Wie ein Managed SOC Ihr Unternehmen schützt

Ein Managed SOC (Security Operations Center) unterstützt Unternehmen dabei, die eigenen Systeme zu überwachen und Bedrohungen frühzeitig zu erkennen. Der große Vorteil: Sie müssen kein eigenes Expertenteam aufbauen, sondern können sich auf die Expertise des Providers verlassen.

Erfahren Sie, wie genau ein Managed SOC funktioniert und worauf es bei der Einführung zu achten gilt.

Definition: Was ist ein Managed SOC?

Ein Security Operations Center (SOC) bezeichnet ein Team von IT-Sicherheitsexperten, das die Systeme rund um die Uhr überwacht. Dazu kommen moderne Tools wie SIEM-, XDR- und EDR-Systeme zum Einsatz (siehe auch Blogartikel „SOC vs. SIEM: Unterschiede und wie sie sich ergänzen„). Das Team analysiert mit ihrer Hilfe Anomalien und macht Bedrohungen aus. Zum Teil übernehmen SOCs auch die Remediation, also die Behebung von Vorfällen.

SOCs können intern betrieben werden, was jedoch mit einem großen Aufwand einhergeht. Viele Unternehmen verfügen nicht über das entsprechende Know-how, um die Systeme korrekt zu konfigurieren und zu betreiben. Außerdem bestehen oft personelle Engpässe, Stichwort IT-Fachkräftemangel.

Die Lösung bietet ein Managed SOC. Hierbei lagert das Unternehmen die SOC-Aufgaben teilweise oder ganz an einen externen Managed-Security-Services Provider aus. Der Provider überwacht nun im Auftrag des Unternehmens dessen Systeme. Kommt es zu einem Vorfall, benachrichtigt der Provider zeitnah die entsprechenden Verantwortlichen im Unternehmen.

Es gibt Managed SOCs, welche auch Incident-Response-Maßnahmen durchführen. Viele Managed SOCs konzentrieren sich aber auf das Monitoring und die Alarmierung, während das Unternehmen die Incident Response übernimmt.

Wenn Sie ein Managed SOC einkaufen, haben Sie nicht nur Zugriff auf die neuesten Sicherheits-Tools, sondern auch auf ausgewiesene Security-Experten. Typische Rollen umfassen:

• Analysten → überwachen und analysieren die eingehenden Log-Daten
• Techniker → betreiben und warten die SOC-Systeme, zum Beispiel das SIEM
• Manager → koordinieren das SOC-Team, stimmen sich mit dem Kunden ab und sorgen für die Einhaltung des SLAs

SOCs werden meist im Abo-Modell bepreist. Die Services, die enthalten sind, werden in einem Service Level Agreement (SLA) definiert. Für Unternehmen bedeutet das ein hohes Maß an finanzieller Transparenz und Planbarkeit. 

Die Leistungen eines Managed SOCs werden auch als Managed Detection and Response (MDR) bezeichnet, wobei hier die Incident Response enthalten ist. Alternativ spricht man auch von „SOC as a Service“.

Internes vs. externes SOC

Hier die wichtigsten Unterschiede auf einen Blick:

Kriterium:	Internes SOC:	Managed SOC (extern):
Implementierungszeit	Monate bis zum Go-Live	Schneller Start durch erprobte Prozesse
24/7-Überwachung	Mit großem Aufwand verbunden	Standardmäßig enthalten
Hardware & Tools	Müssen eigenständig beschafft und gewartet werden	Sind im Service enthalten
Know-how	Stark abhängig von der internen Wissensbasis	Zugriff auf das Spezialwissen des Providers
Reaktionszeiten	Abhängig von der personellen Situation im Unternehmen	Rund um die Uhr; die Reaktionszeiten werden im SLA garantiert
Skalierbarkeit	Abhängig von der personellen Situation im Unternehmen	Skaliert leicht, weil der Provider über ausreichende personelle Kapazitäten verfügt
Kosten (siehe auch SOC-Kosten in Deutschland: So kalkulieren Sie realistisch)	Hohe Initialkosten (Infrastruktur & Tools) sowie hohe Betriebskosten (extra Personal)	Planbare monatliche Kosten

Vorteile eines Managed SOCs

Ein Managed SOC bietet Ihrem Unternehmen zahlreiche Vorteile.

24/7-Überwachung

Das SOC-Team des Providers überwacht Ihre Infrastruktur rund um die Uhr. Damit sind Sie auch zu Nebenzeiten wie nachts oder am Wochenende geschützt, wenn Angreifer besonders gerne zuschlagen.

Eine solche 24/7-Abdeckung wäre intern nur schwer zu realisieren, weil dann im Schichtbetrieb gearbeitet werden müsste. Das würde Neueinstellungen erfordern. Ein Managed SOC löst dieses Problem.

Personelle Reserven

Bis 2040 werden in Deutschland 663.000 IT-Fachleute fehlen – das ist das Ergebnis einer Bitkom-Studie aus dem Jahr 2024. Ein Managed SOC hilft Ihnen, mit dieser Situation umzugehen. Sie erhalten sofort Zugriff auf einen Pool von IT-Sicherheitsexperten. Langwierige Kandidatensuchen entfallen. Außerdem müssen Sie sich keine Gedanken über Urlaubsvertretungen oder Krankheitsfälle machen – die Provider verfügen über entsprechende personelle Reserven.

Schnelle Bereitstellung

Der Aufbau eines internen SOCs kann viele Monate in Anspruch nehmen, weil die Anforderungen an Know-how und Personal hoch sind. Im Gegensatz dazu geht die Implementierung eines Managed SOCs meist deutlich schneller vonstatten. Der Anbieter hat bereits ähnliche Lösungen für andere Kunden umgesetzt und verfügt daher über zeitsparende Prozesse.

Früherkennung

Mit einem SOC steigt die Wahrscheinlichkeit, dass Sie Angriffe schon im Ansatz erkennen. Damit können Sie weitergehende negative Konsequenzen vermeiden, zum Beispiel hohe Ransomware-Forderungen oder die Veröffentlichung von sensiblen Kundendaten im Darknet.

Reporting

Ein SOC versorgt Sie regelmäßig mit Berichten und Analysen, was Ihre Security Posture angeht. Damit überblicken Sie nicht nur die eigenen Systeme besser – Sie können auch Compliance-Anforderungen leichter erfüllen, die praktisch immer ein Reporting erfordern.

Neueste Tools

Die Provider haben typischerweise die neuesten Sicherheits-Tools im Einsatz – Lösungen, die meist erst Jahre später (oder nie) im Unternehmen ankommen, falls die Security intern gemanagt wird. Der Kunde profitiert hier von Skaleneffekten: Die Provider verwenden die kostspieligen High-End-Lösungen nicht nur für einen, sondern für viele Kunden, was ihren Einsatz wirtschaftlich macht.

Security-Trends

Die Experten des Providers sind normalerweise wesentlich besser mit aktuellen Security-Trends vertraut. Schließlich beschäftigen sie sich in der Hauptsache mit IT-Sicherheit. Auf diese Weise sinkt die Wahrscheinlichkeit, dass Sie von neuen Angriffsformen überrascht werden. Der Provider hat dasselbe Muster wahrscheinlich schon bei einem anderen Kunden beobachten können.

Best Practices

Damit Ihr Managed SOC zum Erfolg wird, sollten Sie auf die folgenden Best Practices achten.

1. Definieren Sie Zuständigkeiten

Klären Sie vorab, welche Aufgaben vom Provider übernommen werden und was intern abgewickelt wird. Richten Sie Ihr Augenmerk dabei nicht nur auf besonders kritische Bedrohungen – solche Szenarien sind meist schon gut durch den Anbieter geregelt. Mehr Abstimmung erfordern dagegen Low-Severity-Incidents, False Positives und fehlende Logs. Hier sind die Managed-SOC-Prozesse oft weniger genau definiert, weil keine unmittelbaren negativen Konsequenzen drohen.

2. Starten Sie ein Pilotprojekt

Viele Unternehmen machen den Fehler, auf einen Schlag die komplette Sicherheitslage modernisieren zu wollen. Das überfordert schnell und dann wird das Projekt wieder auf unbestimmte Zeit verschoben.

Machen Sie es besser: Wählen Sie einen Detection-Use-Case aus, den Sie an den Provider übertragen, zum Beispiel Brute-Force-Angriffe. Perfektionieren Sie die Zusammenarbeit mit dem Anbieter für dieses eine Szenario und nehmen Sie erst dann einen weiteren Use Case hinzu. Das hat außerdem den Vorteil, dass zu Beginn Alarmfluten vermieden werden. Ihr Incident-Response-Team kann sich „aufwärmen“.

3. Prüfen Sie die Log-Qualität

Ihr Managed-SOC-Provider kann nur so gut arbeiten, wie es die gelieferten Logs erlauben. Prüfen Sie deshalb im Vorfeld, dass die folgenden Informationen vorhanden bzw. korrekt formatiert sind:

• Timestamps
• Usernamen
• Event IDs
• IP-Adressen

Am besten geschieht das über ein zentrales Test-Dashboard, zum Beispiel unter Verwendung eines ELK-Stacks (Elasticsearch, Logstash, Kibana).

4. Beachten Sie „Log-Stillen“

Die meisten Unternehmen fokussieren sich bei der Überwachung auf die Systeme mit der größten Aktivität. Dabei sind es gerade die „stillen Zonen“, die für Angreifer am interessantesten sind. Hier ist die Chance am größten, lange unentdeckt zu bleiben. Fordern Sie deshalb vom Provider einen monatlichen Bericht über unerwartet inaktive Log-Quellen, beispielsweise wenn ein Sensor keine Daten mehr liefert oder ein Konto dauerhaft frei von Anomalien ist.

5. Üben Sie Eskalationsprozesse

Führen Sie in regelmäßigen Abständen Angriffssimulationen mit dem Provider durch. Auf diese Weise können Sie das Zusammenspiel zwischen Managed SOC, Inhouse-Team und Unternehmensleitung testen. Dokumentieren Sie den kompletten Ablauf und stellen Sie anschließend die folgenden Fragen:

• Waren Eskalationswege zielführend? Oder wurden viele Umwege genommen?

• Haben die verwendeten Kommunikationskanäle gut funktioniert? Oder gab es Verzögerungen bzw. inhaltliche Unklarheiten (zum Beispiel bei Textkanälen)?

• Welche Reaktionszeiten wurden gemessen? Waren diese schnell oder zu langsam?

Führen Sie solche Simulationen mindestens einmal pro Jahr, besser noch alle 6 Monate durch.

Realisieren Sie Ihr Managed SOC – mit Proact!

Sie möchten Ihre IT-Sicherheit mit einem Managed SOC verbessern? Dann sollten Sie sich mit unseren Proact-Experten unterhalten. Wir realisieren regelmäßig Managed-SOC-Lösungen für Unternehmen aus unterschiedlichen Branchen. Unser Proact SOC bietet hier einen Rundum-Sorglos-Lösungsansatz.

Zu Beginn steht ein gemeinsamer Workshop. Hier analysieren wir Ihre aktuelle Sicherheitslage, sprechen über Schwachstellen und definieren Sicherheitsziele.

Im nächsten Schritt wählen wir erste Use Cases aus, definieren Schwellenwerte und entwickeln eine maßgeschneiderte Alarmlogik.

Vor dem Go-Live führen wir einen Testbetrieb durch, um sicherzustellen, dass Prozesse funktionieren, Alarme korrekt auslösen und Reaktionszeiten eingehalten werden. Erst wenn alles korrekt funktioniert, erfolgt die Inbetriebnahme.

Auch danach stehen wir Ihnen zuverlässig zur Seite. Wir führen regelmäßig Abstimmungen durch, betreiben Reporting und skalieren Ihr Managed SOC nach Bedarf.

Das klingt interessant? Dann kontaktieren Sie uns jetzt für ein kostenloses Beratungsgespräch. Wir freuen uns schon, von Ihnen zu hören!