Sophos XDR Threat Hunting: Schutz ohne eigenes SOC im Mittelstand

Ein Mittelstandsunternehmen ohne eigenes Security Operations Center bemerkt einen lateralen Angriff im Netzwerk oft erst nach Tagen. Bis dahin fließen meist schon Daten ab. Reine Endpoint-Logs zeigen zunächst nur Bruchstücke: ein verdächtiger Prozess auf einem Rechner. Den Zusammenhang zum kompromittierten Firewall-Login von vor drei Tagen oder zur Phishing-Mail der Vorwoche erkennt so niemand. Sophos XDR Threat Hunting verknüpft genau diese verstreuten Datenquellen automatisch und macht Bedrohungsjagd auch ohne eigenes SOC-Team planbar. Der XDR-Bereich im Cyber Shop zeigt, wie sich Sophos XDR für die eigene Systemlandschaft zusammenstellen lässt.

Was ist Sophos XDR und wie unterscheidet es sich von EDR?

EDR (Endpoint Detection and Response) beobachtet ausschließlich Endgeräte: Laptops, Server, virtuelle Maschinen. Ein Angriff, der über eine Firewall-Regel oder ein kompromittiertes E-Mail-Postfach beginnt, taucht in reinen EDR-Daten oft erst spät auf – nämlich dann, wenn er den Endpoint bereits erreicht hat.

XDR (Extended Detection and Response) erweitert diesen Blick. Sophos XDR sammelt Telemetriedaten nicht nur von Endpoints, sondern zusätzlich von Firewall, E-Mail-Gateway, Cloud-Workloads und Netzwerkverkehr und führt sie in einer gemeinsamen Datenbasis zusammen. Ein IT-Verantwortlicher kann so eine verdächtige Anmeldung an der Firewall direkt mit einem auffälligen Prozess auf dem betroffenen Rechner verknüpfen, statt beide Ereignisse isoliert zu betrachten. Diese Korrelation ist der zentrale Unterschied zu klassischem EDR und folgt Prinzipien, wie sie auch im MITRE ATT&CK Framework für strukturierte Bedrohungsanalyse beschrieben werden.

Wie funktioniert Sophos XDR Threat Hunting in der Praxis?

Kurz erklärt: Sophos XDR Threat Hunting kombiniert automatisierte KI-Erkennung mit gezielter, manueller Suche über Endpoint-, Firewall-, E-Mail- und Cloud-Daten hinweg. Analysten stellen eine Abfrage einmal und erhalten Treffer aus allen verknüpften Quellen in einer Ansicht – statt jedes System einzeln durchsuchen zu müssen, auch ohne eigenes SOC-Team.

Ein Beispiel macht das greifbar: Ein Analyst sucht nach ungewöhnlichen PowerShell-Befehlen (Windows-Kommandozeilenwerkzeug, häufig für Angriffe missbraucht) in Kombination mit einer bestimmten Ziel-IP. Sophos XDR liefert Treffer über Endpoints, Netzwerk und Cloud hinweg in einer Ansicht.

Diese datenquellenübergreifende Suche unterscheidet Threat Hunting von reiner Alarmbearbeitung. Statt nur auf ausgelöste Warnungen zu reagieren, sucht das Team aktiv nach Spuren im Kontext. Diese Spuren haben noch keinen automatischen Alarm ausgelöst, wirken aber verdächtig.

Welche Datenquellen fließen in Sophos XDR ein?

Die Aussagekraft von Threat Hunting hängt direkt davon ab, wie viele Systeme Daten liefern. Die folgende Übersicht zeigt die wichtigsten Quellen und ihren Beitrag zur Erkennung:

Je mehr dieser Quellen ein Unternehmen bereits im Sophos-Ökosystem betreibt, desto vollständiger wird das Bild – ein einzelner isolierter Endpoint-Agent kann diese Korrelation grundsätzlich nicht leisten.

Ein typisches Angriffsszenario: Vom Phishing-Klick zur Ransomware

Ein Mitarbeiter öffnet eine gefälschte Rechnung im E-Mail-Anhang. Isoliert betrachtet wirkt das E-Mail-Gateway-Log unauffällig, weil die Nachricht keinen klassischen Malware-Anhang enthält, sondern nur einen Link. Wenige Minuten später meldet der Endpoint einen PowerShell-Prozess, der ungewöhnliche Systembefehle ausführt – für sich genommen ein Ereignis, das in vielen Umgebungen als Fehlalarm eingestuft würde. Parallel verzeichnet die Firewall eine ausgehende Verbindung zu einer bislang unbekannten IP-Adresse.

Jedes dieser drei Ereignisse für sich löst häufig keinen kritischen Alarm aus. Erst die Verknüpfung – Phishing-Link, verdächtiger PowerShell-Prozess auf demselben Gerät, ungewöhnliche Firewall-Verbindung im gleichen Zeitfenster – ergibt ein klares Bild eines beginnenden Ransomware-Angriffs. Genau diese Verknüpfung automatisiert Sophos XDR, indem es die drei Datenquellen einem gemeinsamen Vorfall zuordnet, statt sie als drei separate Low-Priority-Meldungen im Log verschwinden zu lassen. Ohne datenquellenübergreifende Korrelation bleibt ein solcher Angriff im schlechtesten Fall so lange unbemerkt, bis die Verschlüsselung bereits läuft.

Threat Hunting ohne eigenes SOC-Team

Für ein 24/7-eigenes SOC braucht es mehrere Vollzeit-Analysten, Schichtbetrieb und laufende Weiterbildung zu neuen Angriffsmustern – ein Aufwand, den die meisten Mittelständler nicht stemmen wollen oder können. Zwei Wege führen trotzdem zu wirksamem Threat Hunting:

1. Sophos XDR im Eigenbetrieb: Die IT-Abteilung nutzt die vorstrukturierten Abfragen und Dashboards selbst, punktuell und bei konkretem Verdacht – geeignet, wenn intern IT-Security-Grundwissen vorhanden ist.
2. Managed Threat Response als Ergänzung: Sophos MDR Complete übernimmt das aktive Threat Hunting durch ein externes Analystenteam, das rund um die Uhr auf Basis derselben XDR-Datenbasis nach Bedrohungen sucht und bei einem Vorfall direkt eingreift.

Viele Unternehmen aus dem Sophos-Sortiment starten mit XDR im Eigenbetrieb und wechseln erst bei wachsender Systemlandschaft auf die Managed-Variante, wenn die interne Kapazität für kontinuierliches Monitoring nicht mehr ausreicht.

Sophos XDR Lizenzierung und Einstieg für KMU

Sophos XDR wird nutzerbasiert lizenziert und baut in der Regel auf den bestehenden Endpoint-Agenten auf. Läuft Sophos Intercept X bereits im Unternehmen, entfällt meist eine separate Zusatz-Installation auf den Geräten – die genauen Voraussetzungen hängen vom bestehenden Lizenzmodell ab. Die konkrete Preisstaffelung richtet sich nach Nutzeranzahl und gewünschter Vertragslaufzeit; der Produktberater kalkuliert die passenden Konditionen direkt für die eigene Unternehmensgröße.

Vor der Einführung lohnt sich eine kurze Bestandsaufnahme: Welche Systeme laufen bereits mit Sophos-Produkten, und wo entstehen aktuell blinde Flecken zwischen Endpoint, Firewall und E-Mail? Diese Lücken bestimmen, wie schnell sich die zusätzliche Investition in XDR auszahlt.

Ein typischer Einführungspfad läuft in drei Schritten ab:

• Bestandsaufnahme: Welche Sophos-Produkte sind bereits im Einsatz, welche Datenquellen fehlen noch für eine vollständige Korrelation?
• XDR aktivieren: Bestehende Intercept-X-Lizenzen um die XDR-Funktion erweitern, ohne zusätzliche Agenten auf den Endgeräten zu installieren.
• Betriebsmodell festlegen: Threat Hunting intern durch die IT-Abteilung durchführen oder direkt an Sophos MDR Complete auslagern, je nach verfügbarer Kapazität.

Je nachdem, wie viele Firewall-, E-Mail- und Cloud-Systeme bereits von Sophos stammen, verkürzt sich dieser Prozess spürbar, weil die Datenanbindung dann größtenteils vorkonfiguriert ist.

Häufige Fragen zu Sophos XDR und Threat Hunting

Was ist der Unterschied zwischen EDR und XDR bei Sophos?

EDR überwacht ausschließlich Endpoints. Sophos XDR erweitert die Datenbasis um Firewall, E-Mail, Cloud und Identität und erlaubt so eine quellenübergreifende Bedrohungssuche statt isolierter Einzelanalysen.

Braucht man für Sophos XDR ein eigenes SOC-Team?

Nein. Kleinere IT-Teams nutzen die vorstrukturierten Abfragen punktuell selbst. Für kontinuierliches 24/7-Threat-Hunting ohne eigenes Personal übernimmt Sophos MDR Complete die aktive Überwachung.

Welche Sophos-Produkte müssen für XDR bereits vorhanden sein?

Sophos XDR baut in der Regel auf Sophos Intercept X als Endpoint-Basis auf. Firewall-, E-Mail- und Cloud-Daten lassen sich zusätzlich einbinden, sind aber für den Einstieg nicht zwingend erforderlich.

Was kostet Sophos XDR für ein mittelständisches Unternehmen?

Die Lizenzierung erfolgt nutzerbasiert und richtet sich nach Nutzeranzahl und Vertragslaufzeit. Die genauen Konditionen für die individuelle Unternehmensgröße lassen sich direkt über den Kontakt anfragen.

Wie unterscheidet sich XDR von MDR?

XDR ist die Datenplattform und das Werkzeug für Threat Hunting. MDR (Managed Detection and Response) ist der Service, bei dem ein externes Team diese Plattform aktiv im Kundenauftrag überwacht. Der Artikel EDR, XDR und MDR im Unterschied erklärt ordnet alle drei Begriffe im Detail ein.

Läuft die eigene IT-Security noch mit isolierten Endpoint-Logs ohne Verknüpfung zu Firewall und E-Mail? Das Cyber-Shop-Team hilft im Kontakt beim Einstieg in Sophos XDR.