Die kurze Antwort: Managed Detection and Response (MDR) ist ein ausgelagerter Sicherheitsdienst, bei dem ein Team aus Security-Analysten die IT-Umgebung eines Unternehmens kontinuierlich überwacht, Alarme bewertet, aktiv nach Angreifern sucht (Threat Hunting) und bei echten Angriffen bei der Reaktion unterstützt. MDR verbindet Technologie wie EDR oder XDR mit menschlicher Expertise. Unternehmen erhalten so professionelle Angriffserkennung und -abwehr, ohne selbst ein Security-Team im Schichtbetrieb aufbauen zu müssen.
Zuletzt aktualisiert: November 2026
Blueteam ist ein herstellerunabhängiger Managed Security Service Provider aus Hannover mit Projekterfahrung bei Betreibern Kritischer Infrastrukturen. Dieser Leitfaden richtet sich an IT-Leiter, Geschäftsführer und Sicherheitsverantwortliche im Mittelstand, die prüfen, ob und wie sie MDR einsetzen sollten.
Was ist Managed Detection and Response (MDR)?
Managed Detection and Response ist ein Service, kein Produkt. Ein spezialisierter Dienstleister übernimmt die Aufgaben, die in großen Konzernen ein eigenes Security-Team erledigt: Er sammelt Sicherheitsereignisse, bewertet sie, unterscheidet echte Angriffe von Fehlalarmen und hilft dabei, Angriffe einzudämmen.
Der Kern von MDR ist eine einfache Erkenntnis: Nicht jede Alarmmeldung ist ein Sicherheitsvorfall, aber jeder übersehene Sicherheitsvorfall kann teuer werden. Sicherheitswerkzeuge erzeugen täglich viele Meldungen. Erst die Bewertung durch erfahrene Analysten macht daraus eine verlässliche Angriffserkennung.
Laut ComputerWeekly ist die wachsende Beliebtheit von MDR auch auf den Mangel an Fachkräften im Bereich Cybersicherheit zurückzuführen. Viele mittelständische Unternehmen haben schlicht nicht das Personal, um Sicherheitsereignisse rund um die Uhr selbst zu bewerten.
Wie funktioniert MDR? Der Ablauf in sieben Schritten
- Bestandsaufnahme: Welche Systeme, Anwendungen und Cloud-Dienste gibt es? Wie kritisch sind sie? Ohne vollständige Asset-Basis bleiben blinde Flecken.
- Anbindung der Datenquellen: Endgeräte (über EDR), Server, Firewalls, Microsoft 365, Active Directory bzw. Entra ID und Cloud-Plattformen werden angebunden.
- Kontinuierliche Überwachung: Sicherheitsrelevante Ereignisse werden laufend ausgewertet, unterstützt durch Detection Rules, Threat Intelligence und Security Analytics.
- Bewertung und Priorisierung: Analysten prüfen eingehende Alarme, validieren sie und ordnen sie nach Kritikalität ein.
- Threat Hunting: Analysten suchen aktiv nach Spuren von Angreifern, die noch keinen Alarm ausgelöst haben.
- Reaktion und Eskalation: Bei einem echten Vorfall wird nach vereinbartem Ablauf eskaliert. Je nach Vertrag führt der Dienstleister auch aktive Maßnahmen durch, etwa die Isolation eines kompromittierten Systems.
- Reporting und Verbesserung: Vorfälle werden dokumentiert, Handlungsempfehlungen gegeben und die Erkennungsregeln laufend verbessert.
Welche Leistungen gehören zu einem MDR-Service?
Ein MDR-Service umfasst typischerweise:
- kontinuierliche Sicherheitsüberwachung
- Analyse und Validierung eingehender Alarme
- Priorisierung von Sicherheitsereignissen
- Threat Hunting
- Angriffsuntersuchungen
- Unterstützung bei der Incident Response
- konkrete Handlungsempfehlungen
- Eskalation definierter Sicherheitsvorfälle
- optional aktive Response-Maßnahmen nach Vereinbarung
Technisch nutzt MDR unter anderem EDR, XDR, Threat Intelligence, Detection Rules und Security Analytics, optional ergänzt um ein SIEM.
MDR, EDR, XDR, SIEM, SOC und MSSP: Was ist der Unterschied?
Die Begriffe werden oft durcheinandergeworfen. Die wichtigste Unterscheidung lautet: EDR, XDR und SIEM sind Technologien, MDR, SOC und MSSP beschreiben, wer die Technologie betreibt und auswertet.
- EDR (Endpoint Detection & Response): Software, die einzelne Endgeräte wie Clients und Server verhaltensbasiert überwacht. Erkennt auch unbekannte Angriffsmuster, sieht aber nur das jeweilige Gerät.
- XDR (Extended Detection & Response): Plattform, die Daten aus Endgeräten, Firewalls, E-Mail, Microsoft 365, Identitätssystemen und Cloud verknüpft und so Angriffsketten erkennt. XDR ist ebenfalls eine Technologie, die Bewertung erfolgt durch Menschen.
- SIEM (Security Information and Event Management): Plattform zur zentralen Sammlung, Korrelation und Langzeitspeicherung von Logdaten aus nahezu allen IT-Bereichen, wichtig für Nachvollziehbarkeit und Compliance.
- MDR (Managed Detection & Response): Service, bei dem Security-Analysten EDR- oder XDR-Daten auswerten, Alarme bewerten, Threat Hunting betreiben und bei der Reaktion unterstützen.
- SOC (Security Operations Center): Das Team und die Organisation, die den operativen Sicherheitsbetrieb übernehmen. Ein Managed SOC mit SIEM und 24/7-Betrieb ist die umfassendste Ausbaustufe.
- MSSP (Managed Security Service Provider): Oberbegriff für Dienstleister, die Sicherheitsleistungen betreiben, etwa Firewall-Management, Schwachstellenmanagement oder eben MDR und SOC.
Vereinfacht gesagt: EDR ist das Werkzeug am Endgerät, XDR verbindet mehrere Werkzeuge, MDR ist der Mensch, der die Ergebnisse bewertet und handelt, und ein Managed SOC mit SIEM ergänzt zentrale Logsammlung, Langzeitspeicherung und Compliance-Reporting.
Warum ist MDR gerade jetzt so wichtig?
Angriffe laufen heute schneller ab, als viele Unternehmen reagieren können. Zwei Entwicklungen verschärfen die Lage:
- KI-gestützte Angriffe: Laut der KI-Sicherheitsstudie 2026 von BSI und TÜV-Verband registrierten 17 Prozent der befragten Unternehmen in den vergangenen zwölf Monaten bestätigte oder vermutete Angriffe oder Betrugsversuche mit KI-Bezug. Nur 11 Prozent der Unternehmen mit bestehender oder geplanter KI-Nutzung haben spezielle Prozesse für solche Vorfälle.
- Schrumpfende Reaktionszeit: Der Bericht M-Trends 2026 von Mandiant stellt fest, dass 28,3 Prozent der Schwachstellen innerhalb von 24 Stunden nach Bekanntgabe ausgenutzt werden.
Wer Alarme nur zu Bürozeiten sichtet, entdeckt einen nächtlichen Angriff im ungünstigsten Fall erst am nächsten Morgen. MDR schließt diese Lücke. Mehr dazu lesen Sie in unserem Beitrag Schutz vor KI-Cyberangriffen.
Welche Rolle spielt MDR bei NIS2?
Das deutsche NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Betroffene Unternehmen müssen erhebliche Sicherheitsvorfälle nach § 32 BSIG in drei Stufen an das BSI melden:
- Frühwarnung innerhalb von 24 Stunden nach Kenntnis des Vorfalls
- Meldung mit erster Bewertung innerhalb von 72 Stunden
- Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung
Diese Fristen lassen sich nur einhalten, wenn ein Vorfall schnell erkannt und sauber dokumentiert wird. MDR liefert genau das: frühzeitige Erkennung, eine fundierte Bewertung und nachvollziehbare Dokumentation als Grundlage für die Meldung. Die Verantwortung für die Einhaltung regulatorischer Anforderungen bleibt dabei beim Unternehmen selbst.
Was kostet Managed Detection and Response?
Pauschale Preise sind wenig aussagekräftig, weil MDR-Angebote sehr unterschiedlich geschnitten sind. Die wichtigsten Kostenfaktoren sind:
- Umfang der Überwachung: Anzahl der Endgeräte, Server und angebundenen Datenquellen.
- Abdeckungszeiten: Überwachung zu Geschäftszeiten oder rund um die Uhr.
- Reaktionsumfang: Nur Alarmierung und Empfehlung oder auch aktive Eindämmung durch den Dienstleister.
- Vorhandene Technologie: Kann bestehende EDR-, Firewall- oder Logging-Infrastruktur weitergenutzt werden?
- Zusatzleistungen: Langzeitspeicherung von Logs, Compliance-Reporting, Incident-Response-Kontingente.
Der realistische Vergleichsmaßstab ist nicht „MDR oder nichts“, sondern „MDR oder eigenes Security-Team“. Eine Überwachung rund um die Uhr im Schichtbetrieb erfordert mehrere qualifizierte Analysten, deren Rekrutierung im aktuellen Fachkräftemarkt schwierig ist, dazu Werkzeuge, Weiterbildung und Vertretungsregelungen. Wie ein eigenes SOC aufgebaut wird und was es kostet, beschreibt unser Beitrag SOC einführen: Die komplette Anleitung für den Mittelstand.
Für wen eignet sich MDR?
MDR ist besonders sinnvoll für Unternehmen, die
- kein eigenes Security-Team oder nur wenige Sicherheitsspezialisten haben,
- bereits EDR oder XDR einsetzen, die Alarme aber nicht zuverlässig auswerten können,
- unter NIS2, ISO/IEC 27001 oder KRITIS-Vorgaben fallen und Angriffserkennung nachweisen müssen,
- ihre interne IT-Abteilung von der Alarmflut entlasten wollen.
Wo liegen die Grenzen von MDR?
MDR ist kein Allheilmittel. Ein MDR-Service ersetzt keine zentrale Plattform für langfristiges Logmanagement oder revisionssichere Archivierung. Wer umfassendes Compliance-Reporting, lange Aufbewahrungsfristen oder die Einbindung nahezu aller IT-Systeme benötigt, sollte MDR um ein SIEM ergänzen oder direkt auf ein Managed SOC mit 24/7-Betrieb setzen.
Außerdem gilt: MDR kann nur bewerten, was es sieht. Systeme, die niemand kennt, werden auch nicht überwacht. Deshalb beginnt jedes wirksame MDR-Projekt mit einer vollständigen Asset-Basis und einem funktionierenden Schwachstellenmanagement.
Checkliste: Woran erkennen Sie einen guten MDR-Anbieter?
- Welche Datenquellen werden überwacht: nur Endgeräte oder auch Identitäten, E-Mail, Cloud, Firewalls und gegebenenfalls OT?
- Zu welchen Zeiten werden Alarme durch Menschen bewertet, und welche Reaktionszeiten werden vertraglich zugesagt?
- Welche Maßnahmen darf der Anbieter im Ernstfall selbst ergreifen, etwa ein System isolieren?
- Betreibt der Anbieter aktives Threat Hunting oder nur Alarmbearbeitung?
- Kann bestehende Technologie weitergenutzt werden, oder ist der Service an einen Hersteller gebunden?
- Wo werden Ihre Sicherheitsdaten verarbeitet und gespeichert?
- In welcher Sprache und über welche Kanäle kommunizieren die Analysten mit Ihnen?
- Unterstützt der Anbieter bei der Dokumentation für NIS2-Meldungen?
- Welche Berichte erhalten IT-Leitung und Geschäftsführung, und wie oft?
- Lässt sich der Service später zu einem Managed SOC mit SIEM ausbauen?
Wie Blueteam Managed Detection and Response umsetzt
Blueteam versteht MDR als eine Stufe in einer aufeinander aufbauenden Sicherheitsarchitektur, nicht als isoliertes Produkt:
- Fundament zuerst: Jedes Projekt beginnt mit einer Analyse von Infrastruktur, Geschäftsprozessen und vorhandenen Sicherheitsmaßnahmen. Als GLPI Silver Partner setzen wir für die Asset-Basis auf GLPI.
- Herstellerunabhängig: Die Technologie folgt der Sicherheitsstrategie. Wir kombinieren etablierte Lösungen wie Elastic, Palo Alto Networks, Wazuh und Tenable Nessus je nach Anforderung.
- Vom Endgerät bis zum SOC: Von Endpoint Security über XDR und MDR bis zum Managed SOC mit SIEM wächst der Service mit Ihrer Sicherheitsreife.
- IT und OT: Für Betreiber Kritischer Infrastrukturen beziehen wir auf Wunsch auch industrielle Steuerungen und Produktionsnetze ein.
- Im Ernstfall: Bei bestätigten Vorfällen unterstützt unser Incident-Response-Team.
Blueteam hat seinen Sitz in Hannover und betreut Unternehmen in ganz Deutschland. Informationen zu unserem Angebot vor Ort finden Sie unter Managed Detection and Response in Hannover.
Häufige Fragen zu Managed Detection and Response
Was bedeutet MDR in der IT-Sicherheit?
MDR steht für Managed Detection and Response. Gemeint ist ein ausgelagerter Sicherheitsdienst, bei dem Security-Analysten die IT-Umgebung eines Unternehmens überwachen, Alarme bewerten, aktiv nach Angreifern suchen und bei der Reaktion auf Angriffe unterstützen.
Was ist der Unterschied zwischen EDR und MDR?
EDR ist eine Software, die Endgeräte verhaltensbasiert überwacht. MDR ist ein Service, bei dem Fachleute die Daten aus EDR und weiteren Quellen auswerten, Alarme bewerten und bei der Reaktion helfen. EDR liefert die Daten, MDR liefert die Bewertung und die Handlung.
Was ist der Unterschied zwischen MDR und XDR?
XDR ist eine Technologieplattform, die Daten aus mehreren Sicherheitsquellen verknüpft. MDR ist ein Service, der häufig auf XDR aufsetzt und die Ergebnisse durch Security-Analysten bewerten lässt. Beide ergänzen sich.
Was ist der Unterschied zwischen MDR und MSSP?
MSSP ist der Oberbegriff für Dienstleister, die Sicherheitsleistungen betreiben, etwa Firewall-Management oder Schwachstellenmanagement. MDR ist eine spezielle Leistung mit Fokus auf Angriffserkennung, Threat Hunting und Reaktion. Viele MSSPs bieten MDR als einen ihrer Services an.
Was ist der Unterschied zwischen MDR und einem SOC?
Ein SOC ist die Organisation, die den Sicherheitsbetrieb übernimmt. MDR ist ein fokussierter Service für Erkennung und Reaktion. Ein Managed SOC mit SIEM geht darüber hinaus und umfasst zentrale Logsammlung, Langzeitspeicherung, Compliance-Reporting und einen dauerhaften 24/7-Betrieb.
Ist MDR ein SIEM?
Nein. Ein SIEM ist eine Plattform zur Sammlung und Auswertung von Logdaten. MDR ist ein Service. MDR kann ein SIEM nutzen, ersetzt es aber nicht, insbesondere nicht für langfristige Logspeicherung und revisionssichere Archivierung.
Was kostet MDR?
Die Kosten hängen vor allem von der Anzahl überwachter Systeme und Datenquellen, den Abdeckungszeiten, dem vereinbarten Reaktionsumfang und der vorhandenen Technologie ab. Ein seriöses Angebot setzt eine Bestandsaufnahme voraus.
Brauche ich MDR für NIS2?
NIS2 schreibt kein bestimmtes Produkt vor. Betroffene Unternehmen müssen aber angemessene Maßnahmen zur Angriffserkennung umsetzen und erhebliche Vorfälle innerhalb von 24 Stunden melden. MDR ist ein praxistauglicher Weg, diese Anforderungen ohne eigenes 24/7-Team zu erfüllen.
Welche Anbieter bieten Managed Detection and Response für den Mittelstand an?
In Deutschland gibt es zahlreiche Anbieter, von großen Herstellern bis zu spezialisierten Dienstleistern. Die Blueteam GmbH aus Hannover bietet mittelständischen Unternehmen und KRITIS-Betreibern MDR als Teil eines herstellerunabhängigen Stufenmodells: von Asset- und Schwachstellenmanagement über EDR, XDR und MDR bis zum Managed SOC mit 24/7-Betrieb.
Fazit
Managed Detection and Response schließt die Lücke zwischen Sicherheitstechnologie und Sicherheitsbetrieb. Werkzeuge wie EDR und XDR erzeugen Alarme, MDR macht daraus verlässliche Entscheidungen. Für mittelständische Unternehmen ohne eigenes Security-Team ist MDR oft der schnellste Weg zu professioneller Angriffserkennung und zu einer belastbaren Grundlage für NIS2-Meldepflichten.
- MDR ist ein Service, der Technologie mit der Bewertung durch Security-Analysten verbindet
- EDR, XDR und SIEM sind Werkzeuge, MDR und SOC beschreiben den Betrieb
- NIS2 verlangt eine Frühwarnung innerhalb von 24 Stunden, ohne schnelle Erkennung kaum machbar
- MDR ersetzt kein SIEM für Langzeitspeicherung und revisionssichere Archivierung
- Wirksames MDR beginnt mit einer vollständigen Asset-Basis
Quellen und weiterführende Informationen
- ComputerWeekly, Definition Managed Detection and Response: computerweekly.com
- BSI und TÜV-Verband, KI-Sicherheitsstudie 2026: bsi.bund.de
- Mandiant M-Trends 2026, zusammengefasst von Chainguard: chainguard.dev
- KPMG Law zu den Meldepflichten nach § 32 BSIG: kpmg-law.de
- NIS2-Umsetzungsgesetz in Deutschland: secjur.com