Netzwerküberwachung und -reaktion (NDR) erklärt: Der umfassende Leitfaden

NDR steht für „Network Detection and Response“. Es handelt sich um eine Cybersicherheitstechnologie, die den Netzwerkverkehr mithilfe künstlicher Intelligenz und Verhaltensanalysen kontinuierlich überwacht, um Bedrohungen in Echtzeit zu erkennen. Im Gegensatz zu herkömmlichen Sicherheitstools, die auf bekannten Signaturen oder Protokolldaten basieren, analysiert NDR die tatsächliche Netzwerkkommunikation – sowohl den Nord-Süd-Verkehr, der die Netzwerkgrenze überquert, als auch den Ost-West-Verkehr, der sich lateral zwischen internen Systemen bewegt.

NDR erkennt Bedrohungen wie laterale Bewegungen, C&C-Kommunikation, Datenexfiltration, Missbrauch von Anmeldedaten und Anomalien im verschlüsselten Datenverkehr. Es bietet automatisierte Reaktionsfunktionen wie Host-Isolierung, Sitzungsbeendigung und die Integration mit SOAR-Plattformen für eine koordinierte Reaktion auf Vorfälle. Die Kategorie wurde 2020 von Gartner offiziell definiert und 2025 mit dem ersten Magic Quadrant für NDR validiert.

Unternehmen setzen NDR ein, um die Lücke in der Transparenz zwischen endpoint(EDR) und der protokollbasierten (SIEM) Erkennung zu schließen, insbesondere bei nicht verwalteten Geräten, IoT-/OT-Systemen und cloud , auf denen keine endpoint ausgeführt werden können.

NDR und EDR überwachen grundlegend unterschiedliche Datenquellen und eignen sich besonders für unterschiedliche Erkennungsszenarien. NDR überwacht den Netzwerkverkehr in der gesamten Infrastruktur und bietet Einblick in die Kommunikation zwischen allen Geräten – ob verwaltet, nicht verwaltet oder IoT/OT. Die Lösung wird agentenlos über Netzwerk-TAPs, SPAN-Ports und cloud bereitgestellt, sodass auf den überwachten Geräten keine Software installiert werden muss.

EDR überwacht einzelne Endgeräte, indem auf jedem Gerät ein schlanker Agent installiert wird. Es bietet einen umfassenden Einblick in die Prozessausführung, Dateiänderungen, Speicheraktivitäten und Registrierungsänderungen auf jedem Host.

NDR zeichnet sich durch die Erkennung von lateralen Bewegungen, Bedrohungen durch verschlüsselten Datenverkehr und Angriffen auf nicht verwaltete Geräte aus. EDR zeichnet sich durch die Erkennung malware , dateilosen Angriffen und Bedrohungen auf Prozessebene auf verwalteten Systemen aus. NDR liefert den netzwerkweiten Kontext, der EDR fehlt, während EDR die Details endpoint liefert, die NDR nicht erfassen kann. Die meisten Sicherheitsarchitekturen erfordern beide Technologien als sich ergänzende Säulen der SOC-Transparenz-Triade.

NDR und SIEM erfüllen unterschiedliche Hauptfunktionen, obwohl beide zur Erkennung von Bedrohungen beitragen. NDR analysiert den Netzwerkverkehr in Echtzeit mithilfe von Verhaltensanalysen und maschinellem Lernen und erkennt dabei Anomalien in der tatsächlichen Netzwerkkommunikation. SIEM sammelt, korreliert und analysiert Protokolldaten aus dem gesamten Unternehmen mithilfe regelbasierter Erkennung.

Der wesentliche Unterschied liegt in der Datenabhängigkeit. SIEM ist darauf angewiesen, dass Geräte und Anwendungen Protokolle erstellen und weiterleiten. Wenn ein Gerät keine Protokolle erzeugt, wenn Protokolle unvollständig oder falsch konfiguriert sind oder wenn ein Angreifer die Protokollierungsmechanismen manipuliert, verliert SIEM den Überblick. NDR überwacht den Netzwerkverkehr selbst, den Angreifer nicht ohne Weiteres unterdrücken können – jede Netzwerkkommunikation erzeugt beobachtbare Verkehrsmuster.

NDR bietet eine einzigartige Transparenz über das gesamte Ost-West-Netzwerk, die den meisten SIEM-Implementierungen fehlt. SIEM ermöglicht durch die Aggregation von Protokollen eine umfassendere Abdeckung des Unternehmens und ist die primäre Plattform für Compliance-Berichte, Prüfpfade und die Aufbewahrung von Protokollen. Unternehmen profitieren am meisten von der Integration beider Systeme – NDR-Erkennungen bereichern die SIEM-Korrelationen durch Netzwerkdaten.

NDR konzentriert sich speziell auf die Erkennung und Reaktion auf Netzwerkebene und bietet umfassende Einblicke in Netzwerkverkehrsmuster, Verhaltensabweichungen und Kommunikationsflüsse. XDR erweitert die Erkennungs- und Reaktionsfähigkeiten auf mehrere Sicherheitsbereiche – Endgeräte, Netzwerk, cloud, E-Mail und Identitäten – und verknüpft dabei Telemetriedaten aus verschiedenen Quellen zu einheitlichen Vorfällen.

NDR kann als eigenständige Sicherheitstechnologie oder als Netzwerkkomponente innerhalb einer umfassenderen XDR-Plattform eingesetzt werden. Viele XDR-Lösungen verfügen zwar über NDR-Funktionen, erreichen jedoch möglicherweise nicht die Leistungsfähigkeit dedizierter NDR-Lösungen bei der Analyse des Netzwerkverkehrs und der Verhaltenserkennung.

Die Grenze zwischen NDR und XDR verschwimmt zunehmend. Einige Anbieter erweitern ihre NDR-Plattformen um endpoint cloud und bewegen sich damit effektiv in Richtung XDR. Andere beginnen mit XDR und bauen ihre Netzwerkanalysefunktionen weiter aus. Unternehmen sollten prüfen, ob sie die umfassende Netzwerktransparenz einer eigenständigen NDR-Lösung, die domänenübergreifende Korrelation von XDR oder beides in einer einheitlichen Plattform benötigen.

Ja. Moderne NDR-Lösungen analysieren verschlüsselten Datenverkehr, ohne ihn zu entschlüsseln. Dies ist von entscheidender Bedeutung, da mittlerweile 87 % oder mehr aller Bedrohungen verschlüsselte Kanäle nutzen. NDR untersucht verschiedene Merkmale der verschlüsselten Kommunikation, um Anomalien zu erkennen.

Bei der Metadatenanalyse werden Verbindungsattribute wie Quell- und Zieladressen, Ports, Protokolle, Zertifikatsdetails, Sitzungsdauer und Datenvolumen untersucht. Mithilfe von JA3- und JA4-Fingerprinting werden Client- und Serveranwendungen anhand ihrer TLS-Handshake-Parameter identifiziert, wodurch malware aufgedeckt wird, malware charakteristische Fingerabdrücke sich von denen legitimer Software unterscheiden. Bei der Zertifikatsanalyse wird nach selbstsignierten Zertifikaten, abgelaufenen Zertifikaten und ungewöhnlichen Zertifikatsattributen gesucht, die mit bösartiger Infrastruktur in Verbindung stehen.

Die Zeit- und Entropieanalyse erkennt Beaconing-Muster – regelmäßige Rückrufe an Befehls- und Kontrollserver – sowie anomale Datenströme anhand von Zeitintervallen und der Entropie der Nutzdaten. Diese Verhaltensmuster decken Bedrohungen auf, selbst wenn der eigentliche Inhalt der Nutzdaten verschlüsselt ist. Daher ist NDR unverzichtbar für Umgebungen, in denen der Großteil des Datenverkehrs über TLS oder andere Verschlüsselungsprotokolle abgewickelt wird.

Die SOC-Transparenz-Triade ist ein Konzept, das Gartner 2019 in der Forschungsnotiz „Applying Network-Centric Approaches for Threat Detection and Response“ vorgestellt hat. Es beschreibt drei sich ergänzende Technologien, die zusammen eine umfassende Transparenz von Bedrohungen für Security Operations Center bieten.

Die drei Säulen sind SIEM für die logbasierte Analyse, EDR für endpoint und Reaktion endpoint sowie NDR für die Erkennung und Reaktion im Netzwerk. Jede Technologie überwacht eine andere Datenquelle und deckt einen anderen Teil der Angriffsfläche ab. SIEM analysiert Protokolle von Anwendungen, Systemen und der Infrastruktur. EDR überwacht endpoint , einschließlich Prozessen, Dateien und Speicher. NDR überwacht Netzwerkverkehrsmuster und die Kommunikation.

Das Triadenkonzept berücksichtigt, dass kein einzelnes Tool einen vollständigen Überblick über die gesamte Infrastruktur eines Unternehmens bietet. Angreifer nutzen die Lücken zwischen den Tools aus. NDR schließt die entscheidende Lücke in der Netzwerktransparenz – es erkennt Bedrohungen im Ost-West-Datenverkehr, in verschlüsselter Kommunikation und bei Aktivitäten, an denen nicht verwaltete Geräte beteiligt sind, die weder von SIEM noch von EDR erfasst werden können. Unternehmen, die alle drei Säulen einsetzen, erzielen eine deutlich bessere Erfassungsrate als solche, die sich auf nur eine oder zwei Technologien verlassen.

NDR unterstützt zero trust direkt, indem es das Netzwerkverhalten kontinuierlich überprüft, anstatt jeglichem Datenverkehr implizit zu vertrauen. In einem zero trust wird keinem Benutzer, keinem Gerät und keinem Netzwerksegment von vornherein vertraut, und jede Kommunikation muss kontinuierlich validiert werden.

NDR trägt zero trust verschiedene Weise zum zero trust bei. Es überwacht den gesamten internen Netzwerkverkehr – nicht nur den Datenverkehr an den Netzwerkgrenzen – und erkennt dabei auch bei authentifizierten Benutzern und in vertrauenswürdigen Netzwerksegmenten abweichendes Verhalten. Es identifiziert Abweichungen von festgelegten Verhaltensreferenzwerten, die auf kompromittierte Anmeldedaten oder Insider-Bedrohungen hindeuten können. Es bietet Einblick in die Ost-West-Kommunikation zwischen Mikrosegmenten, überprüft die Einhaltung von Segmentierungsrichtlinien und erkennt unbefugte Bewegungen zwischen den Segmenten.

NDR überwacht zudem nicht verwaltete sowie IoT-/OT-Geräte, die möglicherweise nicht in identitätsbasierte zero trust eingebunden sind, und stellt sicher, dass das Netzwerkverhalten dieser Geräte den erwarteten Mustern entspricht. Da mehr als 67 % der Unternehmen zero trust implementieren, wird die kontinuierliche Verhaltensüberprüfung durch NDR zu einem immer wichtigeren Bestandteil der Sicherheitsinfrastruktur.

Inline-NDR und Out-of-Band-NDR stellen zwei unterschiedliche Bereitstellungsarchitekturen mit jeweils eigenen Vor- und Nachteilen dar. Inline-NDR wird direkt in den Netzwerkpfad eingebunden und überprüft den Datenverkehr, während dieser den Sensor durchläuft. Diese Position ermöglicht die Echtzeit-Blockierung von schädlichem Datenverkehr, führt jedoch zu Verzögerungen und schafft einen potenziellen Single Point of Failure, falls der Sensor ausfällt.

Out-of-Band-NDR überwacht Kopien des Netzwerkverkehrs, die von Netzwerk-TAPs oder SPAN-Ports bereitgestellt werden. Es analysiert diesen gespiegelten Datenverkehr, ohne sich im Datenpfad zu befinden. Dieser Ansatz eliminiert Latenzzeiten und Ausfallrisiken, kann jedoch bösartigen Datenverkehr nicht direkt blockieren – er muss in Firewalls, Switches oder EDR-Lösungen integriert werden, um Eindämmungsmaßnahmen zu ergreifen.

Die meisten NDR-Implementierungen in Unternehmen nutzen Out-of-Band-Architekturen, da diese eine umfassende Überwachung ermöglichen, ohne dass dabei das Risiko einer Netzwerkunterbrechung besteht. Inline-Implementierungen sind häufiger in Umgebungen anzutreffen, in denen spezifische Anforderungen an die Echtzeit-Blockierung bestehen, wie beispielsweise bei kritischer Infrastruktur oder in Umgebungen, in denen hochsensible Daten verarbeitet werden und die automatisierte sofortige Blockierung den damit verbundenen betrieblichen Kompromiss rechtfertigt. Viele Unternehmen setzen auf einen hybriden Ansatz – Out-of-Band für die umfassende Überwachung und Inline-Sensoren an kritischen Engpässen.

Nein. Herkömmliche Netzwerküberwachung und NDR dienen unterschiedlichen Zwecken. Bei der Netzwerküberwachung stehen Verfügbarkeit und Leistung im Vordergrund – dabei werden Bandbreitennutzung, Betriebszeit, Latenz und Paketverlust überwacht, um einen zuverlässigen Netzwerkbetrieb sicherzustellen. Tools wie SNMP-Monitore und Systeme zum Netzwerkleistungsmanagement fallen in diese Kategorie.

NDR geht noch einen Schritt weiter, indem es KI-gestützte Verhaltensanalysen speziell zur Erkennung von Bedrohungen einsetzt. NDR erstellt Verhaltensreferenzwerte für normale Netzwerkaktivitäten, erkennt Anomalien, die auf Sicherheitsbedrohungen hindeuten, korreliert mehrere Signale zu priorisierten Sicherheitsvorfällen und bietet automatisierte oder angeleitete Reaktionsmöglichkeiten, um Bedrohungen einzudämmen.

Zwar beobachten beide Technologien den Netzwerkverkehr, doch unterscheiden sich ihre Ziele grundlegend. Bei der Netzwerküberwachung lautet die Frage: „Funktioniert das Netzwerk ordnungsgemäß?“ Bei NDR lautet die Frage: „Gibt es Angriffe auf das Netzwerk?“ Die Datenquellen mögen sich zwar überschneiden, doch die Analysemodelle, Erkennungsziele und Reaktionsmöglichkeiten sind völlig unterschiedlich. NDR ergänzt die Netzwerküberwachung, und viele Unternehmen setzen beides ein – Netzwerküberwachung für den operativen Überblick und NDR für den Sicherheitsüberblick.

KI ist die grundlegende Technologie, die moderne NDR-Lösungen erst möglich macht. Ohne KI und maschinelles Lernen würde NDR wieder auf die signaturbasierte Erkennung zurückgreifen – jenem Ansatz, der die Ära der IDS/IPS geprägt hat und sich gegenüber modernen Bedrohungen als unzureichend erwiesen hat.

Modelle des maschinellen Lernens bilden die Grundlage für die Verhaltens-Baselining-Funktion, die Kernfunktion von NDR. Diese Modelle beobachten im Laufe der Zeit die normalen Netzwerkmuster für jedes Gerät, jeden Benutzer und jedes Subnetz und lernen so, was typisches Verhalten ausmacht. Wenn der Echtzeit-Datenverkehr von diesen Basiswerten abweicht, melden die Modelle Anomalien zur weiteren Untersuchung. Dieser Ansatz erkennt neue Bedrohungen, für die es noch keine Signatur gibt.

Deep-Learning-Modelle bewältigen komplexe Mustererkennungsaufgaben wie die Identifizierung von Befehls- und Kontrollkommunikation innerhalb verschlüsselter Datenverbindungen, die Erkennung langsamer Datenexfiltration über viele kleine Sitzungen hinweg und die Erkennung mehrstufiger Angriffsmuster, die sich über Stunden oder Tage erstrecken. Statistische Analysen ergänzen ML-Modelle bei der Erkennung von Ausreißern in Datenverkehr mit hohem Datenaufkommen.

Die neueste Generation von NDR führt agentenbasierte KI ein – autonome KI-Agenten, die Warnmeldungen untersuchen, Verhaltenssignale zu vollständigen Angriffsszenarien zusammenfügen und Vorfälle anhand des Geschäftsrisikos priorisieren. Dies entlastet die SOC-Analysten bei der Untersuchung und ermöglicht eine schnellere Reaktion auf echte Bedrohungen, während Fehlalarme herausgefiltert werden.