Was ist ein SOC (Security Operations Center)?

Ist ein SOC ein Team, ein Ort oder ein Werkzeug?

Ein Security Operations Center ist in erster Linie eine operative Funktion. Menschen, Verfahren und technische Mittel überwachen einen festgelegten Bereich, erkennen verdächtige Ereignisse, analysieren sie und koordinieren erste Reaktionsmaßnahmen. Der Begriff kann ein Team an einem Ort, einen verteilten Dienst oder eine ausgelagerte Leistung bezeichnen. Der Kauf eines SIEM, EDR oder Sensors schafft allein noch kein SOC.

Diese Einordnung entspricht dem französischen ANSSI-Regelwerk PDIS v2.0, das organisatorische, personelle und technische Fähigkeiten umfasst und nicht nur ein Produkt.

Was geschieht bei einer Warnung?

Je nach Umfang erhält das SOC Ereignisse von Identitäten, Endgeräten, Servern, Anwendungen, Cloud-Diensten und Netzwerkkomponenten. Es korreliert Signale, sortiert offensichtliche Fehlalarme aus, erstellt eine zeitliche Abfolge und bewertet die mögliche Ausbreitung. Ist ein Vorfall plausibel, folgt es einem Eskalationsverfahren: benannte Verantwortliche informieren, relevante Belege sichern und erlaubte Maßnahmen empfehlen oder einleiten.

Die Qualität der Protokolle ist entscheidend. Die Empfehlungen der ANSSI zur Protokollierung behandeln die Sammelarchitektur, den Schutz der Spuren und ihre Nutzung zur Erkennung und Aufklärung eines Vorfalls.

Wer entscheidet und wer handelt?

Das SOC darf seine Befugnisse nicht erst in der Krise improvisieren. Verfahren müssen festlegen, wer ein Endgerät isolieren, ein Konto sperren, einen Dienst abschalten, die Leitung informieren oder Fachleute hinzuziehen darf. Ein SOC kann erkennen und koordinieren, ohne jede technische Handlung selbst auszuführen. Es ersetzt weder die IT noch die Leitung oder Meldepflichten anderer Funktionen.

Für KMU kommen interne, ausgelagerte und hybride Modelle infrage. Die Wahl hängt von gewünschten Überwachungszeiten, verfügbaren Fähigkeiten, Sensibilität der Systeme und erwarteter Reaktionszeit ab. Eine Überwachung „rund um die Uhr“ darf nur zugesagt werden, wenn Personal, Verträge und Verfahren sie tatsächlich gewährleisten.

Wie wird die Wirksamkeit gemessen?

Die Zahl bearbeiteter Warnungen ist für sich kein Ergebnis. Aussagekräftiger sind die tatsächliche Abdeckung kritischer Systeme, die Zeit bis zur Bewertung, die Zeit bis zur Maßnahme, der Anteil irrelevanter Warnungen, Ergebnisse von Übungen und die Beseitigung festgestellter Ursachen. Kennzahlen müssen zu konkreten Verbesserungen führen.

Ein luxemburgischer Fall: was nach dem Angriff zu tun war

In der Nacht vom 22. auf den 23. Juli 2022 erlitt die luxemburgische Energiegruppe Encevo einen Cyberangriff, der ihre Einheiten Creos und Enovos traf. Die Kundenportale fielen aus; die Strom- und Gasversorgung wurde nicht unterbrochen.

Der vollständige Ablauf steht im Artikel Ransomware beim Hausverwalter und Datenleck. Hier interessiert das, was danach kam: was das Unternehmen tun musste, und in welcher Reihenfolge. Genau das ist die Leistung eines SOC, und fast nichts davon ist technisch.

• Einordnen. Feststellen, was betroffen ist und was nicht. Hier: die Portale, ja; das Verteilnetz, nein. Diese Unterscheidung erlaubte es, weiter zu liefern.
• Anzeige erstatten bei der großherzoglichen Polizei.
• Behörden benachrichtigen — die CNPD für personenbezogene Daten, das ILR als Sektorregulierer und die zuständigen Ministerien.
• Auswerten, was abgeflossen ist, um zu wissen, was den Betroffenen zu sagen ist.
• Kommunizieren, auch um zu sagen, was noch funktioniert.

Ein SOC bemisst sich nicht an der Feinheit seiner Werkzeuge, sondern an der Fähigkeit, diese Abfolge zu leisten, ohne zu zögern, wer was tut.

Was ein KMU entscheiden muss

Ein Betrieb mit zwanzig Beschäftigten wird kein eigenes SOC haben und braucht auch keines, um die folgenden Fragen zu beantworten. Sie legen fest, wer am Tag X was tut.

• Wen ruft man an, und unter welcher Nummer? Den IT-Dienstleister, den Versicherer, CIRCL. Diese Liste passt auf eine Seite und muss außerhalb des Informationssystems vorliegen: Ransomware verschlüsselt auch die Kontaktdatei.
• Wer entscheidet über das Abschalten? Einen verdächtigen Server vom Netz zu nehmen kostet Geschäft. Die Person mit dieser Befugnis wird vorab benannt und ist am Wochenende erreichbar.
• Welche Tätigkeiten müssen ohne IT laufen, und wie lange? Liefern, fakturieren, Löhne zahlen, Türen öffnen. Die Antwort gibt die Reihenfolge der Wiederinbetriebnahme vor.
• Wer spricht mit der Kundschaft, und was wird gesagt? Schweigen fällt stärker auf als unvollkommene Kommunikation.
• Weiß man, wie die CNPD fristgerecht zu benachrichtigen ist? Eine Verletzung des Schutzes personenbezogener Daten ist unverzüglich zu melden, grundsätzlich binnen 72 Stunden. Zu wissen, wer diese Meldung verfasst, ist eine Entscheidung, keine technische Fähigkeit.

Quellen

Links geprüft am 28. September 2026.

• Encevo, Pressemitteilung zum Cyberangriff, 2022: encevo.eu (PDF, französisch).
• Paperjam, „Creos et Enovos victimes d’une cyberattaque“: paperjam.lu.
• Le Quotidien, „Cyberattaque contre Encevo : une rançon réclamée par les BlackCat“: lequotidien.lu.
• CIRCL, luxemburgisches Zentrum für Vorfallsreaktion: circl.lu.
• Nationales Cybersicherheitsportal Luxemburg: cybersecurite.lu.

Die Rolle von Sensoren erklärt Cybersicherheits-Sonde: Definition, Nutzen und Grenzen. Die Abgrenzung zwischen Schwachstelle und Vorfall behandelt Was ist eine Sicherheitslücke?.