Hersteller-SOC oder MSSP? Die wichtigsten Kriterien bei der SOC-Auswahl

Welche Firewall wird eingesetzt? Welcher Endpoint-Schutz ist installiert? Welches SIEM kommt zum Einsatz? Heute verschiebt sich der Fokus zunehmend. Denn die meisten Unternehmen verfügen längst über Sicherheitslösungen. Die entscheidende Frage lautet nicht mehr, ob Sicherheitsdaten vorhanden sind, sondern wer sie überwacht, bewertet und im Ernstfall darauf reagiert. Genau deshalb beschäftigen sich aktuell viele Unternehmen mit der Auswahl eines Security Operations Centers (SOC).

Spätestens durch NIS2, steigende regulatorische Anforderungen und die zunehmende Professionalisierung von Cyberangriffen wächst der Bedarf an einem leistungsfähigen Security Operations Center für den Mittelstand. Gleichzeitig fehlen in vielen Unternehmen die personellen Ressourcen, um ein eigenes SOC aufzubauen und rund um die Uhr zu betreiben. Die Folge: Immer mehr Unternehmen stehen vor einer strategischen Entscheidung.

Soll die Sicherheitsüberwachung durch einen Managed Security Service Provider (MSSP) erfolgen oder durch einen Hersteller, der sein eigenes SOC als Service anbietet?

Auf den ersten Blick wirken viele SOC-Anbieter und Managed-SOC-Services ähnlich. Doch bei genauerem Hinsehen zeigen sich deutliche Unterschiede - insbesondere dann, wenn individuelle Anforderungen, komplexe IT-Landschaften oder kritische Geschäftsprozesse ins Spiel kommen.

Warum die SOC-Auswahl aktuell an Bedeutung gewinnt

Laut dem Bitkom Wirtschaftsschutz Report 2024 beläuft sich der durch Cyberangriffe, Sabotage und Datendiebstahl verursachte Schaden für deutsche Unternehmen mittlerweile auf rund 267 Milliarden Euro pro Jahr. Gleichzeitig zeigt sich ein weiteres Problem: Der Fachkräftemangel in der Cybersecurity bleibt hoch. Laut ISC fehlen weltweit weiterhin mehrere Millionen qualifizierte Sicherheitsexperten.² Für viele mittelständische Unternehmen bedeutet das: Die Anforderungen an Cybersecurity und Incident Response steigen schneller als die eigenen Ressourcen. Ein externes Security Operations Center wird damit zunehmend zur strategischen Notwendigkeit.

Hersteller-SOC oder MSSP – wo liegt eigentlich der Unterschied?

Die grundsätzliche Idee ist bei beiden Modellen dieselbe: Sicherheitsereignisse werden überwacht, analysiert und im Ernstfall bearbeitet. Der Weg dorthin unterscheidet sich jedoch deutlich. Hersteller-SOCs entstehen meist aus einer bestehenden Produktplattform heraus. Anbieter wie CrowdStrike, Microsoft, Palo Alto Networks oder SentinelOne erweitern ihre Technologien um Security Services und bieten Überwachung sowie Reaktionsleistungen direkt aus ihrem eigenen Ökosystem an. Der große Vorteil: Die Integration in die eigene Plattform funktioniert meist sehr effizient. Der potenzielle Nachteil: Die Sicht auf die Umgebung orientiert sich häufig an den Technologien des jeweiligen Herstellers.

Managed Security Service Provider (MSSPs) verfolgen dagegen meist einen technologieoffenen Ansatz. Ziel ist es, Daten aus unterschiedlichen Quellen zusammenzuführen und unabhängig von einzelnen Herstellern auszuwerten. Besonders in mittelständischen Umgebungen ist dieser Unterschied relevant. Denn die Realität sieht selten so aus, dass alle Sicherheitslösungen von einem einzigen Hersteller stammen. Wer heute ein Security Operations Center auswählt, sollte deshalb prüfen, wie flexibel sich unterschiedliche Datenquellen, Anwendungen und Systeme integrieren lassen.

Warum MDR nicht automatisch ein SOC ersetzt

Ein weiterer Punkt, der in Gesprächen immer wieder für Verwirrung sorgt, ist die Abgrenzung zwischen MDR und einem vollständigen Security Operations Center. Managed Detection and Response (MDR) konzentriert sich häufig auf bestimmte Sicherheitsprodukte, beispielsweise Endpoint Security. Das liefert bereits einen erheblichen Mehrwert. Allerdings entsteht dadurch nicht automatisch ein vollständiges Lagebild. Angriffe beginnen nicht ausschließlich auf Endgeräten. VPN-Gateways, Netzwerkkomponenten, Cloud-Dienste, Identitätssysteme oder geschäftskritische Anwendungen können ebenso Teil eines Angriffspfades sein.

Ein vollwertiges SOC betrachtet deshalb nicht nur einzelne Produkte, sondern korreliert Informationen aus unterschiedlichen Quellen. Erst dadurch entsteht die notwendige Transparenz, um komplexe Angriffsmuster zuverlässig erkennen zu können. Bei der SOC-Auswahl sollte deshalb genau geprüft werden, welche Datenquellen überwacht werden und welche Leistungen tatsächlich Bestandteil des Angebots sind.

Die wichtigste Frage wird bei der Auswahl eines SOC-Anbieters oft zu selten gestellt

Viele Anbieter sprechen über Dashboards, Erkennungsraten und Funktionen. Die entscheidende Frage lautet jedoch: Wie sieht der Ablauf eines Sicherheitsvorfalls von der Erkennung bis zur Reaktion konkret aus? Genau hier unterscheiden sich die Ansätze häufig stärker als auf jeder Produktfolie.

Wird lediglich ein Alarm erstellt? Erfolgt eine Analyse durch einen Analysten? Wird aktiv reagiert? Gibt es automatisierte Gegenmaßnahmen? Wer wird informiert? Und wie schnell? Die Qualität eines Security Operations Centers zeigt sich nicht im Normalbetrieb. Sie zeigt sich in dem Moment, in dem tatsächlich ein Angriff erkannt wird.

Warum Geschäftsprozesse wichtiger sind als einzelne Systeme

Ein weiterer Aspekt wird bei der Auswahl eines SOC-Anbieters häufig unterschätzt. Cybersecurity schützt nicht Server. Cybersecurity schützt Geschäftsprozesse. Das klingt zunächst selbstverständlich, hat jedoch enorme Auswirkungen auf die Praxis. Ein kompromittierter Büro-PC und eine kompromittierte Produktionsanlage stellen technisch betrachtet beides Sicherheitsvorfälle dar.

Geschäftlich können die Auswirkungen jedoch völlig unterschiedlich sein. Eine automatisierte Reaktion kann in einem Fall sinnvoll sein. Im anderen Fall könnte sie Produktionsausfälle verursachen und erhebliche wirtschaftliche Schäden nach sich ziehen. Deshalb sollte ein Security Operations Center nicht nur Systeme kennen. Es sollte verstehen, welche Systeme für den Geschäftsbetrieb kritisch sind und welche Reaktionen im Ernstfall zulässig sind. Gerade für mittelständische Unternehmen ist dieser Punkt häufig entscheidender als die reine Technologie.

Standardisierung oder Individualisierung?

Hersteller-SOCs sind naturgemäß auf Skalierung und Standardisierung ausgelegt. Das ist kein Nachteil. Im Gegenteil: Standardisierung ermöglicht effiziente Prozesse und eine hohe Skalierbarkeit. Die Frage ist vielmehr: Passt die eigene Umgebung zu diesem Standard? Viele mittelständische Unternehmen nutzen Spezialsoftware, individuelle Anwendungen, SAP-Systeme oder Produktionsumgebungen, die sich nicht vollständig standardisieren lassen. Hier wird die Fähigkeit zur Individualisierung häufig zum entscheidenden Auswahlkriterium.

Dazu gehören beispielsweise:

• Individuelle Detection Rules

• Zusätzliche Datenquellen

• Branchenspezifische Anwendungen

• OT- und Produktionsumgebungen

• Individuelle Eskalations- und Reaktionsprozesse

Je komplexer die eigene Umgebung, desto wichtiger wird diese Flexibilität.

Der Blick hinter den Einstiegspreis

Ein weiterer Punkt verdient besondere Aufmerksamkeit. SOC-Angebote werden häufig über den Einstiegspreis verglichen. Die tatsächlichen Kosten entstehen jedoch oft erst im Detail.

Typische Einflussfaktoren sind:

• Log-Volumen

• Anzahl angebundener Quellen

• Individuelle Integrationen

• Custom Detection Rules

• Zusätzliche Incident-Response-Leistungen

Deshalb lohnt sich ein genauer Blick auf Leistungsumfang und Vertragsbedingungen. Nicht die günstigste Lösung ist automatisch die wirtschaftlichste. Ein sorgfältiger SOC-Vergleich berücksichtigt deshalb immer sowohl den Preis als auch den tatsächlichen Leistungsumfang.

Warum der persönliche Ansprechpartner eine größere Rolle spielt als viele denken

Technologie allein löst keine Sicherheitsvorfälle. Menschen tun es. Deshalb sollte bei der Auswahl eines SOC-Anbieters nicht nur die Plattform bewertet werden, sondern auch das Betreuungsmodell. Wer kennt die Umgebung? Wer begleitet regelmäßige Reviews? Wer unterstützt bei strategischen Entscheidungen? Wer sorgt dafür, dass aus einem Sicherheitsvorfall konkrete Verbesserungen entstehen?

Gerade mittelständische Unternehmen profitieren häufig von einem festen Ansprechpartner, der die Umgebung kennt und Entwicklungen über längere Zeit begleiten kann.

KI verändert auch Security Operations Center

Kaum ein Thema prägt die Cybersecurity aktuell so stark wie künstliche Intelligenz. Gleichzeitig wird KI in modernen Security Operations Centern sehr unterschiedlich eingesetzt. Während einige Anbieter KI vor allem für Assistenzfunktionen nutzen, setzen andere sie bereits ein, um neue Angriffsmuster zu identifizieren, Detection Rules zu generieren oder Analyseprozesse zu beschleunigen. Die eigentliche Frage lautet daher nicht: Nutzt das SOC KI? Sondern: Wie wird KI genutzt, um die Qualität von Erkennung und Reaktion zu verbessern? Für Unternehmen, die heute einen mehrjährigen Vertrag abschließen, wird diese Frage zunehmend relevant.

Fazit: Die beste SOC-Lösung hängt von den eigenen Anforderungen ab

Die Diskussion „Hersteller-SOC oder MSSP?“ lässt sich nicht pauschal beantworten. Beide Modelle können sinnvoll sein. Entscheidend ist, welche Anforderungen erfüllt werden müssen. Unternehmen mit stark standardisierten Umgebungen können von der engen Integration eines Hersteller-SOCs profitieren. Unternehmen mit komplexeren Strukturen, individuellen Anwendungen oder besonderen Anforderungen benötigen häufig mehr Flexibilität und Individualisierung. Die wichtigste Erkenntnis lautet daher: Nicht die Plattform sollte im Mittelpunkt der Entscheidung stehen. Sondern die Frage, wie gut ein Anbieter die eigenen Anforderungen, Prozesse und Risiken versteht.

Passend zum Thema steht eine Checkliste „SOC vom MSSP oder vom Hersteller?“ zum Download bereit.

Wenn ihr tiefer in das Thema einsteigen möchtet, hört euch die aktuelle Folge von Cybersecurity Basement an. Darin vertiefen Michael und Andreas die Unterschiede zwischen Hersteller-SOCs und MSSPs, teilen Erfahrungen aus der Praxis und zeigen, worauf es bei der Auswahl wirklich ankommt.