Firewall, Virenschutz, Backup: Die meisten mittelständischen Unternehmen haben die Grundausstattung. Was fast allen fehlt, ist jemand, der hinschaut. Die Firewall protokolliert den Brute-Force-Angriff auf das VPN, der Endpoint-Schutz meldet den verdächtigen PowerShell-Befehl, aber es ist Samstag, 2:40 Uhr, und die Meldungen landen in einem Postfach, das am Montag gelesen wird.
Genau dafür gibt es ein Security Operations Center (SOC). Die Frage ist, ab wann sich das lohnt, und ob Sie es selbst betreiben oder als Service einkaufen.
Was ein SOC eigentlich tut
Ein SOC sammelt Sicherheitsereignisse aus Ihrer Umgebung, bewertet sie und reagiert. In drei Schritten:
- Detect: Logs aus Firewall, Endpoints, Microsoft 365, Active Directory und Servern werden zentral gesammelt und korreliert. Einzelne Ereignisse sind oft harmlos, die Kombination ist es nicht: fehlgeschlagene Anmeldungen aus dem Ausland, gefolgt von einem erfolgreichen Login und einer neuen Weiterleitungsregel im Postfach.
- Triage: Ein Analyst entscheidet, ob es ein echter Vorfall ist oder ein Fehlalarm, und wie kritisch.
- Respond: Rechner isolieren, Konto sperren, Verbindung blockieren, Sie informieren. Wie weit das SOC selbst eingreifen darf, regelt das vereinbarte Mandat.
Ohne den dritten Schritt ist ein SOC nur ein teurer Alarmgeber.
Warum ein eigenes SOC für den Mittelstand kaum darstellbar ist
Wir rechnen das offen vor, weil die Zahl "ein eigenes SOC kostet bis zu 1,5 Mio. € im Jahr" sonst nach Marketing klingt.
Schritt 1: Wie viele Menschen braucht eine 24/7-Besetzung? Ein Jahr hat 8.760 Stunden. Eine Vollzeitkraft arbeitet nach Urlaub, Krankheit, Feiertagen und Weiterbildung realistisch rund 1.600 Stunden produktiv. Für einen einzigen, rund um die Uhr besetzten Platz brauchen Sie also etwa 8.760 ÷ 1.600 = 5,5 Vollzeitstellen.
Schritt 2: Wie viele Plätze sind sinnvoll? Ein Platz allein ist kein SOC. Nachts braucht es mindestens eine Person, die bewertet und eskaliert. Tagsüber kommen erfahrene Analysten für komplexe Vorfälle dazu, außerdem eine Leitung, die Prozesse, Regeln und Berichte verantwortet. Realistisch landen Sie für ein minimales SOC bei acht bis zehn Vollzeitstellen.
Schritt 3: Was kosten diese Stellen? Security-Analysten sind auf dem deutschen Arbeitsmarkt knapp. Mit Arbeitgeberanteilen, Schichtzulagen und Weiterbildung sind 90.000 bis 110.000 € pro Stelle und Jahr eine realistische Annahme. Bei acht bis zehn Stellen sind das 0,7 bis 1,1 Mio. €.
Schritt 4: Technik und Betrieb. SIEM- und SOAR-Plattform, Threat-Intelligence-Feeds, Speicher für Logs, Arbeitsplätze, Rufbereitschaft, Recruiting: Je nach Umfang kommen 150.000 bis 400.000 € pro Jahr hinzu.
Ergebnis: rund 0,85 bis 1,5 Mio. € pro Jahr für ein kleines, eigenes 24/7-SOC. Diese Rechnung ist eine Modellrechnung mit Annahmen, keine Studie. Sie zeigt aber die Größenordnung, und die ist für ein Unternehmen mit 100 oder 300 Mitarbeitenden nicht darstellbar.
SOC as a Service funktioniert, weil sich viele Kunden dieselben Analysten, dieselbe Plattform und dieselbe Nachtschicht teilen.
Fünf Kriterien: Ab wann sich 24/7-Monitoring lohnt
Eine feste Mitarbeitergrenze gibt es nicht. Diese fünf Fragen helfen bei der Entscheidung. Wenn Sie zwei oder mehr mit Ja beantworten, sollten Sie 24/7-Monitoring ernsthaft prüfen.
1. Fallen Sie unter NIS2? Wichtige und besonders wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle binnen 24 Stunden an das BSI melden. Wer einen Vorfall erst am Montag bemerkt, kann diese Frist praktisch nicht einhalten. Mehr dazu: NIS2 für Produktionsunternehmen in OWL.
2. Verlangt Ihre Cyberversicherung es? Versicherer fragen in ihren Risikofragebögen inzwischen gezielt nach EDR/XDR mit 24/7-Überwachung, phishing-resistenter MFA und getesteten Backups. Fehlende Maßnahmen können Prämie, Deckung oder die Leistung im Schadenfall beeinflussen.
3. Kostet ein Tag Stillstand mehr als ein Jahr Monitoring? Rechnen Sie grob: Mitarbeitende × Stundenwert × 8 Stunden, dazu Wiederherstellung und Folgekosten. Bei 100 Mitarbeitenden und 60 € Produktivitätswert je Stunde kostet allein ein Tag Stillstand 48.000 €. Ransomware-Vorfälle dauern selten nur einen Tag. Der Kostenrechner auf unserer Startseite hilft beim Überschlag.
4. Haben Sie niemanden, der nachts und am Wochenende reagiert? Die meisten Mittelständler haben eine IT-Abteilung zu Bürozeiten und im besten Fall eine informelle Rufbereitschaft. Angreifer wissen das. Incident-Responder berichten seit Jahren, dass die Verschlüsselung bevorzugt nachts, am Wochenende oder an Feiertagen gestartet wird.
5. Arbeiten Sie verteilt? Homeoffice, Außendienst, mehrere Standorte, Cloud-Dienste: Je mehr Zugänge von außen existieren, desto weniger reicht eine Firewall am Hauptsitz als alleinige Verteidigung.
Die Alternativen im Vergleich
| Modell | Abdeckung | Reaktion | Geeignet für |
|---|---|---|---|
| Nur Alarm-E-Mails | Bürozeiten, wenn jemand liest | Ihre IT | Sehr kleine Umgebungen |
| Monitoring zu Bürozeiten | Mo–Fr tagsüber | Dienstleister oder Ihre IT | Geringes Risiko, kein NIS2 |
| MDR des EDR-Herstellers | 24/7, nur Endpoints | Isolation am Endpoint | Ergänzung, nicht Ersatz |
| SOC as a Service | 24/7, Firewall + Endpoint + Identity + Cloud | Nach Mandat, bis Isolation | Mittelstand ab ca. 30–50 Mitarbeitenden, NIS2, OT |
| Eigenes SOC | 24/7, voll anpassbar | Eigenes Team | Konzerne, KRITIS |
Der wesentliche Unterschied zwischen einem Endpoint-MDR und einem SOC: Das MDR sieht nur, was auf dem Rechner passiert. Ein SOC korreliert zusätzlich Firewall, VPN, Microsoft 365 und Active Directory. Viele Angriffe beginnen mit gestohlenen Zugangsdaten und sehen auf dem Endpoint lange unauffällig aus.
Worauf Sie bei einem SOC-Anbieter achten sollten
- Welche Logquellen werden angebunden? Nur Endpoints, oder auch Firewall, M365, AD, Server?
- Welches Mandat hat das SOC? Darf es einen Rechner isolieren oder ein Konto sperren, ohne Sie vorher zu erreichen?
- Welche Reaktionszeit gilt bei kritischen Vorfällen, und steht sie im Vertrag?
- Wo werden die Logs gespeichert, wie lange, und unterliegt der Anbieter Zugriffen aus Drittstaaten?
- Was sehen Sie selbst? Gibt es Reports, ein Portal, regelmäßige Reviews?
- Wer ruft Sie an, wenn es brennt, und kennt diese Person Ihre Umgebung?
So machen wir es bei NetCorp
Unser SOC-as-a-Service wertet Firewall-, Endpoint- und Identity-Logs rund um die Uhr aus. Die Logs liegen 90 Tage sofort durchsuchbar und ein weiteres Jahr im Archiv, ausschließlich in Deutschland. Im Premium-SLA reagieren wir auf kritische Vorfälle in unter 15 Minuten und können betroffene Systeme automatisch isolieren. Wer uns anruft, spricht mit einem Techniker, der die Umgebung kennt, nicht mit einem Callcenter.
Besonders sinnvoll ist das SOC in Kombination mit einer Managed Firewall und Endpoint-Schutz, weil wir dann nicht nur sehen, sondern auf allen Ebenen reagieren können.
Ob sich 24/7-Monitoring für Ihr Unternehmen lohnt, klären wir gern im kostenfreien Erstgespräch. Telefon 05221 1714333 oder Termin vereinbaren.
