Mobile-Menu

Checkliste Die Top 10 Merkmale für MDR-Services

Quelle: Pressemitteilung 4 min Lesedauer

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG
Fsas Technologies GmbH
FTAPI Software GmbH

Welche Eigenschaften sollte ein guter Managed Detection-and-Response-Services-Anbieter haben? Mit dieser Checkliste von Obrela behalten Kunden im Markt den Durchblick.

Obrela veröffentlicht eine Liste mit zehn Auswahlkriterien für MDR-Services.(Bild: Midjourney / KI-generiert)
Obrela veröffentlicht eine Liste mit zehn Auswahlkriterien für MDR-Services.
(Bild: Midjourney / KI-generiert)

Der Bedarf an Bedrohungserkennung und- abwehr steigt. Damit wächst auch der Markt für MDR-Anbieter, welche als Dienstleister Überwachung, Analyse und Reaktion auf Sicherheits­vorfälle für Unternehmen übernehmen, um diese vor Cyberangriffen zu schützen. Durch die Masse an Dienstleistern fehlt Organisationen oft der Durchblick, welcher am besten zu ihren Bedürfnissen passt. Der Cybersecurity-Anbieter Obrela hat eine Checkliste mit zehn Qualitätsmerkmalen von MDR-Unternehmen erstellt, damit potentielle Kunden die Anbieter besser vergleichen können.

Stefan Bange, Managing Director Germany bei Obrela
„Die MDR-Checkliste bietet einen guten Starpunkt für den Vergleich von Anbietern. Die Auswahl des passenden MDR-Partners ist jedoch keine Standardentscheidung. Der richtige Fit hängt stark vom individuellen Risikoprofil und den konkreten Anforderungen des Unternehmens ab. Branchenspezifische Rahmenbedingungen, gesetzliche Vorgaben wie GDPR oder NIS2, die Komplexität der bestehenden IT-Landschaft sowie die internen Sicherheitskapazitäten spielen dabei eine entscheidende Rolle. Am Anfang steht deshalb immer eine systematische Bestandsaufnahme der eigenen Sicherheitsanforderungen und der strategischen Ziele. Nur so lässt sich sicherstellen, dass MDR-Services nicht nur technische Anforderungen erfüllen, sondern langfristig zu einer tragfähigen und wirksamen Sicherheitsstrategie beitragen.“

Bildquelle: Obrela

1. Durchgängig besetztes 24/7-SOC

Ein guter MDR-Anbieter sollte über ein Security Operations Center (SOC) verfügen, welches durchgängig mit Analysten besetzt ist. Das gilt auch nachts und an Wochenenden. Um das zu gewährleisten kann ein sogenanntes „Follow-the-Sun“-Modell eingesetzt werden. Dabei werden Teams in mehreren Zeitzonen eingesetzt. Hier sollten die Konsistenz, Übergabeprozesse und Erfahrungsniveau der Teams geprüft werden. Die Sicherheitsanalysten sollten alle Mittel haben, auch außerhalb der gängigen Geschäftszeiten eigenständig Fälle bewerten und bearbeiten zu können.

2. Strukturierter und transparenter Onboarding-Prozess

Um einen hohen Schutz zu gewährleisten, ist ein effektives Onboarding nötig. Konkret bedeutet das: Der MDR-Anbieter integriert den Kunden durch einen strukturierten Prozess in seinen Sicherheitsbetrieb. Dieser Prozess umfasst mehrere klare Schritte:

  • Projektplanung
  • technische Integration
  • Konfiguration
  • Datenvalidierung
  • abschließender Funktionstest

Außerdem schaffen klar definierte Meilensteine Transparenz während der Integration. Dazu zählt die Installation von Agenten zur Simulation realistischer Angriffsszenarien. Je klarer und transparenter der Anbieter diesen Prozess gestaltet, desto besser ist der Kunde Obreal zufolge geschützt.

3. Governance-, Risiko- und Compliance-Anforderungen

Ein leistungsfähiger MDR-Anbieter sollte nicht nur Sicherheitsüberwachung bieten. Er sollte seinen Kunden auch bei der Einhaltung gesetzlicher und regulatorischer Anforderungen unterstützen. Dazu zählen Compliance-Reports für NIS2 oder die Datenschutz-Grundverordnung.

4. Incident-Response-Fähigkeiten

Incident-Response-Fähigkeiten gehören zu den Hauptkriterien bei der Auswahl eines MDR-Anbieters. Sie entscheiden darüber, wie effektiv und schnell ein Unternehmen – mithilfe seines MDR-Anbieter – auf Sicherheitsvorfälle reagieren kann. Nach Entdeckung einer Anomalie sollte das SOC in der Regel Vorfälle an ein Incident Response Team übergeben, welches dann weitere Maßnahmen übernimmt. Diese Eskalationsmechanismen müssen regelmäßig getestet werden. Obreal betont, dass es dabei entscheidend ist, wie viele Stunden an Incident-Response-Arbeit im Leistungsumfang enthalten sind. Sicherheitsdienstleister sollten mehrere Vorfälle parallel abdecken können.

5. Remote-Maßnahmen

Das Detection-and-Response-Team sollte bei bestätigten Vorfällen schnell handeln. Dazu muss das Team ortsunabhängig auf die Bedrohungen reagieren um Gegenmaßnahmen ergreifen zu können. Zu den Maßnahmen gehören Netzwerkisolation, das Beenden gefährlicher Prozesse, das Sperren von Benutzerkonten und das Blockieren schädlicher Verbindungen. Idealerweise geschieht dies über integrierte Endpoint-Detection-and-Response- oder Extended-Detection-and-Response-Plattformen. EDR-Lösungen erkennen Bedrohungen an Endpunkten und können auf diese reagieren, während XDR-Plattformen mehrere Quellen vereinen und auf deren Basis Gegenmaßnahmen koordinieren.

Diese Eingriffe sind tiefgreifend und können kritische Auswirkungen auf den Betrieb haben. Deshalb ist ein abgestimmter Autorisierungsprozess erforderlich. Das bedeutet, folgende Berechtigungen müssen im Vorhinein klar sein:

  • Wer darf welche Maßnahme auslösen oder freigeben?
  • Gibt es vordefinierte Reaktionen?
  • Welche Maßnahmen dürfen automatisiert erfolgen, welche nur nach Rücksprache?

Der Autorisierungsprozess sorgt dafür, dass:

  • rechtliche Anforderungen eingehalten werden (Datenschutz, Arbeitsrecht),
  • keine unnötigen Ausfälle durch „falschen Alarm“ entstehen und
  • die Verantwortlichkeiten im Unternehmen klar geregelt sind.

6. Erkennung von Zero-Day-Bedrohungen

Die Reaktion auf Zero-Day-Bedrohungen erfordert eine Kombination aus maschineller Erkennung und menschlicher Bewertung. Dazu gehören verhaltensbasierte Analysen (Behavioral Analytics) und Bedrohungsmodellierung. Threat-Intelligence-Feeds helfen, neue Bedrohungen zu erkennen.

7. Threat-Intelligence-Quellen

In einem SOC geht es nicht nur um die Menge, sondern um Relevanz und Aktualität der Bedrohungsdaten. Gute MDR-Anbieter nutzen kommerzielle Quellen, Open-Source-Plattformen wie MISP und eigene Forschung. Sie beteiligen sich Obreal zufolge aktiv am Informationsaustausch in der Community, etwa über Informationsaustausch- und Analysezentren (ISACs) oder die Europäische Agentur für Netz- und Informationssicherheit (ENISA).

8. Umfassende Überwachung

Ein guter MDR-Dienst überwacht IT-Infrastrukturen, Cloud-Umgebungen, mobile Arbeits­plätze, IoT-Komponenten und industrielle Steuerungssysteme der Kunden. Die Integration mit den Kundendaten erfolgt über APIs, Agenten, syslog oder cloud-native Konnek­toren. Danach werden die Daten normalisiert und die Ereignisse in Echtzeit korreliert. So entsteht eine ganzheitliche Sicherheitsüberwachung.

9. Industrielle OT-Umgebungen

In kritischen Infrastrukturen ist die Absicherung von Operational Technology (OT) essenziell. Diese Systeme sind oft alt, nicht gepatcht, schwer zugänglich und besonders störanfällig. Gleichzeitig sind sie heute stärker mit der IT verbunden, wodurch Angriffe von außen immer realistischer werden. MDR-Anbieter brauchen Erfahrung mit OT-Protokollen, da diese sich wegen ihrer technischen Architektur, historischen Entwicklung und sicherheitsrelevanten Eigenschaften, stark von klassischen IT-Protokollen unterscheiden. Anbieter sollten Überwachungs­techniken wie Deep Packet Inspection anwenden, um Bedrohungen in OT-System zuverlässig zu erkennen. Außerdem müssen IT- und OT-Grenzen für eine koordinierte Reaktion überbrückt werden. Dazu können die MDR-Anbieter zum Beispiel das Identitäts- und Zugriffsmanagement übergreifend gestalten.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

10. Nahtlose Integration in bestehende Sicherheitstechnologien

Ein moderner MDR-Dienst integriert sollte sich leicht in bestehende Sicherheitsarchitekturen. Er ist kompatibel mit SIEM-, EDR-, IAM- und CMDB-Lösungen. Die Schnittstellen (API, Agent, syslog, native Integration) müssen vollständig und bidirektional sein. Die regelmäßige Pflege und Aktualisierung der Prozesse sind wichtig, damit keine Sicherheitslücken entstehen.

(ID:50414894)

Weiterführende Inhalte