Vom Virenscanner zu XDR: Migration auf Cortex XDR

Was eine klassische Antiviruslösung sieht und was nicht

Ein signaturbasierter Virenscanner vergleicht Dateien mit bekannter Schadsoftware. Bewertet wird ein Objekt, nicht ein Ablauf. Das reicht gegen Massen-Malware, gegen einen gezielten Angriff nicht.

Ein typischer Verlauf: Ein Mitarbeiter der Buchhaltung öffnet eine vermeintliche Rechnung. Ein Makro startet eine kodierte PowerShell-Zeile, die ein Skript aus dem Internet nachlädt und im Speicher ausführt, ohne eine Datei auf die Festplatte zu schreiben. Das Skript liest Anmeldedaten aus, durchsucht Netzwerkfreigaben und richtet einen geplanten Task ein, der nach dem nächsten Neustart wieder Kontakt zum Angreifer aufnimmt.

Jeder Schritt nutzt Bordmittel von Windows: winword.exe, powershell.exe, schtasks.exe, net.exe. Der Virenscanner hat nichts zu melden, weil es keine verdächtige Datei gibt.

Wird der Angriff Tage später sichtbar, kann die Antiviruslösung weder sagen, welcher Rechner der erste war, noch welche Konten und Daten betroffen sind. Sie protokolliert Treffer, keine Abläufe.

Genau diese Lücke schließt Cortex XDR.

Reicht eine Antiviruslösung im KMU noch aus?

Für ein Unternehmen mit 150 Arbeitsplätzen, Dateiserver und Remote-Zugängen in aller Regel nicht, weil Virenscanner die falsche Frage stellen. Eine EDR- oder XDR-Plattform fragt „Ist dieses Verhalten normal?“ und zeichnet auf, was auf dem Endpunkt passiert, auch wenn zunächst kein Alarm ausgelöst wird.

EDR arbeitet mit Telemetrie vom Endpunkt. XDR führt sie mit weiteren Quellen zusammen: Firewall, Identitätsdienste, Cloud. Im KMU-Projekt beginnt Cortex XDR fast immer am Endpunkt, denn dort liegt der größte Sprung gegenüber dem Status quo.

Visibilität auf dem Endpunkt mit Cortex XDR Pro

Der Cortex XDR Agent ersetzt den bisherigen Virenscanner und bringt Malware-, Exploit- und Ransomware-Schutz, Device Control und Host-Firewall mit. Diese Prävention ist in beiden Lizenzvarianten enthalten, Cortex XDR Prevent und Cortex XDR Pro. Den Unterschied macht die Datensammlung, die nur Pro enthält. Auf sie beziehen sich die folgenden Abschnitte.

Prozessketten statt Einzeltreffer

Der Agent erfasst Prozessstarts, Kommandozeilen, Dateizugriffe, Registry-Änderungen und Netzwerkverbindungen. Cortex XDR fügt diese Datenpunkte laufend zu Causality Chains zusammen, unabhängig davon, ob ein Alarm ausgelöst wurde. Alle Aktionen einer Kette tragen dieselbe ID.

Für das Beispiel oben heißt das: Statt eines leeren Antivirus-Logs liegt eine Kette vor. winword.exe startet powershell.exe mit kodiertem Argument, PowerShell verbindet sich mit einer neu registrierten Domain, startet net.exe zur Abfrage der Domänen-Admins und legt per schtasks.exe einen Task an. Die Causality View zeigt diese Kette grafisch, mit dem verantwortlichen Ausgangsprozess, dem Causality Group Owner, ganz links.

Verhalten erkennen, bevor Schaden entsteht

Behavioral Threat Protection bewertet Prozessketten gegen Regeln für bösartiges Verhalten und beendet eine als bösartig erkannte Kette automatisch. Das Analytics-Modul lernt eine Verhaltens-Baseline der Umgebung und löst einen Alarm aus, wenn Aktivitäten davon abweichen. Eigene BIOC-Regeln ergänzen umgebungsspezifische Muster und lassen sich auch als Präventionsregel einsetzen.

Dass ein Buchhaltungs-Notebook nachts um drei Uhr per SMB auf 40 Rechner im Produktionsnetz zugreift, ist kein Signatur-Treffer, sondern eine Abweichung vom Normalverhalten. Eine Antiviruslösung sieht dabei nichts. Eine XDR-Plattform sieht es.

Reagieren, ohne zum Rechner zu fahren

Cortex XDR isoliert einen kompromittierten Endpunkt auf Knopfdruck vom Netzwerk, er kommuniziert dann nur noch mit der Cortex-Plattform. Über Live Terminal lassen sich Prozesse beenden, Dateien sichern und Befehle ausführen, während der Rechner isoliert bleibt. Die Isolation dauert Sekunden, die Anfahrt zur Außenstelle Stunden.

Auch ohne Vorfall sind die Daten über die Abfragesprache XQL durchsuchbar: Auf welchen Rechnern läuft ein nicht freigegebenes Fernwartungs-Tool? Welche Endpunkte haben letzte Woche eine bestimmte Domain kontaktiert?

Was eine XDR-Plattform kostet und was oft unterschätzt wird

Lizenzkosten. Cortex XDR Pro liegt pro Endpunkt spürbar über einer klassischen Antiviruslösung. Die jährlichen Mehrkosten für 150 Endpunkte bewegen sich aber in einer Größenordnung, die ein einziger Tag Produktionsstillstand nach einem Ransomware-Vorfall in aller Regel übersteigt, Wiederherstellung und Forensik noch nicht eingerechnet.

Wer schaut auf die Alarme? Diesen Punkt müssen wir in Projekten am häufigsten nachschärfen. Ein Case, den niemand bearbeitet, schützt nicht. Vor der Lizenzbestellung muss klar sein, wer werktags die Cases sichtet, wer nachts erreichbar ist und welche Reaktionen automatisch laufen dürfen. Ein eigenes 24/7-SOC braucht ein KMU dafür nicht.

Datenschutz und Betriebsrat. Die Plattform zeichnet Prozesse und Verbindungen benutzerbezogen auf, in Deutschland in aller Regel ein Thema für Betriebsrat und Datenschutzbeauftragten. Der Tenant lässt sich in der Region Deutschland betreiben, alle Logs und erfassten Daten bleiben dann im Land. Die Betriebsvereinbarung sollte vor dem Rollout stehen.

Entwicklungsmöglichkeiten mit Cortex XDR: Prevent, Pro und Mischbetrieb

Cortex XDR lässt sich in Stufen einführen, etwa wenn das Security-Budget jährlich festgelegt wird und den vollen Ausbau nicht in einem Schritt vorsieht. Cortex XDR Prevent enthält die vollständige Prävention auf dem Endpunkt einschließlich verhaltensbasierter Blockierung. Was fehlt, ist die Datensammlung: keine Causality Chains, keine XQL-Suche, keine Analytics. Prevent verhindert viel, erklärt im Nachhinein aber wenig.

Prevent und Pro nutzen denselben Agenten. Das spätere Upgrade auf Pro ist deshalb keine zweite Migration, sondern eine Lizenzänderung im Tenant. Agenten, Profile und Ausnahmen bleiben erhalten.

Auch ein Mischbetrieb ist möglich: Pro für Server, Admin-Arbeitsplätze und exponierte Bereiche wie Geschäftsführung und Buchhaltung, Prevent für die übrigen Arbeitsplätze. Über Agenten-Profile wird festgelegt, wo die Pro-Funktionen aktiv sind. Der Haken: Auf Prevent-Endpunkten entsteht keine Telemetrie. Beginnt ein Angriff dort, fehlt der Anfang der Kette. Mischbetrieb ist deshalb eine Ausbaustufe mit Plan, kein Endzustand.

So läuft die Migration auf Cortex XDR in der Praxis ab

Probleme entstehen meist, wenn alter und neuer Schutz unkoordiniert parallel laufen. Wir migrieren deshalb in getrennten Phasen.

Phase 1: Bestandsaufnahme

Die Liste aus der bisherigen Antivirus-Konsole ist selten vollständig. Wir erstellen das Inventar aus Active Directory, Softwareverteilung und der Server-Dokumentation in NetBox. Dabei fallen regelmäßig Geräte ohne aktuelle Signaturen auf oder Server, auf denen nie ein Virenscanner lief. Parallel erfassen wir Betriebssysteme, Terminalserver und Fachanwendungen wie ERP und Maschinensteuerungen, die später saubere Ausnahmen brauchen.

Phase 2: Tenant und Netzwerkfreigaben

Die Region des Tenants wird bei der Aktivierung festgelegt und steht deshalb am Anfang. Die Agenten benötigen ausgehende Verbindungen zu regionsspezifischen Zielen, die wir vor dem Pilot in Firewall und Proxy freigeben.

Phase 3: Pilot

Der Pilot beginnt in der IT-Abteilung, danach folgt eine kleine Gruppe aus jedem Fachbereich. In eigenen Pilot-Profilen laufen einzelne Schutzmodule zunächst im Modus „Report“ statt „Block“. So zeigen sich Konflikte mit Branchensoftware, Skripten der Softwareverteilung oder Backup-Agenten, bevor sie den Betrieb stören.

Phase 4: Ablösung der bisherigen Antiviruslösung

Zwei aktive Echtzeit-Scanner auf einem Endpunkt sind keine doppelte Sicherheit, sondern eine Quelle für Performance-Probleme und Blue Screens. Die bisherige Lösung wird pro Gerät unmittelbar vor der Installation des Cortex XDR Agent deinstalliert, idealerweise im selben Paket der Softwareverteilung.

Das gilt auch für Microsoft Defender: Ein paralleler Betrieb mit dem Cortex XDR Agent ist nicht empfohlen.

Der Rollout läuft in Wellen von 20 bis 50 Geräten pro Tag, Server zuletzt im Wartungsfenster.

Phase 5: Härtung und Betrieb

Wenn alle Geräte migriert und die Ausnahmen stabil sind, schalten wir die Schutzmodule durchgängig auf „Block“ und aktivieren Manipulationsschutz und Deinstallations-Passwort. Danach folgt Device Control für USB-Datenträger. Für den Betrieb legen wir fest, welche Case-Schweregrade an wen gehen und welche Reaktionen, etwa die Isolation eines Endpunkts, ohne Rückfrage erlaubt sind.

Was bei der Migration oft übersehen wird

Vergessene Geräte. Das Notebook des Außendienstlers, der Rechner an der Pforte: oft am schlechtesten gepflegt.

Datenhaltung. Erfasste Daten liegen bei Cortex XDR Pro standardmäßig 31 Tage im durchsuchbaren Speicher. Angriffe werden oft erst nach Wochen entdeckt. Zusätzliche Aufbewahrung gehört deshalb in die Lizenzplanung.

Ausnahmen ohne Ablaufdatum. Jede Ausnahme aus dem Pilot braucht eine Begründung und einen Verantwortlichen, sonst wird die Ausnahmeliste zum Einfallstor.

Ausblick: weitere Datenquellen und Sensoren

Firewall-Daten in Cortex XDR

Cortex XDR übernimmt und analysiert Logs von Palo Alto Networks Next Generation Firewalls und Panorama, darunter Traffic-, Threat-, GlobalProtect-, Authentifizierungs- und System-Logs. Per Log Stitching verknüpft die Plattform sie mit den Endpunkt-Daten.

Die Firewall sieht, dass ein Rechner 4 GB über einen Filesharing-Dienst hochlädt. Der Agent sieht, welcher Prozess die Verbindung aufgebaut hat und wer ihn gestartet hat. In der Network Causality View stehen beide Sichten in einer Kette. Aus „Von 10.0.30.17 gingen 4 GB nach draußen“ wird „Ein per Makro gestartetes Skript auf dem Rechner der Buchhaltung hat 4 GB über einen nicht freigegebenen Dienst ausgeleitet.“

Die Firewall sieht zudem Geräte ohne Agent, etwa Drucker und Maschinensteuerungen. Läuft deren Verkehr über die Firewall, sind Auffälligkeiten trotzdem sichtbar.

Identität, Drittquellen und Cloud

Weitere Ausbaustufen sind Identitätsdaten, Syslog-Daten anderer Systeme über eine Broker VM sowie Cloud-Workloads. Darüber hinaus lässt sich der Funktionsumfang der Plattform mit Add-ons erweitern. Welche Quellen und Erweiterungen echten Erkennungsgewinn bringen, klären wir vor der Lizenzbestellung.

Fazit: Warum ein Spezialist die Migration begleiten sollte

Der Wechsel zu Cortex XDR ist ein Wechsel der Perspektive: weg von der Frage, ob eine Datei bekannt ist, hin zu der Frage, was auf dem Endpunkt tatsächlich passiert. Diese Visibilität ist die Voraussetzung, um einen Angriff früh zu erkennen, einzugrenzen und belastbar aufzuklären. Mit Prevent, Pro und Mischbetrieb lässt sich die Plattform in Stufen ausbauen.

Genau hier setzen wir an. Palo Alto Networks gehört zu unseren Kernherstellern, und wir betreiben Palo Alto Networks NGFW, GlobalProtect und Cortex XDR täglich in Kundenumgebungen. In der Entscheidungsphase rechnen wir Lizenzbedarf und Datenvolumen auf Basis der realen Umgebung des Kunden und legen fest, welche Endpunkte Pro brauchen und wo Prevent zunächst genügt. In der Umsetzung begleiten wir Tenant-Aufbau, Pilot, Ablösung der Antiviruslösung und Härtung bis zum stabilen Betrieb. Weil wir nur Netzwerk machen, binden wir die Firewall-Daten von Anfang an so ein, dass Endpunkt und Netz in einer Plattform zusammenlaufen. Wie viel Betrieb nach Projektabschluss beim eigenen Team bleibt und was wir übernehmen, legen wir mit dem Kunden vor dem Go-live fest.

Häufige Fragen zur Migration auf Cortex XDR

Glossar

Add-on

Optional lizenzierbare Erweiterung des Funktionsumfangs der Plattform.

BIOC (Behavioral Indicator of Compromise)

Regel, die ein verdächtiges Verhaltensmuster beschreibt statt eines festen Merkmals wie eines Datei-Hashes.

Broker VM

Virtuelle Maschine im Kundennetz, die lokale Daten wie Syslog sammelt und an Cortex weiterleitet.

Case

Zusammenfassung zusammengehöriger Alarme zu einem Vorgang mit Kontext und Bewertung.

Causality Chain

Automatisch erstellte Kette aus Prozessen, Dateien, Registry-Änderungen und Verbindungen, die zu einem Ereignis geführt haben.

Causality Group Owner

Der Prozess am Anfang einer Causality Chain.

Cortex XDR Prevent / Pro

Lizenzvarianten. Prevent bietet Prävention ohne Datensammlung, Pro zusätzlich die Datensammlung für Untersuchung und Analytics.

EDR (Endpoint Detection and Response)

Lösung, die Telemetrie auf dem Endpunkt aufzeichnet, Verhalten bewertet und Reaktionen ermöglicht.

Live Terminal

Fernzugriff aus der Cortex-Konsole auf einen Endpunkt.

Log Stitching

Verknüpfung von Logs verschiedener Quellen zu einem zusammenhängenden Ablauf.

NGFW (Next Generation Firewall)

Firewall, die Anwendungen, Benutzer und Inhalte unabhängig vom Port erkennt.

SOC (Security Operations Center)

Team oder Dienst, das Sicherheitsereignisse überwacht und darauf reagiert.

Tenant

Abgegrenzte Instanz der Cortex-Plattform für ein Unternehmen.

XDR (Extended Detection and Response)

Plattform, die Daten von Endpunkten, Netzwerk, Identitätsdiensten und Cloud zusammenführt.

XQL (Cortex Query Language)

Abfragesprache für die in Cortex XDR gespeicherten Daten.

Quellen und fachliche Grundlage

Fachliche Prüfung: 17.10.2026. Lizenzumfang, Datenhaltung und Regionen beziehen sich auf die aktuelle Cortex-XDR-Dokumentation und können sich ändern. Sie sind vor einer konkreten Umsetzung ggf. erneut zu prüfen.

• Palo Alto Networks: What is Causality? (Cortex XDR)
• Palo Alto Networks: Understand Cortex XDR License Plans
• Palo Alto Networks: Data Retention in Cortex XDR
• Palo Alto Networks: Cortex XDR Supported Regions
• Palo Alto Networks: Isolate an Endpoint
• Palo Alto Networks: Set up Agent Settings Profiles
• MITRE ATT&CK: T1059.001 Command and Scripting Interpreter, PowerShell
• MITRE ATT&CK: T1053.005 Scheduled Task/Job, Scheduled Task
• BSI IT-Grundschutz: DER.1 Detektion von sicherheitsrelevanten Ereignissen (Edition 2023)

Weiterführend

• Firewall-Migration im Mittelstand: von der portbasierten Firewall zur Palo Alto Networks NGFW
• Netzwerk-Lösungen der Gigahertz GmbH
• Über uns: Warum wir nur Netzwerk machen

Titelbild: KI-generiert.