Ein eigenes SOC ist aufwendig. Mit einem Managed SOC lassen sich Überwachung und Reaktion extern unterstützen – bei klar geregelten internen Aufgaben.
Ein Sicherheitsbetrieb benötigt mehr als eine besetzte Bildschirmposition. Zum Aufwand gehören Fachwissen, Vertretung, Werkzeuge, Schulungen und abgestimmte Reaktionen. Für mittelständische Unternehmen kann es sinnvoll sein, Teile dieser Leistung extern zu beziehen.
Ein Managed Security Operations Center, kurz Managed SOC, unterstützt bei der Auswertung von Sicherheitsereignissen und der Reaktion auf verdächtige Aktivitäten. Welche Aufgaben tatsächlich übernommen werden, muss im Leistungsumfang konkret beschrieben sein.
Eine Überwachung rund um die Uhr kann sinnvoll sein, wenn kritische Systeme auch außerhalb der Bürozeiten gefährdet sind. Aus NIS2 folgt jedoch keine pauschale Pflicht für jedes betroffene Unternehmen, ein eigenes 24/7-Team oder eine bestimmte Zahl von Fachkräften aufzubauen.
Prüfen Sie stattdessen, welche Ereignisse zeitnah bewertet werden müssen und wer dann eingreifen kann. Ein Alarm in der Nacht hilft wenig, wenn die zuständige Person erst am nächsten Arbeitstag erreichbar ist und keine Maßnahmen vorab vereinbart wurden.
Die Zusammenarbeit braucht auch einen Ablauf für Änderungen. Neue Systeme, geänderte Geschäftsprozesse oder zusätzliche Standorte müssen rechtzeitig in die Überwachung einbezogen werden. Sonst entstehen trotz laufendem Vertrag neue blinde Flecken.
Vergleichen Sie nicht nur eine monatliche Grundgebühr mit dem Gehalt einzelner Fachkräfte. Relevant sind Einführungsaufwand, Datenmengen, enthaltene Quellen, Zusatzleistungen und interne Mitarbeit. Ein externer Betrieb kann Ressourcen entlasten, ist aber nicht automatisch für jede Umgebung die günstigste Lösung.
Ein vollständig interner Betrieb ist nur eine mögliche Organisationsform. Ein Managed SOC übernimmt vereinbarte Aufgaben extern. Bei einem gemeinsamen Modell werden interne Kenntnisse und externe Kapazität verbunden. Die sinnvolle Wahl hängt unter anderem von Fähigkeiten, Systemlandschaft und gewünschter Kontrolle ab. Statt zuerst nach einer Modellbezeichnung zu entscheiden, sollten Unternehmen ihre benötigten Ergebnisse beschreiben. Welche Ereignisse müssen bewertet werden, welche Reaktionen sind erforderlich und welche Fachkenntnisse müssen dafür zu welchen Zeiten verfügbar sein? Daraus ergibt sich ein passenderes Betriebsmodell.
Die Arbeitsteilung sollte auch über den Normalfall hinausgehen. Wer hilft bei einer größeren Untersuchung? Welche Unterstützung ist im Vertrag enthalten und welche muss zusätzlich beauftragt werden? Wer führt interne Kommunikation und Wiederherstellung? Ein Angebot kann Überwachung umfassen, ohne alle Aufgaben einer umfassenden Vorfallsbewältigung einzuschließen. Diese Grenzen sind nicht grundsätzlich problematisch, müssen aber verstanden werden. Eine klare Beschreibung verhindert, dass sich ein Unternehmen auf Leistungen verlässt, die im entscheidenden Moment erst gesondert organisiert werden müssten.
Listen Sie die einbezogenen Quellen und Systeme verständlich auf. Dazu gehört, wer neue Geräte aufnimmt und bestehende Anbindungen kontrolliert. Ein Vertrag über eine Menge von Endgeräten beantwortet noch nicht jede Frage zu Cloud-Konten oder Netzwerkprotokollen. Die Abdeckung sollte deshalb anhand der benötigten Fähigkeiten beschrieben werden. Wichtig ist auch, wie Änderungen kommuniziert werden. Wenn die interne IT neue Systeme einführt, muss klar sein, wann und durch wen diese in den vorgesehenen Sicherheitsbetrieb aufgenommen werden.
Legen Sie fest, welche Informationen eine Eskalation enthält. Ein bloßer Hinweis auf eine Warnnummer hilft intern wenig. Die zuständige Rolle benötigt eine verständliche Einschätzung, betroffene Systeme und den erwarteten nächsten Schritt. Gleichzeitig dürfen bekannte Unsicherheiten nicht versteckt werden. Eine gute Übergabe unterscheidet beobachtete Fakten, Bewertung und empfohlene Maßnahme. Damit kann die interne IT eine betriebliche Entscheidung treffen, ohne die technische Untersuchung vollständig wiederholen zu müssen. Die Qualität dieser Übergaben lässt sich anhand ausgewählter Vorgänge prüfen.
Eine Zeitangabe ist nur aussagekräftig, wenn Beginn und erwartetes Ergebnis feststehen. Bezieht sie sich auf die Annahme einer Meldung, eine erste Bewertung oder die Ausführung einer Gegenmaßnahme? Ab welchem technischen Ereignis beginnt die Messung? Welche Prioritäten und Zeiten sind eingeschlossen? Diese Fragen sollten vor Vertragsschluss geklärt sein. Unterschiedliche Leistungen lassen sich sonst nur scheinbar vergleichen. Eine schnelle Rückmeldung ist wertvoll, ersetzt aber nicht die Fähigkeit, den nächsten Schritt anschließend tatsächlich auszuführen.
Auch Kundenseite und Drittanbieter beeinflussen den Ablauf. Benötigt eine Maßnahme eine interne Freigabe, muss der zuständige Kontakt erreichbar sein. Betreibt ein anderer Dienstleister das betroffene System, kann eine zusätzliche Übergabe erforderlich werden. Ein gemeinsamer Prozess sollte diese Abhängigkeiten berücksichtigen. Erreichbarkeit ist deshalb nicht nur eine Eigenschaft des SOC. Sie betrifft die gesamte Reaktionskette. Prüfen Sie anhand eines Beispiels außerhalb der Bürozeiten, ob alle notwendigen Rollen und Befugnisse für das angestrebte Ergebnis tatsächlich verfügbar sind.
Ein vereinfachtes Szenario: Das externe Team bewertet eine auffällige Aktivität an einem wichtigen Konto. Für eine begrenzte erste Maßnahme besteht eine vorab vereinbarte Befugnis. Parallel wird der interne Bereitschaftskontakt mit einer verständlichen Lagebeschreibung informiert. Dieser klärt die Auswirkungen auf betroffene Geschäftsprozesse und koordiniert weitere interne Aufgaben. Der Ablauf muss nicht überall gleich aussehen. Das Beispiel zeigt, weshalb technische Möglichkeiten, Befugnisse und Kommunikation gemeinsam geplant werden sollten. Keine dieser Ebenen allein garantiert eine funktionierende Reaktion.
Am nächsten Arbeitstag wird der Vorgang gemeinsam ausgewertet. Welche Hinweise lagen vor, welche Maßnahmen wurden getroffen und welche weiteren Prüfungen sind nötig? Der Abschluss enthält auch offene Aufgaben und die Zuständigkeit für ihre Bearbeitung. So wird verhindert, dass eine nächtliche Eindämmung fälschlich als vollständige Lösung gilt. Das Beispiel ist keine konkrete DSP-Kundenreferenz. Es beschreibt einen möglichen Sollprozess, an dem ein Unternehmen sein gewünschtes Betriebsmodell und die vertragliche Aufgabenverteilung verständlich überprüfen kann.
Regelmäßige Besprechungen sollten mehr enthalten als eine Zahl bearbeiteter Ereignisse. Welche Fälle waren schwierig, welche Daten fehlten und welche Maßnahmen mussten intern mehrfach nachgefragt werden? Solche Informationen zeigen, wo die Zusammenarbeit verbessert werden kann. Berichte sollten den vereinbarten Umfang erkennen lassen. Werden Datenquellen vorübergehend nicht geliefert, muss das sichtbar sein. Eine scheinbar ruhige Lage darf nicht mit fehlender Abdeckung verwechselt werden. Transparenz über Einschränkungen ist deshalb ein wichtiges Qualitätsmerkmal des gemeinsamen Betriebs.
Planen Sie auch den Wechsel oder die Beendigung der Leistung. Welche Daten und Unterlagen werden übergeben? Wie bleiben offene Vorfälle und wichtige Erkenntnisse nutzbar? Wer entfernt nicht mehr benötigte Zugriffe? Solche Fragen gehören bereits zur Auswahl des Dienstleisters. Sie helfen, eine langfristige Abhängigkeit bewusst zu gestalten. Ein guter Managed-Service-Ansatz schafft nicht nur Entlastung während der Zusammenarbeit, sondern ermöglicht auch einen geordneten Übergang, wenn sich Bedarf oder Betriebsmodell später ändern.
Ein gemeinsames Szenario macht Leistungsgrenzen oft verständlicher als eine umfangreiche Funktionsliste. Beschreiben Sie eine plausible kritische Meldung an einem wichtigen System und verfolgen Sie die geplante Bearbeitung. Dabei werden Daten, Bewertung, Freigabe und interne Aufgaben sichtbar. Der Anbieter muss nicht jede denkbare Situation im Detail vorhersagen. Er sollte jedoch erklären können, wie der vereinbarte Betrieb mit fehlenden Informationen und notwendigen Entscheidungen umgehen würde.
Wiederholen Sie die Betrachtung außerhalb der üblichen Arbeitszeit. Wenn für eine wichtige Freigabe niemand erreichbar ist, muss die Aufgabenverteilung angepasst werden. Ein technischer Alarmweg allein schließt diese Lücke nicht. Auch Grenzen externer Betreiber sollten berücksichtigt sein. So lässt sich vorab erkennen, ob ein versprochenes Ergebnis mit den tatsächlich verfügbaren Rollen und Zugriffsrechten erreichbar ist.
Die Ergebnisse können in die vertragliche Beschreibung und die Betriebsdokumentation einfließen. Nach dem Start lässt sich derselbe Ablauf an geeigneten Vorgängen überprüfen. Das schafft eine konkrete gemeinsame Sprache für Qualität und Verbesserung. Statt nur allgemein nach Zufriedenheit zu fragen, kann die Organisation beurteilen, an welchem Schritt Unterstützung funktioniert und wo eine Übergabe nachgebessert werden muss.
Benötigt werden Rollen für Steuerung, Freigaben, betriebliche Informationen und die Umsetzung nicht ausgelagerter Aufgaben. Der Umfang hängt von der vereinbarten Leistung ab. Diese Mitarbeit sollte eingeplant werden, damit externe Entlastung nicht auf der Annahme beruht, intern sei anschließend keinerlei Beteiligung mehr erforderlich.
Vergleichen Sie dieselben Systeme, Zeiten und erwarteten Ergebnisse. Prüfen Sie insbesondere Eskalationen und zusätzliche Vorfallsunterstützung. Ein günstiger Grundpreis kann einen anderen Umfang beschreiben als ein umfassenderes Angebot. Aussagekräftig wird der Vergleich erst, wenn Aufgaben und Grenzen auf beiden Seiten verstanden sind.
Die Geschäftsleitung behält ihre gesetzlichen Aufgaben. Für betroffene Einrichtungen beschreibt § 38 BSIG Umsetzungs- und Überwachungspflichten. Weder Outsourcing noch eine Dienstleisterzertifizierung schaffen eine pauschale rechtliche Absicherung.
DSP unterstützt beim Aufbau eines extern begleiteten Sicherheitsbetriebs und bei der Anbindung vorhandener Systeme. Im Erstgespräch lässt sich klären, welche Aufgaben sinnvoll ausgelagert werden und welche Ansprechpartner intern erforderlich bleiben.
Sie möchten Ihre nächsten Schritte konkret planen? Sprechen Sie mit den Experten von DSP.
