ergreifen und das dokumentieren (§ 30 BSIG). Zu den Mindestbereichen gehören unter anderem die Bewältigung von Sicherheitsvorfällen, der Umgang mit Schwachstellen sowie Zugriffskontrolle und Verwaltung der IT-Systeme. Endpoint Security kann zu mehreren dieser Bereiche beitragen. Ein Produkt allein erfüllt die Pflichten aber nicht. Entscheidend sind Konzept, Abläufe und Nachweise. Wer betroffen ist und welche Pflichten gelten, lesen Sie in unserem Beitrag zur NIS-2-Richtlinie. Wie das Gesetz in Deutschland aufgebaut ist und welche Behörden zuständig sind, beschreibt unser Beitrag NIS2-Umsetzung in Deutschland.

Wie wir Sie unterstützen

Auf unserer Seite Managed Security und MDR stellen wir unsere drei Schutzstufen vor: Managed Antivirus, MDR und Managed SOC. Auf Wunsch setzen wir CrowdStrike als Endpoint-Schutz ein. Gemeinsam mit unserem Partner Eye Security bieten wir mit CyberGuard eine Überwachung rund um die Uhr mit Unterstützung bei der Vorfallbehandlung an. Mit einem Security-Check nehmen wir den Stand Ihrer IT-Sicherheit auf. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis.

Sprechen Sie mit uns

Sie möchten wissen, welcher Schutz zu Ihren Geräten passt? Wir betreuen Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeiten wir mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt mit uns auf, und wir besprechen Ihre Fragen in einem ersten Gespräch.