MITRE-EDR-Test: 100 Prozent sind kein Freifahrtschein
Drei große Hersteller blieben 2025 dem MITRE-ATT&CK-Enterprise-Lauf fern. Wer den Bericht wie eine Rangliste liest, kauft an der falschen Stelle. Der Test liefert Sichtbarkeit und Timing als Input für den Einkauf.
Das Wichtigste in Kürze
- Teilnehmer ≠ Markt. Microsoft, SentinelOne und Palo Alto Networks zogen sich 2025 aus dem Enterprise-Lauf zurück. Fehlende Zeilen bleiben eine Informationslücke und ersetzen keine Qualitätsprüfung.
- 100 Prozent ist erklärungsbedürftig. CrowdStrike und Cynet melden vollständige Detection und Protection. Entscheidend bleibt, ob die gemessene Konfiguration der eigenen Umgebung entspricht.
- False Positives zählen mit. Null Fehlalarme im Lab lassen sich nicht 1:1 auf den SOC-Alltag übertragen. Die Auswertung trennt legitime Sub-Steps von Malware-Schritten.
- Einkauf braucht zweite Quelle. MITRE liefert ATT&CK-Abdeckung. AV-TEST, SE Labs und eigene Purple-Team-Läufe ergänzen Protection- und Betriebskosten.
Verwandt: WithSecure: B2B-Security nach der F-Secure-Trennung · Adaptive MFA: Warum Standardregeln brechen
Was ist die MITRE ATT&CK Enterprise Evaluation? Die Evaluation ist ein herstellerübergreifender Laborlauf, in dem Endpoint- und XDR-Plattformen gegen dokumentierte Angriffsschritte aus dem ATT&CK-Framework getestet werden. Gemessen werden Erkennung, Timing, Konfigurationsaufwand und Fehlalarme. Listenpreis und DACH-Compliance-Tauglichkeit bleiben außerhalb des Lab-Scopes.
Was der 2025-Lauf wirklich gemessen hat
MITRE hat die Ergebnisse für Enterprise 2025 veröffentlicht. Laut SecurityWeek und dem offiziellen Ergebniskatalog nahmen unter anderem Acronis, AhnLab, CrowdStrike, Cyberani, Cybereason, Cynet, ESET, Sophos, Trend Micro, WatchGuard und WithSecure teil. Das Feld ist kleiner und anders zusammengesetzt als in Jahren mit voller Big-Vendor-Präsenz.
CrowdStrike beschreibt in eigenen Mitteilungen 100 Prozent Detection, 100 Prozent Protection und null Detection-False-Positives im 2025-Lauf. Cynet positioniert sich mit 100 Prozent Detection Visibility und Protection ohne Konfigurationsänderungen. Solche Zahlen sind belastbar nur im Kontext der veröffentlichten Sub-Steps und der genutzten Protections-Profile.
Microsoft begründete den Rückzug mit Fokus auf die Secure Future Initiative. SentinelOne und Palo Alto Networks folgten mit ähnlichen Ressourcen-Argumenten. Infosecurity Magazine und National CIO Review haben den Ausstieg 2025 dokumentiert. Für Einkäufer heißt das: der Report ist ein Slice der Teilnehmer und beschreibt den Gesamtmarkt nur teilweise.
Lab-Hinweis
11 Teilnehmer 2025 – ohne Microsoft, SentinelOne und Palo Alto
Quelle: SecurityWeek-Zusammenfassung der MITRE Enterprise-Ergebnisse 2025
So liest man Detection, Protection und Noise
Detection Visibility beantwortet, ob ein Angriffsschritt sichtbar wurde. Protection beantwortet, ob er gestoppt wurde. Delay zeigt, ob die Meldung live oder verzögert kam. False Positives zeigen, wie oft harmlose Schritte als bösartig markiert wurden.
Ein Produkt mit 100 Prozent Detection und vielen verzögerten Alerts ist operativ anders als ein Produkt mit Echtzeit-Sicht. Ein Produkt mit starker Protection im Lab kann in der eigenen Image-Baseline anders greifen, wenn Exploit Guard, ASR-Regeln oder Kernel-Sensoren abweichen.
Praxisregel für die Auswertung: zuerst die Angriffsgruppe und die Plattform des Labors notieren, dann die eigene Telemetrie-Abdeckung (Windows-Anteil, Linux-Server, Identity) dagegenhalten. Erst danach die Marketingfolien mit der Ergebnistabelle abgleichen.
| Signal im Report | Was es bedeutet | Was offen bleibt |
|---|---|---|
| 100 % Detection | Lab-Schritte wurden erkannt | Keine Blindspots in dem eigenen Stack |
| 100 % Protection | Schritte wurden blockiert | Die Default-Policy greift so |
| 0 Detection-FP | Keine Fehlalarme auf Test-Benign | Ruhe im echten SOC |
| Vendor missing | Kein Lab-Vergleich 2025 | PoC und Zweitquellen nötig |
Einkaufscheck für DACH-Mittelstand
MITRE ist ein starkes Signal für Detection-Engineering. Es ersetzt weder AV-Comparatives/AV-TEST für Malware-Protection noch eine eigene Proof-of-Concept-Woche. Für NIS2-relevante Betreiber zählt zusätzlich, ob Logging, Rollen und Incident-Nachweise mit den internen Prozessen zusammenpassen.
Empfohlene Reihenfolge im Selection-Board: (1) Angriffsflächen-Mapping der eigenen Umgebung, (2) MITRE-Tabelle nur für Teilnehmer und ähnliche OS-Mixes, (3) unabhängige Protection-Labs, (4) 10-Tage-PoC mit Purple-Team-Skript und messbaren False-Positive-Budgets, (5) Exit-Kriterien vor Vertragsunterschrift.
Wer nur die 100-Prozent-Folie übernimmt, kauft Reputation. Wer Sub-Steps, Konfigurationsaufwand und PoC-Noise misst, kauft Entscheidungsfähigkeit.
Stärken des Lab-Ansatzes
- Vergleichbare ATT&CK-Schritte
- Transparente Ergebnistabellen
- Nützlich für Detection-Coverage
Grenzen
- Unvollständiges Teilnehmerfeld 2025
- Keine DACH-Preis- und Support-Aussage
- Konfig ≠ die Production-Policy
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Ersetzt der MITRE-Lauf einen PoC im eigenen Netz?
Nein. Der Lauf liefert standardisierte ATT&CK-Schritte im Labor. PoCs messen Integration, Noise und Betrieb in der eigenen Baseline. Beides gehört parallel in die Akte.
Sind Hersteller ohne 2025-Teilnahme abzuschreiben?
Nein. Microsoft, SentinelOne und Palo Alto Networks haben den Rückzug öffentlich begründet. Für die Bewertung zählen Vorjahresläufe, andere Labs und der eigene PoC. Fehlende Zeilen sind Informationslücken und begründen allein noch keine Disqualifikation.
Welche Kennzahl ist für das SOC am wichtigsten?
Für Analysten oft Detection Visibility plus Delay. Für Incident Response zusätzlich Protection. False Positives begrenzen, wie viel Coverage im Alltag wirklich nutzbar bleibt.
Wie fließt das in NIS2-Nachweise ein?
Als Teil der dokumentierten Auswahlbegründung und der Risikoanalyse. Der Lab-Report allein erfüllt keine Nachweispflicht. Er stützt die Argumentation, warum Detection- und Response-Fähigkeiten als angemessen gelten.
Welche Zweitquellen sind sinnvoll?
Unabhängige Protection-Tests (AV-TEST, AV-Comparatives, SE Labs), Vendor-Transparenzberichte und ein internes Purple-Team-Skript mit festen Erfolgskriterien. Für den Mittelstand reicht oft ein schlanker, wiederholbarer 10-Tage-Lauf.
Lesetipps der Redaktion
LesetippAdaptive MFA: Warum Standardregeln brechenLesetippWithSecure: B2B-Security nach der F-Secure-TrennungLesetippWas ist SOAR? Definition, Playbooks und Abgrenzung
Mehr aus dem MBF Media Netzwerk
cloudmagazinStudie: Mehr Cloud-Budget füllt die Security-Lücke nichtMyBusinessFutureKI im Osten: Warum KMU den Abstand schließen müssenDigital ChiefsKimi stoppt Abos: 7 Checks fürs KI-Capex
Bildquelle: KI-generiert (Juli 2026)
