MDR und Managed SOC versprechen professionelle Cyberabwehr. Doch für Unternehmen ist weniger der Name des Services entscheidend als die Frage, wer im Ernstfall analysiert, entscheidet und handelt. Ein Kriterienkatalog hilft bei der Auswahl.
02:17 Uhr. Der Alarm geht ein.
Ein Benutzerkonto zeigt ungewöhnliche Aktivitäten. Wenige Augenblicke später meldet das Security-System einen auffälligen Endpoint. Möglicherweise versucht jemand, sich im Netzwerk auszubreiten. Vielleicht handelt es sich aber auch um einen Fehlalarm. Die entscheidenden Fragen beginnen erst jetzt: Wer korreliert die Ereignisse, bewertet ihre Kritikalität und entscheidet über Gegenmaßnahmen? Und wer ist technisch und organisatorisch befugt, das Konto zu sperren oder den Endpoint zu isolieren?
Ein erkannter Angriff ist noch kein abgewehrter Angriff. Das gilt gerade außerhalb der üblichen Geschäftszeiten. Ein Service kann rund um die Uhr Warnmeldungen empfangen. Das bedeutet jedoch nicht automatisch, dass qualifizierte Analysten den Vorfall ebenso rund um die Uhr untersuchen und eindämmen.
Nicht das Label entscheidet
Managed Detection and Response, kurz MDR, konzentriert sich typischerweise auf die Erkennung, Analyse und Bearbeitung von Bedrohungen. Ein Managed Security Operations Center kann darüber hinaus unterschiedliche Security-Systeme überwachen, Ereignisse korrelieren sowie Threat Hunting, Reporting, Beratung und kontinuierliche Optimierung übernehmen.
In der Praxis werden beide Begriffe jedoch nicht einheitlich verwendet. Ein umfangreicher MDR-Service kann mehr operative Verantwortung übernehmen als ein Angebot, das als Managed SOC vermarktet wird. Die Bezeichnung allein verrät deshalb wenig über die tatsächliche Leistung.
Aussagekräftiger als das Service-Label ist die Verantwortungskette vom eingehenden Signal bis zur abgeschlossenen Nachbereitung: Welche Daten werden korreliert, nach welchen Kriterien wird ein Incident priorisiert, welche Gegenmaßnahmen sind freigegeben und wie fließen die Erkenntnisse anschließend in Erkennungsregeln und Konfigurationen zurück?
Was passiert nach dem Alarm?
Um 02:17 Uhr muss zunächst geklärt werden, ob einzelne Warnmeldungen zusammengehören und tatsächlich auf einen Angriff hindeuten. Darauf folgen Bewertung und Priorisierung. Erst dann lässt sich entscheiden, ob das betroffene Konto deaktiviert, der Endpoint isoliert oder weiterer Netzwerkverkehr eingeschränkt werden sollte.
Der entscheidende Unterschied zwischen Angeboten liegt häufig an dieser Stelle. Manche Services informieren lediglich einen Ansprechpartner. Andere liefern zusätzlich eine Handlungsempfehlung. Weitergehende Modelle dürfen zuvor vereinbarte Maßnahmen eigenständig ausführen.
Damit wird die Reaktionstiefe zum wichtigen Auswahlkriterium. Was nützt ein 24/7-Monitoring, wenn nachts niemand handeln kann? Unternehmen und Provider sollten vorab festlegen, für welche Situationen eine Freigabe erforderlich ist und wann der Dienstleister unmittelbar reagieren darf. Das NIST empfiehlt ausdrücklich, Rollen, Befugnisse und Kommunikationswege zu dokumentieren. Dritte können demnach vorab autorisiert werden, bei bestimmten Incidents Maßnahmen wie die Isolation kompromittierter Systeme oder die Deaktivierung betroffener Konten einzuleiten.
Neben der Reaktionszeit zählt die Nachbereitung. Ein leistungsfähiger Service sollte nicht beim geschlossenen Ticket enden. Ursachenanalyse, Dokumentation und Verbesserungen an Konfigurationen und Erkennungsregeln helfen dabei, vergleichbare Angriffe künftig früher zu erkennen oder ganz zu verhindern.
Security-Sourcing ist keine Größenfrage
Die Entscheidung zwischen internem, externem und hybridem Security-Betrieb lässt sich nicht allein an Mitarbeiterzahl oder Budget festmachen. Ein kleineres Unternehmen mit kritischen Daten und geringer Ausfalltoleranz kann eine größere Reaktionstiefe benötigen als ein deutlich größeres Unternehmen mit weniger zeitkritischen Prozessen.
Maßgeblich sind das Risikoprofil, die Komplexität der IT-Landschaft, regulatorische Anforderungen und die notwendige Verfügbarkeit. Hinzu kommt der Spezialisierungsgrad: Der Aufbau eines eigenen 24/7-Betriebs erfordert mehrere qualifizierte Beschäftigte, geregelte Schichten, Vertretungen und kontinuierliche Weiterbildung. Die eingesetzten Technologien müssen außerdem laufend angepasst und Erkennungsregeln weiterentwickelt werden.
Aus der Praxis beobachtet Sven Hillebrecht, General Manager von ADLON, dabei einen grundlegenden Denkfehler: „Ein eigenes SOC ist kein Zeichen von Security-Reife. Reife zeigt sich darin, für jede Aufgabe das Betriebsmodell zu wählen, das dauerhaft die beste Sicherheit liefert. Wer Security auslagert, gibt nicht Verantwortung ab. Er kann sich damit vielmehr genau die Spezialisten und die 24/7-Strukturen sichern, die intern nur mit erheblichem Aufwand vorzuhalten wären.“
MDR, Managed SOC oder hybrid?
Ein MDR-Service kann passen, wenn Detection und Response für klar umrissene Angriffsflächen im Vordergrund stehen. Entscheidend ist, dass Analyse, Eskalation und zulässige Gegenmaßnahmen eindeutig vereinbart sind.
Ein Managed SOC kommt eher infrage, wenn unterschiedliche Systeme und Datenquellen zusammengeführt werden sollen. Neben der laufenden Überwachung können Threat Hunting, Management-Reporting, Beratung und die kontinuierliche Weiterentwicklung der Security-Architektur zum Leistungsumfang gehören.
Ein hybrides Modell verbindet externe Operations mit der strategischen Steuerung durch das Unternehmen. Der Provider übernimmt beispielsweise die 24/7-Überwachung, Erstbewertung und definierte Sofortmaßnahmen. Grundsätzliche Risikoentscheidungen oder besonders weitreichende Eingriffe verbleiben beim Auftraggeber.
Die operative Arbeit lässt sich auslagern. Die Verantwortung für Governance und Risikosteuerung bleibt jedoch im Unternehmen. Dieser Grundsatz entspricht auch der NIS2-Systematik: Leitungsorgane müssen Cybersecurity-Maßnahmen billigen und ihre Umsetzung überwachen. Bei der Auswahl von Dienstleistern sind deren Qualität, Resilienz und Sicherheitspraxis zu berücksichtigen.
Fragen für das Anbietergespräch
Ob das Angebot tatsächlich zum Bedarf passt, zeigen diese Fragen beispielhaft:
- Welche Systeme, Identitäten und Datenquellen werden überwacht und korreliert?
- Welche Leistungen erfolgen tatsächlich 24/7: Monitoring, Analyse, Alarmierung oder auch Reaktion?
- Wer bewertet und priorisiert einen Vorfall?
- Welche Maßnahmen darf der Provider eigenständig ausführen?
- Welche Aufgaben und Verantwortlichkeiten verbleiben beim Auftraggeber?
- Umfasst der Service auch Ursachenanalyse, Beratung, Reporting und kontinuierliche Optimierung?
- Welche nachweisbare Kompetenz besitzt der Anbieter für die eingesetzte Security-Plattform?
- Welche Leistungen sind ausdrücklich ausgeschlossen?
Zusätzlich sollten Unternehmen prüfen, wie der Provider privilegierte Zugänge schützt, wo Daten verarbeitet werden und wie der Service bei neuen Standorten, Cloud-Diensten oder regulatorischen Anforderungen skaliert.
Wer übernimmt um 02:17 Uhr?
Um 02:17 Uhr interessiert niemanden mehr, ob auf dem Vertrag MDR oder Managed SOC steht. Entscheidend ist, ob der Alarm qualifiziert bewertet wird und ob klar geregelt ist, wer über Maßnahmen entscheidet und wer sie umsetzt.
