Kurzdefinition: Ein SOC (Security Operations Center) ist die organisatorische Einheit — Menschen, Prozesse und Technik —, die Sicherheitsereignisse möglichst rund um die Uhr überwacht, bewertet und auf Angriffe reagiert. Es macht aus Erkennungstechnik wie einem SIEM gelebte, kontinuierliche Verteidigung.
Was ist ein SOC?
Die zentrale Stelle für Überwachung und Reaktion. Analysten sichten Alarme, bewerten Vorfälle, leiten Gegenmaßnahmen ein und koordinieren die Reaktion — idealerweise rund um die Uhr.
Warum reicht Technik ohne SOC nicht?
Weil Werkzeuge nur Alarme liefern. Erst Menschen entscheiden, was ein echter Angriff ist und was zu tun ist. Ohne SOC verpuffen die Alarme des SIEM.
Muss ein SOC intern sein?
Nein. Viele Unternehmen beziehen SOC-Leistungen von einem MSSP. Entscheidend ist die Rund-um-die-Uhr-Fähigkeit und die klare Anbindung an die eigene Organisation.
Wie hängt das SOC mit Incident Response zusammen?
Das SOC erkennt und triagiert; die Incident Response bewältigt den bestätigten Vorfall. Beide greifen ineinander und teilen sich oft Personal und Prozesse.
Was macht ein SOC wirksam?
Gute Erkennungsregeln, aktuelle Bedrohungsinformationen, geübte Abläufe und schnelle Eskalationswege. Ein SOC ist so gut wie seine Prozesse und Menschen.
Häufige Fehlannahmen
- „Ein SIEM ersetzt das SOC.“ Nein. Das SOC bearbeitet die Alarme.
- „Ein SOC muss immer intern sein.“ Nein. Es kann ausgelagert werden.
- „Ein SOC arbeitet nur zu Bürozeiten.“ Wirksam ist es rund um die Uhr.
- „Ein SOC ist nur für Großkonzerne.“ Nein — als Dienstleistung auch für kleinere.
- „Mit einem SOC ist man unangreifbar.“ Nein. Es verkürzt Erkennungs- und Reaktionszeit, nicht mehr.
Was die Geschäftsleitung tun sollte
- Überwachung sichern. Erkennung rund um die Uhr organisieren.
- Reaktion anbinden. SOC mit Incident Response verzahnen.
- Optionen prüfen. Internes SOC oder MSSP abwägen.
- Prozesse üben. Eskalation und Reaktion trainieren.
Für die Geschäftsleitung
Ein SOC macht aus Erkennungstechnik gelebte Verteidigung: Menschen, die Alarme bewerten und rund um die Uhr reagieren. Ob intern oder als Dienst — entscheidend ist die durchgängige Fähigkeit, Angriffe früh zu erkennen und schnell zu handeln.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
