Was passiert, wenn Angreifer Dein EDR abschalten – und merkt es jemand?
EDR-Killer sind vom Einzelwerkzeug zur gewarteten Dienstleistung geworden. Für Unternehmen, die unter NIS2 fallen, ist das keine reine Technikfrage, sondern eine Frage von Wirksamkeitsnachweis und Verantwortung.
In rund 48 Prozent der Ransomware-Einbrüche des Jahres 2024 haben Angreifer laut Auswertung von SentinelOne versucht, Sicherheitswerkzeuge auszuschalten (Herstellerangabe, Blogbeitrag vom 13.10.2026). Das Muster dahinter ist längst kein Handwerk mehr, sondern ein Geschäftsmodell: ESET beschreibt im Juni 2026, wie die Ransomware-Gruppe Gentlemen ihren Partnern ein fertiges Framework an die Hand gibt, das mehr als 400 Prozesse von 48 Sicherheitsprodukten anspricht – von Microsoft Defender über CrowdStrike und Kaspersky bis SentinelOne. Wer Endpoint Security nur als Haken auf der Checkliste führt, übersieht, wohin sich die Angriffe verlagern: zuerst auf den Wächter selbst.
Kurz gesagt: Ein EDR ist ein Sensor, kein Schutzschild. Entscheidend ist, dass Dir auffällt, wenn er verstummt – und dass Du seine Wirksamkeit belegen kannst.
Was ist BYOVD – und warum ist daraus eine Industrie geworden?
Vom einzelnen Angriffswerkzeug zum verfügbaren Geschäftsmodell
„Bring Your Own Vulnerable Driver“ (BYOVD) bezeichnet den Missbrauch eines legitim signierten, aber verwundbaren Treibers, um im Windows-Kernel Rechte zu erlangen und Sicherheitssoftware zu beenden oder zu blenden. Da der Treiber gültig signiert ist, lässt ihn Windows zunächst laden. Neu ist nicht die Technik, sondern ihre Verfügbarkeit: Aus selbstgebauten Einzelwerkzeugen sind versionierte Fähigkeiten geworden, die Ransomware-Gruppen ihren Partnern bereitstellen – ohne dass diese Kernel-Know-how brauchen.
-
2022/2023 – Open-Source-Werkzeuge wie EDRSandblast und kommerziell verkaufte „Killer“ (laut SentinelOne ab ca. 300 bis 15.000 US-Dollar) senken die Einstiegshürde.
-
2024 – Dieselben Werkzeuge tauchen bei mehreren Ransomware-Gruppen auf; EDR-Killer werden über Partnermodelle verteilt.
-
2025/2026 – Gruppen wie Gentlemen pflegen eigene Frameworks (ESET, 18.06.2026) und übernehmen neu bekannt gewordene Treiber-Schwachstellen innerhalb weniger Tage.
Warum reicht es nicht, verwundbare Treiber zu blocken?
Blocklisten und Schutzmechanismen als wichtige Basis mit Grenzen
Microsoft pflegt eine Vulnerable-Driver-Blocklist, die seit Windows 11 2022 standardmäßig aktiv ist und auch mit Speicherintegrität (HVCI) durchgesetzt wird. Sie wird quartalsweise aktualisiert und über die monatlichen Windows-Updates verteilt. Microsoft weist selbst darauf hin, dass sie „nicht garantiert jeden Treiber mit bekannten Schwachstellen“ blockt, weil Kompatibilität gegen Sicherheit abgewogen wird. Die ASR-Regel (Attack surface reduction) gegen den Missbrauch verwundbarer Treiber verhindert zudem nur das Schreiben auf die Festplatte, nicht das Laden bereits vorhandener Treiber. SentinelOne beziffert die Lücke für den LOLDrivers-Katalog (Stand 19.06.2026) auf rund 36 Prozent nicht geblockter Treiber (Herstellerangabe, nicht unabhängig geprüft).
Konsequenz: Blocklist, HVCI und ASR sind notwendige Hygiene – aber kein Beweis, dass ein Angriff auf Deinen Endpoint-Schutz scheitern würde.
So läuft ein typischer EDR-Kill ab (vereinfacht)
Was bedeutet das für NIS2 und die Geschäftsleitung?
Wirksamkeit statt reiner Installation als entscheidender Nachweis
Nach § 30 Abs. 1 BSIG müssen Einrichtungen „geeignete, verhältnismäßige und wirksame“ Maßnahmen ergreifen; § 30 Abs. 2 Nr. 6 BSIG verlangt ausdrücklich Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen. § 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen umzusetzen und zu überwachen. Wer auf Nachfrage nur sagen kann „Das EDR ist ausgerollt“, hat Installation nachgewiesen, aber keine Wirksamkeit.
Einordnung (Interpretation, keine Rechtsberatung): Ein EDR, das ohne Alarm ausfallen kann, ist für den Nachweis der Wirksamkeit ein schwaches Glied. Der Nachweis lautet nicht „Agent installiert“, sondern „Ausfall wird erkannt, eskaliert und regelmäßig getestet“.
Unsere Perspektive: Der Wächter braucht einen Wächter
Endpoint Security als Zusammenspiel aus Schutz, Überwachung und Kontrolle
Die entscheidende Frage ist nicht, ob Dein EDR einen Angriff erkennt, sondern ob Du merkst, wenn es das nicht mehr tut.
Aus unserer Erfahrung im Austausch mit Partnern und Kunden wird Endpoint Security häufig als Produkt betrachtet, das man einführt – und nicht als Prozess, den man betreibt. Sicherheit entsteht aber aus drei Bausteinen: Manipulation erschweren (Manipulationsschutz, HVCI, Blocklist), Ausfall erkennen (Health-Monitoring, unabhängige Telemetrie aus Identität, Netzwerk und Cloud) und Wirksamkeit nachweisen (regelmäßige Tests, dokumentierte Zuständigkeit). Dieser Beitrag gilt herstellerübergreifend – die genannten Werkzeuge adressieren laut ESET auch SentinelOne.
Was solltest Du jetzt tun?
Sieben konkrete Maßnahmen für eine widerstandsfähigere Endpoint Security
Checkliste in sieben Schritten
-
Verstummen alarmieren: Richte Alarme für ausbleibende Agent-Heartbeats und abbrechende Telemetrie ein – mit klarer Zuständigkeit auch nachts und am Wochenende.
-
Manipulationsschutz prüfen: Stelle sicher, dass Tamper Protection aktiv ist und Agent-Upgrades nur autorisiert möglich sind.
-
Kernel härten: Aktiviere Speicherintegrität (HVCI), prüfe die Microsoft Vulnerable Driver Blocklist (CodeIntegrity Event 3099) und teste die ASR-Regel im Audit-Modus.
-
Änderungsfenster definieren: Lege fest, wann Agent-Updates legitim sind, damit Abweichungen auffallen.
-
Unabhängig messen: Nutze Identitäts-, Netzwerk- und Cloud-Telemetrie als zweite Sicht, die nicht vom Endpoint-Agenten abhängt.
-
Wirksamkeit testen: Simuliere EDR-Umgehungen in einem kontrollierten Test und dokumentiere das Ergebnis als NIS2-Wirksamkeitsnachweis.
-
Verträge klären: Prüfe, was Dein SOC- oder MDR-Dienstleister bei Telemetrie-Ausfall tatsächlich zusagt.
Fazit
Entscheidend ist, den Ausfall der eigenen Schutzmechanismen rechtzeitig zu erkennen
EDR-Killer verschieben die Frage von „Haben wir ein EDR?“ zu „Merken wir, wenn es nicht mehr funktioniert?“. Unternehmen, die das beantworten können, erfüllen nicht nur die Erwartung von NIS2, sondern verkürzen im Ernstfall die Zeit bis zur Reaktion. Das bluecue-Team unterstützt Dich dabei, die Wirksamkeit Deiner Endpoint-Security zu prüfen – mehr zu unseren Endpoint- und Cloud-Security-Lösungen – und berät Dich zu den Anforderungen aus NIS2, DORA und Cyber Resilience Act. Vereinbare gern ein Beratungsgespräch.
bluecue ist kununu Top Company 202723. Oktober 2026 - 14:54
Die neuen Kollegen sind da: KI-Agenten im Mittelstand23. Oktober 2026 - 14:07
Gemeinsam Zukunft gestalten: bluecue auf der CIM Lingen10. September 2026 - 09:21
AOK Firmenlauf 2026 – Mit Dackeln, Corgis und Teamgeist durch Bielefeld31. August 2026 - 10:28
bluecue consulting GmbH & Co. KGWeitere Beiträge zu KI, Verordnungen und Cybersecurity
In unserem Blog geben wir Dir regelmäßige Updates zu relevanten Themen der Branche
Die neuen Kollegen sind da: KI-Agenten im Mittelstand
Was können KI-Agenten heute schon leisten und wie verändert…
Algorithmic Management: KI-Führung im Mittelstand
Am 14. Oktober hat die EU-Kommission die Ergebnisse eines…
Workslop: Warum KI Produktivität kostet statt spart
Ein Bericht, der auf den ersten Blick vollständig wirkt…
Wer steckt hinter bluecue?
Eine Vielzahl aus Experten unterschiedlicher Fachbereiche. Darunter unter anderem:
Dr. Inga Knoche
Director Business Development & Strategic Partnerships
Autorin, Speakerin, Strategieberaterin
Dr. Inga Knoche ist leidenschaftliche Netzwerkerin und kreative Visionärin mit Hirn und Herz. Seit vielen Jahren ist sie fokussiert auf das Themenfeld „Organizational Behavior“ und insbesondere das Verständnis menschlicher Interaktion innerhalb der Wertschöpfung eines Unternehmens. Mit dem Themenfeld „Der Mensch in der digitalen Transformation“ ist sie als Autorin und Sprecherin auf zahlreichen Veranstaltungen auf oder vor der Bühne gern gesehene Expertin, die sich mit viel Charme und guten Argumenten Gehör verschafft [….]
Torben Schönrock
Managing Consultant
Projektmanager, Infrastrukturstratege, Security Experte, SentinelOne Paladin
Torben Schönrock ist Managing Consultant bei bluecue consulting GmbH & Co. KG und ausgewiesener IT-Spezialist mit langjähriger Erfahrung. Als SentinelOne Paladin verfügt er über höchste Expertise im Bereich Cybersecurity und engagiert sich mit großem Einsatz für die Sicherheit von Kundeninfrastrukturen. Seine fundierte Fachkenntnis, strategische Kompetenz und praxisnahe Herangehensweise machen ihn zu einem geschätzten Experten und Ansprechpartner [….]
Nico Lüdemann
Geschäftsführender Gesellschafter bei bluecue consulting
Autor, Beirat, Strategieberater, Speaker
Nico Lüdemann ist Strategieberater, Beirat, Autor und Referent für digitalen Wandel, Leadership sowie zukunftsfähige IT-Strategien.
Seit 1994 ist er in unterschiedlichen führenden Funktionen in der IT tätig. Im Jahr 2013 übernahm er die Rolle des geschäftsführenden Gesellschafters der bluecue consulting GmbH & Co. KG mit Sitz in Bielefeld. Er ist Mitglied im Bundeswirtschaftssenat und wurde als Wirtschaftssenator h.c. ausgezeichnet. [….]
…und viele mehr
Strategen, Berater, Datenexperten, Entwickler und kreative Köpfe
Hinter den Gesichtern auf dieser Seite steht ein interdisziplinäres Team aus Strategen, Beratern, Datenexperten, Entwicklern und kreativen Köpfen. Gemeinsam verbinden wir Fachwissen mit Praxiserfahrung, um Veränderungen erfolgreich zu gestalten. Jeder von uns bringt eigene Perspektiven, Erfahrungen und Stärken mit. Erst im Zusammenspiel entsteht die Vielfalt an Kompetenzen, mit der wir unsere Kunden bei ihren wichtigsten Herausforderungen begleiten.