Managed SOC 24/7 - Angriffe erkennen und stoppen, ohne eigenes Security-Team

Angreifer wählen Ziele nicht nach Größe, sondern nach Verwundbarkeit - und gerade KMU sind beliebt, weil sie selten 24/7-Überwachung haben. Ein eigenes SOC ist für Dich unwirtschaftlich, ein Managed SOC nicht. Du teilst Dir die Plattform und das Analysten-Team unseres SOC-Partners mit anderen Kunden und zahlst nur Deinen Anteil.

Erkennung und Analyse laufen automatisch. Bei eingreifenden Maßnahmen - Account sperren, System isolieren - gilt das, was wir beim Onboarding vereinbaren: entweder definierte Sofortmaßnahmen, die wir bei kritischen Vorfällen eigenständig ausführen dürfen, oder Freigabe durch Deinen Ansprechpartner. Beides halten wir im Runbook fest.

Ja - das ist sogar der Normalfall. Wir binden vorhandene Firewalls, EDR-Lösungen und Cloud-Dienste als Log-Quellen an. Das SOC sitzt als Erkennungsebene über Deinem bestehenden Schutz-Stack, egal welche Hersteller dort im Einsatz sind.

Managed SOC ist Erkennung & Reaktion. Network as a Service ist die laufende Verwaltung von Firewall, VPN und Netzwerk, also der Schutz davor; Endpunkt-Schutz wie EDR kommt als eigene Leistung dazu. Du brauchst beides, das eine ersetzt das andere nicht. Für NIS2-pflichtige Unternehmen ist die Kombination faktisch Pflicht.

Der Preis hängt an Anzahl und Art der angebundenen Quellen und am Datenvolumen, nicht allein an der Mitarbeiterzahl - eine Umgebung mit drei Standorten und vielen Servern erzeugt mehr Last als ein Büro mit reiner Cloud-Nutzung. Nach der Aufnahme Deiner Systeme nennen wir Dir einen monatlichen Festpreis. Günstiger als ein eigenes SOC ist es in jedem Fall, weil Plattform und Analysten-Team geteilt genutzt werden.

Nein, und das sagen wir bewusst deutlich. Ein 24/7-Schichtbetrieb braucht mindestens sechs bis acht Analysten plus Plattform und Prozesse - das leisten wir nicht besser als ein spezialisierter Anbieter, deshalb liefern wir das SOC gemeinsam mit einem SOC-Partner. Von uns kommt, was wir wirklich können: die Anbindung Deiner Systeme, die Kenntnis Deiner Umgebung, die laufende Überwachung und ein Ansprechpartner, der Deinen Betrieb kennt.

Die ersten Quellen liefern innerhalb von Tagen Daten, aber scharf ist ein SOC erst nach dem Tuning. Das System muss Dein Normalbild kennen, also Arbeitszeiten, übliche Standorte und typische Datenmengen, sonst schlägt es bei jedem Sonderfall an. Rechne mit einigen Wochen von der Anbindung bis zu einem Betrieb, in dem Alarme wirklich aussagekräftig sind.

Logs enthalten personenbezogene Daten - Benutzernamen, IP-Adressen, Zugriffszeiten. Deshalb gehören Verarbeitungsort, Aufbewahrungsdauer und Zugriffsberechtigungen in den Auftragsverarbeitungsvertrag, und wir legen sie Dir vor Vertragsschluss offen statt danach. Die Aufbewahrungsdauer richtet sich nach Deinem Bedarf und den Nachweispflichten, denen Du unterliegst.

NIS2 schreibt kein SOC vor, sondern Ergebnisse: Artikel 21 verlangt unter anderem kontinuierliche Überwachung und ein funktionierendes Vorfallmanagement, dazu kommen Meldefristen gegenüber dem BSI. Ohne eine Erkennungsebene, die auch nachts läuft, sind diese Anforderungen praktisch kaum zu erfüllen. Ob Du überhaupt betroffen bist, hängt von Branche und Größe ab - das klären wir vorab, statt Dir pauschal Pflichten einzureden.

Ein EDR sieht, was auf einem einzelnen Endgerät passiert, und ist darin sehr gut. Das SOC sieht die Verbindung zwischen den Quellen: der auffällige Login in der Cloud, kurz darauf ein Zugriff auf einen Server, gleichzeitig ungewöhnlicher Datenverkehr an der Firewall. Dein EDR wird dabei nicht ersetzt, sondern zu einer der wichtigsten Log-Quellen - das Muster entsteht erst aus der Kombination.

Die Firewall allein ist zu wenig. Die aussagekräftigsten Quellen sind heute Identitäten und Endgeräte, also Active Directory, Entra ID, Microsoft 365 und EDR, weil dort die Angriffe stattfinden, die wirklich wehtun. Welche Quellen bei Dir den größten Erkennungsgewinn bringen, legen wir in der Aufnahme fest, statt einfach alles anzubinden, was Logs erzeugt.

Gerade dann. Ein großer Teil der heutigen Angriffe zielt auf Identitäten statt auf Server: übernommene Konten, heimliche Weiterleitungsregeln im Postfach, Anmeldungen aus unmöglichen Orten. Diese Spuren stehen in den Protokollen von Microsoft 365 und Entra ID - sie werden nur meistens von niemandem gelesen.

Bei informativen Meldungen nichts, die stehen im Monatsbericht. Bei einem Verdacht meldet sich ein Mensch bei Dir mit Einschätzung und Empfehlung. Was Du bereitstellen musst, ist ein erreichbarer Ansprechpartner mit Entscheidungsbefugnis für kritische Fälle - oder Du autorisierst uns im Runbook vorab zu definierten Sofortmaßnahmen, damit nachts niemand auf einen Rückruf wartet.

Eindämmen und die Ursache schließen gehört zur Incident Response dazu: System isolieren, Konto sperren, Zugang schließen, sauberen Zustand wiederherstellen. Eine tiefe forensische Aufarbeitung, etwa für Versicherung, Anzeige oder Behörden, ist ein eigenes Thema mit eigenem Aufwand und wird gesondert beauftragt. Was im laufenden Betrieb an Beweismitteln anfällt, sichern wir dafür von Anfang an.

Du bekommst Deine Daten und wir löschen sie nach der vereinbarten Frist - beides steht im Vertrag, nicht im Kleingedruckten. Die angebundenen Systeme bleiben unverändert Deine, abgeschaltet wird die Erkennungsebene und nicht Dein Schutz-Stack. Die Runbooks und die Dokumentation der Alarmierungswege übergeben wir, damit ein Nachfolger daran anknüpfen kann.