Modernisierung des SOC: Planung, Ablauf und Finanzierung des Projekts

Die Modernisierung eines SOC ist ein schrittweiser, fortlaufender Prozess zur Verbesserung der Abdeckung, Erkennung, Arbeitsabläufe und Personalausstattung eines Security Operations Center. Das Ziel besteht darin, Bedrohungen über eine immer größer werdende Angriffsfläche hinweg zu erkennen und darauf zu reagieren. Es handelt sich um eine programmatische Vorgehensweise – einen Fahrplan mit Triebkräften, Bewertung, Abfolge, Finanzierung und Messung – und nicht um den einmaligen Kauf eines Tools. Wenn Sie ein SOC leiten oder beaufsichtigen, sind die eigentlichen Fragen praktischer Natur: Warum jetzt modernisieren, in welcher Reihenfolge, zu welchen Kosten und wie lässt sich der Erfolg nachweisen? Dieser Leitfaden folgt diesem Bogen, und der schnellste Weg zum Überblick führt von der untenstehenden Definition über die Bestandsaufnahme des aktuellen Zustands zu den Kosten und schließlich zu den Gründen, warum Programme scheitern.

Was SOC-Modernisierung ist (und was sie nicht ist)

Die Modernisierung des SOC ist kein Synonym für den Kauf einer neuen Plattform. Es handelt sich vielmehr um die Disziplin, ein Programm durchzuführen – den aktuellen Stand des SOC zu bewerten, Upgrades zu planen, die Arbeiten zu finanzieren und die Ergebnisse zu messen. Der Endzustand ist ein eigenständiges Thema, denn wie ein modernes SOC aussieht, fällt in den Bereich des SOC-Betriebs. Diese Seite befasst sich mit dem Weg von hier dorthin.

Die Fakten zeigen, dass der Weg noch lang ist. Die SANS-SOC-Umfrage 2025 schließt eine neun Jahre andauernde Langzeitbeobachtung mit einer ernüchternden Feststellung ab: Die Fähigkeiten und Herausforderungen von SOCs sind über diesen Zeitraum hinweg „weitgehend unverändert geblieben“. Aufeinanderfolgende Tool-Wellen versprachen eine Transformation des SOC, ließen jedoch die strukturellen Einschränkungen bestehen. Dies gilt insbesondere dann, wenn die Modernisierung des Sicherheitsbetriebs als schrittweiser, sich summierender Programmprozess und nicht als einfacher Austausch betrachtet wird. Die Maßeinheit für den Fortschritt ist nicht die Einführung eines Produkts. Es ist eine messbare Verbesserung der Abdeckung bei der Bedrohungserkennung, der Signalqualität und der Arbeitsabläufe, die auf beides einwirken.

Warum SOCs modernisieren: Die wahren Auslöser

Modernisierungsprojekte beginnen selten mit Strategiepapieren – sie beginnen, wenn das aktuelle Betriebsmodell nicht mehr mit dem Umfeld Schritt halten kann, das es schützen soll. Keiner der tatsächlichen Auslöser ist ein technologischer Trend. Jeder einzelne ist ein betriebliches Versagen, das mit einem konkreten Zeitpunkt und Kosten verbunden ist. Die SANS-SOC-Umfrage 2026 ergab, dass 24 % der Cyber-Führungskräfte den Mangel an unternehmensweiter Transparenz als das größte Hindernis für die Effektivität des SOC nennen – dies war die am häufigsten genannte Antwort. In derselben Umfrage gaben 75 % der Cyber-Führungskräfte an, dass Technologie nur dann funktioniert, wenn sie von qualifizierten Mitarbeitern eingesetzt wird. Abdeckung und Personal – nicht das Alter der Tools – sind die Herausforderungen, auf die eine SOC-Transformation tatsächlich eine Antwort bietet.

Acht Auslöser sind für die meisten Programme verantwortlich:

1. Sichtbarkeitslücken, da die Angriffsfläche den Umfang der Überwachung übersteigt.
2. Eine Vielzahl von Tools, die die Kosten in die Höhe treibt, ohne die Übersichtlichkeit zu verbessern.
3. Eine Flut von Warnmeldungen, die das Team mit unwichtigen Triage-Aufgaben überhäuft.
4. Personalengpässe bei der Personalbeschaffung, der Mitarbeiterbindung und der Überlastung von Analysten.
5. Eine anstehende SIEM-Migration oder die Verlängerung eines Plattformvertrags.
6. Das Wachstum im Bereich Cloud Identitätsmanagement geht über den Erfassungsbereich der lokalen Überwachung hinaus.
7. Regulatorischer Druck, die Fähigkeit zur Erkennung und Reaktion nachzuweisen.
8. Die Abhängigkeit von Außenstehenden, um eigene Sicherheitslücken aufzudecken.

‍

Die Ausgangslage für 2025 verdeutlicht, warum diese Auslöser so schwer wiegen. Laut der SANS-SOC-Umfrage 2025 speisen 42 % der SOCs ihre gesamten Daten in ein SIEM-System ein, ohne einen Plan für deren Nutzung zu haben – sie tätigen Ausgaben, ohne dass dies zu Erkennungsergebnissen führt. Zudem sind 79 % der SOCs rund um die Uhr im Einsatz (2025), sodass sich jede Ineffizienz rund um die Uhr verstärkt. Vertragsverlängerungen zwingen ebenso oft zum Handeln wie Vorfälle selbst – das Auslaufen eines SIEM-Vertrags ist eine Modernisierungsentscheidung, unabhängig davon, ob man sie als solche betrachtet oder nicht. SOC-Analysten müssen die Lücke zwischen dem, was die Tools liefern, und dem, was die Mission erfordert, ausgleichen, weshalb Personalengpässe und Alarmüberlastung meist Hand in Hand auftreten. Für einen aktuellen Überblick über die treibenden Faktoren führt der Webcast „SANS 2026 SOC Survey Insights“ durch die Ergebnisse der Umfrage für das Jahr 2026. Protokollieren Sie jeden Live-Auslöser mit Datum und zugehörigen Vorfällen – der Abschnitt „Business Case“ weiter unten wandelt dieses Protokoll in ein Argument für die Finanzierung um. Wenn zwei oder mehr Auslöser gleichzeitig aktiv sind, ist auch eine Verschiebung eine Entscheidung – und in der Regel die kostspieligere.

Beurteilen Sie Ihre aktuelle Situation, bevor Sie Mittel bereitstellen

Modernisierungsausgaben ohne Vergleichsbasis sind reine Spekulation. Bevor Sie Mittel bereitstellen, bewerten Sie das SOC anhand von fünf Dimensionen: Abdeckung, Erkennungsauslöser, Nutzung von Informationen, Reifegrad der proaktiven Suche sowie KI/ML-Governance. Die SANS-Umfragen liefern den Branchenvergleich. Im Jahr 2025 gaben 85 % der SOCs an, dass endpoint ihr primärer Auslöser für Reaktionen sind (SANS 2025). Die Berichterstattung des „Infosecurity Magazine“ zur Umfrage von 2026 zeigt, dass sich dieses Muster fortsetzt – 86 % wurden endpoint, gegenüber 78 % durch SIEM-Auslöser im Jahr 2026. Ein SOC, das hauptsächlich auf endpoint reagiert, hat seine Erkennungsstrategie auf eine einzige Telemetrieebene beschränkt – eine Lücke in der Sicherheitsbeobachtbarkeit, die als Präferenz getarnt ist.

Intelligence und Threat Hunting erzählen dieselbe reaktive Geschichte. Im Jahr 2025 nutzten 69 % der SOCs Cyber-Threat-Intelligence (CTI) in erster Linie für die Reaktion auf Vorfälle – also im Nachhinein und nicht im Vorfeld. Threat hunting verläuft ähnlich. Die häufigste Vorgehensweise – die teilweise automatisierte Suche mit von Anbietern bereitgestellten Tools (48 %) – bezeichnet SANS als „rückwirkende Analyse statt echter, technikgesteuerter Suche“ (2025). Wenn Ihre Suche die Ergebnisse des Anbieters vom Vortag auswertet, stufen Sie sie ehrlich als reaktiv ein.

Im Bereich der KI/ML-Governance wird die Selbsteinschätzung schwierig. Die Aufschlüsselung der SANS-Governance für 2025 (Abbildung 5) zeigt, dass die Nutzung den Richtlinien voraus ist. Im Jahr 2025 nutzten 42 % KI/ML-Tools ohne Anpassung, und rund 69,3 % gaben an, diese überhaupt zu nutzen – eine abgeleitete Gesamtzahl, die daher als „abgeleitet“ zu kennzeichnen ist. Die Daten für 2026 schärfen das Bild – 79 % nutzen nun KI/ML, aber nur 36 % haben diese in einen definierten Arbeitsablauf integriert (2026). Und nur 45 % überwachen Betriebstechnologie- und Internet-of-Things-Ressourcen (OT/IoT) vollständig oder teilweise (2026).

KI/ML-Governance im SOC, SANS-SOC-Umfrage 2025, Abbildung 5 – Die Nutzung liegt weit vor den festgelegten Abläufen.

Um die Vorgehensweise zu strukturieren, bietet ein SOC-Reifegradmodell eine gemeinsame Grundlage – wo Sie stehen und auf welche Stufe Sie hinarbeiten. Hierfür gibt es neutrale Instrumente, insbesondere SOC-CMM, ein speziell für SOCs entwickeltes Selbstbewertungsinstrument. Widerstehen Sie der Versuchung, die Bewertung zu kompliziert zu gestalten. Es geht um eine ehrliche Ausgangsbasis, die Sie in der Budgetbesprechung verteidigen können, nicht um eine perfekte. Halten Sie die Antworten mit Datumsangaben schriftlich fest – sowohl der Abschnitt zur Abfolge als auch der Abschnitt zu den Kosten stützen sich auf diese Ausgangsbasis.

Fünf Fragen reichen für eine schnelle Selbsteinschätzung aus:

• Welcher Anteil der Reaktionsmaßnahmen geht auf endpoint zurück und welcher auf cloud aus dem Netzwerk, dem Identitätsbereich und cloud ?
• Gestaltet CTI proaktive Prioritäten oder dient es ausschließlich der Reaktion auf Vorfälle?
• Ist die Jagd technikorientiert oder eine nachträgliche Auswertung der Ergebnisse der Anbieter?
• Wird der Einsatz von KI/ML im operativen Bereich geregelt, geduldet oder ist er unbekannt?
• Welche Anlagen – einschließlich OT/IoT – fallen derzeit nicht unter die Überwachung?

Das Werk gliedern und inszenieren

Die Reihenfolge der Schritte entscheidet darüber, ob SOC-Transformationsprogramme an Fahrt gewinnen oder ins Stocken geraten. Der fundierteste Ausgangspunkt ist die Abdeckung. Die 10 umsetzbaren Lehren Cloud Google Cloud zur Modernisierung des Sicherheitsbetriebs stellen Bedrohungsprofile in den Vordergrund – einen „Leitstern für die Abdeckung“. Definieren Sie die Bedrohungen, die für Ihr Unternehmen von Bedeutung sind, und lassen Sie dieses Profil die Prioritäten für die Abdeckung festlegen, bevor Sie Entscheidungen über Tools treffen. Dieselben Lehren betonen die Balance zwischen transformativen Sprüngen und schrittweisen Verbesserungen, damit das Programm weiterhin Mehrwert liefert, während die größeren Schritte umgesetzt werden. „Bedrohungsprofile an erster Stelle“ klingt selbstverständlich und wird dennoch regelmäßig übersehen – die meisten Empfehlungen zur Reihenfolge in diesem Zusammenhang sind unbelegte Behauptungen, daher sollten Sie Ihre Vorgehensweise an der beobachteten Praxis ausrichten.

Von dort aus lautet die Reihenfolge der Schritte: Abdeckung, dann Signal, dann Workflow und schließlich Automatisierung:

1. Erstellen Sie zunächst ein Bedrohungsprofil, um Prioritäten für den Schutz festzulegen.
2. Schließen Sie Sichtbarkeitslücken innerhalb der SOC-Sichtbarkeits-Triade.
3. Entscheiden Sie über die Zukunft von SIEM – beginnen Sie mit dem Vergleich zwischen XDR und SIEM.
4. Verbesserung der Signalqualität durch Erkennungstechnik.
5. Optimieren Sie die Triage- und Untersuchungsabläufe, bevor Sie sie automatisieren.
6. Automatisieren Sie die bewährten Arbeitsabläufe – siehe SOC-Automatisierung.
7. Führen Sie sich überschneidende Tools auf einer SOC-Plattform zusammen.
8. Entscheiden Sie sich für ein Bereitstellungsmodell – intern, hybrid oder SOC-as-a-Service.

‍

Jeder Schritt ist eine eigene Disziplin – die oben genannten Links liefern die Details, sodass diese Roadmap eine Roadmap bleibt. Was die Roadmap hinzufügen muss, ist die Anpassung des Tempos, und die SANS-SOC-Umfrage 2025 liefert dies. Wie sich herausstellt, schreitet die Architektur nur langsam voran. Im Jahr 2025 machten cloud SOC-Dienste 24,2 % der Implementierungen aus, wobei 29,0 % die Einführung innerhalb von 12 Monaten planten. Bei einzelnen, zentralisierten SOCs gab es kaum Veränderungen – heute 37,8 % gegenüber geplanten 36,2 %. Betrachten Sie diese Zahlen als Beschreibung des beobachteten Tempos und nicht als zu erreichende Ziele. Sie sprechen dafür, die Arbeit in Schritten durchzuführen, die das Unternehmen verkraften kann, und nicht als einjährigen Sprint zur Umstellung der Plattform. Planen Sie die Phasen quartalsweise und lassen Sie die Ergebnisse jeder Phase den Umfang der nächsten Phase bestimmen.

Verhältnis zwischen tatsächlicher und geplanter SOC-Architektur, SANS-SOC-Umfrage 2025 – eine Beschreibung dessen, wie langsam sich die Architektur tatsächlich verändert, und keine Zielvorgaben.

Die Reihenfolge ist wichtiger als die Geschwindigkeit. Die Automatisierung eines fehlerhaften Workflows verstärkt die Fehler – weshalb die Behebung von Workflow-Fehlern vor der Automatisierung erfolgt und die Signalqualität beiden vorangeht. Der Wert der Erkennung ergibt sich aus der Abdeckung, die qualitativ hochwertige Signale in Arbeitsabläufe einspeist, die ein Team tatsächlich ausführen kann. Der Sprung zur Automatisierung, nur weil sie in der Demo gut aussieht, ist der häufigste Fehler bei der Abfolge der Schritte, und im Abschnitt über Fehlermodi wird darauf noch einmal eingegangen. Eine schrittweise Abfolge verringert zudem das Finanzierungsrisiko – jede Phase liefert Belege, von abgeschlossener Abdeckung bis hin zu eingesparten Minuten, auf die sich der nächste Budgetantrag stützen kann.

Was die Modernisierung des SOC kostet und wie man den Business Case erstellt

Niemand veröffentlicht eine Preisliste für die SOC-Modernisierung, und die vorhandenen Leitlinien enthalten keine konkreten Zahlen. Der TechTarget-Artikel „Was CISOs über die SOC-Modernisierung wissen sollten“ nennt zwar nützlich die Unterlagen für den Business Case, die ein CISO vorlegen sollte – liefert jedoch keine Zahlen, mit denen diese gefüllt werden könnten. Diese Lücke erklärt, warum so viele Programme auf Vertrauensbasis finanziert und mit Anekdoten verteidigt werden. Das ist auch der Grund, warum dieser Abschnitt den entscheidenden Unterschied ausmacht – die Kostenfrage ist nämlich der Punkt, um den sich jedes Gespräch über die Finanzierung tatsächlich dreht. Es gibt einen besseren Anknüpfungspunkt: den nachweisbaren Wert von Erkennungsgeschwindigkeit und Verantwortlichkeit für die Erkennung.

Data Breach „Cost of a Data Breach des Ponemon Institute, Ausgabe 2025, beziffert beides. Der durchschnittliche Lebenszyklus einer Datenschutzverletzung betrug 241 Tage – 181 Tage für die durchschnittliche Zeit bis zur Erkennung (MTTI) plus 60 Tage für die durchschnittliche Zeit bis zur Eindämmung (MTTC) – ein Neunjahres-Tief. Die Geschwindigkeit beeinflusst die Kostenverteilung: Datenpannen mit einer Dauer von unter 200 Tagen verursachten durchschnittlich 3,87 Millionen US-Dollar, gegenüber 5,01 Millionen US-Dollar bei einer Dauer von über 200 Tagen. Auch die Verantwortlichkeit spielt eine Rolle: Datenpannen, die von den Unternehmen selbst entdeckt wurden, verursachten durchschnittlich 4,18 Millionen US-Dollar, gegenüber 5,08 Millionen US-Dollar, wenn der Angreifer die Datenpanne offenlegte – und intern identifizierte Datenpannen wurden nach 172 Tagen entdeckt. Auch die Selbstentdeckung nimmt zu – 33 % im Jahr 2023, 42 % im Jahr 2024 und 50 % im Jahr 2025 –, sodass das durchschnittliche Unternehmen seine Sicherheitsverletzungen mittlerweile selbst entdeckt.

Was Geschwindigkeit wert ist – Data Breach des Ponemon Institute zu den Kosten von Data Breach , 2025. Die Zahlen zeigen einen Zusammenhang, aber keinen kausalen Zusammenhang.

Gehen Sie ehrlich mit den Zahlen um – sie sind korrelativ, nicht kausal. Ein modernisiertes SOC streicht nicht automatisch die Differenz zwischen diesen Kostenklassen ein, und ein Business Case, der dies behauptet, wird auseinandergenommen. Der vertretbare Ansatz ist das Risiko. Ihre derzeitige Situation ordnet Sie in die langsameren, kostspieligeren Bandbreiten ein. Jede Phase der Roadmap dient dazu, Sie in Richtung der schnelleren, kostengünstigeren Bandbreiten zu führen. Kombiniert man dies mit den phasenspezifischen Kosten – Telemetrie, Entwicklungszeit, Schulungen und etwaige Änderungen in der Beschaffung –, wird aus dem Business Case eine Abwägung darüber, welche Bandbreite Sie sich leisten können.

Zwei Erkenntnisse aus dem SANS-Bericht 2025 runden das Bild ab. Erstens kennen 42 % der SOC-Mitarbeiter das Budget ihres SOC nicht – eine Diskrepanz, die SANS als Kluft zwischen der technischen Arbeit und der sie finanzierenden Unternehmensleitung interpretiert. Wenn das Team keinen Einblick in das Budget hat, gibt es unterhalb des CISO keine Verantwortlichen für den Business Case. Zweitens liegt die häufigste Größe eines voll besetzten SOC bei 2 bis 10 Mitarbeitern (SANS 2025) – ein realistischer Planungsrahmen, keine feste Mitarbeiterzahl. Richten Sie die Kostenplanung an dieser Realität aus – einem kleinen Team, das in den meisten Fällen den Betrieb rund um die Uhr abdeckt – und nicht an einem Organigramm, das es gar nicht gibt.

Messen, ob die Modernisierung funktioniert

Messung ist eine integrierte Funktion des Programms und keine am Ende angehängte Anzeigetafel. Der Test ist einfach: Kann die Kennzahl gemeldet werden, ohne dass ein Mensch sie zusammenstellen muss? Nach diesem Maßstab sind die meisten SOCs nicht entsprechend ausgestattet – die SANS-SOC-Umfrage 2025 ergab, dass 69 % ihre Kennzahlen immer noch manuell oder größtenteils manuell melden. Manuelle Berichterstattung bedeutet, dass die Rückkopplungsschleife des Programms nur so schnell läuft, wie eine Tabellenkalkulation erstellt werden kann, und dass diese langsame Schleife still und leise alles andere bremst. Diese Seite verzichtet bewusst auf einen KPI-Katalog – welche Kennzahlen zu erheben sind und wie sie zu definieren sind, gehört zum Thema Sicherheitskennzahlen. Was hier gehört, ist der Grad der Integration. Bevor Sie eine Phase der Roadmap skalieren, sollten Sie die folgenden Berichte selbst überprüfen:

• Erfassungsgrad – der Anteil der überwachten Vermögenswerte und Identitäten, auf Anfrage.
• Erkennungsanteil – der Anteil der Vorfälle, die das SOC als Erstes entdeckt hat.
• Geschwindigkeit – Zeit bis zur Erkennung und Eindämmung, automatisch als Trend dargestellt.
• Signalqualität – Umwandlung von Warnmeldungen in Vorfälle, ohne manuelle Auszählung.
• Programmumsetzung – Meilensteine der einzelnen Phasen, die an die oben genannten Kennzahlen geknüpft sind.

Wenn für den Aufbau einer Leitung menschliches Eingreifen erforderlich ist, sollte die Pipeline behoben werden, bevor die nächste Phase finanziert wird. Instrumentierungsschulden summieren sich genauso wie technische Schulden – und im Gegensatz zu einem Dashboard werden sie bei einer Budgetbesprechung nie thematisiert. Die automatisierte Berichterstattung ist zudem das, was die Modernisierung von einer bloßen Behauptung in eine nachweisbare Tatsache verwandelt – dieselbe Instrumentierung, die das Programm steuert, wird zum Beweis dafür, dass es funktioniert hat.

Warum Modernisierungsprogramme scheitern oder ins Stocken geraten

Das Scheitermuster ist so konsistent, dass man entsprechend planen kann – das Programm kauft ein Tool und nennt es Strategie. Die Schlussfolgerung der SANS-SOC-Umfrage 2025 ist unverblümt: „Tools lösen diese Probleme nicht von selbst. Menschen tun es.“ Das Gegengewicht ist ebenso wichtig. In derselben Umfrage von 2025 ist EDR/XDR die einzige Technologie, die bei der Zufriedenheit mehr als drei von vier Punkten erreicht, gerade weil sie „vollständig implementiert ist … und durch angemessene Schulungen und Support unterstützt wird“. Betrachtet man beide Erkenntnisse zusammen, ergibt sich die Handlungsregel: Tools liefern Ergebnisse, wenn sie vollständig implementiert, mit Ressourcen ausgestattet, geschult und integriert sind. Programme scheitern, wenn sie das Tool kaufen und die anderen vier Punkte außer Acht lassen.

Der Stillstand zeigt sich in der Regel zuerst auf der Ebene der Mitarbeiter. In der SANS-SOC-Umfrage von 2026 gaben 59 % der Führungskräfte an, dass das Management der Personalbeschaffung und -bindung angemessene Aufmerksamkeit schenkt. Nur 32 % der Praktiker stimmten dem zu – eine Wahrnehmungslücke von 27 Prozentpunkten. Die Einschätzung von Help Net Security zur Transparenzlücke im SOC kommt zu demselben Ergebnis: Das Transparenzproblem ist letztlich auf die Personalausstattung zurückzuführen, nicht auf die Sensoren. Wenn Führungsebene und Fachkräfte in Bezug auf das Personalproblem so stark auseinandergehen, gerät alles, was davon abhängt, ins Stocken.

DimensionFehlermodusFrühwarnzeichenMitarbeiterKauf von Tools, Schulungen und Personaleinstellungen aufgeschobenFührungskräfte und Praktiker sind sich hinsichtlich der Priorisierung der Personalbeschaffung stark uneinigProzessAutomatisierung, die auf undokumentierte Arbeitsabläufe aufgesetzt wirdDie Vorgehensanleitungen befinden sich ausschließlich in den Köpfen der einzelnen AnalystenTechnologieNeue Plattform, dieselben Lücken in der AbdeckungDie Transparenzkarte sieht nach der Einführung identisch ausKulturModernisierung wird als IT-Projekt durchgeführtKein verantwortlicher Entscheidungsträger auf Führungsebene und ein Budget, das das Team nicht einsehen kann

Fehlerquellen bei der Modernisierung in den Bereichen Personal, Prozesse, Technologie und Kultur – jede Zeile basiert auf den Ergebnissen der SANS-Umfragen aus den Jahren 2025 und 2026.

Die Einteilung ist bekannt – Menschen, Prozesse, Technologie, Kultur –, doch erst die Umfragedaten machen sie nutzbar, da jede Zeile nun statt eines Slogans eine datierte Zahl enthält. Nutzen Sie die Tabelle als „Pre-Mortem“. Jede Zeile lässt sich vor Vertragsunterzeichnung kostengünstiger beheben als nach der Vertragsverlängerung.

Anpassung der Modernisierung an Rahmenbedingungen und Compliance-Anforderungen

Durch die Rahmenwerk-Zuordnung wird der Modernisierungsfortschritt in eine überprüfbare Dokumentation umgewandelt. Zwei Anker übernehmen dabei den Großteil der Arbeit. Der erste ist das NIST CSF 2.0 (2024) und dessen „Detect“-Funktion – insbesondere die Unterkategorien DE.CM zur kontinuierlichen Überwachung: DE.CM-01, -02, -03, -06 und -09. DE.CM-01 und DE.CM-09 bilden die Grundlage für die Argumentation zur Abdeckungsbreite – Netzwerke, Rechnerhardware und Software stehen alle unter Überwachung. Der zweite Anker sind die „Enterprise Tactics“MITRE ATT&CK, die die Frage „Sind wir abgedeckt?“ in eine Antwort auf Basis einzelner Techniken umwandeln.

Halten Sie die ATT&CK-Daten auf dem neuesten Stand. Laut den Versionshinweisen zuMITRE ATT&CK datiert die aktuelle Version vom 28. April 2026. Ab Version 19 definiert ATT&CK 15 „Enterprise“-Taktiken, wobei „Defense Evasion“ in „Stealth“ (TA0005) und „Defense Impairment“ (TA0112) unterteilt ist. Der Unternehmensbereich umfasst zudem 697 Erkennungsstrategien und 1.758 Analysen. Diese Erkennungsressourcen liefern einem Modernisierungsprogramm ein fertiges technisches Backlog – durch den Abgleich bestehender Erkennungsmaßnahmen mit diesen Ressourcen lassen sich Lücken in der Abdeckung als Arbeitsliste identifizieren.

RahmenelementWas es abdecktZugeordnete ModernisierungsmaßnahmenNIST CSF 2.0 DE.CM-01, DE.CM-09 (2024)Kontinuierliche Überwachung von Netzwerken, Computerhardware und SoftwareUnternehmensweite Transparenz und Erweiterung der AbdeckungNIST CSF 2.0 DE.CM-02, DE.CM-03, DE.CM-06 (2024) Überwachung physischer Umgebungen, von Personalaktivitäten und externen Anbietern Ausweitung der Abdeckung auf Einrichtungen, Insider und Dritte MITRE ATT&CK v19 – Taktiken für Unternehmen (2026) 15 Taktiken, darunter „Stealth“ (TA0005) und „Defense Impairment“ (TA0112)Abbildung der Erfassungsreichweite nach einzelnen TaktikenMITRE ATT&CK v19 – Erfassungsinhalte (2026)697 Erkennungsstrategien und 1.758 AnalysenBacklog und Validierung im Bereich Erkennungsentwicklung

Eine Gegenüberstellung der Unterkategorien von NIST CSF 2.0 DE.CM und der Abdeckungszuordnung MITRE ATT&CK zu den jeweiligen Modernisierungsmaßnahmen, die sich daraus ableiten lassen.

Compliance gehört in diesen Abschnitt als Auslöser, nicht als Vorgabe. Eine Frist für die SIEM-Migration oder ein neues Regulierungssystem ist ein legitimer Grund, damit zu beginnen – anhand der Zuordnungstabelle weisen Sie anschließend den Fortschritt nach. Die konkreten Verpflichtungen variieren je nach Vorschrift und Rechtsraum, daher sollten Sie diese gemeinsam mit einem Rechtsberater abgleichen. Was das SOC abdeckt, sind die Nachweise – eine lückenlose Sicherheitsüberwachung, die anhand der oben genannten Rahmenwerke dokumentiert ist.

Moderne Ansätze zur Modernisierung des SOC

Die Marktbotschaften haben sich auf KI-gesteuerte und agentenbasierte SOC-Visionen konzentriert, und jede Plattform trägt mittlerweile irgendeine Art von „SOC der nächsten Generation“-Bezeichnung. Die Bezeichnungen ändern sich schneller als das zugrunde liegende Problem. Lässt man die Bezeichnungen einmal beiseite, so ist das beständige Prinzip dasjenige, auf das diese Roadmap durchgehend abzielt. Was zählt, ist eine umfassende Abdeckung der modernen Angriffsfläche und qualitativ hochwertige Signale, auf die ein Team in menschlicher Größenordnung reagieren kann. Architektonisch bedeutet dies eine Abdeckung, die Netzwerk, Identitäten, cloud und SaaS umfasst – also den Bereich der Netzwerk-Erkennung und -Reaktion sowie der erweiterten Erkennung und Reaktion. Das Ergebnis sollten weniger, aber besser korrelierte Signale sein, die in die Workflows einfließen, die im Abschnitt zur Abfolge in die richtige Reihenfolge gebracht wurden.

Wie Vectra AI die Modernisierung des SOC Vectra AI

Vectra AI Modernisierung in erster Linie als ein Problem der Abdeckung und der Signale und erst in zweiter Linie als ein Problem der Tools. Die Methodik geht von der Prämisse „Assume Compromise“ aus – Angreifer werden eindringen, daher ist es die Aufgabe des SOC, sie frühzeitig aufzuspüren, wo auch immer sie aktiv sind. Dies erfordert eine einheitliche Transparenz über die gesamte moderne Angriffsfläche hinweg – Netzwerk, Identitäten, cloud und SaaS. Außerdem ist eine Priorisierung erforderlich, und genau hier kommt Attack Signal Intelligence™ ins Spiel: Es deckt Verhaltensmuster auf, die auf einen tatsächlich stattfindenden Angriff hindeuten, sodass Analysten gezielt auf Angriffe reagieren können, anstatt weitere Warnmeldungen zu sortieren. Damit wird die „Abdeckung zuerst“-These dieser Roadmap in die Praxis umgesetzt.

‍