Sophos MDR: Was übernimmt Sophos, was bleibt beim Kunden?

Um drei Uhr morgens beginnt ein Angreifer, sich im Firmennetz auszubreiten. Die Schutzsoftware meldet verdächtige Aktivitäten. Doch wer untersucht die Meldung, entscheidet über die Isolation eines Servers und informiert die zuständigen Personen?

Sophos MDR stellt dafür rund um die Uhr ein Analystenteam bereit. Managed Detection and Response umfasst Erkennung, Untersuchung und vereinbarte Reaktionsleistungen. Das entlastet die eigene IT. Es ersetzt aber weder deren Betriebsverantwortung noch die Vorbereitung auf einen Vorfall.

Dieser ursprünglich 2022 veröffentlichte Beitrag wurde für den heutigen Service überarbeitet. Die damalige Umstellung von MTR auf MDR bleibt als historische Einordnung relevant. Die früheren Paketübersichten sind jedoch keine aktuelle Bestellgrundlage, weil Sophos seither Produktnamen und Lizenzumfang verändert hat. Damals war beispielsweise von «MDR Complete» die Rede; die heutige Dokumentation unterscheidet «MDR» und «MDR Plus». Aus dem alten Paketnamen allein lässt sich der aktuell zugesicherte Reaktionsumfang deshalb nicht ableiten.

Auch die Lizenzierung der Drittanbieter-Integrationen hat sich geändert. Sophos hat die zuvor separat angebotenen Integration Packs für Laufzeitlizenzen ab November 2025 und für MSP Flex ab Ende Januar 2026 in die MDR- und XDR-Abonnements aufgenommen. Eine alte Übersicht kann solche Integrationen daher noch als kostenpflichtige Ergänzung ausweisen, obwohl diese zusätzliche Sophos-Lizenz inzwischen entfällt. Für eine heutige Bestellung müssen die aktuelle Leistungsbeschreibung, enthaltene Integrationen und der vereinbarte Reaktionsumfang geprüft werden.

Was übernimmt Sophos konkret?

Die Analysten bewerten die verfügbaren Sicherheitsmeldungen, untersuchen verdächtige Zusammenhänge und bearbeiten daraus entstehende Vorfälle. Dafür nutzen sie die Telemetrie der angebundenen Systeme. Die Verwaltung erfolgt in Sophos Fusion, ehemals Sophos Central.

Je nach gebuchter Leistung und erteilter Befugnis kann das Team beispielsweise einen erreichbaren Computer isolieren, einen schädlichen Prozess beenden oder über eine eingerichtete Microsoft-365-Response-Integration eine Anmeldung blockieren und Sitzungen widerrufen. Das sind konkrete Eingriffe. Dafür müssen die jeweilige Funktion, der technische Zugriff und die Berechtigung vorhanden sein.

Ein wichtiges Detail steckt im Serviceumfang: Beim Reaktionsumfang muss man zwischen Eindämmung und vollständiger Neutralisierung unterscheiden. Vollständige Neutralisierung gehört zum Leistungsumfang von MDR Plus. Ein allgemeines Versprechen wie «MDR erledigt jeden Vorfall vollständig» ist deshalb keine brauchbare Leistungsbeschreibung. Massgebend ist der bestellte Service.

Darf Sophos sofort handeln?

Das Unternehmen legt einen Reaktionsmodus fest. Diese Entscheidung sollte vor dem ersten Vorfall getroffen werden, denn eine dringende Warnmeldung schafft noch keine Handlungsbefugnis.

Bei Collaborate lässt sich zusätzlich erlauben, nach erfolglosen telefonischen Kontaktversuchen bei allen hinterlegten Ansprechpartnern in Authorize zu wechseln. Diese Option muss ausdrücklich aktiviert sein. Ohne sie darf das Team aus fehlender Erreichbarkeit keine Zustimmung ableiten.

Die Einrichtung von MDR-Kontakten und Threat Response erklärt die Einstellungen. Mindestens ein autorisierter Hauptkontakt ist erforderlich. Weitere Kontakte sind sinnvoll, damit Ferien, Krankheit oder eine einzelne ausgeschaltete Telefonnummer den Ablauf nicht unterbrechen. Eine eingetragene Nummer ersetzt allerdings keine intern organisierte Erreichbarkeit.

Drittanbieter: Daten sehen ist nicht dasselbe wie eingreifen

MDR kann auch Sicherheitsdaten anderer Hersteller einbeziehen. Bestehende Produkte müssen deshalb nicht pauschal durch Sophos ersetzt werden. Welche Daten eine Integration liefert und welche Reaktionen sie ermöglicht, muss für das konkrete Produkt geprüft werden. Die Anleitung zu MDR-/XDR-Integrationen hilft bei der Einrichtung und Kontrolle.

Ein reiner Datenconnector kann Warnungen liefern, ohne Konten sperren oder Geräte isolieren zu können. Eine Response-Integration benötigt eigene Berechtigungen. Auch eine Firewall, die Ereignisse sendet, ist damit noch nicht für jede Reaktionsaktion vorbereitet. Auf Endpoints können Agent, Richtlinien und Live Response darüber entscheiden, welche Untersuchungen und Eingriffe möglich sind.

Ein typisches Beispiel ist ein kompromittiertes Microsoft-365-Konto: Angemeldete Sitzungen widerrufen und weitere Anmeldungen blockieren kann die unmittelbare Nutzung unterbrechen. Damit sind aber noch nicht alle möglichen Folgen geklärt. Manipulierte Weiterleitungsregeln, betroffene Geschäftsvorgänge, weitere Zugänge und die sichere Wiederfreigabe müssen im Vorfall gezielt geprüft und zugeordnet werden. Welche Schritte Sophos ausführen kann, hängt auch hier von Integration und Serviceumfang ab.

Was bleibt beim Kunden oder IT-Partner?

Die eigene IT betreibt weiterhin die Infrastruktur. Dazu gehören Updates, sichere Konfigurationen, Benutzerverwaltung, funktionierende Backups und die Wiederherstellung von Anwendungen. MDR macht einen ungepatchten Server nicht dauerhaft sicher und stellt keine verschlüsselten Geschäftsdaten aus einer Sicherung wieder her.

Ebenso bleiben geschäftliche Entscheidungen beim Unternehmen: Welche Systeme dürfen vorübergehend ausfallen? Wer informiert Geschäftsleitung, Kunden oder Versicherung? Wer beurteilt Meldepflichten und beauftragt erforderliche externe Unterstützung? Solche Aufgaben müssen im Notfallplan benannt sein. Der MDR-Vertrag allein verteilt sie nicht auf interne Personen.

Auch nach der Eindämmung gibt es Arbeit. Die Ursache muss beseitigt, ein betroffener Zugang sauber wiederhergestellt und eine empfohlene Konfigurationsänderung umgesetzt werden. Ein Bericht ist erst dann betrieblicher Fortschritt, wenn jemand die offenen Aufgaben übernimmt und deren Abschluss kontrolliert.

Deshalb sollte für jede kritische Umgebung eine kurze Zuständigkeitsliste existieren: Was darf Sophos selbst tun, was erledigt der IT-Partner, und wer entscheidet im Unternehmen? Besonders bei produktionskritischen Servern müssen die Folgen einer Isolation vorab besprochen werden.

Was kostet MDR, und was gehört ins Angebot?

Ein belastbarer Gesamtpreis braucht Benutzer- und Serverzahlen, Laufzeit, den gewünschten Reaktionsumfang und die berücksichtigten Systeme. Hinzu kommen Einrichtung und die Aufgaben des eigenen IT-Partners. Ein billigerer Lizenzpreis kann wenig aussagen, wenn die erforderlichen Integrationen und die Notfallbereitschaft fehlen.

In unserer Sophos-Fusion-Produktübersicht sind die aktuellen Varianten verlinkt: Sophos MDR User und Sophos MDR Server sowie Sophos MDR Plus User und Sophos MDR Plus Server. Die Auswahl richtet sich nach den zu lizenzierenden Benutzern und Servern sowie dem benötigten Reaktionsumfang. Für die Bestellung zählt die aktuelle Leistungsbeschreibung der jeweiligen Variante.

Für die unterstützten Drittanbieter-Integrationen fallen gemäss der angekündigten Lizenzumstellung keine zusätzlichen Sophos-Integration-Pack-Gebühren mehr an. Die Anbindungen sind im MDR-/XDR-Abonnement enthalten. Das angebundene Fremdprodukt und dessen gegebenenfalls kostenpflichtiger API-Zugriff müssen weiterhin passend lizenziert sein.

Sophos Network Detection and Response (NDR) bleibt dagegen eine separat kostenpflichtige Zusatzlösung. NDR untersucht mit eigenen Sensoren den gespiegelten Netzwerkverkehr und liefert daraus zusätzliche Erkennungen für MDR/XDR. Die enthaltene Anbindung an MDR/XDR ersetzt diese NDR-Produktlizenz nicht. Auch zusätzliche Datenaufbewahrung ist von den abgeschafften Integration Packs zu unterscheiden und kann eine eigene Lizenz erfordern.

Woran erkennt man eine betriebsbereite MDR-Umgebung?

Nach dem Kauf reicht es nicht, dass die Lizenz im Portal erscheint. Die überwachten Geräte müssen vollständig erfasst sein, die vorgesehenen Datenquellen aktuelle Ereignisse liefern und die Reaktionszugänge funktionieren. Der gewählte Modus muss zum vereinbarten Notfallablauf passen.

Für die Abnahme sollte man gemeinsam mit dem Dienstleister Kontaktwege und Zuständigkeiten durchgehen, den Zustand der Integrationen prüfen und einen abgestimmten, ungefährlichen Funktionstest vereinbaren. Das Ergebnis muss zeigen, wer eine Meldung erhält und welche Reaktion technisch sowie organisatorisch möglich ist. Ein solcher Test benötigt keine absichtlich gestartete Schadsoftware.

Ich würde MDR danach beurteilen, ob im Ernstfall eine erreichbare, handlungsfähige Kette entsteht. Ein Analystenteam, ein funktionierender technischer Zugriff und eine klare Freigabe müssen zusammenkommen. Fehlt eines davon, bleibt auch mit einer guten Lizenz eine entscheidende Lücke.

Häufige Fragen