Firewalls, Zugriffsschutz, Endpoint Security und Schulungen sind und bleiben unverzichtbar. Sie senken die Wahrscheinlichkeit eines erfolgreichen Cyberangriffs erheblich, k\u00f6nnen ihn aber nicht g\u00e4nzlich verhindern und sind nur die erste Verteidigungslinie. Ein Security Operations Center (SOC) hingegen ist keine weitere Schutzmauer, sondern erg\u00e4nzt die Pr\u00e4vention um die entscheidenden Phasen Detektion, Bewertung und Reaktion \u2013 denn kritisch wird ein Vorfall erst dann, wenn ein Angreifer unbemerkt zus\u00e4tzliche Rechte erlangt, zentrale Systeme kompromittiert und gesch\u00e4ftskritische Prozesse wie Produktion oder Lieferf\u00e4higkeit beeintr\u00e4chtigt.<\/p>\n
Damit ein SOC Sicherheitsrisiken richtig einordnen und Ma\u00dfnahmen priorisieren kann, muss zun\u00e4chst der Gesch\u00e4ftskontext hergestellt werden. Nicht jedes System ist f\u00fcr die Wertsch\u00f6pfung gleich wichtig, und nicht jedes auff\u00e4llige Ereignis verlangt dieselbe Reaktion. Ausgangspunkt ist die Prozesskette des Unternehmens: vom Einkauf \u00fcber Lagerlogistik und Produktion bis zur Auslieferung und Abrechnung. Dabei gilt es zu kl\u00e4ren, welche Anwendungen und Infrastrukturen unverzichtbar sind, welche Abh\u00e4ngigkeiten bestehen und \u00fcber welche Zugangspunkte ein Angreifer gesch\u00e4ftlichen Schaden verursachen k\u00f6nnte.<\/p>\n
Business-Impact-Analysen, ein Risikoregister oder ein Informationssicherheitsmanagementsystem (ISMS) liefern daf\u00fcr die Grundlage. Erg\u00e4nzend dazu verarbeiten cloudbasierte Plattformen f\u00fcr Security Information and Event Management (SIEM) gro\u00dfe Mengen an Logdaten. Doch mehr Daten bedeuten nicht automatisch mehr Sicherheit. Entscheidend ist der Detektionsnutzen: Wo muss ein Angriff m\u00f6glichst fr\u00fch sichtbar werden, weil dahinter ein kritischer Gesch\u00e4ftsprozess liegt? Ein technisch auff\u00e4lliger, aber weitgehend isolierter Server kann weniger relevant sein als ein unscheinbarer Zugangspunkt, \u00fcber den ein Angreifer zentrale Identit\u00e4ten oder Produktionssysteme erreicht.<\/p>\n
Nicht jede technisch m\u00f6gliche Reaktion ist auch die wirtschaftlichste. Wird etwa ein zentrales ERP-System vorschnell isoliert, kann der ausgel\u00f6ste Produktionsstillstand gr\u00f6\u00dferen Schaden verursachen als der Angriff selbst. Ein SOC muss Vorf\u00e4lle deshalb im Gesch\u00e4ftskontext bewerten und jeweils die Reaktion empfehlen, die den Gesamtschaden m\u00f6glichst gering h\u00e4lt. Damit solche Abw\u00e4gungen nicht erst unter Zeitdruck stattfinden, m\u00fcssen Reaktionsoptionen, Zust\u00e4ndigkeiten und Eskalationswege im Vorfeld festgelegt werden.<\/p>\n
Das bildet die Grundlage daf\u00fcr, dass die entscheidenden Sekunden nach einem Alarm optimal genutzt werden k\u00f6nnen. \u201eDie Unternehmen haben meist nicht zu wenig Sicherheitsinformationen. Die Herausforderung besteht darin, diese Flut schnell in gesch\u00e4ftsrelevante Entscheidungen zu \u00fcbersetzen\u201c, sagt Jean-Christoph von Oertzen, Cybersecurity Consultant bei OEDIV<\/a>. Denn nicht jeder Alarm ist gleich kritisch \u2013 die Bewertung im Kontext der eigenen Wertsch\u00f6pfungskette macht den Unterschied.<\/p>\n Ein aktueller Anwendungsfall aus der Fertigungsindustrie zeigt die Abh\u00e4ngigkeiten deutlich: Einkauf, Lagerlogistik, Produktion, Auslieferung und Abrechnung sind \u00fcber die IT miteinander verkn\u00fcpft. Dringt ein Angreifer in diese Umgebung ein, kann sich ein zun\u00e4chst begrenzter Vorfall bis in gesch\u00e4ftskritische Teile der Wertsch\u00f6pfung ausbreiten. Um dieses Risiko zu begrenzen, l\u00e4sst das Unternehmen seine IT- und Produktionsumgebung vom SOC des IT-Dienstleisters OEDIV rund um die Uhr \u00fcberwachen. Ziel ist es, sicherheitsrelevante Ereignisse fr\u00fch zu erkennen, einzuordnen und Gegenma\u00dfnahmen einzuleiten, bevor kritische Prozesse beeintr\u00e4chtigt werden.<\/p>\n Der 24\u00d77-Betrieb eines SOC ist aufwendig. Nach Angaben von OEDIV sind mindestens acht qualifizierte Mitarbeiter erforderlich \u2013 ohne Reserven f\u00fcr Urlaub, Krankheit oder Weiterbildung. Diese Analysten sind begehrte Spezialisten, die nicht ohne Weiteres gewonnen werden k\u00f6nnen. Als Alternative bietet das Unternehmen SOC as a Service an, zu dem kontinuierliches Monitoring, die Bewertung von Sicherheitsereignissen und regelm\u00e4\u00dfige Berichte geh\u00f6ren.<\/p>\n K\u00fcnstliche Intelligenz und Machine Learning unterst\u00fctzen die Analysten bei Mustererkennung, Korrelation und Aufbereitung. Die Bewertung des Risikos und die Verantwortung f\u00fcr einschneidende Entscheidungen bleiben jedoch beim Menschen. \u201eWir versprechen nicht, dass Angriffe verschwinden. Aber je fr\u00fcher wir einen Angriff erkennen, desto mehr l\u00e4sst sich der Schaden minimieren\u201c, erl\u00e4utert von Oertzen. Die menschliche Expertise ist hier unersetzlich \u2013 sie stellt sicher, dass die technische Detektion in gesch\u00e4ftsrelevante Handlungen \u00fcbersetzt wird.<\/p>\n Die Zusammenarbeit mit einem externen SOC beginnt mit der gemeinsamen Identifikation kritischer Gesch\u00e4ftsprozesse, der Priorisierung relevanter Angriffsszenarien und der Festlegung, wo Detektionsma\u00dfnahmen zuerst greifen m\u00fcssen. Zugleich werden Ansprechpartner, Erreichbarkeiten und m\u00f6gliche Reaktionen vereinbart. Daraus entstehen verbindliche Alarmbeschreibungen und Eskalationswege. Da sich Unternehmen und ihre IT-Landschaften ver\u00e4ndern, setzt ein guter Dienstleister auf einen festen Ansprechpartner, der die Infrastruktur und Gesch\u00e4ftsprozesse des Kunden kennt und die \u00dcberwachung kontinuierlich weiterentwickelt.<\/p>\nPr\u00e4vention endet am Restrisiko<\/h2>\n
Eigenes SOC: F\u00fcr viele Mittelst\u00e4ndler eine Nummer zu gro\u00df<\/h2>\n
Am Anfang sind die \u201cHausaufgaben\u201d zu machen<\/h2>\n
NIS2: Abwarten wird zum Gesch\u00e4ftsrisiko<\/h2>\n