MXDR erklärt: Was Managed Extended Detection and Response leistet und was nicht

Freitagabend, kurz nach 22 Uhr. Auf dem Rechner einer Buchhalterin startet nach dem Öffnen eines Anhangs ein Skript, das kurz darauf Zugangsdaten ausliest. Der Virenschutz schweigt, weil die Datei unauffällig aussieht. Der Administrator ist längst im Wochenende. Wer bemerkt in den nächsten Stunden, dass sich da jemand im Netz bewegt?

Genau diese Lücke soll MXDR schließen: ein Dienst, bei dem Fachleute außerhalb des Unternehmens rund um die Uhr auf Auffälligkeiten schauen und bei einem Angriff eingreifen. Das klingt nach einem klaren Produkt. Tatsächlich ist MXDR ein Marktbegriff, der von Anbieter zu Anbieter unterschiedlich gefüllt wird. Der Beitrag richtet sich an Unternehmen und ordnet ein, was dahintersteckt, was ein solcher Dienst leisten kann und wo er endet.

Was bedeutet MXDR?

MXDR steht für Managed Extended Detection and Response. Gemeint ist ein betreuter Sicherheitsdienst: Ein externer Anbieter sammelt Sicherheitsdaten aus mehreren Bereichen, bewertet sie rund um die Uhr und reagiert nach vereinbarten Regeln auf bestätigte Angriffe. Typische Datenquellen sind Endgeräte wie PCs und Server, Benutzerkonten, E-Mail, Cloud-Dienste und das Netzwerk.

Eine verbindliche Definition gibt es nicht. Eine eigene Definition von MXDR ist weder beim BSI noch bei der europäischen Agentur ENISA zu finden, und auch unter Marktbeobachtern wird er uneinheitlich gebraucht, oft läuft solche Leistung unter dem Oberbegriff Managed Detection and Response (MDR). Hersteller verwenden die Bezeichnung trotzdem weiter. G DATA etwa beschreibt sein Angebot als Managed Extended Detection and Response (MXDR) mit einem Security Operations Center, das Vorgänge prüft, Angriffe stoppt und Handlungsempfehlungen gibt.

Daraus folgt eine praktische Regel: Das „X" im Namen belegt nicht, welche Datenquellen tatsächlich angebunden sind. Das steht im Leistungsverzeichnis, nicht im Produktnamen.

EDR, XDR, MDR und MXDR: die Begriffe im Vergleich

Die vier Kürzel beschreiben teils Technik, teils Betrieb. EDR (Endpoint Detection and Response) überwacht Endgeräte und kann verdächtige Prozesse stoppen. XDR (Extended Detection and Response) erweitert das auf weitere Quellen und verknüpft Ereignisse aus mehreren Bereichen. Beides sind Werkzeuge, die jemand bedienen muss. MDR ist dagegen eine Dienstleistung: Analysten sichten die Alarme, ordnen sie ein und handeln. MXDR liegt in der Praxis meist bei MDR mit breiter Datenbasis.

Zwei Abgrenzungen werden häufig verwechselt. Ein SIEM sammelt und durchsucht Protokolldaten, ist aber ein Werkzeug und kein Betrieb. Ein SOC ist die Organisation aus Menschen, Prozessen und Technik, die damit arbeitet. Erst wenn ein SOC die Daten rund um die Uhr auswertet und handlungsbefugt ist, entsteht das, was MDR und MXDR verkaufen.

Was heißt 24/7 in der Praxis?

24/7 kann sehr Verschiedenes bedeuten. Im günstigsten Fall sichtet nachts ein Analyst den Alarm, prüft ihn auf Fehlalarm und trennt das betroffene Gerät vom Netz. Im schwächsten Fall überwacht nur eine Automatik, und ein Mensch schaut am nächsten Werktag hin.

Entscheidend sind drei Punkte:

• Wer darf handeln? Maßnahmen wie das Isolieren eines Rechners oder das Sperren eines Kontos müssen vorab freigegeben sein. Fehlt die Freigabe, kann das SOC nachts alarmieren, aber nicht eingreifen. Bei G DATA ist die Analysten-Response laut Dokumentation standardmäßig aktiv, das Trennen vom Netz setzt die Option „Remote Analyse & Response" voraus.
• Welche Zeit ist gemeint? Die Zeit bis zur ersten Sichtung, bis zur Bestätigung und bis zum Beginn der Eindämmung sind verschiedene Messgrößen. Öffentliche Zusagen reichen von 15 Minuten bis zu mehreren Stunden, jeweils für andere Abschnitte. Eine „Reaktionszeit von 15 Minuten" heißt nicht, dass der Vorfall nach 15 Minuten beseitigt ist.
• Was ist nicht enthalten? Tiefenforensik, Vor-Ort-Einsatz und Wiederaufbau sind oft Zusatzleistungen und nicht Teil der Grundpauschale.

Für wen lohnt sich der Dienst?

Eine feste Untergrenze nach Mitarbeiterzahl gibt es nicht. Sinnvoll wird MXDR dort, wo keine eigene Rufbereitschaft möglich ist, die IT geschäftskritisch ist und ein Ausfall teuer wird. Der Bedarf ist real: Das BSI zählte in seinem Lagebericht 2025 für den Zeitraum Juli 2024 bis Juni 2025 rund 950 angezeigte Ransomware-Angriffe, etwa 80 Prozent davon gegen kleine und mittlere Unternehmen. Wie lange Angreifer unbemerkt bleiben können, zeigt die IBM-Studie zu Datenpannen: In Deutschland vergingen 2025 im Schnitt 170 Tage von der Panne bis zu Erkennung und Eindämmung.

Wo nur wenige Geräte laufen, bringen oft zuerst die Grundlagen mehr: Mehrfaktor-Anmeldung, zeitnahe Updates und geprüfte Datensicherungen, wie sie der Beitrag zum Ransomware-Schutz beschreibt. MXDR ergänzt diese Maßnahmen, ersetzt sie aber nicht. Wer nur Endgeräte anbinden lässt, ist mit einem schlichten Managed-EDR-Angebot oft ehrlicher und günstiger bedient als mit einem MXDR-Etikett.

NIS2 und DSGVO: Was der Dienst rechtlich ändert

Das deutsche Umsetzungsgesetz zur NIS-2-Richtlinie gilt nach Angaben des BSI seit dem 6. Dezember 2025. Betroffene Einrichtungen müssen Risiken managen, Vorfälle behandeln und erhebliche Sicherheitsvorfälle melden, zunächst mit einer Frühwarnung binnen 24 Stunden. MXDR kann dabei helfen, Vorfälle zu erkennen und sauber zu dokumentieren. Die Pflicht zur Meldung und die Verantwortung der Geschäftsleitung bleiben aber im Unternehmen, auch wenn der Betrieb ausgelagert ist. Ob ein Unternehmen überhaupt betroffen ist, hängt von Sektor und Größe ab und ist nicht pauschal zu beantworten.

Datenschutzrechtlich verarbeitet ein MXDR-Anbieter häufig personenbezogene Daten, etwa Benutzerkennungen, IP-Adressen oder E-Mail-Metadaten. Dafür ist in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig. Ein Rechenzentrum in Deutschland beantwortet nicht alle Fragen: Unterauftragnehmer, Supportzugriffe und Löschfristen gehören ebenfalls in den Vertrag. Ein Compliance-Zertifikat oder eine Versicherung ersetzt der Dienst nicht.

G DATA MXDR im Überblick

Als deutsches Beispiel lohnt der Blick auf das Angebot von G DATA, weil sich hier gut trennen lässt, was der Hersteller sagt und was unabhängig geprüft wurde.

Herstellerangaben:

• Das Managed SOC sitzt in Bochum und arbeitet rund um die Uhr, Kundendaten bleiben nach Angabe des Herstellers in Deutschland.
• Die Endpunkt-Sensoren erfassen Prozesse, Dateien, Registry-Zugriffe und Windows-Ereignisse. Dokumentiert ist derzeit Windows als unterstützte Plattform.
• Eine Erweiterung um Mail Protection für Exchange Online ist als optionales Modul angeboten. Ob weitere Quellen im Grunddienst stecken, ergibt sich aus dem Produktnamen nicht.
• Ein Proof of Concept läuft zwei Monate für bis zu 25 Geräte. Einen öffentlichen Listenpreis gibt es nicht, das Angebot wird auf die jeweilige IT-Umgebung zugeschnitten.

Unabhängig geprüft:

• Im EDR Detection Validation Test 2025 von AV-Comparatives erhielt G DATA 365 MXDR die Auszeichnung „Certified". Das Produkt lief dabei im reinen Erkennungsmodus. Der Test belegt damit Erkennung und Telemetrie in einem definierten Angriffsszenario, nicht die Qualität des SOC-Betriebs.
• Die G DATA Advanced Analytics GmbH steht auf der BSI-Liste qualifizierter APT-Response-Dienstleister. Das ist eine Dienstleisterqualifikation für die Reaktion auf gezielte Angriffe und keine Zertifizierung des MXDR-Produkts.

Einen unabhängigen Test des gesamten Servicebetriebs mit Reaktionszeiten und Kommunikation gibt es nach der gesichteten Lage weder für G DATA noch für die meisten anderen Anbieter. Das ist eine Eigenheit des Marktes: Labortests prüfen Technik in Szenarien, nicht ein Team in der Nacht.

Worauf vor dem Vertrag zu achten ist

Wer Angebote vergleicht, kommt mit wenigen Fragen weiter als mit dem Produktnamen:

• Welche Datenquellen sind im Preis enthalten und welche kosten extra: Endgeräte, Identitäten, E-Mail, Cloud, Netzwerk?
• Welche Betriebssysteme und Gerätetypen deckt der Sensor ab, und wie wird gemeldet, wenn ein Sensor ausfällt?
• Wer darf nachts handeln, und was ist vorab freigegeben?
• Welche Zeit meint die zugesagte Reaktionszeit, und wo ist sie vertraglich festgehalten?
• Wo liegen Daten und SOC, und wer sind die Unterauftragnehmer?
• Ist Incident Response enthalten oder ein gesonderter Vertrag?
• Wie kommen Daten und Fallhistorie bei einem Anbieterwechsel zurück?