Warum signaturbasierter Virenschutz gegen moderne Angriffe nicht ausreicht, welche Technologien den öffentlichen Sektor heute schützen und wie Vergabestellen EPP, EDR und XDR ausschreiben können.
Stand: 29.10.2026
Klassischer Virenschutz arbeitet signaturbasiert: Er vergleicht Dateien und Prozesse mit einer Datenbank bekannter Schadsoftware-Muster. Trifft ein bekannter Hash oder eine bekannte Bytekombination ein, wird geblockt. Dieses Prinzip funktionierte, als Angreifer ihre Werkzeuge selten veränderten und Schadsoftware in großer Stückzahl identisch verbreitet wurde.
Beides gilt heute nicht mehr. Angreifer nutzen drei Techniken, die signaturbasierte Erkennung systematisch umgehen:
Der BSI IT-Grundschutz verlangt im Baustein OPS.1.1.4 ein Konzept für den Schutz vor Schadprogrammen und geeignete Schutzprogramme für den Enterprise-Bereich; bei erhöhtem Schutzbedarf soll zusätzlich der Einsatz von Produkten mit erweitertem Schutzumfang gegen gezielte Angriffe geprüft werden (OPS.1.1.4.A1, A3 und A14)[2]. Mit dem NIS-2-Umsetzungsgesetz müssen deutlich mehr Organisationen Risikomanagementmaßnahmen nach dem Stand der Technik umsetzen (§ 30 BSIG): Das BSI rechnet mit rund 29.500 beaufsichtigten Einrichtungen statt bisher etwa 4.500[6].
Ein Trugschluss ist es, aus einem AV, das „noch nie angeschlagen“ hat, zu folgern, dass kein Angriffsversuch stattgefunden hat. Kein Alarm kann bedeuten, dass kein Angriff stattfand, oder dass der Angriff die Erkennung schlicht umgangen hat. EDR schafft die Sichtbarkeit, die AV fehlt.
Die Endpoint-Security-Branche produziert Akronyme schneller als Vergabestellen sie verarbeiten können. Das ist kein Zufall: Hersteller differenzieren ihre Produkte durch Begriffe, nicht immer durch Funktionen. Wer ein Leistungsverzeichnis schreibt, muss diese Begriffe exakt definieren, sonst sind Angebote nicht vergleichbar.
| Technologie | Ansatz | Blinder Fleck |
|---|---|---|
| AV | Signaturvergleich bekannter Schadsoftware-Hashes. Geringe Ressourcenlast, schnell zu deployen. | Zero-Days, polymorphe Malware, Fileless-Angriffe, LOLBas |
| NGAV | Next-Generation AV: ML-basierte statische Analyse + Verhaltensüberwachung zur Laufzeit. Kein reiner Signaturvergleich. | Forensik, Threat Hunting und nachträgliche Untersuchung fehlen. Kein Response-Modul. |
| EPP | Endpoint Protection Platform: Kombination aus NGAV + grundlegendem EDR in einem Produkt. Viele kommerzielle Lösungen bündeln beides. | Tiefe Forensik und proaktives Threat Hunting variieren stark je Hersteller. |
| EDR | Endpoint Detection and Response: Kontinuierliches Monitoring aller Endpoint-Aktivitäten, Forensik, automatisierter Response, Threat Hunting. Setzt auf Prävention auf. | Sichtbarkeit begrenzt auf verwaltete Endpunkte. Netzwerk, Cloud und Identitätsquellen fehlen ohne Erweiterung. |
| XDR | Extended Detection and Response: Korreliert Daten aus Endpunkten, Netzwerk, Cloud, E-Mail und Identitätsquellen in einer zentralen Plattform. Erkennt Angriffsketten über mehrere Systeme. | Höherer Integrations- und Konfigurationsaufwand. Hersteller-natives XDR kann Vendor-Lock-in erzeugen. |
| MDR | Managed Detection and Response: Ein Dienstleister übernimmt 24/7-Monitoring, Incident Response und Threat Hunting, meist auf Basis einer bestimmten EDR- oder XDR-Plattform. Hersteller-eigene MDR-Dienste arbeiten vor allem mit der eigenen Plattform. | Bei hersteller-eigenem MDR sind Plattform und Betrieb eng verknüpft. Wer den Dienst wechselt, muss dann oft auch das EDR-Produkt austauschen. |
NGAV und EDR unterscheiden sich nicht nur im Namen, sondern fundamental in der Analysetiefe. Drei Methoden bestimmen, was eine Lösung erkennen kann und was nicht:
| Statische Analyse | Dynamische Analyse | Verhaltensanalyse | |
|---|---|---|---|
| Ansatz | Dateiprüfung vor Ausführung: Vergleich mit Signatur-/Hash-Datenbank | Ausführung in Sandbox: Beobachtung des Verhaltens in kontrollierter Umgebung | Laufendes Monitoring auf dem Host: Prozesse, Registry-Änderungen, Netzwerkverbindungen, Syscalls |
| Erkennt | Bekannte Hashes, IP-Adressen, Signaturen, Code-Snippets | File-Änderungen, Registry-Schreibvorgänge, Memory-Zugriffe | CLI-Befehle, Process Spawning, User Actions, Syscall-Ketten |
| Umgehbar durch | Polymorphismus, Verschlüsselung, Obfuskation | Sandbox-Erkennung (CPU-Checks, Delays), Ausführungsverzögerung | DLL Unhooking, direkte Syscalls (kein Hook), LOLBas-Missbrauch |
| Abgedeckt von | NGAV: vor allem statisch und dynamisch | EDR: alle drei Methoden | |
Werden EDR und NGAV im Leistungsverzeichnis synonym verwendet, kann ein Bieter, der ein NGAV-Produkt ohne echtes EDR-Modul anbietet, die Anforderung trotzdem als erfüllt markieren. Konkrete Funktionsanforderungen statt Produktkategorien vermeiden dieses Problem.
Jede Generation war eine Antwort auf neue Angriffsmethoden. Wer den Entwicklungspfad kennt, kann Angebote besser einordnen.
EPP = NGAV + EDR in einem Produkt. Viele moderne Endpoint-Produkte sind heute EPP-Lösungen: Sie kombinieren präventiven Schutz (NGAV) mit aktiver Erkennung und Response (EDR). EPP ist damit der Überbegriff für die komplette Endpunktschutz-Plattform.
Das MITRE ATT&CK-Framework katalogisiert reale Angriffstechniken, die staatliche und kriminelle Akteure in der Praxis einsetzen. Die MITRE ATT&CK Evaluations testen Endpoint-Security-Produkte gegen nachgestellte Angriffe realer Gruppen, in einem gemeinsamen Verfahren von MITRE und den teilnehmenden Herstellern. Alle Ergebnisse sind öffentlich[9].
In der MITRE-Evaluation Enterprise 2025 (ER7, Dezember 2025) wurden Angriffsmuster der Gruppen Scattered Spider und Mustang Panda nachgestellt, erstmals auch Angriffe in Cloud-Umgebungen[1], [9]. Beide Gruppen verwenden Techniken, die klassisches AV kaum erkennt:
| MITRE-Technik | ID | AV-Erkennbarkeit | EDR-Erkennbarkeit |
|---|---|---|---|
| Credential Dumping (LSASS) | T1003 | Gering | Hoch |
| Lateral Movement via SMB/RDP | T1021 | Gering | Hoch |
| PowerShell-Ausführung (LOLBas) | T1059 | Sehr gering | Hoch |
| Process Injection | T1055 | Gering | Hoch |
| Datenexfiltration via Cloud-Dienste | T1567 | Keine | Mittel (XDR besser) |
MITRE veröffentlicht die Ergebnisse je Hersteller, bildet aber ausdrücklich keine Rangfolge[9]. Angaben einzelner Hersteller zu „100 Prozent“ beziehen sich auf bestimmte Kategorien der Auswertung. An der Runde 2025 nahmen elf Hersteller teil; mehrere große Hersteller hatten ihre Teilnahme abgesagt[7]. Als öffentlich zugänglicher, methodisch beschriebener Test eignet sich die Evaluation trotzdem als Bezugspunkt im Leistungsverzeichnis.
Statt „EDR-Lösung liefern“ zum Beispiel: „Der Auftragnehmer weist die Erkennungsleistung der angebotenen Lösung durch Ergebnisse eines unabhängigen, öffentlich dokumentierten Tests nach, etwa der MITRE ATT&CK Evaluations oder eines gleichwertigen Testverfahrens.“ Weil die Teilnahme an den MITRE Evaluations freiwillig ist, hält der Zusatz „oder gleichwertig“ den Kreis möglicher Angebote offen.
MITRE-Ergebnisse beschreiben ein Produkt, nicht das bietende Unternehmen. Im Leistungsverzeichnis gehören sie deshalb zu den Anforderungen an die angebotene Lösung.
Ein Leistungsverzeichnis für Endpoint Security sollte fünf Bereiche mit konkreten, prüfbaren Anforderungen abdecken. „EDR-Lösung liefern und betreiben“ ist keine Leistungsbeschreibung, sondern ein Freifahrtschein für unvergleichbare Angebote und spätere Vertragsstreitigkeiten.
Messbare Anforderungen an die Detektionsqualität, nicht an Produktfunktionen.
Technische Grundbedingungen für die Integration in die Bestandsinfrastruktur.
Welche Systeme sind abzudecken, einschließlich expliziter Aussagen zu Ausschlüssen.
Vertraglich bindende Reaktionszeiten und Eskalationspfade.
Besonders relevant für öffentliche Auftraggeber und KRITIS-Betreiber.
Die technische Auswertung von Endpoint-Security-Angeboten wird schwierig, wenn keine produktneutralen Maßstäbe definiert sind. Hersteller liefern eigene Leistungsdaten, die sich nicht vergleichen lassen. Externe Quellen geben Orientierung, ersetzen aber keine eigenen Anforderungen.
Gartner Magic Quadrant EPP und Forrester Wave XDR bewerten Anbieter nach Produktfähigkeiten und Marktpositionierung. Sie sind nützlich für die Marktübersicht, eignen sich aber nicht als Anforderung oder Zuschlagskriterium: Eine Anforderung „Gartner Leaders-Quadrant“ würde den Wettbewerb auf wenige Anbieter beschränken, die Leistungsbeschreibung soll aber allen Unternehmen den gleichen Zugang zum Verfahren gewähren (§ 31 Abs. 1 VgV)[8]. Stattdessen: die Bewertungsdimensionen aus diesen Berichten als Anforderungsquelle nutzen, nicht die Berichte selbst als Filter.
Die MITRE Evaluations sind ein öffentlich zugängliches, methodisch dokumentiertes Testverfahren für EDR- und XDR-Produkte. Getestet wird gegen nachgestellte Angriffe realer Gruppen, 2025 einer kriminellen Gruppe (Scattered Spider) und einer staatlich unterstützten Spionagegruppe (Mustang Panda)[9]. Alle Ergebnisse sind unter evals.mitre.org abrufbar. Vergabestellen können im LV Ergebnisse aus einer der letzten Runden verlangen. Weil nicht jeder Hersteller an jeder Runde teilnimmt, sollte die Anforderung gleichwertige unabhängige Testnachweise zulassen[7].
| Kriterium | In-house SOC | Managed MDR |
|---|---|---|
| Kontrolle über Daten | Vollständig | Abhängig von Vertrag |
| Betriebskosten | Hoch (Personal, Tools) | Planbar (Festpreis möglich) |
| Expertenverfügbarkeit 24/7 | Schwer skalierbar | Je nach Vertrag inklusive |
| Herstellerunabhängigkeit | Hoch (eigene Tool-Wahl) | Variiert: hersteller-nativ vs. neutral |
| Aufbauzeit | Lang (Personal, Prozesse, Werkzeuge) | Kürzer, abhängig vom Onboarding |
| Vendor-Lock-in-Risiko | Gering | Bei hersteller-nativem MDR: hoch |
Für den langfristigen Betrieb zählen neben Testergebnissen vor allem Nachweise zur Datenhaltung (z. B. BSI C5) und die Regelungen zum Ausstieg. Produktfunktionen helfen wenig, wenn die Bedingungen für einen Wechsel nach drei Jahren nicht vertraglich geregelt sind.
Ob Endpoint-Security-Angebote vergleichbar werden, entscheidet die Formulierung des Leistungsverzeichnisses. Fünf Fehler, die das verhindern:
Das LV nennt konkrete Produktnamen wie „CrowdStrike Falcon“, „Microsoft Defender for Endpoint“ oder „SentinelOne Singularity“. Nach § 31 Abs. 6 VgV darf die Leistungsbeschreibung nicht auf bestimmte Produkte, Typen oder Hersteller verweisen, wenn dadurch Unternehmen oder Produkte begünstigt oder ausgeschlossen werden, es sei denn, der Auftragsgegenstand rechtfertigt das. Ausnahmsweise zulässig ist ein Verweis, wenn sich der Gegenstand sonst nicht hinreichend genau beschreiben lässt, und dann nur mit dem Zusatz „oder gleichwertig“[8]. Eine Endpoint-Security-Lösung lässt sich in der Regel über Funktionen beschreiben.
Das LV deckt verwaltete Laptops und Server ab, schweigt aber zu OT-Systemen, IoT-Geräten, nicht verwalteten Endpunkten und Cloud-Workloads. Nach Zuschlag stellt sich heraus, dass SCADA-Systeme, medizinische Geräte oder Industriesteuerungen nicht im Scope waren. Diese Lücken sind teuer zu schließen, wenn kein Vertragsrahmen dafür existiert.
Ohne vereinbarte Mean Time to Detect und Mean Time to Respond fehlt ein messbarer Maßstab dafür, ob Alarme rechtzeitig bearbeitet wurden, und damit die Grundlage für Eskalationen oder vertragliche Folgen. Bei einem Ransomware-Vorfall, der stundenlang unbemerkt bleibt, fehlt dann die Handhabe.
EDR-Systeme sammeln umfangreiche Telemetriedaten, darunter Prozessdaten, Netzwerkverbindungen und Nutzerverhalten. Werden diese Daten in Drittländern wie den USA gespeichert oder an Hersteller weitergegeben, stellen sich Fragen des Datenschutzes (Übermittlung in Drittländer, Art. 44 ff. DSGVO) und der Informationssicherheit. Für KRITIS-Betreiber und Behörden wiegt das besonders schwer.
Das LV fordert „EDR einführen und betreiben“, ohne festzulegen, ob 24/7-Monitoring durch den Auftragnehmer, durch den Auftraggeber oder als hybrides Modell erfolgen soll. Anbieter interpretieren das unterschiedlich: ein Anbieter liefert eine Softwarelizenz ohne Betrieb, ein anderer ein vollständiges MDR-Paket. Die Angebote sind nicht vergleichbar, und nach Zuschlag gibt es keinen Vertragsrahmen für den Betrieb.
Produkte zum Thema
Vergabeunterlagen anderer Auftraggeber, direkt durchsuchbar.
Archiv öffnen →Muster-LVs für EDR und XDR als Excel-Vorlage, dazu vergleichbare Verfahren im Vergabe-Archiv.
Sie haben eine konkrete Beschaffung vor sich und wollen sehen, wie andere sie aufgesetzt haben? Das Vergabe-Archiv zeigt vergleichbare Verfahren. Bei Fragen zu den Produkten melden Sie sich gern.