Zwanzig Jahre lang liess sich die IT-Sicherheit eines kleinen Unternehmens in einem Wort zusammenfassen: Antivirus. Man installierte ihn, hielt ihn aktuell, und die Sache galt als erledigt. Heute genügt dieses Wort nicht mehr — nicht weil der Antivirus nutzlos geworden wäre, sondern weil sich die Angriffe in ihrer Natur verändert haben: Sie verbreiten nicht nur Schadprogramme, sie kommen mit gestohlenen Zugangsdaten herein, bewegen sich mit legitimen Werkzeugen und wählen sorgfältig die Momente, in denen niemand hinschaut.

In diesem Artikel erklären wir ohne überflüssige Fachsprache, was MDR — Managed Detection & Response — bedeutet, worin der Unterschied zu Antivirus und EDR liegt und warum eine verwaltete 24/7-Überwachung auch für ein KMU in Graubünden oder im Tessin zu einer vernünftigen Wahl geworden ist, nicht nur für Grossunternehmen.

Die drei Kürzel, der Reihe nach

Der klassische Antivirus arbeitet mit Wiedererkennung: Er vergleicht Dateien mit einer Liste bekannter Bedrohungen und blockiert, was übereinstimmt. Gegen Bekanntes funktioniert das gut; gegen Neues — und gegen Angreifer, die gar keine schädlichen Dateien verwenden — stösst es an Grenzen.

Die Technik, die den Wandel am besten erzählt, trägt einen sprechenden Namen: von dem leben, was das Land hergibt. Angreifer nutzen immer öfter die Werkzeuge, die in den Systemen schon vorhanden sind — Verwaltungsprogramme, legitime Fernzugriffe —, gerade weil keine Bedrohungsliste sie enthalten kann: Es sind Arbeitsinstrumente. Sie zu erkennen, verlangt den Blick auf das Verhalten, nicht auf den Dateinamen.

EDR (Endpoint Detection & Response) geht einen Schritt weiter: Es beobachtet das Verhalten von Computern und Servern, meldet Anomalien — ein Programm, das Hunderte Dateien verschlüsselt, ein ungewöhnlicher Administratorzugriff — und erlaubt einzugreifen. Ein starkes Werkzeug, mit einem oft verschwiegenen Detail: Jemand muss diese Meldungen lesen, verstehen und handeln. Ein Werkzeug, das ins Leere meldet, schützt wenig.

MDR (Managed Detection & Response) löst genau diesen Punkt: Zur Technologie kommen die Menschen. Ein Security Operations Center — ein SOC — überwacht die Signale Ihrer Infrastruktur rund um die Uhr, trennt Fehlalarme von echten Bedrohungen und greift ein, wenn es nötig ist: isoliert das kompromittierte Gerät, sperrt das Konto, stoppt den Angriff, während er geschieht. Keine zusätzliche Software, sondern eine Dienstleistung: Erkennung und Reaktion, verwaltet.

Die Werkzeugfamilie ist inzwischen gewachsen: Von XDR spricht man, wenn die Beobachtung über die Arbeitsplätze hinausreicht — auf Netzwerk, Post, Identitäten, Cloud — und Signale korreliert, die einzeln gelesen harmlos wirkten. Es ist die richtige Richtung; und sie macht den Punkt noch deutlicher: Je mehr Signale man sammelt, desto mehr braucht es jemanden, der sie deutet.

Warum die Uhrzeit mehr zählt, als man denkt

Es gibt eine Zahl, die Sophos seit Jahren in seinen Berichten wiederholt und die die Erfahrung bestätigt: Die grosse Mehrheit der Ransomware-Angriffe startet ausserhalb der Bürozeiten — nachts, an Wochenenden, über die Feiertage. Kein Zufall: Angreifer wählen die Momente, in denen Meldungen bis zum nächsten Morgen ungelesen bleiben. Für einen Betrieb mit Bürozeiten bedeutet das ein offenes Fenster von über hundert Stunden pro Woche.

Es intern abzudecken, würde ein Spezialistenteam im Schichtbetrieb verlangen: ein Aufwand ausser Proportion für jedes KMU — vorausgesetzt, man findet die Profile überhaupt, die auf dem Schweizer Arbeitsmarkt rar bleiben. Der verwaltete Dienst dreht die Gleichung um: Das SOC wird von vielen Unternehmen geteilt, und jedes bezahlt einen Bruchteil dessen, was der eigene Aufbau kosten würde. Es ist dasselbe Prinzip, nach dem kein KMU eine eigene Brandmeldezentrale betreibt.

Es ist auch eine Frage der Berufe: Auf einen Vorfall um drei Uhr nachts zu reagieren, ist nicht die Aufgabe des guten internen Informatikers — so wenig, wie das Nähen einer Wunde die Aufgabe des Hausarztes ist. Sicherheitsanalystin, Bedrohungsjäger, Spezialist für Vorfallreaktion sind eigene Professionen, die sich an Hunderten von Fällen schärfen — eine Erfahrung, die kein einzelnes KMU im Haus ansammeln kann und die der geteilte Dienst allen zur Verfügung stellt.

Was ein SOC in einer gewöhnlichen Nacht sieht

Um den Wert des Dienstes zu verstehen, hilft der Blick auf die Arbeit selbst. In einer gewöhnlichen Nacht begegnen die Analysten wiederkehrenden Szenen: einem erfolgreichen Zugriff aus einem Land, in dem das Unternehmen niemanden hat, vorausgegangen Dutzende gescheiterter Versuche. Einer Salve von MFA-Bestätigungsanfragen um zwei Uhr nachts, in der Hoffnung, der verschlafene Benutzer genehmige eine, nur um Ruhe zu haben. Einem Dienstkonto, das zum ersten Mal in drei Jahren Ordner liest, die es nichts angehen.

Keine dieser Episoden würde für sich allein ein Unternehmen stoppen. Aber es sind die ersten Meter fast aller ernsten Vorfälle: Der Unterschied zwischen dem Bemerken um zwei Uhr nachts und dem Bemerken am Montag ist der Unterschied zwischen einem gesperrten Konto und einer Wiederherstellung aus dem Backup. Das Handwerk des SOC ist genau das Bewachen dieser ersten Meter.

Eine Zahl fasst den Einsatz zusammen: die Verweildauer — wie lange ein Eindringling in den Systemen bleibt, bevor er entdeckt wird. In den schlimmsten Fällen misst man sie in Wochen: Wochen, in denen das Unternehmen studiert, die Backups lokalisiert, der Moment gewählt wird. Jeder Tag, den man dieser Zeit nimmt, verkleinert den möglichen Schaden; MDR existiert, um sie von Wochen auf Minuten zu bringen.

Dazu kommt die Arbeit, die nicht auf Alarme wartet: das Threat Hunting, die proaktive Suche nach den leisen Bedrohungen — jenen, die eigens dafür gebaut sind, nichts auszulösen. Es ist der Teil des Handwerks, den kein Automatismus abdeckt, und einer der Gründe, warum MDR eine Dienstleistung ist und kein Produkt.

Sophos MDR: wie es konkret arbeitet

Bei dpstudio setzen wir auf Sophos MDR, den Dienst des Herstellers, dessen Global Partner Silver wir sind — im Einsatz bei Zehntausenden von Organisationen weltweit. Konkret sammelt der Dienst die Signale von Endpunkten, Servern, Netzwerk, Identitäten und Post; eine Analyseplattform korreliert und filtert sie; die Analysten des SOC prüfen, was Aufmerksamkeit verdient, und reagieren in Ihrem Auftrag. Passiert um drei Uhr nachts etwas Ernstes, finden Sie am Morgen den Bericht darüber, was geschehen ist — und was bereits unternommen wurde.

Zwei Eigenschaften machen den Dienst für Betriebe wie unsere geeignet. Erstens fügt er sich in die bestehende Infrastruktur ein: Er zwingt nicht zum Ersatz dessen, was funktioniert — von der Firewall bis zum Schutz der Server und Arbeitsplätze. Zweitens bleibt die Rolle des lokalen Partners zentral: Das SOC überwacht und reagiert; wir kennen Ihr Unternehmen, Ihr Netzwerk und Ihre Prioritäten — und übersetzen den Dienst in den Alltag: Erstkonfiguration, massgeschneiderte Regeln, ein Ansprechpartner in Ihrer Sprache, wenn ein Bericht zu verstehen ist.

Die Kosten, ehrlich benannt

Der Dienst liefert auch ein wertvolles Nebenprodukt für die Unternehmensführung: Sichtbarkeit. Periodische Berichte in verständlicher Sprache — was erkannt wurde, was unternommen wurde, wo sich Verstärkung lohnt — machen aus der Sicherheit statt eines Glaubensakts eine Führungsgrösse, mit derselben Würde wie die Bilanz.

Sprechen wir über die Kosten, denn das ist die eigentliche Frage. Ein MDR-Dienst für ein KMU wird im Abonnement bezahlt, proportional zu den geschützten Geräten: ein planbarer Budgetposten, in der Grössenordnung anderer Unternehmensversicherungen. Der korrekte Vergleich ist nicht der mit dem Antivirus, sondern der mit den echten Alternativen: einem internen Schichtdienst, ausser Reichweite — oder dem nackten Risiko, dessen Preis man erst nach dem Vorfall kennt, zwischen Stillstand, Wiederherstellung und Kunden, die zu beruhigen sind.

Ein Marktsignal hilft beim Einordnen: Die Cyberversicherungen, die diese Schäden bezahlen, verlangen immer öfter genau dies — kontinuierliche Überwachung, MFA, dokumentierte Reaktion — als Bedingung für den Abschluss oder für eine tragbare Prämie. Wenn jene, die das Risiko von Berufs wegen rechnen, ein solches Dispositiv fordern, dann stimmt die Proportion.

Mit derselben Ehrlichkeit gehört gesagt, was das Abonnement nicht kauft: das Fundament. Pünktliche Updates, im Wiederherstellen getestete Backups, MFA, Ordnung bei den Zugriffen bleiben Aufgabe des Unternehmens und seines IT-Partners — MDR bewacht das Haus, es ersetzt nicht dessen Mauern. Wer es als Universalheilmittel anpreist, verkauft — er berät nicht.

Der Schweizer Rahmen: revDSG und NIS2

Schliesslich gibt es einen regulatorischen Grund. Das revDSG verlangt von Schweizer Unternehmen angemessene Massnahmen zum Schutz der Personendaten — und die Fähigkeit, Verletzungen zu bemerken und zu bewältigen: Eine kontinuierliche Überwachung mit dokumentierter Reaktion ist, ganz konkret, diese Fähigkeit. Und wer mit Kunden oder Konzernen in der Europäischen Union arbeitet, begegnet immer häufiger den Anforderungen der NIS2-Richtlinie, die Auftraggeber auf ihre Lieferanten übertragen: Ein 24/7-Erkennungs- und Reaktionsdispositiv vorweisen zu können, wird zur kommerziellen Anforderung — noch bevor es eine technische ist.

Der Klarheit halber, ohne zu dramatisieren: MDR macht nicht unverwundbar — in der Sicherheit kann niemand das Absolute versprechen. Aber es verschiebt die Wahrscheinlichkeiten substanziell: Es verkürzt die Zeit zwischen Eindringen und Reaktion — die Variable, die entscheidet, ob ein Vorfall eine Episode bleibt oder zum Betriebsstillstand wird.

Mit besonderem Gewicht gilt das für alle, die von Berufs wegen heikle Daten bearbeiten: Arztpraxen und Treuhandbüros, Gemeindeverwaltungen, Unternehmen mit schützenswertem Know-how. Die Erfahrung lehrt aber, dem umgekehrten Gedanken zu misstrauen — «wir sind zu klein, um jemanden zu interessieren». Moderne Angriffe sind weitgehend automatisiert: Sie wählen ihre Ziele nicht, sie finden sie. Und das kleine Unternehmen mit leichten Abwehren ist oft das bequemste Ziel — oder die Stufe hinauf zu seinen grösseren Kunden.

Die Richtung des Schweizer Rahmens ist im Übrigen lesbar: Seit 2025 sind kritische Infrastrukturen verpflichtet, Cyberangriffe innert kurzer Frist den Bundesbehörden zu melden. Die Pflicht trifft die meisten KMU nicht — aber sie zeigt, wohin sich die Messlatte verschiebt. Wer sich vorher organisiert, tut es in Ruhe statt unter Druck.

Woran Sie erkennen, ob der Moment gekommen ist

Drei Fragen genügen zur Orientierung. Wer schaut heute Nacht auf unsere Systeme? Lautet die Antwort «niemand», existiert das Fenster. Was würde uns ein Stillstand von drei Tagen kosten? Macht die Zahl Eindruck, gehört das Verhältnis von Risiko und Schutz überprüft. Und die Werkzeuge, die wir bereits bezahlen: Liest jemand ihre Meldungen? Wenn nein, fehlt genau das Stück, das MDR hinzufügt.

Wichtig ist nur, dass die Antwort auf die erste Frage bewusst gegeben wird — und nicht durch Unterlassung. «Niemand schaut hin» kann eine akzeptierte Entscheidung sein; sie sollte bloss keine Überraschung sein, die man erst nach dem Vorfall entdeckt.

Die Bewertung ist bei uns eine konkrete Übung: Wir schauen gemeinsam auf die Infrastruktur, auf das bereits Abgedeckte und das noch Offene, und schätzen Kosten und Alternativen — einschliesslich der legitimen, nichts zu tun und zu wissen, was man damit akzeptiert. Unser Team begleitet Unternehmen jeder Grösse bei solchen Entscheiden, mit derselben Regel wie immer: Proportion statt Angst.

Für viele Unternehmen der Region ist MDR schlicht das neue Kapitel eines Vertrags, den es schon gibt: Wie man die Wartung von Servern und Netzwerk delegiert hat, delegiert man die Überwachung — mit dem Unterschied, dass diese nie schläft. Eine Evolution, keine Revolution.

Und die Zeitachse: Die Einführung ist keine Baustelle. Die Verteilung der Agenten, das Anbinden der Quellen und die Erstjustierung messen sich in Wochen; nach dem ersten Monat läuft der Dienst im Regelbetrieb, und das Rauschen der Fehlalarme nimmt sichtbar ab. Ein weiterer Vorteil des verwalteten Modells: Die Lernkurve ist schon jemand anderes gegangen.

Das Wichtigste in Kürze

Sophos MDR bringt auch in KMU, was bisher grossen Organisationen vorbehalten war: eine kontinuierliche menschliche und technologische Überwachung, die erkennt und reagiert, während der Angriff geschieht. Mit einem Rahmen, der die Erwartungen anhebt — revDSG in der Schweiz, NIS2 für alle, die mit der EU arbeiten —, lautet die richtige Frage nicht mehr «braucht es das wirklich?», sondern «was decken wir heute ab — und was wollen wir ab morgen abdecken?».