Sophos Endpoint, EDR, XDR oder MDR: welches Modell passt?
Die Auswahl beginnt mit zwei Fragen: Welche Systeme und Datenquellen sollen geschützt beziehungsweise untersucht werden, und wer übernimmt die Reaktion auf einen Vorfall? Sophos Endpoint, EDR und XDR sind unterschiedliche technische Angebote. MDR und MDR Plus ergänzen beziehungsweise organisieren die Arbeit eines beauftragten Sicherheitsteams. Ein höher klingender Name allein legt weder den installierten Agent Mode noch die konkreten Handlungsbefugnisse fest.
Diese Entscheidungshilfe verwendet die aktuellen Bezeichnungen mit Prüfstand 27. Oktober 2026. Für eine Bestellung zählen der genaue License Schedule, Plattform, Menge und Serviceumfang. Alte Artikel zu Intercept X, MDR Essentials oder MDR Complete werden nicht unverändert als aktuelle Angebotsmatrix verwendet.
Die fünf Angebote nach Aufgabe unterscheiden
| Angebot | Schwerpunkt | Was organisatorisch zu klären bleibt |
|---|---|---|
| Sophos Endpoint | Schutz und Kontrolle auf unterstützten Endpoints, etwa gegen Malware, Ransomware und Exploits | Wer bearbeitet Alerts, prüft den Betrieb und reagiert auf einen Verdacht? |
| Sophos EDR | Endpoint-Schutz plus Werkzeuge für Erkennung, Untersuchung, Threat Hunting und Response | Gibt es Personen, Zeit und Erfahrung für die Untersuchung und autorisierte Eingriffe? |
| Sophos XDR | Erweitert die EDR-Untersuchung auf Daten aus mehreren Teilen der IT-Umgebung und angebundenen Produkten | Welche Quellen liefern tatsächlich Daten, und welche Response-Integrationen sind gesondert eingerichtet? |
| Sophos MDR | Von Sophos betriebenes Monitoring, Untersuchung und Eindämmung im vereinbarten Serviceumfang | Wer führt kundenseitige Neutralisierung und nicht abgedeckte Aufgaben aus? |
| Sophos MDR Plus | MDR mit vollständiger Incident Response im vereinbarten Umfang | Welche Zugriffe, Kontakte, Befugnisse und lokalen Mitwirkungsaufgaben sind vorbereitet? |
Sophos EDR enthält Sophos Endpoint. XDR erweitert diesen Ansatz um produktübergreifende Sicht und Untersuchungswerkzeuge. Das bedeutet nicht, dass mit einer XDR-Lizenz automatisch jedes Quellprodukt, jede Integration oder jedes separat angebotene Add-on erworben wird.
MDR ist dagegen keine blosse zusätzliche Analyse-Schaltfläche. Der Service benötigt betriebsbereite Datenquellen und eine vereinbarte Reaktionsbefugnis. Die aktuelle MDR-Hilfe grenzt die Stufen so ab: Bei MDR arbeitet das Team an der Eindämmung und gibt Anleitung zur Neutralisierung; die vollständige Incident Response gehört zu MDR Plus. Daraus folgt keine garantierte Lösungszeit und keine Zusage, dass Sophos jede Änderung an jedem Drittsystem selbst ausführt.
Nach Untersuchungskapazität entscheiden
Endpoint ist der Ausgangspunkt, wenn die Organisation vor allem verwalteten Geräteschutz benötigt. Auch dann müssen Alerts und Schutzlücken bearbeitet werden. Automatische Prävention ist kein Ersatz für einen erreichbaren Verantwortlichen.
EDR ist sinnvoll, wenn ein eigenes Team verdächtige Aktivitäten auf den Geräten untersuchen und darauf reagieren kann. Vor der Bestellung sollte dieses Team einen tatsächlichen Arbeitsablauf benennen können: Detection prüfen, Gerät und Zeitraum eingrenzen, Telemetrie abfragen, einen Eingriff freigeben und dessen Ergebnis dokumentieren. Den technischen Einstieg bilden Live Discover und Data-Lake-Abfragen sowie Isolation und Live Response.
XDR ist sinnvoll, wenn die Untersuchung mehrere Quellen zusammenführen soll. Beispielsweise kann ein Team Endpoint-Aktivität mit Firewall- oder Identitätsereignissen vergleichen. Vorher müssen Quelle, Lizenz, Datenqualität und Rechte geklärt sein. Eine angebundene Datenquelle erlaubt noch keine Schreibaktion im Quellsystem; dafür gelten die getrennten Data-Ingest- und Response-Integrationen.
MDR oder MDR Plus ist zu prüfen, wenn interne Kapazität oder eine kontinuierliche Überwachung fehlen. Der entscheidende Vergleich lautet nicht nur «mehr Funktionen», sondern «welche Aufgaben übernimmt Sophos, welche bleiben bei uns und wer kann ausserhalb der Bürozeit entscheiden?». Kontakte und die Modi Authorize, Collaborate oder Notify Only werden im MDR-Setup bewusst vorbereitet. Ein Vertrag allein macht diesen Prozess nicht einsatzbereit.
Lizenzname und Agent Mode getrennt prüfen
Die Softwarezuweisung kennt die Modi Endpoint, XDR und XDR Sensor. Diese Anzeige ist keine vollständige Liste kaufbarer Produkte. Insbesondere liefert XDR Sensor keinen Malware-Schutz; er benötigt einen separat funktionsfähigen Schutz. Ein Moduswechsel kann vorhandenen Drittanbieter-Schutz beeinflussen oder entfernen und gehört zuerst in einen kontrollierten Pilot.
Für MDR-Sensoren bestehen zudem dokumentierte Unterschiede zwischen älteren Installationsbezeichnungen und aktuellen Service-Namen. Daraus wird keine pauschale Sensorberechtigung jeder MDR-Stufe abgeleitet. Den konkreten Plattform-, Vertrags- und Installationsweg klärt man vor einer Zuweisung; die Einzelheiten stehen unter Agent Mode und Software verwalten.
Server zählen nicht einfach als zusätzliche Arbeitsplatzgeräte. Windows- und Linux-Server benötigen die passende Serverberechtigung und Plattformprüfung. Auch Legacy-Systeme werden nicht allein durch einen höherwertigen Produktnamen wieder vollständig unterstützt; dafür gilt die Lifecycle- und Extended-Support-Prüfung.
Add-ons nur nach konkretem Bedarf ergänzen
Next-Gen SIEM ergänzt den berechtigten XDR-/MDR-Betrieb um seinen gesonderten SIEM-Umfang; eine bestehende XDR- oder MDR-Lizenz aktiviert das Add-on nicht automatisch. AI Defense behandelt die Erkennung und Kontrolle von KI-Nutzung und ist vom AI Assistant für Untersuchungen zu unterscheiden. Workspace Protection bündelt Browser, ZTNA, Endpoint DNS und Email Monitoring, ersetzt aber keine separat benötigte Endpoint-Berechtigung.
Für jeden Zusatz hält man fest, welche Aufgabe er löst, welche Daten und Geräte betroffen sind und wer ihn betreibt. So entsteht keine Bestellung aus Namensähnlichkeiten oder einer Produktkachel.
Die Entscheidung vor dem Rollout abnehmen
Für eine nachvollziehbare Auswahl genügen fünf dokumentierte Ergebnisse: betroffene Benutzer und Server, bestätigte Lizenzpositionen, vorgesehener Agent Mode mit Schutzprodukt, tatsächlich verfügbare Datenquellen und ein erreichbarer Untersuchungs-/Response-Verantwortlicher. Bei MDR kommen Servicelevel, Kontakte und freigegebener Response-Modus hinzu.
Danach wird ein repräsentativer Pilot nach dem Endpoint-Onboarding-Pfad abgenommen. Eine sichtbare Lizenz oder installierte Komponente ersetzt weder den Schutztest noch den organisatorischen Bereitschaftsnachweis.