Eine Firewall entscheidet, was hereindarf. Eine Angriffserkennung schaut sich an, was drinnen passiert, und meldet, wenn etwas nicht zum gewohnten Bild passt: ein Rechner, der plötzlich das ganze Netz abklopft, viele fehlgeschlagene Anmeldungen hintereinander, Datenverkehr zu einer Adresse, mit der noch nie jemand gesprochen hat.
Der Unterschied zur Firewall ist derselbe wie zwischen Türschloss und Rauchmelder. Das Schloss verhindert. Der Melder verhindert nichts, aber er sagt Bescheid, solange es noch klein ist.
Es gibt zwei Bauformen. Ein reines Erkennungssystem (IDS) meldet nur. Ein Abwehrsystem (IPS) greift zusätzlich ein und trennt die Verbindung. Das Eingreifen ist wirkungsvoller und zugleich riskanter — eine Fehleinschätzung legt dann einen Arbeitsplatz still.
Der wunde Punkt liegt nicht in der Technik, sondern danach: Eine Meldung nützt nur, wenn jemand sie liest und weiß, was zu tun ist. Ein Erkennungssystem ohne diesen Teil erzeugt Protokolle, die niemand ansieht.