SIEM, EDR, XDR, NDR, und SOC: Unterschiede einfach erklärt

Kaum ein Bereich der IT ist so voll von Abkürzungen wie die IT-Sicherheit. SIEM, EDR, XDR, NDR, SOC: Die Begriffe tauchen in Angeboten, Fachartikeln und Herstellerpräsentationen ständig auf, oft ohne dass jemand erklärt, was sie eigentlich unterscheidet.

Dieser Artikel räumt damit auf und zeigt, welche Technologie was leistet, wo die Grenzen verlaufen und was Ihr Unternehmen tatsächlich braucht.

Warum diese Begriffe so oft verwechselt werden

Die Verwirrung hat einen einfachen Grund: Alle fünf Begriffe beschreiben Dinge, die dasselbe Ziel verfolgen, nämlich Angriffe zu erkennen und darauf zu reagieren. Sie tun das aber auf sehr unterschiedlichen Ebenen.

Der wichtigste Unterschied vorweg: SIEM, XDR, NDR und EDR sind Technologien, also Software, die Daten sammelt und auswertet. Ein SOC ist dagegen keine Software, sondern ein Team aus Menschen, das diese Technologien bedient. Wer diesen Unterschied einmal verstanden hat, kann die Begriffe deutlich leichter einordnen.

Die Kurzfassung

EDR schaut auf einzelne Geräte. NDR schaut auf den Netzwerkverkehr. SIEM sammelt Protokolldaten aus allen Systemen. XDR verbindet mehrere dieser Ebenen in einer Lösung. Das SOC ist das Team, das mit diesen Werkzeugen arbeitet.

Was ist SIEM?

SIEM steht für Security Information and Event Management. Ein SIEM sammelt Protokolldaten, sogenannte Logs, aus allen möglichen Quellen im Unternehmen: Firewalls, Servern, Endgeräten, Cloud-Diensten und Anwendungen. Diese Daten werden zentral zusammengeführt und miteinander in Beziehung gesetzt.

Der eigentliche Nutzen entsteht dabei durch die Verknüpfung. Ein fehlgeschlagener Login auf einem Server ist für sich genommen harmlos. Hunderte fehlgeschlagene Logins innerhalb weniger Minuten, gefolgt von einem erfolgreichen Login und einem ungewöhnlichen Datenzugriff, ergeben dagegen ein klares Angriffsmuster. Genau solche Zusammenhänge macht ein SIEM sichtbar.

Ein zweiter, oft unterschätzter Punkt: SIEM-Systeme speichern Protokolldaten revisionssicher über längere Zeiträume. Das ist für viele Compliance-Anforderungen wichtig, etwa wenn nach einem Vorfall nachgewiesen werden muss, was genau passiert ist.

Was ist EDR?

EDR steht für Endpoint Detection and Response und ist die Grundlage, auf der XDR aufbaut. Ein EDR-System überwacht einzelne Endgeräte, also Notebooks, PCs und Server, und achtet dabei nicht nur auf bekannte Schadsoftware, sondern auf verdächtiges Verhalten.

Der Unterschied zu klassischem Virenschutz ist entscheidend: Ein Virenscanner vergleicht Dateien mit einer Liste bekannter Bedrohungen. EDR beobachtet dagegen, was auf dem Gerät tatsächlich passiert. Beginnt ein Programm plötzlich, massenhaft Dateien zu verschlüsseln, schlägt EDR Alarm, auch wenn die Schadsoftware völlig neu und in keiner Datenbank verzeichnet ist.

Was ist XDR?

XDR steht für Extended Detection and Response. Das "Extended" bedeutet: Die Erkennung wird über den einzelnen Endpunkt hinaus erweitert. XDR führt Daten aus Endgeräten, Netzwerk, E-Mail-Systemen und Cloud-Diensten in einer einzigen Lösung zusammen.

Der praktische Vorteil zeigt sich bei mehrstufigen Angriffen. Ein moderner Angriff beginnt oft mit einer Phishing-Mail, führt dann zu einem kompromittierten Benutzerkonto und endet mit Datenabfluss über das Netzwerk. Einzelne Systeme sehen dabei jeweils nur ihren Ausschnitt. XDR verbindet diese Puzzleteile automatisch zu einem Gesamtbild und erkennt so Angriffe, die isolierte Lösungen übersehen würden.

Im Vergleich zu einem SIEM ist XDR meist deutlich schneller einsatzbereit, weil die Verknüpfungen bereits vom Hersteller vorkonfiguriert sind. Dafür ist es weniger flexibel und deckt in der Regel nur Systeme ab, die der jeweilige Hersteller unterstützt.

Was ist NDR?

NDR steht für Network Detection and Response und analysiert den Datenverkehr im Netzwerk. Während EDR auf einzelne Geräte schaut, beobachtet NDR, was zwischen den Geräten passiert.

Das ist aus einem bestimmten Grund wichtig: Nicht jedes Gerät im Netzwerk lässt sich mit einer Schutzsoftware ausstatten. Drucker, Kameras, Produktionsmaschinen oder andere vernetzte Geräte bieten dafür oft gar keine Möglichkeit. Genau diese Systeme sind aber beliebte Einstiegspunkte für Angreifer. NDR erkennt verdächtige Aktivitäten auch dort, weil es den Netzwerkverkehr selbst beobachtet und keine Software auf dem Gerät benötigt.

Da inzwischen der überwiegende Teil des Netzwerkverkehrs verschlüsselt ist, arbeiten moderne NDR-Lösungen zusätzlich mit Metadaten und Verbindungsmustern. Sie können dadurch Auffälligkeiten erkennen, ohne den verschlüsselten Inhalt selbst lesen zu müssen.

Was ist ein SOC?

Ein Security Operations Center, kurz SOC, ist kein Produkt, sondern ein Team. Spezialisierte Sicherheitsanalysten arbeiten dort rund um die Uhr mit den oben beschriebenen Technologien: Sie bewerten Alarmmeldungen, unterscheiden echte Angriffe von Fehlalarmen und leiten im Ernstfall sofort Gegenmaßnahmen ein.

Das ist der entscheidende Punkt, der in vielen Diskussionen untergeht: Die beste Erkennungstechnologie nützt wenig, wenn niemand da ist, der um drei Uhr nachts auf den Alarm reagiert. Genau diese Lücke schließt ein SOC.

Wie ein SOC im Detail arbeitet, welche Rollen es gibt und wie der Ablauf bei einem konkreten Vorfall aussieht, lesen Sie in unserem ausführlichen Artikel Welche Aufgaben hat ein Security Operations Center?

SIEM, XDR, NDR, EDR und SOC im Vergleich

Die folgende Übersicht zeigt die wichtigsten Unterschiede auf einen Blick.

Wie die Technologien im Ernstfall zusammenarbeiten

Ein Beispiel macht das Zusammenspiel greifbar. Angenommen, ein Mitarbeiter öffnet eine Phishing-Mail und gibt seine Zugangsdaten auf einer gefälschten Seite ein:

1. EDR bemerkt, dass auf dem Notebook ein ungewöhnlicher Prozess gestartet wurde.
   
   
2. NDR registriert, dass dieses Notebook plötzlich Verbindungen zu einer unbekannten Adresse im Ausland aufbaut.
   
   
3. SIEM stellt fest, dass sich dasselbe Benutzerkonto kurz darauf von einem völlig anderen Standort aus anmeldet.
   
   
4. XDR verknüpft diese drei Beobachtungen automatisch zu einem einzigen Vorfall statt zu drei getrennten Meldungen.
   
   
5. Das SOC bewertet den Vorfall, sperrt das betroffene Konto und isoliert das Notebook vom Netzwerk.

Keine dieser Ebenen hätte den Angriff allein zuverlässig gestoppt. Erst das Zusammenspiel macht die Abwehr wirksam.

Was braucht mein Unternehmen wirklich?

Die ehrliche Antwort: nicht alles gleichzeitig. Wer als mittelständisches Unternehmen mit einem vollständigen SIEM startet, überfordert sich in der Regel selbst, weil die Einrichtung und die tägliche Auswertung erheblichen Aufwand bedeuten.

Ein sinnvoller Weg sieht in der Praxis meist so aus:

• Als Basis: EDR auf allen Endgeräten. Das ist heute der Mindeststandard und ersetzt den klassischen Virenschutz.
  
  
• Als nächster Schritt: XDR, um Endgeräte, E-Mail und Cloud gemeinsam zu überwachen, ohne die Komplexität eines SIEM.
  
  
• Bei Bedarf ergänzend: NDR, wenn viele Geräte im Netzwerk keine eigene Schutzsoftware zulassen.
  
  
• SIEM: vor allem dann, wenn regulatorische Anforderungen eine lückenlose, revisionssichere Protokollierung verlangen.
  
  
• Ein SOC: sobald Alarme auch nachts und am Wochenende bearbeitet werden müssen, was intern kaum wirtschaftlich darstellbar ist.

Welche Kombination im Einzelfall passt, hängt von Ihrer Infrastruktur, Ihrer Branche und den vorhandenen internen Ressourcen ab. Ein strukturiertes Sicherheitsaudit schafft hier zuerst Klarheit über den Ist-Zustand.

Unsicher, welche Lösung zu Ihrer IT passt?

Wir schauen uns gemeinsam an, wie Ihre IT-Umgebung aufgebaut ist und welche Kombination aus Erkennungstechnologien und Überwachung für Sie tatsächlich sinnvoll ist.