Knowledge-Base
Was ist ein Security Operations Center (SOC)?
Definition, Funktionsweise und Unterschied zum Managed SOC — alles was IT-Verantwortliche wissen müssen.
Ein Security Operations Center (SOC) ist eine zentrale Einheit, die IT-Infrastrukturen rund um die Uhr überwacht, Sicherheitsvorfälle erkennt und koordiniert darauf reagiert. Es kombiniert spezialisiertes Personal, Prozesse und Technologien wie SIEM, SOAR und EDR, um Cyberangriffe frühzeitig zu stoppen — intern oder als externer Managed Service.
Wie funktioniert ein SOC?
Ein SOC arbeitet in einem kontinuierlichen Zyklus aus Erkennung, Analyse und Reaktion. Eingehende Sicherheitsdaten aus der gesamten IT-Infrastruktur werden gesammelt, korreliert und durch Analysten bewertet. Bei bestätigten Incidents greift ein vordefinierter Response-Prozess — automatisiert durch Playbooks, eskaliert durch das SOC-Team.
Die vier Kernfunktionen eines SOC:
SIEM
Monitoring & Datenkorrelation
Logs aus Endpoints, Netzwerk und Cloud werden zentralisiert und auf Anomalien geprüft.
Threat Intelligence
Bedrohungsanalyse
Aktuelle Angriffsmuster und IOCs fließen in die Bewertung ein — Events werden kontextualisiert.
EDR
Incident Detection
Verdächtige Aktivitäten auf Endpoints — Ransomware-Indikatoren, Lateral Movement — werden isoliert erkannt.
SOAR
Automatisierte Response
Playbooks übernehmen Standardreaktionen — Isolierung, Benachrichtigung, Ticketing — ohne manuellen Eingriff.
SOC vs. SIEM vs. Managed SOC — was ist der Unterschied?
Die Begriffe werden oft verwechselt. Hier die klare Abgrenzung:
| Begriff | Was es ist | Wer es betreibt |
|---|---|---|
| SOC | Organisationseinheit mit Team, Prozessen & Technologie | Interne IT-Sicherheitsabteilung |
| SIEM | Technologie zur Log-Korrelation — ein Werkzeug im SOC | Teil des SOC-Setups |
| Managed SOC | SOC als externer Service — 24/7, ohne eigenes Team | MSSP wie suresecure |
Wann braucht ein Unternehmen ein SOC?
Ein eigenes SOC lohnt sich ab ca. 500 Mitarbeitern oder bei stark regulierten Branchen (Finanz, KRITIS, Gesundheit). Für den Mittelstand ist ein Managed SOC die wirtschaftlichere Alternative — gleiches Schutzniveau, ohne die Personalkosten eines internen 24/7-Betriebs.
Typische Signale, dass ein SOC jetzt relevant ist: NIS2-Pflicht greift, Cyberversicherung wird beantragt, erster Sicherheitsvorfall war knapp, oder die IT-Infrastruktur wächst über mehrere Standorte hinaus.
Häufige Fragen zum Security Operations Center
Was kostet ein Security Operations Center?
Ein internes SOC kostet je nach Größe zwischen 800.000 und 3 Mio. Euro jährlich — inklusive Personal, Technologie und Betrieb. Ein Managed SOC (externer Betrieb) startet typischerweise im fünfstelligen Jahresbereich und skaliert mit dem Umfang der überwachten Infrastruktur.
Was ist der Unterschied zwischen SOC und NOC?
Ein NOC (Network Operations Center) überwacht Netzwerkverfügbarkeit und Performance. Ein SOC fokussiert sich auf Sicherheitsbedrohungen und Angriffserkennung. Beide können parallel betrieben werden — in vielen Unternehmen sind sie heute zusammengelegt.
Wie schnell erkennt ein SOC einen Angriff?
Moderne SOCs mit SOAR-Automatisierung erkennen kritische Incidents typischerweise in unter 5 Minuten. Die durchschnittliche Erkennungszeit ohne SOC liegt laut IBM Cost of a Data Breach Report 2024 bei 194 Tagen — das ist der messbare Unterschied.
Hilft ein SOC bei NIS2-Compliance?
Ja. NIS2 verlangt nachweisbare Maßnahmen zur Angriffserkennung und Incident Response. Ein zertifiziertes Managed SOC (ISO 27001) erfüllt diese Anforderungen direkt und kann als Nachweis gegenüber Behörden genutzt werden.