EDR-Lösungen im Vergleich: 8 Optionen für den Mittelstand
EDR-Lösungen im Vergleich: acht Anbieter nach Anwendungsfall einsortiert – mit offengelegten Auswahlkriterien, Kostenrahmen und der Frage, wer die Alarme auswertet.
- EDR (Endpoint Detection and Response) erkennt Angriffe am Verhalten eines Endgeräts statt an bekannten Signaturen und kann ein betroffenes Gerät automatisch vom Netz trennen.
- Die Auswahl entscheidet sich seltener an der Erkennungsrate als an der Frage, wer die Alarme auswertet: Ein EDR ohne Auswertung erzeugt vor allem Protokolle.
- Wer Microsoft 365 Business Premium einsetzt, hat mit Defender for Business bereits eine EDR-Funktion lizenziert – vorgesehen für Organisationen mit bis zu 300 Benutzern (Stand: August 2026).
- Microsoft Defender for Endpoint Plan 1 enthält keine Endpunkterkennung und -reaktion; EDR und automatisierte Untersuchung stecken erst in Plan 2 (Stand: August 2026).
- Bei kjello kostet EDR 10 € pro Arbeitsplatz und Monat zusätzlich zur Core-Flatrate von 29 € – inklusive der laufenden Auswertung durch das Systemhaus.
Ein Virenscanner meldet, was er kennt. Ein Angreifer, der sich mit gültigen Zugangsdaten anmeldet und danach PowerShell benutzt, sieht für ihn aus wie ein Administrator bei der Arbeit. Genau diese Lücke soll EDR schließen. Deshalb landet der Vergleich von EDR-Lösungen inzwischen auch bei Unternehmen mit 40 Arbeitsplätzen auf dem Tisch. Dieser Beitrag sortiert acht verbreitete Optionen nach Anwendungsfall ein und legt offen, nach welchen Kriterien.
Was eine EDR-Lösung leisten muss
EDR bedeutet: Ein Agent auf jedem Endgerät zeichnet auf, welche Prozesse starten, welche Dateien sich ändern und welche Verbindungen nach außen entstehen, erkennt daraus verdächtige Muster und kann das Gerät im Ernstfall isolieren.
Wie konkret das gemeint ist, zeigt die Liste des BSI zu den Top-10-Maßnahmen zur Detektion von Ransomware-Angriffen. Dort steht nicht „setzen Sie EDR ein”, sondern was überwacht gehört: auffällige RDP-Anmeldungen, ungewöhnliche Aufrufe von Kommandozeileninterpretern, das Auslesen von Anmeldedaten über Werkzeuge wie Mimikatz, das Löschen von Schattenkopien vor der Verschlüsselung. Zum dritten Punkt merkt das BSI ausdrücklich an, dass man bei Einsatz eines EDR-Produkts üblicherweise auf die mitgelieferten Regeln des Herstellers zurückgreifen kann.
Das ist der eigentliche Kaufgrund: Sie kaufen kein Erkennungswunder, Sie kaufen fertige Regeln für Angriffsmuster, die Sie sonst selbst in Logdateien suchen müssten. Die Grundlagen dazu stehen ausführlich im Beitrag Was ist EDR? und im Glossareintrag zu Endpoint Security.
Nach welchen Kriterien wir hier einsortieren
Ein Vergleich ist nur so ehrlich wie seine Kriterien. Diese sechs bestimmen im Mittelstand die Entscheidung. Erkennungsraten aus Labortests stehen bewusst nicht an erster Stelle, weil die Spitzenprodukte dort dicht beieinanderliegen.
- Wer wertet die Alarme aus? Selbst, Dienstleister oder Hersteller-Service. Das ist die teuerste und wichtigste Frage.
- Welche Betriebssysteme? Reines Windows-Umfeld oder gemischt mit macOS, Linux und Altservern.
- Wie ist die Lizenz-Ausgangslage? Wer Microsoft 365 in einer höheren Stufe hat, zahlt für manche Wege doppelt.
- Wo liegen die Telemetriedaten? EU-Rechenzentrum oder außerhalb, relevant für Datenschutz und interne Freigaben.
- Wie lange wird aufbewahrt? Ohne Historie lässt sich nach einem Vorfall nicht rekonstruieren, wie er begann.
- Wie hoch ist der Betriebsaufwand? Ausnahmeregeln, Fehlalarme und Agent-Updates kosten dauerhaft Zeit.
Die ersten drei Punkte entscheiden in der Praxis die meisten Fälle. Wer mehrere Anbieter auf dieselbe Frageliste stellen will, findet weiter unten einen Anforderungskatalog mit Bewertungsbogen; einen groben Selbsttest zum eigenen Stand gibt es im IT-Sicherheits-Check.
EDR-Lösungen im Vergleich: acht Optionen nach Anwendungsfall
| Lösung | Ausgeprägte Stärke | Passt besonders, wenn … |
|---|---|---|
| Microsoft Defender for Business | in Microsoft 365 Business Premium enthalten | Sie bereits Business Premium einsetzen und bis zu 300 Benutzer haben |
| Microsoft Defender for Endpoint P2 | verzahnt mit Entra ID, Intune und dem Defender-Portal | Ihre Landschaft ohnehin Microsoft-zentriert verwaltet wird |
| CrowdStrike Falcon | ausgebaute Werkzeuge für Analyse und Bedrohungssuche | ein eigenes Security-Team damit arbeiten soll |
| SentinelOne Singularity | Erkennung und Reaktion laufen auf dem Agenten selbst | Geräte oft offline oder schlecht angebunden sind |
| Sophos Intercept X | Endpoint und Firewall in einer Verwaltungskonsole | Sie bereits Sophos-Firewalls betreiben |
| Bitdefender GravityZone | eine Plattform für Windows, macOS und Linux-Server | Sie eine breit getestete Standardlösung ohne Zusatzmodule suchen |
| ESET PROTECT / Inspect | EDR (Inspect) ergänzt die vorhandene PROTECT-Konsole | Sie ESET bereits im Einsatz haben und EU-Herkunft zählt |
| WithSecure Elements | Detektionen können optional von Hersteller-Experten geprüft werden | Sie EU-Datenhaltung und Mitbeobachtung zusammen wollen |
Die Einordnung folgt den öffentlich dokumentierten Produktbeschreibungen der Hersteller (Stand: August 2026). Listenpreise stehen bewusst nicht in der Tabelle: Sie ändern sich häufig und hängen im Mittelstand stark von Stückzahl und Laufzeit ab. Belastbar ist nur ein Angebot mit Datum.
Der Microsoft-Weg ist für viele der günstigste, weil er oft schon bezahlt ist. Laut Microsoft Learn ist Defender for Business für Unternehmen mit bis zu 300 Benutzern konzipiert und in Microsoft 365 Business Premium enthalten (Stand: August 2026). Aufpassen muss man eine Stufe darüber: Defender for Endpoint Plan 1 bringt Next-Generation-Schutz, Angriffsflächenreduzierung und manuelle Reaktionsaktionen mit. Die eigentliche Endpunkterkennung und -reaktion samt automatisierter Untersuchung steckt erst in Plan 2. Wer „Defender” kauft, kauft also nicht automatisch EDR. Wie sich das mit der Geräteverwaltung verzahnt, steht bei Managed Intune.
Die spezialisierten Plattformen CrowdStrike Falcon und SentinelOne Singularity sind dort stark, wo es über das Erkennen hinausgeht: Analysewerkzeuge, Ereignis-Historie, Rückverfolgung eines Angriffs über mehrere Geräte. Wenn Sie ein eigenes IT-Team haben, das damit arbeiten will, spielen beide ihre Stärke aus. Ohne dieses Team bleibt viel Funktion ungenutzt.
Die Suiten Sophos Intercept X, Bitdefender GravityZone, ESET und WithSecure punkten mit einer Konsole für mehrere Bausteine. Das ist kein Nachteil, im Gegenteil: Wer ohnehin eine Sophos-Firewall betreibt, spart sich mit derselben Verwaltungsoberfläche echte Betriebszeit. Kommt im Haus die Frage nach europäischer Herkunft auf, sind zwei dieser Anbieter belegbar in der EU verwurzelt: WithSecure wurde nach eigener Darstellung 1988 in Helsinki gegründet, ESET 1992 als slowakische Gesellschaft. Erkennungsleistung selbst vergleichen, statt Herstellerangaben zu glauben, geht über die Testberichte von AV-Comparatives.
Der eigentliche Engpass: Wer schaut auf die Alarme?
Ein EDR meldet nicht „Angriff”, es meldet „ungewöhnlicher Prozessstart auf NB-Buchhaltung-02”. Ob das ein Angriff, ein Update oder ein Makro aus der Steuerkanzlei war, entscheidet ein Mensch. Passiert das nicht, verwandelt sich das teuerste Sicherheitswerkzeug im Haus in ein Protokollarchiv.
Ob Sie 5 oder 500 Mitarbeitende haben — einem automatisierten Massenangriff ist das egal. Der verschlüsselt Sie, weil er kann. Deshalb braucht heute jedes Unternehmen einen Grundschutz.
Jens HagelGründer & Geschäftsführer
Für ein Unternehmen mit 20 bis 250 Mitarbeitenden bedeutet das nüchtern: Eine eigene Rufbereitschaft für Sicherheitsalarme ist nicht darstellbar. Realistisch sind zwei Wege. Entweder kommt der Hersteller-Service oben drauf, oder das Systemhaus, das ohnehin die IT betreut, übernimmt die Auswertung mit. Der zweite Weg ist meist billiger, weil dieselben Leute auch das Gerät, das Konto und den Patch-Stand kennen.
Der häufigste Fehler bei der EDR-Einführung ist kein technischer. Es ist die stillschweigende Annahme, „der Dienstleister schaut da schon rein". Klären Sie schriftlich, wer Alarme in welcher Zeit sichtet und wer entscheiden darf, ein Gerät zu isolieren.
Was EDR kostet und woraus sich der Preis zusammensetzt
In den Angeboten, die uns bei Mittelständlern über den Tisch gehen, liegt der reine Lizenzpreis für EDR meist im einstelligen Eurobereich je Gerät und Monat, abhängig von Stückzahl und Laufzeit. Belastbar ist davon nur ein konkretes Angebot mit Datum, denn Herstellerlisten ändern sich häufig. Der größere Hebel ist ohnehin ein anderer: ob die Auswertung enthalten ist oder nach Aufwand abgerechnet wird.
Bei kjello ist EDR ein Plus-Modul zu 10 € pro Arbeitsplatz und Monat, zusätzlich zur Core-Flatrate von 29 € je Nutzer; Microsoft-Lizenzen kommen als Durchleitung hinzu. Alle laufenden Positionen stehen offen auf der Seite Preise. Wer den Aufwand gegen das eigene Modell rechnen will, findet die Systematik im Beitrag zur IT-Sicherheits-Checkliste für KMU.
Der typische Einwand an dieser Stelle lautet: „Das können wir intern lösen.” Kann man, solange die eine Person, die es kann, nicht krank ist, kündigt oder Urlaub hat. Sicherheitsalarme haben die unangenehme Eigenschaft, sich nicht an Dienstpläne zu halten.
In vier Schritten zur Entscheidung
- Bestand klären. Wie viele Geräte, welche Betriebssysteme, welche M365-Lizenzstufe. Ohne diese drei Zahlen ist jedes Angebot geraten.
- Betriebsmodell festlegen. Selbst auswerten, Hersteller-Service dazukaufen oder an das Systemhaus übergeben, und zwar vor der Produktauswahl, nicht danach.
- Zwei Kandidaten testen. Vier Wochen auf 10 bis 20 echten Geräten, nicht im Labor. Gemessen wird die Zahl der Fehlalarme, nicht die Zahl der Funktionen.
- Reaktionswege schriftlich festhalten. Wer wird wann informiert, wer darf isolieren, was passiert nachts und am Wochenende.
Schritt drei überspringen die meisten. Das rächt sich, weil Fehlalarme in unserer Erfahrung der häufigste Grund sind, aus dem ein EDR nach einem halben Jahr stummgeschaltet wird. Wenn im Zuge dessen ohnehin die Sicherheitsorganisation angefasst wird, lohnt der Blick auf die Pflichten aus der neuen Regulierung: NIS2-Check für den Mittelstand.
Wir wären ein leichtes Opfer, das weiß ich. Da hätte ich gern jemanden, der davon mehr versteht als ich.
Dieser Satz beschreibt die Ausgangslage genauer als jede Featureliste. Die Frage ist selten, welches Produkt zwei Prozentpunkte besser erkennt, sondern wer im Ernstfall den Anruf entgegennimmt.
Wann kjello passt — und wann nicht
kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). EDR ist darin ein Modul, das nicht nur bereitgestellt, sondern betreut wird: Die Alarme laufen bei Menschen auf, die Ihre Umgebung kennen, und der Umsetzungsstand ist im Portal sichtbar statt in einer Mail von vor acht Monaten.
Genauso wichtig ist die Gegenprobe. kjello ist auf Unternehmen mit 20 bis 250 Mitarbeitenden zugeschnitten. Wenn Sie ein eigenes Security-Team mit Schichtbetrieb haben, brauchen Sie kein betreutes Modul, sondern eine Plattform mit maximaler Analysetiefe. Dann sind CrowdStrike oder SentinelOne die richtigere Adresse. Und ein reines Cloud-only-Startup mit 12 Notebooks fährt mit Defender for Business plus etwas Disziplin gut und braucht uns nicht dafür. Was kjello sonst noch an Sicherheit und Compliance abdeckt, steht auf der Funktionsseite; das Thema Ransomware ordnet der Glossareintrag ein.
30 Minuten, kostenlos, ohne Vertriebsdruck. Wir schauen uns Lizenzstand, Gerätemix und Zuständigkeiten an und sagen Ihnen auch, wenn Sie nichts Neues brauchen.
Gespräch vereinbarenFazit
Der Vergleich von EDR-Lösungen endet im Mittelstand fast immer an derselben Stelle: Die Technik ist bei den etablierten Anbietern gut genug, der Unterschied liegt im Betrieb. Prüfen Sie zuerst, was Ihre Microsoft-Lizenz bereits enthält, entscheiden Sie danach, wer die Alarme auswertet, und wählen Sie erst zum Schluss das Produkt. In dieser Reihenfolge kostet die Entscheidung wenige Wochen, in der umgekehrten Reihenfolge oft ein Jahr und ein stummgeschaltetes Werkzeug.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was ist der Unterschied zwischen EDR und Antivirus?
Welche EDR-Lösung passt zu einem Unternehmen mit 50 Mitarbeitenden?
Braucht man für EDR ein eigenes Security-Team?
Ist Microsoft Defender als EDR ausreichend?
Was kostet EDR pro Arbeitsplatz?
Was ist der Unterschied zwischen EDR, XDR und MDR?
EDR als betreutes Modul
Sie wollen keinen weiteren Alarm-Posteingang, sondern jemanden, der hinschaut. Sehen Sie, wie kjello Endgeräteschutz als betreutes Modul betreibt.
