ITDR 2026: Identitätsangriffe erkennen und stoppen im KMU

Ein Angreifer, der einmal gültige Zugangsdaten besitzt, braucht keine Schwachstelle mehr. Er meldet sich an wie ein normaler Mitarbeiter – und klassische Endpoint-Security schlägt oft erst Alarm, wenn längst Daten abfließen oder Ransomware verschlüsselt. Nach Analysen von CrowdStrike beginnen rund 30 Prozent aller erfolgreichen Eindringversuche mit kompromittierten Identitäten statt mit Schadcode. Genau diese Lücke schließt Identity Threat Detection and Response (ITDR): Es erkennt den Missbrauch von Zugangsdaten, Active Directory und privilegierten Konten in Echtzeit. Wer sein Identity & Access-Sortiment noch nicht um diese Erkennungsebene ergänzt hat, verlässt sich beim größten Einfallstor auf reines Glück.

Warum klassisches EDR identitätsbasierte Angriffe übersieht

Endpoint-Security ist auf Prozesse, Dateien und Netzwerkverbindungen trainiert. Ein Anmeldevorgang mit korrektem Passwort sieht für sie zunächst harmlos aus – unabhängig davon, ob ihn der echte Nutzer oder ein Angreifer mit gestohlenem Hash ausgelöst hat. Identitätsbasierter Missbrauch umgeht diese Erkennung schlicht, weil er keine ungewöhnliche Datei und keinen ungewöhnlichen Prozess auslöst.

Das Problem verschärft sich mit jedem zusätzlichen Cloud-Dienst. Neben dem lokalen Active Directory kommen Microsoft Entra ID, Okta oder weitere Identity-Provider dazu. Jede dieser Umgebungen erzeugt eigene Anmelde-Logs, die kaum jemand im Mittelstand durchgängig auswertet.

Ohne dedizierte Identitäts-Erkennung bleibt der Angreifer damit im toten Winkel – oft über Tage oder Wochen, bevor ein anderes Warnsignal auffällt. In dieser Zeit kann er weitere Konten kompromittieren und Berechtigungen ausweiten. Er verschafft sich Zugriff auf Backups oder Dateifreigaben, bevor die eigentliche Attacke überhaupt sichtbar wird.

Was unterscheidet ITDR von klassischem IAM und EDR?

IAM verwaltet, wer worauf zugreifen darf – es prüft Berechtigungen, nicht Verhalten. EDR erkennt Angriffe auf Endpoints über Prozess- und Dateiverhalten. ITDR schließt die Lücke dazwischen: Es überwacht Anmeldeverhalten, Active-Directory-Aktivität und Rechteänderungen kontinuierlich und schlägt bei Anomalien wie Pass-the-Hash (dem Diebstahl und Wiederverwenden eines Passwort-Hashs ohne Kenntnis des Klartexts) oder Privilege-Escalation gezielt Alarm.

Die drei Ebenen ergänzen sich, ersetzen sich aber nicht gegenseitig. Wer nur IAM und EDR betreibt, hat weiterhin eine unbeobachtete Zone dazwischen.

Wie ITDR Angriffe wie Pass-the-Hash und AD-Reconnaissance erkennt

ITDR-Lösungen setzen auf mehrere Erkennungsebenen gleichzeitig:

• Verhaltensanalyse von Anmeldungen. Ungewöhnliche Anmeldezeiten, -orte oder -muster einzelner Konten werden mit dem historischen Normalverhalten abgeglichen.
• Erkennung von Credential-Diebstahl. Techniken wie LSASS-Dumping (das Auslesen von Zugangsdaten aus dem Windows-Speicherprozess LSASS) oder Pass-the-Hash werden direkt am Endpoint erkannt.
• Active-Directory-Reconnaissance-Schutz. Systematisches Abfragen von AD-Strukturen – ein typischer Vorbereitungsschritt vor lateraler Bewegung – wird als Muster erkannt statt übersehen.
• Deception-Technologie. Köder-Zugangsdaten und Fake-Objekte im Verzeichnis locken Angreifer auf eine Fährte, die sofort einen Alarm auslöst, sobald jemand darauf zugreift.
• Automatisierte Reaktion. Verdächtige Konten lassen sich isolieren oder zur zusätzlichen Authentifizierung zwingen, bevor der Angreifer weiterkommt.

Diese Kombination macht ITDR besonders wirksam gegen Angriffstechniken, die keine Malware im klassischen Sinn hinterlassen. Details zur technischen Umsetzung liefern die offiziellen Datenblätter der Hersteller, etwa zu SentinelOne Singularity Identity und zur Sophos-ITDR-Plattform.

Ablauf eines typischen Identitätsangriffs

Ein realistisches Szenario zeigt, warum die Erkennungsebenen aus dem vorigen Abschnitt zusammenspielen müssen. Ein Mitarbeiter öffnet einen präparierten Anhang, ein Infostealer liest per LSASS-Dumping die im Arbeitsspeicher liegenden Zugangsdaten aus. Mit dem erbeuteten Hash meldet sich der Angreifer per Pass-the-Hash an einem weiteren System an, ohne das Klartext-Passwort je zu kennen.

Von dort beginnt die AD-Reconnaissance: Der Angreifer fragt systematisch Active-Directory-Strukturen ab, um Domänen-Admin-Konten, Dateifreigaben und Backup-Server zu identifizieren. Erst danach folgt die Eskalation – etwa die Übernahme eines privilegierten Kontos und die Verteilung von Ransomware über Gruppenrichtlinien.

Für sich genommen hinterlässt jeder dieser Schritte kaum Spuren, die ein klassischer Virenscanner als bösartig einstuft. Die Aktionen nutzen legitime Windows-Bordmittel und gültige Zugangsdaten. ITDR erkennt stattdessen das Muster der Abfolge. Im Idealfall greift es bereits nach dem ersten Schritt ein, statt erst beim Ransomware-Befall zu reagieren.

ITDR-Lösungen im Vergleich: Sophos und SentinelOne

Im Cyber Shop stehen aktuell drei ITDR-Optionen mit unterschiedlichem Ansatz zur Verfügung:

Preise Stand September 2026, Staffelpreise nach Nutzerzahl und Laufzeit – die genannten Werte sind Einstiegspreise der jeweils kleinsten Konfiguration.

Die beiden Sophos-Produkte unterscheiden sich vor allem im Funktionsumfang: Das Einstiegsmodul deckt die Kernerkennung ab, Taegis IDR bringt zusätzliche Analyse- und Reaktionsfunktionen aus der Sophos-Taegis-Plattform mit. SentinelOne lizenziert pro benanntem Nutzer für zwölf Monate und kalkuliert projektbezogen, weil Umfang, Nutzerzahl und Einsatzszenario stark variieren.

Unsicher, welche der drei Optionen zur eigenen Umgebung passt? Der Produktberater ordnet das in wenigen Minuten ein.

ITDR aktivieren: Voraussetzungen bei Sophos und SentinelOne

Bei SentinelOne ist die Singularity-Identity-Erweiterung an eine bestehende Endpoint-Basis gekoppelt – wer bereits SentinelOne Singularity Complete einsetzt, kann sie ohne separates Rollout aktivieren. Bei Sophos genügt eine laufende Endpoint- beziehungsweise Taegis-Umgebung als Grundlage.

In beiden Fällen entfällt eine zusätzliche Hardware-Appliance. Die Erkennung läuft über den bereits installierten Agenten beziehungsweise die Cloud-Anbindung des Identity-Providers. Ein separates Rollout-Projekt mit Testphase, Paketierung und Verteilung entfällt damit weitgehend. Nach der Aktivierung beginnt die Erfassung sofort und deckt sowohl lokale Active-Directory-Umgebungen als auch angebundene Cloud-Identity-Provider ab.

Das gesamte SentinelOne-Portfolio ist unter SentinelOne-Produkte zusammengefasst. Da SentinelOne die Konditionen projektbezogen kalkuliert, lohnt sich vor der Einführung ein kurzer Abgleich von Nutzerzahl, vorhandener Endpoint-Basis und Einsatzszenario.

Häufige Fragen zu ITDR

Ersetzt ITDR eine Mehr-Faktor-Authentifizierung (MFA)?

Nein. MFA verhindert den Erstzugriff mit gestohlenem Passwort, ITDR erkennt Missbrauch, der trotz MFA oder nach einer Session-Übernahme stattfindet. Beide Ebenen ergänzen sich.

Brauche ich ITDR, wenn ich bereits EDR einsetze?

EDR erkennt Angriffe über Datei- und Prozessverhalten am Endpoint. Identitätsbasierte Techniken wie Pass-the-Hash hinterlassen dort oft keine auffälligen Spuren – ITDR schließt diese Lücke gezielt.

Funktioniert ITDR auch mit Cloud-Identity-Providern wie Entra ID?

Ja, moderne ITDR-Lösungen überwachen sowohl lokales Active Directory als auch Cloud-Identity-Provider wie Microsoft Entra ID oder Okta in einer gemeinsamen Ansicht.

Wie schnell reagiert ITDR auf einen erkannten Angriff?

Die Erkennung läuft in Echtzeit. Automatisierte Reaktionen wie Konto-Isolation oder erzwungene Zusatz-Authentifizierung greifen unmittelbar nach dem Alarm, ohne manuelles Eingreifen abzuwarten.

Ist ITDR auch für kleinere Unternehmen sinnvoll?

Ja. Gerade kleinere IT-Teams ohne eigene Log-Auswertung profitieren davon, dass verdächtige Anmeldemuster automatisch erkannt statt manuell in Logs gesucht werden.

Was passiert bei einem Fehlalarm?

Ein als verdächtig markiertes Konto wird zunächst isoliert oder zur Zusatz-Authentifizierung aufgefordert, nicht automatisch gesperrt. Administratoren können den Vorfall in der Konsole prüfen und den Zugriff sofort wieder freigeben.

Einordnung für Ihre Umgebung

Wer bereits in Endpoint-Security investiert hat, aber Active Directory und Cloud-Identitäten unbeobachtet lässt, schließt mit ITDR die naheliegendste verbleibende Lücke. Wie ITDR sich zu EDR, XDR und MDR einordnet, erklärt unser Beitrag zum Unterschied zwischen EDR, XDR und MDR. Welche der drei Optionen zur eigenen Umgebung passt – darüber gibt der Produktberater in wenigen Minuten Klarheit.