---
title: "Nicht alle SOCs sind gleich: Wie Sie das richtige Security Operations Centre verstehen und auswählen | Guardian360"
description: "Vor zehn Jahren bedeutete es etwas Bestimmtes, wenn man sagte, die eigene Organisation habe ein Security Operations Centre. Es implizierte ein engagiertes Team von Analysten, das rund um die Uhr Bildschirme im Blick hatte."
url: https://guardian360.net/de/blog/not-all-socs-are-equal-how-to-understand-and-select-the-right-security-operations-centre/
locale: de
source: guardian360.net
---
[← Alle Beiträge](https://guardian360.net/de/blog)

Sensibilisierung

# Nicht alle SOCs sind gleich: Wie Sie das richtige Security Operations Centre verstehen und auswählen

Von Guardian360 · 5. Mai 2026

Vor zehn Jahren bedeutete es etwas Bestimmtes, wenn man sagte, die eigene Organisation habe ein Security Operations Centre. Es implizierte ein engagiertes Team von Analysten, das rund um die Uhr Bildschirme im Blick hatte, auf der Suche nach Bedrohungen in der gesamten IT-Umgebung, mit den Menschen, Prozessen und der Technologie, um Vorfälle zu jeder Stunde zu erkennen, einzudämmen und darauf zu reagieren.

Heute wurde der Begriff so weit gedehnt, dass er fast reißt. Ein Anbieter vermarktet ein “SOC”, das rund um die Uhr läuft, mit mehreren Rollen, Threat Hunting und Incident Response. Ein anderer vermarktet ein “SOC”, das Endpoint-Alerts während der Bürozeiten beobachtet und alles Verdächtige per E-Mail weiterleitet. Beide nennen sich dasselbe.

Für jeden, der für Cyberresilienz verantwortlich ist, ob als CISO in einer Mid-Market-Organisation, als IT-Manager bei der Vorbereitung auf NIS2 oder als Vorstandsmitglied, das Risiken abwägt, ist das relevant. Den falschen SOC-Typ zu wählen bedeutet, für Fähigkeiten zu bezahlen, die man nicht bekommt, oder schlimmer noch, zu glauben, geschützt zu sein, obwohl man es nicht ist.

Dieser Leitfaden beantwortet die Fragen, die Käufer tatsächlich stellen, und zwar in der Reihenfolge, in der sie diese üblicherweise stellen. Er erklärt, was ein Security Operations Centre wirklich ist, wie es sich zu dem zunehmend gebräuchlichen Begriff Managed Detection and Response verhält, warum die Definition sich verwässert hat, welche Haupttypen von SOC Sie heute im Markt antreffen, und wie Sie das für Ihr Risiko, Ihre Branche und Ihr Budget passende auswählen.

Ein kurzer Hinweis zu unserer Positionierung vorab: Guardian360 betreibt selbst kein SOC. Wir bieten kontinuierlichen Einblick in die Angriffsfläche und Vulnerability Management, das jedes SOC stärkt, für das sich eine Organisation entscheidet. In diesem Artikel verwenden wir fünf unserer Partner, nämlich NFIR, SLTN, Intermax, Beterbeschermd und Trustteam, als ehrliche Beispiele dafür, wie unterschiedliche SOC-Modelle in der Praxis aussehen. Ziel ist nicht, den einen dem anderen vorzuziehen, sondern Ihnen zu helfen zu erkennen, welches Modell am besten zu Ihrer Situation passt.

## Was ist ein Security Operations Centre eigentlich?

Ein Security Operations Centre ist im Kern die Funktion innerhalb oder außerhalb einer Organisation, die für die kontinuierliche Überwachung, Erkennung, Analyse und Reaktion auf Cyberbedrohungen verantwortlich ist. Es ist eine Kombination aus drei Dingen: Menschen, Prozessen und Technologie. Nehmen Sie eines davon weg, und Sie haben kein SOC mehr.

Die technologische Seite umfasst typischerweise eine Security Information and Event Management (SIEM)-Plattform, die Protokolle aus der gesamten IT-Umgebung zusammenführt, Endpoint Detection and Response (EDR)- oder Extended Detection and Response (XDR)-Tools, Netzwerkerkennungsfähigkeiten und ein Case-Management-System. Zunehmend fügen moderne SOCs Security Orchestration, Automation and Response (SOAR)-Tools, Threat-Intelligence-Feeds und User and Entity Behaviour Analytics (UEBA) hinzu.

Die Prozessseite umfasst Detection Use Cases, Playbooks, Eskalationspfade, Incident-Response-Verfahren, Berichtszyklen und kontinuierliche Verbesserung. Ein SOC ohne dokumentierte Playbooks ist in der Praxis eine Gruppe von Menschen mit Dashboards.

Bei den Menschen scheitern viele “SOCs” im Stillen. Ein echtes SOC verfügt über Analysten auf mehreren Ebenen, typischerweise L1-Triage, L2-Untersuchung, L3-Threat-Hunting und Incident Response. Es verfügt außerdem über Ingenieure, die Erkennungen feinabstimmen, einen SOC-Manager und idealerweise eine Verbindung auf CISO-Ebene zur Kundenorganisation. Es läuft kontinuierlich, denn Angreifer arbeiten nicht von neun bis fünf.

Bietet Ihnen ein Anbieter etwas an, das er ein SOC nennt, lautet der einfachste Test: Wer schaut um drei Uhr an einem Sonntagmorgen zu, was tut diese Person tatsächlich, und welche Befugnis hat sie zu handeln?

## Was ist der Unterschied zwischen einem SOC und Managed Detection and Response?

Die Begriffe “SOC” und “MDR” werden im Markt so austauschbar verwendet, dass es sich lohnt, sie auseinanderzunehmen.

Ein SOC ist die operative Funktion: die Menschen, Prozesse und Technologie, die überwachen, erkennen, analysieren und reagieren. Der Begriff beschreibt eine Fähigkeit, kein bestimmtes kommerzielles Angebot. Eine Organisation kann ihr eigenes SOC betreiben, das SOC eines Anbieters beauftragen oder ein hybrides Modell fahren.

Managed Detection and Response ist die kommerzielle Verpackung, die am häufigsten verwendet wird, um SOC-Fähigkeiten für den Mid-Market zu bündeln. Bei einem MDR-Dienst übernimmt der Anbieter die Verantwortung für das Monitoring-Tooling, oft EDR oder XDR, setzt eigene Analysten und Playbooks auf Ihre Umgebung an und meldet Erkenntnisse und Maßnahmen an den Kunden zurück. In der Praxis wird heute nahezu jeder ausgelagerte SOC-Dienst, der Mid-Market-Organisationen angeboten wird, unter dem Label MDR oder einer engen Variante davon verkauft.

Was das für Käufer bedeutet, ist einfach. Das Label “MDR” sagt Ihnen etwas über das kommerzielle Modell, aber nichts über die Tiefe der Analysten, die Abdeckungszeiten, den Umfang der Erkennung oder die enthaltene Reaktionsbefugnis. Ein 24/7-Spezialist-MDR mit vollständiger Incident Response kann sich stark von einem 5×8-MDR unterscheiden, das nur Endpoints abdeckt; beide werden unter denselben drei Buchstaben verkauft. Die Fragen weiter unten in diesem Artikel sollen genau diesen Unterschied sichtbar machen.

## Warum hat sich der Begriff “SOC” verwässert?

Drei Kräfte haben die Definition auseinandergezogen.

Die erste ist Marketinginflation. Als Cyberbedrohungen auf der Agenda nach oben rückten, wurde “SOC” zu einem Label, das half, Dienstleistungen zu verkaufen. Endpoint-Monitoring mit einem 5×8-Nachverfolgungsdienst wurde als SOC umbenannt. Vulnerability-Management-Dashboards wurden als SOC-Komponenten umbenannt. Wo ein Label verkauft, verbreitet sich das Label.

Die zweite ist die Vielfalt der Anbieter, die in diesen Markt eintreten. Die Unternehmen, die heute SOC-ähnliche Dienste anbieten, kommen von sehr unterschiedlichen Ausgangspunkten. Manche sind reine Cybersicherheitsfirmen, die ihr SOC um Incident Response herum aufgebaut haben. Andere sind Managed-Hosting-Anbieter, die ein Cyber Defence Centre hinzugefügt haben, um ihre eigene Plattform zu schützen, und es dann Kunden angeboten haben. Wieder andere sind breit aufgestellte IT-Integratoren, bei denen Security ein Fachgebiet unter vielen ist. Wieder andere sind regionale Managed-Service-Provider, die erkannt haben, dass ihre KMU-Kunden mehr brauchen als Antivirus und eine Firewall. Jedes dieser Modelle hat seinen Wert, aber es handelt sich nicht um dasselbe Produkt.

Die dritte ist das Fehlen eines einzigen, durchsetzbaren Standards. Es gibt gute Frameworks, darunter MITRE ATT&CK, das SANS-SOC-Funktionsmodell und NIST CSF, aber keine Zertifizierung, die ein Käufer verlangen und als eins-zu-eins-Vergleichsmaßstab vertrauen kann. ISO 27001 und SOC 2 sagen etwas darüber aus, wie eine Organisation mit Informationssicherheit umgeht, zertifizieren aber nicht die operative Tiefe eines SOC.

Das Ergebnis ist ein Markt, in dem dasselbe Wort sehr unterschiedliche Dienstleistungen zu sehr unterschiedlichen Preisen abdeckt. Der Käufer muss das selbst entwirren.

## Was sind die wichtigsten SOC-Typen im heutigen niederländischen Markt?

Betrachtet man die Anbieter, mit denen wir zusammenarbeiten, decken vier grobe Modelle das meiste ab, was Sie antreffen werden. Jedes hat klare Stärken, klare Kompromisse und einen klaren Idealkunden.

### Typ 1: Das reine Cybersicherheits-Spezialisten-SOC

Dies ist das Modell, das der ursprünglichen Definition am nächsten kommt. Das gesamte Geschäft des Anbieters ist Cybersicherheit. Das SOC ist das Herzstück des Betriebs, umgeben von angrenzenden Fähigkeiten wie Penetrationstests, Incident Response, digitaler Forensik und Security-Awareness-Trainings. Analysten sind ausgewiesene Spezialisten, und das Unternehmen verfügt in der Regel über Akkreditierungen, die speziell für Sicherheitsarbeit gelten und nicht allgemein für IT-Dienstleistungen.

[NFIR](https://www.nfir.nl) ist ein klares Beispiel für diesen Archetyp. Das Unternehmen betreibt einen 24/7/365 Managed-Detection-and-Response-Dienst aus dem eigenen SOC, zusammen mit einem Computer Emergency Response Team, das Incident Response übernimmt, einer CCV-zertifizierten Penetrationstest-Praxis und einer digitalen Forensik-Abteilung. Die Mitarbeiter sind formell durch die Polizeiführung überprüft, und das Unternehmen hält ISO- und BSI-Akkreditierungen, die auf den Sicherheitsbereich ausgerichtet sind. Das Angebot ist unkompliziert: Wenn etwas Ernstes passiert, kann dasselbe Unternehmen, das Ihre Umgebung überwacht, den Vorfall auch untersuchen, eindämmen und darüber berichten, einschließlich der forensischen Details, die für Versicherer, Aufsichtsbehörden oder die Strafverfolgung erforderlich sein können.

Die Stärke dieses Modells ist die Tiefe. Der Kompromiss besteht darin, dass ein Kunde mit einer relativ ausgereiften IT-Umgebung vorausgesetzt wird. Das SOC erkennt und reagiert, betreibt aber nicht Ihre breitere IT.

***Beste Eignung:****Organisationen, die bereits über eine kompetente IT-Funktion verfügen, einen spezialisierten Sicherheitspartner wünschen und Wert auf starke Incident-Response- und forensische Fähigkeiten legen. Dies passt typischerweise zu größeren Mid-Market- und Enterprise-Organisationen, Behörden, Bildungseinrichtungen und jeder Branche mit erhöhtem Vorfallsrisiko.*

### Typ 2: Das SOC eingebettet in einen breiten IT-Integrator

In diesem Modell stehen Security und das SOC neben anderen IT-Diensten (Arbeitsplatz, Cloud, Netzwerk, Anwendungen, Daten, Hosting) in einem einzigen Portfolio. Die Stärke des Modells ist Integration: Der Partner, der Ihre Sicherheit überwacht, versteht auch Ihre breitere IT-Landschaft, weil er wahrscheinlich Teile davon aufgebaut hat. Viele dieser Integratoren betreiben auch selbst Hosting- und Private-Cloud-Fähigkeiten, sodass sie unter einem Dach hosten, integrieren und überwachen können.

[SLTN](https://sltn.nl) ist ein gutes Beispiel. Das Unternehmen bezeichnet sich selbst als Partner für “Future-proof IT” und bietet Expertise in Business und IT Professional Services, Digital Workplace, Rechenzentrum, Cloud, Hosting, Netzwerk, KI-Diensten, Datendiensten, Anwendungsdiensten und Cybersicherheit. Entscheidend ist, dass SLTN ein eigenes Rechenzentrum und Private-Cloud-Fähigkeiten betreibt, sodass ein Kunde Security, Arbeitsplatz und gehostete Infrastruktur beim selben Partner unterbringen kann. Ihr Cybersicherheitsangebot ist beratend ausgerichtet: Survival Guides, auf die Organisation zugeschnittene Beratung, wobei das Gesamtbild durchgearbeitet wird, wie Systeme geschützt werden können, während Mitarbeiter ihre Arbeit erledigen können.

Was bei SLTN ebenfalls auffällt, ist die Breite der bedienten Branchen. Während manche Partner in diesem Artikel eng auf ein oder zwei Bereiche fokussiert sind (Intermax im Gesundheitswesen etwa), erstreckt sich der Kundenstamm von SLTN über Gesundheitswesen, Einzelhandel, lokale und zentrale Verwaltung, Finanzwesen, Industrie, Logistik und professionelle Dienstleistungen. Für Mid-Market-Organisationen, deren IT- und Sicherheitsbedürfnisse in einer weniger offensichtlichen Branche liegen, oder für Gruppen, die branchenübergreifend tätig sind, bedeutet diese Breite, dass SLTN selten mit dem regulatorischen Kontext, den branchenspezifischen Anwendungen oder dem operativen Rhythmus des Kundengeschäfts unvertraut ist.

Diese Branchenbreite ist eine andere Art von Stärke als Branchentiefe. Ein Spezialist mit Fokus auf eine einzige Branche bietet tiefes Verständnis für einen bestimmten Satz an Compliance-Frameworks und operativen Feinheiten. Ein branchenübergreifender Integrator wie SLTN bringt dagegen die Fähigkeit mit, Muster über Branchen hinweg zu erkennen und Lehren von der einen auf die andere zu übertragen, was besonders nützlich ist für Organisationen, deren IT-Umgebung mehr als einen Betriebskontext umfasst. Beide Arten von Stärke haben ihren Wert, und die richtige Antwort hängt davon ab, ob Sie Tiefe in einer Branche oder Vertrautheit über mehrere hinweg benötigen.

[Trustteam](https://www.trustteam.eu) ist ein zweites Beispiel mit einer anderen Form. Mit Hauptsitz in den Benelux-Ländern und Büros in den Niederlanden, Belgien, Frankreich und Luxemburg organisiert Trustteam seine Sicherheitspraxis (“Next Gen Security”) ausdrücklich rund um das NIST Cybersecurity Framework: Identify and Protect, Detect and Respond, Recover. Innerhalb der Säule Detect and Respond bieten sie Managed Detection and Response, Network Detection and Response und Endpoint Detection and Response als benannte, verpackte Produkte an, neben kontinuierlichem Monitoring, Analyse und Schadensbegrenzung, Reaktionsplanung, Awareness und Infrastruktursicherheit. Der Integrator agiert über Private Cloud, Public Cloud (Azure) und On-Site-Infrastruktur hinweg, mit einem strukturierten Framework-Ansatz, der zu Käufern passt, die ihre Maßnahmen an ein anerkanntes Modell anlehnen möchten. Für Organisationen mit einer Präsenz in den Benelux-Ländern ist der grenzüberschreitende Charakter des Unternehmens ein bedeutender praktischer Vorteil.

Die Stärke dieses Modells ist Kohärenz. Sie stülpen Security nicht über eine unbekannte IT-Umgebung; derselbe Partner kann Identity, Arbeitsplatz, Cloud, Hosting und Security als ein Programm aufeinander abstimmen. Der Kompromiss besteht darin, dass das SOC möglicherweise nicht so tief geht wie das eines Spezialisten, und die Breite bedeutet, dass die Organisation als Ganzes ihre Aufmerksamkeit auf viele Fachbereiche verteilt.

***Beste Eignung:****Organisationen, die einen Partner wünschen, der gemeinsam Verantwortung für IT und Security übernimmt, insbesondere wenn die IT-Umgebung selbst modernisiert wird. Häufig bei Mid-Market-Organisationen, die eine Transformation von Arbeitsplatz, Cloud oder Netzwerk durchlaufen, sowie bei Benelux-Organisationen, die grenzüberschreitende Präsenz schätzen.*

### Typ 3: Das SOC integriert in eine Managed-Hosting- oder Cloud-Plattform

Hier ist das SOC Teil eines Managed-Hosting- oder Cloud-Sourcing-Dienstes, und diese Hosting-Fähigkeit ist der Schwerpunkt des Unternehmens. Das Kerngeschäft des Anbieters ist der Betrieb von Kundeninfrastruktur, oft im eigenen Rechenzentrum oder als Managed Cloud, wobei Sicherheitsüberwachung direkt in die betriebene Plattform eingewoben ist. Der Unterschied zu Typ 2 liegt in Fokus und Tiefe: Hosting ist die Identität des Unternehmens und nicht eine von vielen Praxen, und die Sicherheitsfähigkeit ist rund um die gehostete Umgebung aufgebaut.

[Intermax](https://www.intermax.nl) ist ein starkes Beispiel. Das in Rotterdam ansässige Cloud-Sourcing-Unternehmen verfügt über ein umfangreiches Portfolio an Zertifizierungen, darunter ISO 27001, ISO 20000, ISO 9001, NEN 7510, ISAE 3402 Typ II und SOC 2. Es ist Microsoft Cloud Service Provider, VMware Service Provider und Fortinet Managed Security Service Provider und betreibt ein Cyber Defence Centre, das moderne Erkennungstools nutzt, darunter Elastic Security mit KI-gestützter Angriffserkennung. Ihre Tiefe im Gesundheitswesen verdient einen eigenen Absatz.

Für Organisationen im Gesundheitswesen ist Intermax in vielerlei Hinsicht eine hervorragende Wahl. Die Kombination aus NEN 7510 (dem niederländischen Informationssicherheitsstandard für das Gesundheitswesen), ISO 27001 und SOC 2, zusammen mit einem bestehenden Kundenstamm, der Krankenhäuser, psychiatrische Einrichtungen und andere Gesundheitseinrichtungen umfasst, bedeutet, dass Intermax die regulatorische Last und die tägliche Realität des Hostings von Patientendossiers und anderen klinischen Anwendungen bereits versteht. Ihr Managed-HiX-Angebot ist ein Beispiel für diese Tiefe. Für eine niederländische Gesundheitsorganisation ist die Wahl zwischen einem Hosting-Partner, der gelegentlich mit klinischen Systemen gearbeitet hat, und einem, dessen Geschäft darum herum aufgebaut ist, selten eine schwierige Entscheidung. Intermax gehört eindeutig zur zweiten Gruppe, weshalb das Unternehmen ein besonders starker SOC-Partner für jede Organisation im niederländischen Gesundheitswesen ist.

Die Stärke dieses Modells besteht darin, dass Security “eingebaut” ist. Die Hosting-Plattform und das SOC teilen sich dasselbe Engineering-Team, dieselbe Telemetrie und dieselben Compliance-Nachweise. Der Kompromiss besteht darin, dass Sie sich sowohl auf ein Hosting-Modell als auch auf ein SOC einlassen; wenn Sie Ihre IT unabhängig betreiben und nur Monitoring beauftragen möchten, ist dies nicht die passende Form.

***Beste Eignung:****regulierte Branchen wie Gesundheitswesen, Finanzwesen und öffentlicher Sektor, sowie Organisationen, die ihr Hosting und ihre Security an einen hochzertifizierten Anbieter auslagern möchten. Besonders stark für das niederländische Gesundheitswesen angesichts der Tiefe des NEN-7510-Nachweises und der Erfahrung mit klinischen Anwendungen.*

### Typ 4: Das SOC auf MSP-Niveau, einschließlich SOC-Diensten für andere MSPs

Das vierte Modell ist in den letzten Jahren rasant gewachsen. Regionale Managed-Service-Provider, die bereits die tägliche IT für KMU- und Mid-Market-Kunden liefern, haben SOC-Dienste aufgebaut oder Partnerschaften dafür geschlossen, die für Organisationen zugänglich sind, die einen Enterprise-Vertrag nie rechtfertigen könnten. Ein bedeutender Subtrend ist inzwischen sichtbar: Eine Reihe dieser Unternehmen positioniert ihre SOC-Fähigkeit bewusst als Dienst, den andere MSPs nutzen können, statt nur die eigenen Kunden.

[Beterbeschermd](https://www.beterbeschermd.com) ist ein klares Beispiel. Das Unternehmen entstand innerhalb des in Noord-Holland ansässigen MSP BEEREPOOT, wo es den bestehenden MSP-Kundenstamm bedient, ist aber bewusst als separate Marke und Betrieb positioniert, der seine SOC-Fähigkeit anderen MSPs und deren Endkunden anbieten kann. Das Team kombiniert SOC-Operatoren mit einer Cybersecurity-Officer-Rolle, die Risikoanalyse, Audits, Awareness-Trainings, NIS2- und ISO-27001-Beratung sowie Compliance-Unterstützung übernimmt. Für einen MSP, der nicht die Größenordnung hat, um ein eigenes SOC aufzubauen, ist die Partnerschaft mit einem gleichgesinnten MSP, der bereits eines aufgebaut hat, sowohl geschäftlich als auch kulturell oft praktikabler als eine Partnerschaft mit einem großen Enterprise-Spezialisten.

Die Stärke dieses Modells ist Zugänglichkeit und kultureller Fit. Kleinere Organisationen erhalten Monitoring, Awareness-Trainings und Compliance-Beratung in einer einzigen Beziehung zu einem Preis, der mit ihrer Größe skaliert, und MSPs ohne eigenes SOC können ihren Kunden eines anbieten, ohne die Investition in Millionenhöhe. Der Kompromiss besteht darin, dass die Tiefe der forensischen und Threat-Hunting-Fähigkeiten möglicherweise nicht an einen reinen Spezialisten heranreicht, und dass der geografische Fußabdruck des Partners auf eine Weise wichtig ist, die bei einem landesweiten Spezialisten keine Rolle spielt.

***Beste Eignung:****KMU und Organisationen im unteren Mid-Market-Segment, deren IT über eine MSP-Beziehung läuft, sowie MSPs selbst, die ihren Kunden SOC-Fähigkeiten anbieten möchten, ohne sie von Grund auf neu aufzubauen.*

## Welchen SOC-Typ benötigen Sie also?

Die ehrliche Antwort ist, dass es von fünf Faktoren abhängt, ungefähr in dieser Reihenfolge.

**Risikoprofil.** Was ist das realistische Worst-Case-Szenario? Eine Organisation, die Patientendaten, Zahlungsdaten oder kritische Infrastruktur verwaltet, hat ein anderes Worst-Case-Szenario als ein B2B-Dienstleister. Je höher Ihr Worst-Case-Szenario, desto mehr Tiefe an Erkennungs- und Reaktionsfähigkeit benötigen Sie.

**Regulatorischer Druck.** NIS2, die DSGVO/GDPR, branchenspezifische Vorschriften wie NEN 7510 oder DigiD sowie vertragliche Verpflichtungen von Kunden treiben die Anforderungen alle nach oben. Manche der oben genannten SOC-Typen bringen Compliance-Nachweise mit, die sich nur schwer auf andere Weise aufbauen lassen.

**Interne IT-Reife.** Ein spezialisiertes SOC setzt voraus, dass Sie auf seine Erkenntnisse reagieren können. Ist Ihre interne IT-Funktion klein oder überlastet, ist ein integriertes Modell (entweder mit einem IT-Integrator oder einem MSP) praktikabler als eine Spezialistenbeziehung, die Ihnen einen Strom an Alerts liefert, für den Sie keine Ressourcen haben.

**Bestehende IT-Beziehungen.** Wenn Sie einem MSP oder Integrator bereits Ihre IT anvertrauen, reduziert es Reibung, Ihr SOC in dieselbe Beziehung zu legen. Haben Sie eine starke interne IT-Funktion und wünschen ein spezialisiertes Gegenüber, bietet Ihnen ein reines Spezialisten-SOC die größte Tiefe.

**Budget.** Ein 24/7-Spezialisten-SOC kostet nicht dasselbe wie ein 5×8-Monitoring-Zusatz. Seien Sie klar darüber, was Sie bereit sind auszugeben, und seien Sie ehrlich gegenüber Anbietern, wenn Sie um Angebote bitten.

## Welche Fragen sollten Sie einem SOC-Anbieter stellen?

Eine kurze, nützliche Checkliste, wenn Sie Anbieter bewerten, egal ob sie in eines der vier oben genannten Modelle fallen oder in ein völlig anderes.

**Zeiten.** Ist die Überwachung 24/7/365, 5×8 mit Bereitschaftsdienst, oder etwas anderes? Wer ist um drei Uhr am Sonntagmorgen wach, und wozu ist diese Person ohne Ihre Beteiligung befugt?

**Umfang.** Was genau wird überwacht? Nur Endpoints? Endpoints, Identity und E-Mail? Cloud-Workloads? Betriebstechnologie (OT)? On-Premise-Server und Netzwerk? Je weiter der Umfang reicht, desto bedeutsamer ist das SOC.

**Erkennung.** Welche Tools stehen hinter dem Dienst? SIEM und EDR sind die Basis; fragen Sie nach XDR, NDR, Identity Threat Detection, Cloud Posture Monitoring und Threat-Intelligence-Feeds. Fragen Sie, wie Erkennungsregeln abgestimmt und wie oft sie überprüft werden.

**Menschen.** Wie viele Analysten, auf welchen Ebenen, und wo sitzen sie? Wird die Nachtschicht intern oder extern besetzt? Wie sieht die Rotation aus, und wie wird Ermüdung gesteuert? Wer ist Ihr benannter Senior-Ansprechpartner?

**Reaktion.** Was tut das SOC tatsächlich, wenn ein Vorfall eintritt? Nur alarmieren und stoppen? Einen Host eindämmen? In Ihre Umgebung eingreifen und handeln? Welche Befugnis hat das SOC, und wie wird diese Befugnis getestet?

**Incident-Response-Retainer.** Gibt es ein garantiertes Reaktionsfenster für schwerwiegende Vorfälle? Ist forensische Fähigkeit Teil des Angebots oder separat vertraglich geregelt? Kann das SOC Berichte erstellen, die für Versicherer, Aufsichtsbehörden und, falls nötig, die Strafverfolgung verwendbar sind?

**Compliance.** Welchen Standards entspricht das SOC selbst? Kann der Anbieter Nachweise liefern, die Ihre eigenen Audits unterstützen, unter anderem für ISO 27001, NEN 7510, NIS2-Bereitschaft, SOC 2 oder ISAE 3402?

**Berichterstattung und Transparenz.** Was erhalten Sie jede Woche, jeden Monat, jedes Quartal? Sehen Sie die zugrunde liegenden Erkennungen und Maßnahmen, oder nur Zusammenfassungen? Gibt es ein Portal? Sind Tabletop-Übungen und Threat-Hunting-Erkenntnisse enthalten?

**Passung und Ausstieg.** Wie integriert sich das SOC mit Ihren bestehenden Tools, etwa Ihrem Ticketsystem, Identity-Provider und Cloud-Konten? Wenn Sie jemals wechseln möchten, wie übertragbar sind Ihre Erkennungsinhalte und Ihre Historie?

## Was sind die häufigsten Fallstricke bei der Auswahl eines SOC?

Eine Handvoll Fehler wiederholt sich immer wieder am Markt.

Der erste ist, allein nach Preis einzukaufen. Ein “SOC”, das ein Viertel des marktüblichen Preises kostet, leistet fast sicher ein Viertel der Arbeit. Die Arbeit, die nicht geleistet wird, ist meist genau der Teil, den Sie am dringendsten brauchen, wenn etwas schiefgeht.

Der zweite ist, Tooling mit einem Dienst zu verwechseln. Ein SIEM ist kein SOC. EDR ist kein SOC. Ein Dashboard mit Alerts ist kein SOC. Ohne die Analysten und die Playbooks erzeugt das Tooling nur Rauschen.

Der dritte ist, die Reaktion nicht zu testen. Viele Organisationen unterzeichnen einen SOC-Vertrag und führen nie eine Tabletop-Übung durch, um zu sehen, was tatsächlich passiert, wenn ein Vorfall gemeldet wird. Der erste Belastungstest der Beziehung sollte nicht der Tag sein, an dem ein echter Vorfall eintritt.

Der vierte sind überlappende Zuständigkeiten und unklare Eskalation. Wenn das SOC, der MSP, das interne IT-Team und der Cloud-Anbieter alle glauben, dass jemand anders ein bestimmtes System überwacht, überwacht es niemand. Klären Sie die Zuständigkeiten, bevor Sie unterschreiben.

Der fünfte ist, einen langen Vertrag ohne Ausstiegsplan zu unterzeichnen. Fragen Sie schon am ersten Tag, was mit Ihren Erkennungsinhalten, Ihren historischen Alerts und Ihren Falldaten geschieht, falls Sie jemals gehen möchten.

## Ein kurzes Framework zur Auswahl Ihres SOC

Fasst man das Vorstehende zusammen, sieht eine praktische Abfolge zur Auswahl eines SOC so aus.

Beginnen Sie damit zu definieren, was Sie schützen und vor wem. Kartieren Sie Ihre kritischsten Assets, Ihre Worst-Case-Szenarien und die geltenden regulatorischen Regime. Seien Sie konkret.

Entscheiden Sie, was Sie intern behalten und was Sie auslagern möchten. Die beiden Extreme (vollständig internes SOC gegenüber vollständig ausgelagert) sind für Mid-Market-Organisationen selten die richtige Antwort. Ein hybrides Modell, bei dem das SOC die kontinuierliche Erkennung übernimmt und Ihr Team Richtlinien, Risiko und die strategische Beziehung behält, ist meist am praktikabelsten.

Legen Sie ein realistisches Budget fest. Branchenbenchmarks für ausgelagerte SOC-Dienste im niederländischen Markt liegen je nach Umfang und Zeiten in einer breiten Spanne. Erwarten Sie kein 24/7-Monitoring auf Enterprise-Niveau zu KMU-Preisen, und zahlen Sie keine Enterprise-Preise für eine Abdeckung auf KMU-Niveau.

Erstellen Sie eine Shortlist nach SOC-Typ, nicht nach Namen. Entscheiden Sie, ob Sie einen Spezialisten, einen Integrator, eine hosting-geführte Plattform oder einen MSP-geführten Dienst benötigen, und suchen Sie dann nach dem stärksten Anbieter in dieser Kategorie.

Stellen Sie die oben genannten Fragen schriftlich und vergleichen Sie die Antworten. Bieten zwei Anbieter “denselben” Dienst zu sehr unterschiedlichen Preisen an, erklären die Antworten auf diese Fragen meist, warum.

Holen Sie schließlich Referenzen ein. Fragen Sie aktuelle Kunden, was während ihres letzten echten Vorfalls geschah, nicht während ihrer letzten erfolgreichen Erkennung. Die Lücke zwischen den beiden Antworten ist aufschlussreich.

## Wo Guardian360 hineinpasst

Wir betreiben kein SOC. Wir haben uns bewusst aus diesem Markt herausgehalten, weil wir glauben, dass ein gesundes SOC-Ökosystem dem Kunden mehr nützt als ein einzelner dominanter Anbieter. Was wir tun, ist, einen Schritt früher in der Kette zu stehen.

Ein SOC ist am wirksamsten, wenn die überwachte Umgebung gut verstanden ist und die grundlegenden Angriffsflächen bereits geschlossen wurden. Guardian360 bietet kontinuierlichen Einblick in Ihre Angriffsfläche und Schwachstellen, sodass das SOC, unabhängig vom gewählten Modell, seine Zeit auf echte Bedrohungen verwendet, statt Rauschen von Fehlkonfigurationen und ungepatchten Systemen hinterherzujagen.

Wenn Sie eine SOC-Entscheidung abwägen und ein objektives Gespräch darüber wünschen, welches der vier oben genannten Modelle zu Ihrer Organisation passt, führen wir dieses gerne. Wir können Sie auch mit dem passenden Partner (NFIR, SLTN, Intermax, Beterbeschermd, Trustteam oder anderen in unserem Netzwerk) in Kontakt bringen, je nachdem, was Sie tatsächlich benötigen.

Das richtige SOC ist dasjenige, das zu Ihrem Risiko, Ihrer IT-Reife, Ihrer Branche und Ihrem Budget passt. Es ist nicht zwangsläufig das größte, das günstigste oder dasjenige, das als Erstes auf Ihre Anfrage reagiert hat. Mit dem obigen Framework sollte die Entscheidung zumindest eine vollständig informierte sein.