Die meisten Angriffe beginnen leise: eine übernommene Anmeldung, ein neues Administratorkonto, ein ungewöhnlicher Datenabfluss am Wochenende. Technisch werden viele dieser Schritte protokolliert. Das Problem ist, dass niemand hinschaut, wenn es passiert. Ransomware-Gruppen schlagen gezielt nachts, an Feiertagen und am Wochenende zu, weil sie wissen, dass dann die IT-Abteilung nicht im Dienst ist. Ein Managed SOC überwacht Ihre IT rund um die Uhr, bewertet Auffälligkeiten mit erfahrenen Analysten und reagiert, bevor aus einem Angriffsversuch ein kompletter Stillstand wird. Für die meisten mittelständischen Unternehmen ist dies der realistischste Weg zu einer 24/7-Überwachung.
Was ein Managed SOC ist
Ein Security Operations Center (SOC) ist ein Team, das Sicherheitsereignisse überwacht, bewertet und darauf reagiert. Bei einem Managed SOC betreibt ein spezialisierter Dienstleister dieses Team für Sie, rund um die Uhr, an 365 Tagen im Jahr.
Die Grundlage sind Protokolldaten aus Ihrer gesamten Umgebung: Endgeräte, Server, Firewalls, Cloud-Dienste wie Microsoft 365 und Ihr Active Directory. In einem SIEM werden diese Daten gesammelt und mit Erkennungsregeln verknüpft. Erst die Verknüpfung macht aus vielen harmlosen Einzelereignissen ein erkennbares Angriffsmuster.
Der entscheidende Schritt ist der Mensch in der Mitte. Ein Werkzeug erzeugt Alarme, aber erst ein Analyst entscheidet, ob es sich um einen echten Angriff handelt und leitet die passende Reaktion ein. Jeder Fehlalarm fließt zurück in die Regeln, damit die Erkennung mit der Zeit präziser wird.
Eigenes SOC oder Managed SOC?
Ein eigenes 24/7-SOC bindet Personal, Zeit und Kapital. Die reale Alternative im Mittelstand ist oft: Die IT überwacht nebenbei, mit blinden Flecken außerhalb der Geschäftszeiten. Der Probebetrieb zeigt, welcher Weg wirklich passt, bevor in eine langfristige Lösung investiert wird.
| Kriterium | Eigenes SOC | Managed SOC (MSSP) |
|---|---|---|
| Personalaufwand* | 6–8 Vollzeitkräfte (Schichtbetrieb) | Gering, ein interner Ansprechpartner |
| Technologieabdeckung | SIEM und EDR separat beschaffen und integrieren | SIEM und EDR aus einer Hand betrieben, herstellerunabhängig |
| Aufbauzeit* | 12–24 Monate | 1–5 Monate |
| 24/7-Abdeckung | Schwer realisierbar | Standard inklusive |
| Reaktionszeit | Abhängig von Personalverfügbarkeit | SLA-basiert, vertraglich zugesichert |
| Investitionsrisiko | Hoch (Capex-lastig) | Planbar (Opex-Modell) |
| Audit-Unterstützung | Eigenleistung | Inklusive |
| Skalierbarkeit | Begrenzt durch Personal | Flexibel anpassbar |
Fazit: Ein eigenes 24/7-SOC mit SIEM und EDR erfordert typischerweise 6–8 Spezialisten und 12–24 Monate Aufbauzeit.* Ein Managed SOC liefert schnelle Absicherung. Planbar, skalierbar und audit-erprobt.
* Richtwerte auf Basis einschlägiger Branchenstudien (u. a. SANS SOC Survey) und ujima-Projekterfahrung.
Managed SOC und NIS-2
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Betroffen sind wichtige Einrichtungen ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme in den regulierten Sektoren, besonders wichtige Einrichtungen ab 250 Beschäftigten.
Drei Pflichten aus dem geänderten BSI-Gesetz hängen direkt mit der Überwachung zusammen:
Vorfallsbewältigung (§ 30 BSIG): Unternehmen müssen Sicherheitsvorfälle erkennen und bewältigen können. Ohne Überwachung gibt es keine Erkennung.
Meldepflicht (§ 32 BSIG): Ein erheblicher Vorfall muss spätestens 24 Stunden nach Kenntnis gemeldet werden, nach 72 Stunden folgt eine Meldung mit erster Bewertung, nach einem Monat der Abschlussbericht. Diese Fristen sind nur einzuhalten, wenn ein Vorfall schnell erkannt und sauber dokumentiert wird.
Verantwortung der Geschäftsleitung (§ 38 BSIG): Die Leitung muss die Maßnahmen umsetzen, überwachen und sich regelmäßig schulen lassen. Die Umsetzung lässt sich delegieren, die Verantwortung nicht.
Ein Managed SOC nimmt Ihnen diese Pflichten nicht ab. Es liefert aber genau das, was für sie nötig ist: Erkennung rund um die Uhr, eine belastbare Bewertung im Ernstfall und Berichte, mit denen die Geschäftsleitung ihre Überwachungspflicht nachweisen kann.
Sieben Fragen an jeden Anbieter
- Welche Quellen werden überwacht? Nur Endgeräte oder auch Server, Netzwerk, Cloud-Dienste und das Active Directory?
- Wer sitzt nachts am Bildschirm? Echte Analysten im Schichtbetrieb oder eine Rufbereitschaft, die erst geweckt werden muss?
- Wie schnell wird reagiert? Welche Reaktionszeiten sind vertraglich zugesichert und was darf der Anbieter selbst tun, etwa ein Konto sperren oder ein Gerät isolieren?
- Wo werden die Daten verarbeitet? In Deutschland oder der EU und wer hat Zugriff darauf?
- Wie herstellerunabhängig ist der Dienst? Lässt sich Ihre vorhandene Sicherheitstechnik anbinden oder müssen Sie die Produkte des Anbieters kaufen?
- Was bekommt die Geschäftsleitung zu sehen? Verständliche Berichte, die als Nachweis für NIS-2 taugen oder nur technische Tickets?
- Können Sie den Dienst vorher testen? Ein Probebetrieb mit Ihren eigenen Daten zeigt mehr als jede Präsentation.
Fazit
Angriffe lassen sich nicht immer verhindern, aber fast immer früh erkennen. Entscheidend ist, dass jemand hinschaut, auch nachts um drei. Für die meisten mittelständischen Unternehmen ist ein Managed SOC der wirtschaftlichste Weg dorthin und unter NIS-2 wird diese Fähigkeit zur Pflicht.
Das ujima Security Operations Center in Frankfurt überwacht Endgeräte, Server, Netzwerk, Cloud und Identitäten rund um die Uhr und reagiert im Ernstfall sofort.
Sprechen Sie uns gerne für ein unverbindliches Erstgespräch an.
