Uns wird für 400 €/Monat „MDR-Cybersicherheit“ angeboten – was ist das und ersetzt es ein SOC?

Der entscheidende Unterschied zwischen MDR und klassischem Endgeräteschutz ist der Mensch am anderen Ende. Normale Antivirenprogramme blockieren bekannte Schadcode-Muster. Wenn sich jedoch ein Angreifer über legitime Systemtools Zugriff verschafft, schlägt die Standard-Software oft gar nicht erst an. Ein Analyst im MDR-Zentrum bemerkt diese Anomalie und trennt das betroffene Gerät augenblicklich vom Netz.

Was genau steht im Vertrag bezüglich Reaktionszeit (SLA)? Wenn nachts um 02:00 Uhr verdächtige Prozesse starten, greift dann jemand innerhalb von 15 Minuten ein oder heißt es da schwammig „Erstreaktion innerhalb von 4 Stunden“? Und ganz wichtig: Ist das firmenweite E-Mail-Gateway in das MDR-Monitoring eingebunden?

Wir haben in unserem Pariser Büro mit 35 Arbeitsplätzen ein ganz ähnliches Setup. Wir zahlen rund 18 € pro Endgerät und Monat, eure 400 € für 20 Geräte liegen also absolut im Marktdurchschnitt. Letzten Monat hat sich ein Kollege über einen gefälschten Rechnungsanhang was eingefangen – die Firewall hat nichts gemeldet, aber der MDR-Analyst hat den Laptop innerhalb von 8 Minuten isoliert und bei uns angerufen. Hat uns buchstäblich den Arsch gerettet.

Betreibt das Systemhaus, das euch die 400 € anbietet, das Monitoring selbst, oder verkaufen die nur Managed-Lizenzen von einem großen globalen Security-Hersteller mit Marge weiter? Wenn die nämlich keine eigenen Nachtschichten besetzen, sieht sich die Alarme erst morgens um acht jemand an – und genau dann kann man sich den ganzen MDR-Spuk auch sparen.

Bevor man zu MDR wechselt, sollte man meiner Meinung nach erst mal die Basishygiene abhaken. Ist Zwei-Faktor-Authentifizierung Pflicht, sind die Backups physisch vom Netzwerk getrennt, sind die lokalen Admin-Rechte der Mitarbeiter eingeschränkt? Wenn das fehlt hilft auch ein MDR für 400 € im Monat nichts, wenn Ransomware wegen eines falsch konfigurierten Admin-Accounts durchrutscht.

bei uns läuft nur ein Standard-Antivirus hinter dem Modem. muss der bisherige Antivirus deinstalliert werden, wenn MDR eingerichtet wird oder können beide parallel laufen, ohne die Rechner lahmzulegen?

Moderne MDR-Agents ersetzen herkömmliche Antivirenprogramme komplett; beide gleichzeitig laufen zu lassen führt nur zu Systemabstürzen und Freezes. Der MDR-Anbieter lässt im Hintergrund sowieso seine eigene Protection Engine laufen und schickt verdächtige Logs direkt an sein eigenes SOC. Die alte Lizenz braucht ihr also gar nicht erst zu verlängern.

Dabei gibt es einen sehr häufigen Fehler. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Wenn es jemand anders macht, würde mich das auch interessieren.

Mich interessiert das auch. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Hier habe ich einen Einwand. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

An deiner Stelle würde ich so vorgehen.

Meine Frage ist geklärt vielen Dank.

beibe dran und ehrlich gesagt änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt über den sie eingehen.

schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich sehe das anders. Fehler auf der mdr cybersicherheit-Seite sind meist rückgängig zu machen, aber teuer.

Das war's, entschuldige, wenn ich zu lang war.

Gespeichert.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

An deiner Stelle würde ich so vorgehen.

Richtig. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Wenn es jemand anders macht, würde mich das auch interessieren.

ich probiere es aus.

kurzfassung für Neueinsteiger: Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

vergessene Testumggebungen sind häufiger das Einfallstor als das Live-System.. und das ist meine Meinung, ich behaupte nicht dass es absolut richtig ist.