SOC — Sicherheits-Leitstand / Security Operations Center

Ein SOC ist die Kombination aus Menschen, Prozessen und Technik, die Sicherheitsereignisse kontinuierlich überwacht, Vorfälle erkennt, bewertet und die Reaktion steuert. Es ist der organisatorische Ort, an dem aus SIEM-Alarmen tatsächliche Entscheidungen und Gegenmaßnahmen werden. Maßgebliche Kennzahlen sind die mittlere Zeit bis zur Erkennung (MTTD) und bis zur Reaktion (MTTR).

Historie. Das SOC entwickelte sich konzeptionell aus dem Network Operations Center (NOC) der 1990er-Jahre, das zunächst Verfügbarkeit überwachte. Mit professionalisierten Angreifern wurde aus Verfügbarkeits- eine Sicherheitsüberwachung. Etabliert hat sich ein gestuftes Analystenmodell — Triage in Tier 1, Untersuchung in Tier 2, Threat Hunting und Forensik in Tier 3. Fakten. Ein wirksames SOC braucht mehr als ein Dashboard: definierte Playbooks, eine gepflegte Quellen- und Use-Case-Basis, Bedrohungsaufklärung und eine klare Eskalationskette. Der Dauerbetrieb rund um die Uhr ist personell anspruchsvoll und teuer, weshalb sich SOC-as-a-Service als Betriebsmodell durchgesetzt hat. Die laut Branchenstudien oft monatelange Verweildauer von Angreifern im Netz zeigt, was ein SOC adressieren soll: nicht das einzelne Tool, sondern die Lücke zwischen Kompromittierung und Entdeckung. Ausblick & Empfehlung. KI-gestützte Anomalieerkennung verschiebt Tier-1-Arbeit zunehmend in die Automatisierung, ersetzt aber die menschliche Entscheidung im Ernstfall nicht. Für die meisten mittelständischen Einrichtungen ist ein eigenes 24/7-SOC weder wirtschaftlich noch personell tragbar — der Betrieb über einen spezialisierten Partner ist hier die Regel. Bei NEOSEC entspricht diese Stufe der höchsten XIEM-Ausbaustufe, Command.

Auch interessant