Cybersecurity-Glossar: SOC, SIEM, EDR & Co. verständlich erklärt

Die Grundbegriffe: Leitstelle und Datensammlung

• SOC (Security Operations Center): Die Sicherheitsleitstelle, ein Team aus Analysten, das rund um die Uhr Alarme aus der IT eines Unternehmens überwacht und auf Angriffe reagiert. Vergleichbar mit der Notrufzentrale der Feuerwehr, nur für IT-Angriffe. Was ein SOC konkret leistet, erklärt unser Beitrag Was macht ein Security Operations Center?.
• SIEM (Security Information and Event Management): Das zentrale System, das Protokolldaten aller IT-Systeme sammelt, auswertet und bei verdächtigen Mustern Alarm schlägt. Es meldet zum Beispiel: „Auf diesem Server gab es nachts 500 fehlgeschlagene Anmeldeversuche in fünf Minuten."
• Log / Protokolldaten: Automatische Aufzeichnungen der IT-Systeme: Wer hat sich wann wo angemeldet, welche Programme liefen, welche Verbindungen wurden aufgebaut. Das „Fahrtenbuch" jedes Computers.
• Ingest / Dateneinspeisung: Das Einlesen von Protokolldaten in ein Auswertungssystem. Viele Anbieter rechnen pro eingelesenem Gigabyte ab, wie ein Stromtarif ohne Flatrate: je mehr Verbrauch, desto teurer. Warum das zur Kostenfalle wird, zeigt der Beitrag Die Ingest-Falle bei SIEM-Preismodellen.

Schutz auf Endgeräten und im Netzwerk

• EDR (Endpoint Detection and Response): Schutzsoftware auf jedem Endgerät (PC, Laptop, Server), die verdächtiges Verhalten erkennt und eingreifen kann, der Nachfolger des klassischen Virenscanners. Erkennt zum Beispiel, wenn ein Programm plötzlich beginnt, massenhaft Dateien zu verschlüsseln.
• XDR (Extended Detection and Response): Die Erweiterung von EDR: verbindet die Sicht der Endgeräte mit Cloud, E-Mail und Netzwerk zu einem Gesamtbild. Verknüpft etwa eine Phishing-Mail mit der verdächtigen Anmeldung, die zehn Minuten später folgte.
• NDR (Network Detection and Response): Erkennung von Angriffen durch Beobachtung des Netzwerkverkehrs statt der Endgeräte. Bemerkt, wenn ein Bürorechner plötzlich große Datenmengen an eine unbekannte Adresse im Ausland schickt.
• Agent: Ein kleines Software-Programm, das auf einem Rechner installiert wird und Sicherheitsdaten an die Leitstelle meldet, der „Messfühler" auf jedem Gerät.
• FIM (File Integrity Monitoring / Datei-Überwachung): Überwachung wichtiger Dateien auf unerlaubte Veränderungen. Schlägt Alarm, wenn jemand die Konfigurationsdatei des Webservers manipuliert.
• UEBA (Verhaltensanalyse von Benutzerkonten): Erkennt, wenn sich ein Konto untypisch verhält, etwa wenn sich der Buchhalter plötzlich nachts aus dem Ausland anmeldet und Gigabytes herunterlädt.

Betriebsmodelle: Wer arbeitet mit den Werkzeugen?

Die wichtigste Unterscheidung beim Angebotsvergleich ist nicht die Technik, sondern die Frage, wer damit arbeitet. Eine ausführliche Entscheidungshilfe bietet der Beitrag SOC vs. MDR vs. XDR: Die Unterschiede einfach erklärt.

• MDR (Managed Detection and Response): Erkennungs-Dienstleistung eines Produktherstellers: Dessen Team reagiert auf Alarme der eigenen Produkte, meist begrenzt auf genau diese Produkte und häufig nur auf Englisch.
• MSSP (Managed Security Service Provider): Ein Dienstleister, der Sicherheitsleistungen für Kunden betreibt, herstellerübergreifend und als Gesamtservice.
• SOAR / Automatisierung: Automatisierte Reaktionsabläufe: Bei bestimmten Alarmen führt das System vordefinierte Schritte selbst aus, etwa einen infizierten Rechner vom Netzwerk trennen, bevor sich der Schädling ausbreitet.
• Sandbox: Eine isolierte Testumgebung, in der verdächtige Dateien gefahrlos „gezündet" und analysiert werden. Der verdächtige E-Mail-Anhang wird erst im Labor geöffnet, nicht auf dem Rechner der Buchhaltung.
• Purple Team / Red Team: Kontrollierte Angriffssimulationen gegen die eigene Verteidigung (Red = Angriff, Purple = Angriff und Verteidigung gemeinsam), um die Erkennung nachweisbar zu testen.
• MTTD / MTTR: Die mittlere Zeit bis zur Erkennung (Detect) beziehungsweise Reaktion (Respond) auf einen Angriff, die wichtigsten Leistungskennzahlen eines SOC.

Schwachstellen und Bedrohungswissen

• Schwachstellen-Management (Vulnerability Management): Regelmäßiges Aufspüren und Bewerten von Sicherheitslücken, bevor Angreifer sie ausnutzen. Ergebnis zum Beispiel: „Auf 12 Ihrer Server fehlt ein kritisches Update, das bereits aktiv angegriffen wird."
• CVE / CVSS / EPSS / KEV: Standards zur Katalogisierung (CVE) und Bewertung von Sicherheitslücken: Schweregrad (CVSS), Ausnutzungswahrscheinlichkeit (EPSS) und die Liste der nachweislich aktiv ausgenutzten Lücken (KEV der US-Behörde CISA). Sie helfen zu entscheiden, welche der vielen offenen Lücken zuerst geschlossen werden muss.
• EASM (External Attack Surface Management / Angriffsflächen-Prüfung): Die Prüfung des Unternehmens „von außen", mit den Augen eines Angreifers: Welche Systeme, Webseiten und Zugänge sind aus dem Internet erreichbar und angreifbar? Findet etwa den vergessenen Test-Server mit veralteter Software.
• Threat Intelligence (Bedrohungsinformationen): Laufend gepflegtes Wissen über aktuelle Angreifer, ihre Methoden und Erkennungsmerkmale: „Diese IP-Adresse gehört zu einer bekannten Erpressergruppe, Verbindungen dorthin sofort blockieren."
• IOC (Indicator of Compromise): Ein konkretes Erkennungsmerkmal eines Angriffs, etwa eine bösartige Datei, Internet-Adresse oder Domain, der „Fingerabdruck" eines Schädlings.
• MITRE ATT&CK: Der international anerkannte Katalog aller bekannten Angriffstechniken, der Standard, um Erkennungsfähigkeit messbar zu machen. Wie das in der Praxis funktioniert, zeigt der Beitrag Erkennungsabdeckung messen statt behaupten.

Regulierung und Datenschutz

• NIS2: Die EU-Richtlinie zur Cybersicherheit. Sie verpflichtet betroffene Unternehmen unter anderem, Sicherheitsvorfälle binnen 24 Stunden an das BSI zu melden. Ob Ihr Unternehmen betroffen ist, klärt der Beitrag NIS2: Welche Unternehmen sind betroffen?.
• BSI: Das Bundesamt für Sicherheit in der Informationstechnik, die deutsche Cybersicherheitsbehörde und Empfänger der NIS2-Meldungen.
• ISO 27001 / BSI IT-Grundschutz: Die wichtigsten Normen für Informationssicherheits-Management, Grundlage für Zertifizierungen und zunehmend Anforderung von Auftraggebern in der Lieferkette.
• IEC 62443: Die Sicherheitsnorm speziell für Industrieanlagen und Produktionsumgebungen, das „ISO 27001 der Fabrikhalle".
• DSGVO / Auftragsverarbeitung: Das EU-Datenschutzrecht. Bei Dienstleistern muss vertraglich geregelt sein, wo und wie Daten verarbeitet werden. Ein US-Cloud-Anbieter braucht dafür komplexe Zusatzkonstrukte, ein deutscher Betreiber nicht.
• CLOUD Act: Ein US-Gesetz, nach dem US-Behörden von US-Firmen die Herausgabe von Daten verlangen können, auch wenn diese auf Servern in Europa liegen. Der Grund, warum „Serverstandort Frankfurt" bei US-Anbietern nur die halbe Wahrheit ist, mehr dazu im Beitrag Datenhoheit und CLOUD Act.
• C5: Der Anforderungskatalog des BSI für Cloud-Sicherheit. Ein Testat, mit dem Cloud-Anbieter Mindeststandards nachweisen; am CLOUD Act ändert es nichts.
• Mandantenfähigkeit (Multi-Tenancy): Die Fähigkeit einer Plattform, viele Kunden strikt getrennt auf einer Installation zu betreiben: Kunde A kann niemals Daten von Kunde B sehen, technisch erzwungen, nicht nur organisatorisch.
• OT / ICS (Operational Technology / Industriesteuerung): Die IT der Produktion: Maschinensteuerungen, Anlagen, Sensoren, im Gegensatz zur Büro-IT. Welche Besonderheiten hier gelten, beschreibt der Beitrag NIS2 im Maschinenbau.

Häufige Fragen zu den Begriffen

Begriff nicht gefunden?

Dieses Glossar wächst mit. Wenn Ihnen in einem Angebot oder Gespräch ein Begriff begegnet, den wir hier noch nicht erklärt haben, schreiben Sie uns über die Kontaktseite, wir ergänzen ihn. Und wenn Sie wissen möchten, wie diese Bausteine bei uns zusammenspielen, finden Sie den Überblick im Leitfaden Managed SOC für den Mittelstand.