Was ist ein Security Operations Center (SOC)? Ein Leitfaden für IT-Führungskräfte und MSPs

Laut dem „Kaseya State of the MSP Report 2026“ geben 61 % der MSPs an, dass sich die meisten oder alle ihrer Kunden in Fragen der Cybersicherheit an sie wenden, wodurch SOC-Fähigkeiten eher zu einer geschäftlichen Notwendigkeit als zu einem Alleinstellungsmerkmal werden. Laden Sie den vollständigen Bericht hier herunter.

Die meisten Unternehmen können es sich nicht leisten, ein Security Operations Center aufzubauen. Die Infrastruktur, die Tools und vor allem das Personal – Sicherheitsanalysten, die in Rund-um-die-Uhr-Schichten arbeiten und über das nötige Fachwissen verfügen, um Bedrohungsdaten zu interpretieren und auf aktuelle Vorfälle zu reagieren – stellen eine Investition dar, die sich nur die größten Unternehmen leisten können.

Die Sicherheitsüberwachungsfunktionen, die ein SOC bietet, sind jedoch keineswegs unerreichbar. Durch Managed SOC , die von MDR-Anbietern bereitgestellt werden, sind kontinuierliche Sicherheitsmaßnahmen nun für Unternehmen jeder Größe zugänglich. Zu verstehen, was ein SOC leistet und was für dessen Aufbau oder Nutzung erforderlich ist, bildet die Grundlage für eine fundierte Entscheidung darüber, wie die Anforderungen an den Sicherheitsbetrieb erfüllt werden können.

Was ist ein SOC?

Ein Security Operations Center ist die zentrale Stelle, die für die Überwachung, Erkennung, Untersuchung und Abwehr von Cybersicherheitsbedrohungen in der gesamten IT-Umgebung eines Unternehmens zuständig ist. Der Begriff bezieht sich sowohl auf das Team (Sicherheitsanalysten und -ingenieure) als auch auf die von ihnen genutzte technologische Infrastruktur (SIEM, EDR, Threat-Intelligence-Plattformen und Response-Tools).

Das wesentliche Merkmal eines SOC ist der Dauerbetrieb: Bedrohungen halten sich nicht an Geschäftszeiten, und ein SOC, das nur von 9 bis 17 Uhr in Betrieb ist, hinterlässt eine Lücke in der Überwachung, die Angreifer gerade deshalb ausnutzen, weil sie existiert. Echte SOC-Fähigkeit bedeutet Überwachung und Reaktion rund um die Uhr, 365 Tage im Jahr.

Was ein SOC macht

Kontinuierliche Überwachung der Sicherheitstelemetrie aus der gesamten Umgebung: Endpunktaktivitäten aus EDR, Netzwerkverkehr, Identitäts- und Authentifizierungsdaten, Protokolle von Cloud-Plattformen sowie Anwendungsprotokolle. Das SOC fasst diese Daten zusammen und nutzt Erkennungsregeln, maschinelles Lernen sowie die Einschätzung von Analysten, um Bedrohungen zu identifizieren.

Triage und Untersuchung von Warnmeldungen. In modernen Umgebungen fallen enorme Mengen an Sicherheitswarnmeldungen an – weit mehr, als einzeln untersucht werden können. SOC-Analysten legen anhand von Priorisierung und Kontext fest, welche Warnmeldungen echte Bedrohungen darstellen, und untersuchen die entsprechenden Telemetriedaten, um das Ausmaß und die Art potenzieller Vorfälle zu erfassen.

Reaktion auf Vorfälle. Wenn eine echte Bedrohung bestätigt wird, koordiniert das SOC die Reaktion: Isolierung betroffener Systeme, Beseitigung der Bedrohung und Unterstützung bei der Wiederherstellung. Interne SOCs übernehmen in der Regel die technische Reaktion direkt; MDR-basierte SOC-Dienste arbeiten in der Regel partnerschaftlich mit dem IT-Team des Kunden zusammen.

Threat Hunting. Proaktive Suche nach Anzeichen für eine Kompromittierung, die keine automatischen Warnmeldungen ausgelöst haben, um Angriffsaktivitäten im Frühstadium zu erkennen, bevor sie zu einem aktiven Vorfall eskalieren.

Bedrohungsinformationen. Erfassung, Analyse und Nutzung von Bedrohungsinformationen, Informationen zu aktuellen Angriffskampagnen, TTPs von Angreifern sowie Daten zu Kompromittierungsindikatoren zur Verbesserung der Erkennung und der Suche nach Sicherheitslücken.

Sicherheitsberichterstattung. Regelmäßige Berichterstattung über den Sicherheitsstatus, das Ausmaß der Bedrohungen, Kennzahlen zu Erkennung und Reaktion sowie über alle nennenswerten Vorfälle oder Trends.

Rollen und Struktur des SOC-Teams

Tier-1-Analysten übernehmen die Erstprüfung von Warnmeldungen, die Einstufung der Warnmeldungen in der Warteschlange, die Feststellung des vorläufigen Schweregrads sowie die Eskalation bestätigter oder vermuteter Bedrohungen. Tier 1 ist der arbeitsintensivste Bereich im SOC.

Analysten der Stufe 2 führen eingehendere Untersuchungen zu eskalierten Warnmeldungen durch, ermitteln das gesamte Ausmaß potenzieller Vorfälle, analysieren forensische Daten und geben Empfehlungen zur Eindämmung und Behebung.

Analysten der Stufe 3 / Threat Hunter konzentrieren sich auf proaktive Bedrohungssuche, die Untersuchung komplexer Vorfälle und die detaillierte Analyse von Angreifern. Zu dieser Stufe gehören in der Regel die erfahrensten Mitarbeiter.

Der SOC-Manager / Security Engineer übernimmt die operative Leitung, steuert die Entwicklung von Erkennungsregeln und Tools und sorgt für die Koordination mit dem IT-Betrieb und den Stakeholdern aus dem Geschäft.

Der Aufbau und die Besetzung dieser Struktur stellen das größte Hindernis für die Einrichtung eines internen SOC dar. Erfahrene Sicherheitsanalysten sind rar und teuer. Um eine lückenlose Überwachung zu gewährleisten, ist eine Schichtbesetzung erforderlich, wodurch sich der Personalbedarf vervielfacht. Ein voll besetztes internes SOC, das rund um die Uhr im Einsatz ist, erfordert Investitionen in Millionenhöhe – was für große Unternehmen mit komplexen Umgebungen und speziellen Sicherheitsbudgets zwar gerechtfertigt ist, für die meisten Organisationen jedoch unerschwinglich ist.

SOC-Tools und -Technologie

Der zentrale Technologie-Stack für ein SOC umfasst:

SIEM (Security Information and Event Management)aggregiert Protokoll- und Telemetriedaten aus der gesamten Umgebung, wendet Korrelationsregeln an, um Bedrohungsmuster zu identifizieren, und stellt Analysten eine Untersuchungsschnittstelle zur Verfügung.

EDR, die wichtigste Quelle für Endpunkt-Telemetrie und die Reaktionsfähigkeit bei Bedrohungen auf Endpunkt-Ebene.

SOAR (Security Orchestration, Automation and Response) automatisiert Reaktionsabläufe und ermöglicht so die schnelle Durchführung von Eindämmungs- und Behebungsmaßnahmen ohne manuellen Eingriff bei bekannten Bedrohungsmustern.

Eine Plattform für Bedrohungsinformationen, die Bedrohungsinformationen aus internen und externen Quellen zusammenführt und aufbereitet und diese in Erkennungsregeln sowie in die Untersuchungen der Analysten einfließen lässt.

Schwachstellenmanagementintegriert Schwachstellendaten in den SOC-Kontext, sodass Exploit-Aktivitäten gegen bekannte Schwachstellen angemessen priorisiert werden.

Internes SOC vs. gemeinsam verwaltet vs. vollständig verwaltet

Ein internes SOC bietet die größte Kontrolle, erfordert jedoch umfassende Investitionen in Personal, Tools und Prozesse. Es eignet sich für große Unternehmen mit ausreichendem Budget und dem festen Willen, diese Kapazitäten langfristig aufrechtzuerhalten.

Ein gemeinsam verwaltetes SOC (auch als gemeinsam verwaltetes SIEM bezeichnet) bietet die Unterstützung durch MDR-Analysten als Erweiterung des internen Teams. Es wird in der Regel von Unternehmen genutzt, die zwar über eigenes Sicherheitspersonal verfügen, dieses jedoch nicht ausreicht, um eine Rund-um-die-Uhr-Betreuung oder spezialisierte Fähigkeiten zur Bedrohungssuche zu gewährleisten. Das interne Team und der Managed-Service-Provider teilen sich die Aufgaben, wobei die Aufteilung vertraglich festgelegt ist.

Vollständig verwaltetes SOC (MDR) bietet die gesamte SOC-Funktionalität als Service an. Der MDR-Anbieter verfügt über die erforderlichen Tools, das Analystenteam und die operativen Prozesse. Das IT-Team des Kunden fungiert als Eskalationspartner für bestätigte Vorfälle und ist für die Durchführung der Abhilfemaßnahmen verantwortlich. Dies ist das geeignete Modell für Unternehmen, die über kein internes Sicherheitsteam verfügen.

Der MDR-Dienst von Kaseya, der in Kaseya 365 verfügbar ist, bietet eine vollständig verwaltete SOC-Lösung, die rund um die Uhr von Sicherheitsexperten in den USA betrieben wird. Er lässt sich nahtlos in Datto EDR und die gesamte Kaseya 365 integrieren. Fordern Sie hier eine Demo an.

Wichtige SOC-Kennzahlen

Durchschnittliche Erkennungszeit (MTTD): Die Zeitspanne vom ersten Eindringen bis zur Erkennung. Je kürzer, desto besser; lange Verweildauern ermöglichen es Angreifern, sich dauerhaft zu etablieren, ihre Berechtigungen zu erweitern und auf wertvolle Daten zuzugreifen, bevor der Vorfall erkannt wird.

Durchschnittliche Reaktionszeit (MTTR): die Zeitspanne vom Erkennen bis zur Eindämmung. Die Geschwindigkeit der Eindämmung ist der entscheidende Faktor für das Ausmaß eines Vorfalls.

Falsch-Positiv-Rate: Der Anteil der Warnmeldungen, die keine echten Bedrohungen darstellen. Hohe Falsch-Positiv-Raten verschwenden die Zeit der Analysten und tragen zur Warnmüdigkeit bei. Ein gut eingestelltes SOC sollte im Zuge der Verfeinerung der Erkennungsregeln eine stetig sinkende Falsch-Positiv-Rate aufweisen.

Eskalationsrate: Welcher Anteil der Erkennungen erfordert eine Eskalation durch einen Analysten im Vergleich zur automatisierten Bearbeitung? Hohe Eskalationsraten können auf Optimierungsbedarf oder ein Problem mit dem Bedrohungsvolumen hindeuten.

Erfassungsbereich: Wie viel Prozent der Telemetriequellen der Umgebung werden durch die SOC-Überwachung abgedeckt? Lücken in der Erfassung sind Lücken in der Transparenz.

Kaseya SIEM: SOC-Funktionen für Unternehmen ohne den Personalaufwand eines großen Unternehmens

Der Betrieb eines internen SOC erforderte bislang spezialisierte Sicherheitsingenieure, teure Tools und eine Rund-um-die-Uhr-Besetzung – eine Hürde, die SOC-Fähigkeiten für die meisten KMU und mittelständischen Unternehmen unerreichbar machte.

Kaseya SIEM, das nun allgemein verfügbar ist, stellt diese Gleichung auf den Kopf. Kaseya SIEM, das nun allgemein verfügbar ist, bietet Sicherheitsmanagement auf Unternehmensniveau, ohne dass dafür Personal oder Kosten in Unternehmensgröße erforderlich sind. Es vereint Telemetriedaten aus Endgeräten, Netzwerk, Cloud, Identitätsmanagement und E-Mail und korreliert Signale aus mehr als 60 Datenquellen, um Bedrohungen über die gesamte Angriffsfläche hinweg zu erkennen und darauf zu reagieren. Die oberflächenübergreifende Korrelation verschafft IT-Teams in einer einzigen Oberfläche einen vollständigen Überblick über die Angriffe, automatisierte Reaktionen eindämmen Bedrohungen innerhalb von Minuten, ohne dass Warnmeldungen an einen Mitarbeiter weitergeleitet werden müssen, und die 400-tägige Protokollspeicherung gewährleistet sofortige Compliance. Für Teams, die keinen internen SOC betreiben möchten, bietet ein rund um die Uhr verfügbarer Managed Security Operations Service, der durch Kaseya Intelligence beschleunigt wird, die Abdeckung eines dedizierten SOC ohne den Aufwand für dessen Aufbau. Entdecken Sie Kaseya SIEM.

Für MSPs bietet Kaseya SIEM eine skalierbare Lösung, um Sicherheitsmaßnahmen auf SOC-Niveau über mehrere Kundenumgebungen hinweg von einer einzigen Plattform aus bereitzustellen, ohne den Personalaufwand, den ein herkömmliches SOC-Modell erfordert.

Das Wichtigste in Kürze

• Ein SOC bietet rund um die Uhr Sicherheitsüberwachung, Erkennung, Untersuchung und Reaktion – eine operative Sicherheitsfunktion, deren Aufbau sich die meisten Unternehmen nicht leisten können.
  
• Der Aufbau eines eigenen SOC erfordert erhebliche und nachhaltige Investitionen in Personal und Tools. Co-Managed- und Fully-Managed-MDR-Lösungen bieten vergleichbare Funktionen zu erschwinglichen Kosten.
  
• Die wichtigsten Kennzahlen – MTTD, MTTR und die Falsch-Positiv-Rate – messen die operative Effektivität des SOC und nicht nur dessen bloße Existenz.
  
• Für MSPs ist der Zugang zu Managed-SOC-Funktionen (über MDR) sowohl ein interner Sicherheitsvorteil als auch ein Alleinstellungsmerkmal im Dienstleistungsangebot für Kunden.