Externes SOC einführen: Was Sie vorbereiten müssen, damit es schnell geht

Wie lange eine SOCaaS-Einführung dauert, hängt von zwei Seiten ab: Ihrer Vorbereitung und dem Onboarding-Prozess des Anbieters. Wer beide Seiten kennt, kann aktiv steuern statt abwarten.

Dieser Artikel zeigt, was konkret zu tun ist.

Ein SOC (Security Operations Center) ist eine interne Einheit, die rund um die Uhr die IT-Sicherheit eines Unternehmens überwacht. Dafür braucht man spezialisiertes Personal, Technologie und Prozesse, was intern aufgebaut und dauerhaft betrieben werden muss.

SOCaaS (Security Operations Center as a Service) ist dasselbe Konzept, aber als externen Dienst bezogen. Sie kaufen die Überwachungsleistung ein, ohne das Team und die Infrastruktur selbst aufzubauen.

Für den Mittelstand ist das meistens die realistischere Option: intern ein vollwertiges SOC zu betreiben, würde in der Regel mehrere Vollzeitstellen und erhebliche Technologiekosten bedeuten.

Es gibt einen Satz, den erfahrene SOC-Anbieter kennen, aber selten laut sagen: Die meisten Verzögerungen kommen vom Kunden. Nicht weil IT-Leiter schlechte Arbeit machen, sondern weil beim Onboarding Dinge fehlen, die vorher niemand auf dem Schirm hatte.

Ein Asset-Inventar, das seit zwei Jahren nicht aktualisiert wurde. Logquellen, die theoretisch existieren, aber niemand weiß wie man drankommt. Eskalationswege, die im Kopf des IT-Leiters existieren, aber nirgendwo schriftlich stehen.

Das sind keine Ausnahmen. Das ist ziemlich normaler Mittelstand.

Aber die andere Seite trägt genauso viel bei. Ein Anbieter ohne strukturierten Onboarding-Prozess verlängert die Einführung genauso zuverlässig. Deshalb lohnt es sich, beide Seiten im Blick zu behalten, bevor Sie irgendetwas unterschreiben.

Sie müssen hier nicht perfekt sein. Aber Sie sollten arbeitsfähig sein. Das bedeutet konkret drei Dinge. Und wenn Sie bei einem davon innerlich „ähm“ sagen, wissen Sie, wo Sie anfangen sollten.

Wenn die internen Grundlagen stimmen, geht es überraschend zügig. Ein bewährtes Vorgehen läuft in vier Phasen und gibt Ihnen gleichzeitig einen guten Maßstab, um Anbieter-Angebote einzuordnen.

Am Anfang steht die Installation von EDR-Agents (Endpoint Detection and Response) auf den zu schützenden Systemen. Je nach Umgebung kommen dabei Tools wie Microsoft Defender oder CrowdStrike zum Einsatz.

Diese laufen auf den Endgeräten und liefern dem SOC kontinuierlich Daten über Prozesse, Verbindungen und Aktivitäten.

In einer gut dokumentierten Umgebung ist das ein Rollout, der sich über automatisierte Verteilung in wenigen Tagen umsetzen lässt, ohne dass jemand jeden Rechner einzeln anfassen muss.

Parallel zur technischen Installation werden die organisatorischen Grundlagen geschaffen. Konkret: Wer wird bei welcher Alarmstufe informiert? Wer darf welche Maßnahmen anordnen? Welche Systeme sind geschäftskritisch?

Das klingt nach Bürokratie. Ist es auch, aber nach sinnvoller. Ohne diese Festlegungen ist das SOC zwar technisch live, aber im Ernstfall weiß niemand genau, was als nächstes passiert. Kann man so machen, ist dann halt im Notfall eher ungünstig.

Bevor der reguläre Betrieb beginnt, schaut das SOC-Team einmal genau hin: Gibt es bereits Auffälligkeiten? Laufen unbefugte Zugriffe, die bisher niemandem aufgefallen sind? Wurden möglicherweise bereits Daten kompromittiert?

Diese Erstanalyse ist der Startpunkt für eine saubere Baseline, also den Normalzustand, von dem aus das SOC später Abweichungen erkennt. Wer hier überspringt, überwacht ab Tag eins einen möglicherweise bereits kompromittierten Zustand.

Das ist ungefähr so hilfreich, wie eine Alarmanlage in ein Haus einzubauen, in dem jemand bereits im Keller sitzt.

Nach Go-live läuft das 24/7-Monitoring. Das SOC überwacht kontinuierlich, bearbeitet Alarme, eskaliert bei Bedarf und liefert monatliche Reports mit konkreten Handlungsempfehlungen.

Ziel ist nicht nur Überwachung, sondern die kontinuierliche Verbesserung Ihrer Sicherheitslage über die Zeit.

Übrigens: Wenn EDR-Agents auf Ihren Endgeräten bereits vorhanden sind, ist ein Go-live innerhalb weniger Tage durchaus realistisch. Die Installationsphase entfällt dann, und das Onboarding kann deutlich schneller in die Erstanalyse übergehen.

Ein SOCaaS übernimmt die Überwachung. Er übernimmt nicht die Verantwortung für Ihre IT-Sicherheit insgesamt. Das ist keine Einschränkung, das ist die richtige Aufgabenteilung.

Was beim SOC-Anbieter liegt:

Was intern bei Ihnen bleibt: 

Wenn diese Linie von Anfang an klar ist, läuft die Zusammenarbeit deutlich reibungsloser. Wenn sie unklar bleibt, stellt man das meistens erst im ersten echten Vorfall fest. Das ist ein denkbar ungünstiger Zeitpunkt.

Lassen Sie sich den Onboarding-Prozess zeigen. Konkret, mit Dokumenten. Checklisten, Onboarding-Vorlagen, Zeitpläne.

Ein Anbieter, der einen strukturierten Prozess hat, kann ihn zeigen. Ein Anbieter, der das nicht kann, hat vermutlich auch keinen. Und dann werden Sie beim Onboarding sehr kreativ gemeinsam herausfinden, wie das alles so funktionieren könnte.

Ein gutes Zeichen ist, wenn ein Anbieter mit einem bewährten Standard-Onboarding-Prozess arbeitet und individuelle Anpassungen erst danach kommen. Best Practices sind Best Practices, weil sie sich in vielen Umgebungen bewährt haben.

Wer beim ersten Gespräch ausschließlich von „individueller Lösung“ spricht, aber keinen klaren Prozess vorzeigen kann, sollte Sie eher skeptisch machen als begeistern.

Fragen Sie ruhig nach Referenzkunden, die den Onboarding-Prozess bereits durchlaufen haben, am besten aus einer ähnlichen Unternehmensstruktur oder Branche. Ein guter Anbieter hat diese und stellt den Kontakt her.

Wenn das Zögern auslöst, sagt Ihnen das bereits etwas.

Weitere Orientierungspunkte für die Anbieter-Auswahl:

• Kann das SOC verschiedene Logquellen anbinden oder zwingt es Sie in eine bestimmte Hersteller-Welt?

• Sind die Erkennungsregeln für Sie einsehbar oder läuft das in einer Blackbox?

• Wie sehen die SLAs konkret aus und was passiert, wenn sie nicht eingehalten werden?

• Was gehört Ihnen nach Vertragsende: Ihre Daten, Ihre Erkennungsregeln, Ihre Konfigurationen?

Das Folgende können Sie unabhängig vom Anbieter heute angehen:

Wer gut vorbereitet in eine SOCaaS-Einführung geht, hat die besseren Karten auf beiden Seiten des Tisches. Fangen Sie mit dem Asset-Inventar an. Und stellen Sie dem nächsten Anbieter die Frage nach dem Onboarding-Prozess.

Die Antwort darauf ist meistens aufschlussreicher als jede Präsentation davor.