Jemand schaut hin, auch um drei Uhr nachts.
Ein SOC ist kein Dashboard, sondern eine Schicht. Wir übernehmen die Alarme, prüfen sie technisch und leiten die Maßnahme ein — mit Nachweisen, die im Audit tragen. Eigenes SIEM, vier vLLM-Engines on-premises, Erstreaktion in unter 15 Minuten.
Geeignet fürUnternehmen, die Angriffe rund um die Uhr erkennen müssen
24/7 besetzt · eigenes SIEM · KI on-premises · NIS2-taugliche Meldewege
Das Wichtigste auf einen Blick
- Geeignet für
- Unternehmen, die Angriffe rund um die Uhr erkennen müssen — durch Auflagen, Versicherung oder eigene Erfahrung
- Ausgangssituation
- Niemand schaut nachts auf die Meldungen. Ein eigenes Team dafür aufzubauen dauert 6 bis 12 Monate und kostet rund 420.000 € im Jahr
- Wir übernehmen
- Überwachung im Schichtdienst, Bewertung der Alarme, Eindämmung bestätigter Angriffe, Meldungen nach NIS2 und DORA
- Bei Ihnen bleibt
- Die Entscheidung über Ihre Fachanwendungen und der Zugang zu Ihren Daten. Eigentum und Hoheit wechseln nicht.
- Vorhandene Systeme
- Was heute läuft, sehen wir uns vor dem Angebot an. Was bleiben kann und was ersetzt werden muss, steht schriftlich fest, bevor Sie beauftragen.
- Ihr Ergebnis
- Jemand schaut hin, auch um drei Uhr nachts. Bestätigte Bedrohungen werden übernommen, statt in einer Warteschlange zu liegen
- Preisrahmen
- ab 12.000 € im Jahr, alles enthaltenEigenbetrieb liegt bei rund 420.000 € jährlich, Lizenzen 40.000–120.000 € kommen dort obendrauf
- Reaktionszeit
- Erstreaktion unter 15 Minuten, rund um die Uhr, mit EskalationsstufenDer 24-Stunden-Fristtimer für meldepflichtige Vorfälle läuft ab Erkennung mit
- Dauer
- 2 bis 4 Wochen bis produktivOnboarding ist Teil des Dienstes, kein Projekt davor — 0 € Setup
- Erster Schritt
- Gespräch über Ihre Meldepflichten und die vorhandene Protokollierung
Warum Virenschutz allein nicht mehr reicht.
Vier Zahlen, die in Gesprächen mit Geschäftsführungen regelmäßig für Stille sorgen.
Branchenzahlen aus Lageberichten und Breach-Studien — keine Messwerte aus unserem Betrieb.
Enterprise-Schutz zu kalkulierbaren Kosten.
Ein eigenes Security Operations Center rechnet sich für die wenigsten Häuser — fünf Vollzeitstellen für echten Schichtbetrieb, sechs bis zwölf Monate Aufbau. Sechs Gründe, warum die meisten es abgeben; die Rechnung dazu steht weiter unten.
Sechs Bausteine, die ab Tag eins laufen.
Kein Werkzeugkasten zum Selberbauen, sondern eine Baugruppe, die zusammen ausgeliefert wird — Technik und Analysten gehören beide dazu. Jeder Baustein greift in die anderen; einzeln bestellbar ist keiner.
- Log-Korrelation über alle Quellen
- Threat-Intelligence-Feeds
- Verhaltensanalyse (UEBA)
- automatische Anomalie-Erkennung
- Threat Hunting durch Analysten
- 24/7-Incident-Response-Team
- Isolation betroffener Systeme
- forensische Spurensicherung
- Schadensbegrenzung in Echtzeit
- Post-Incident-Analyse
- Wazuh, Elastic oder Splunk
- Anbindung der Logquellen
- Tuning der Korrelationsregeln
- Reduktion falscher Alarme
- Aufbewahrung revisionssicher
- regelmäßige Schwachstellen-Scans
- Priorisierung nach CVSS-Score
- Patch-Empfehlung statt Rohliste
- Konfigurationsprüfung nach CIS
- Compliance-Nachweis
- kommerzielle und offene Feeds
- branchenspezifische IoCs
- Dark-Web-Monitoring (optional)
- Angreifer-TTPs nach MITRE ATT&CK
- Frühwarnung
- Zusammenfassung für die Geschäftsführung
- Kennzahlen MTTD, MTTR, Alarmvolumen
- Bedrohungslage und Entwicklung
- auditfeste Dokumentation
- Handlungsempfehlungen
Selbst aufbauen oder betreuen lassen.
Der einzige große Vergleich auf dieser Seite.
| Kriterium | Eigenes SOC | Managed SOC |
|---|---|---|
| Aufbauzeit | 6–12 Monate | 2–4 Wochen |
| Personal | 5+ Vollzeitstellen für echten 24/7-Betrieb | kein eigenes Security-Team nötig |
| Setup-Investition | 100.000–250.000 € | 0 € — Onboarding ist Teil des Dienstes |
| Laufende Kosten | rund 420.000 € pro Jahr | ab 12.000 € pro Jahr, alles enthalten |
| Lizenzen | 40.000–120.000 € pro Jahr separat | im Preis enthalten |
| Hardware-Refresh | alle 3–5 Jahre als Investition | kein Thema für Sie |
Ehrlich: Ein eigenes SOC gibt maximale Kontrolle. Es scheitert im Mittelstand fast nie an der Technik, sondern am Schichtplan — 24/7 mit Urlaubs- und Krankheitsvertretung braucht mindestens fünf Vollzeitstellen.
Vom Onboarding zur Rund-um-die-Uhr-Überwachung.
Ohne eigene Hardware, ohne eigenes Security-Team. Nach spätestens vier Wochen ist der Betrieb produktiv — davor läuft die Erkennung bereits mit, nur noch nicht scharf gestellt.
Aufnahme und Onboarding
Wir sehen uns Ihre IT-Landschaft an, benennen die kritischen Systeme und legen mit Ihnen fest, was überwacht wird.
SIEM-Anbindung
Firewalls, Server, Endpunkte, Cloud-Dienste und Anwendungen werden angebunden, die Korrelationsregeln konfiguriert und geprüft.
Tuning und Grundlinie
Das System lernt Ihren Normalzustand. Falsche Alarme werden ausgeräumt, Schwellenwerte justiert — danach ist der Betrieb produktiv.
Betrieb rund um die Uhr
Unsere Analysten überwachen die Infrastruktur. Bestätigte Bedrohungen gehen sofort an Sie — mit dem, was wir bereits eingeleitet haben.
Bericht und Nachsteuern
Kennzahlen, Bedrohungslage und Empfehlungen im Monatsbericht, dazu vierteljährlich ein Termin, in dem die Strategie angepasst wird.
Im Kern steht Wazuh als SIEM, ergänzt um Threat-Intelligence-Feeds und Response-Playbooks. Die gesetzlich geforderte Rund-um-die-Uhr-Überwachung nach NIS2 ist der Punkt, an dem ein internes Team fast immer an seine Grenze kommt — nicht die Technik, sondern die Schichtbesetzung.
Wenn es ernst wird — strukturiert und schnell.
Detection
Automatische Erkennung durch das SIEM, Korrelation über alle Quellen, Alarmierung des Teams.
Triage
Bewertung und Kritikalität — durch einen Menschen, nicht durch ein Modell.
Containment
Eindämmung und Isolation betroffener Systeme, bevor sich der Angriff seitlich weiterbewegt.
Recovery
Bereinigung, koordinierter Wiederanlauf aus dem Backup, Post-Incident-Review und Unterstützung bei Meldepflichten.
- 02:14SIEM korreliert: PowerShell-Download von externer Adresse auf einem DomaincontrollerDetection
- 02:16Alarm erzeugt, vier Engines bewerten getrennt — drei einig, eine widersprichtDetection
- 02:17Dissens: der Fall geht an den diensthabenden Analysten statt in die Automatik0–15 Min.
- 02:26Triage abgeschlossen: bestätigt, Kritikalität hoch, Zuständigkeit vergeben15–30 Min.
- 02:41Containment: betroffenes System isoliert, Konto gesperrt, seitliche Bewegung gestoppt30–60 Min.
- 02:44Eskalation an Ihren Notfallkontakt — mit dem, was bereits eingeleitet wurde30–60 Min.
- 06:05Koordinierter Wiederanlauf aus dem Backup, Post-Incident-Review terminiertRecovery
Schematischer Verlauf zur Veranschaulichung der Zeitfenster — keine Aufzeichnung aus einer Kundenumgebung.
Fester Ablauf nach NIST SP 800-61 — die Zeitfenster sind zugesagt, nicht angestrebt.
Warum unser SOC anders arbeitet.
Wir betreiben keine fremde Cloud-Plattform weiter, sondern ein eigenes SIEM in deutschen Rechenzentren.
Volle Datenhoheit
Zu 100 % on-premises mit eigenen vLLM-Engines. Keine Kundendaten an OpenAI, Anthropic oder Google.
Gerichtsfeste Nachweise
Jeder Export signiert, mit sichtbarer Audit-Seite und Verify-URL.
Angreifer-Früherkennung
Honey-Canary-Endpunkte, Suspicion-Score und Actor-Profile erkennen Innentäter und laterale Bewegung.
Mandantenfähig ab Tag 1
Sauberes Tenant-Modell mit eigener Warteschlange für schwere Jobs.
Wie das SOC technisch arbeitet.
Für die Entscheidung reicht das Obenstehende. Wer Architektur, Analyse-Verfahren, Besetzung, Alarmübersicht, Monatsbericht und Oberfläche prüfen will:
/01Drei Schichten, eine Sicht+
- Analysten 24/7Schichtbetrieb · Triage · Eskalation
- PAMprivilegierte Zugänge · Session-Aufzeichnung
- ReportingMonats- und Quartalsbericht · Compliance-Doku
- SIEMWazuh · Elastic · Splunk — Korrelation
- EDR / XDREndpoint · Prozess- und Dateiaktivität
- NDRNetzwerkverkehr · laterale Bewegung
- Server & ClientsWindows · Linux · Arbeitsplätze
- NetzwerkFirewalls · Switches · VPN-Gateways
- Cloud-DiensteMicrosoft 365 · Azure · AWS
Jede Ebene ist einzeln austauschbar — Erkennung entsteht aus der Korrelation, nicht aus einem Werkzeug.
Wir mischen bewährte Open-Source-Werkzeuge mit kommerziellen Produkten — welche, entscheidet Ihre Umgebung, nicht unsere Lizenzliste.
/02KI, die sich selbst widerspricht+
Vier Engines statt einer. Klassische Anbieter setzen auf ein einzelnes Cloud-Modell. Wir lassen vier unabhängige vLLM-Engines jeden Alarm getrennt bewerten — alle on-premises auf eigener GPU-Hardware.
Uneinigkeit ist ein Signal, kein Fehler. Einigen sich die Engines zu über 85 %, greift die Automatik. Bei Dissens geht der Fall sofort an einen Analysten.
Jede Empfehlung zitiert ihre Quelle aus Ihren eigenen Playbooks und Policies. Kein Halluzinieren, sondern belegbares Wissen.
/03Technik und Menschen+
- Stufe 0 2,4 Mio.ereignisse je tag Rohereignisse aus allen betreuten Umgebungen. Sie werden im SIEM korreliert — diese Menge sieht kein Mensch, und sie soll auch keiner sehen.
- Stufe 1 847alarme an einem tag bearbeitet Was das Regelwerk als auffällig markiert. Vier unabhängige Engines bewerten jeden Alarm getrennt; bei über 85 % Konsens greift die Automatik.
- Stufe 2 Analystbei dissens oder hoher kritikalität Widersprechen sich die Engines, übernimmt ein Mensch. Die Bewertung der Kritikalität trifft kein Modell. MTTD unter 5 Minuten.
- Stufe 3 Eskalation an Sienur bestätigte bedrohungen Sie hören von uns, wenn etwas bestätigt ist — mit dem, was bereits eingeleitet wurde. MTTR unter 15 Minuten. Falsche Alarme landen nicht in Ihrem Postfach.
- Stufe 4 Meldepflichtsignierter export Wird ein Vorfall meldepflichtig, liegt der Nachweis fertig vor: SHA-512- und HMAC-signiertes PDF mit Audit-Seite und Verify-URL.
Die Balkenbreiten zeigen die Richtung der Verengung, keinen Maßstab — zwischen Stufe 0 und Stufe 1 liegen mehrere Größenordnungen.
Zertifizierte Analysten bewerten die Alarme, korrelieren über mehrere Datenquellen und eskalieren nur bestätigte Bedrohungen. Falsche Alarme landen nicht in Ihrem Postfach — das ist der Unterschied zwischen einem Werkzeug und einem Dienst.
/04Die Alarmübersicht+
Alarmübersicht. Die Tagesliste zeigt, was hereinkam, wie es eingeordnet wurde und was daraus wurde. Jede Zeile lässt sich bis zum Rohereignis aufklappen.
Entscheidend ist die rechte Spalte: Status und Zuständigkeit. Ein Alarm ohne benannten Verantwortlichen gilt bei uns nicht als abgeschlossen.
Was Sie daran erkennen: ob die Nacht ruhig war — und wenn nicht, wer wann was entschieden hat.
/05Der Monatsbericht+
Monatsbericht. Einmal im Monat die Zahlen, nach denen ein Auditor fragt: Alarmvolumen, davon bestätigt, Reaktionszeiten, offene Schwachstellen, Patchstand.
Jeder PDF-Export ist SHA-512- und HMAC-signiert, mit sichtbarer Audit-Seite und Verify-URL. Vorfälle sind damit beweiswertig, nicht nur dokumentiert.
Was Sie daran erkennen: ob sich die Lage über die Monate verbessert — und wo Sie nachsteuern müssen.
/06Unser SIEM in Aktion+
Live-Übersicht aller Mandanten: DEFCON-Level, offene Alerts, Meldepflicht-Status und Suspicion-Scores – alles auf einem Screen.
Ein Vorfall, eine Akte: Timeline, betroffene Assets, Containment-Schritte und forensische Artefakte lückenlos dokumentiert.
Mehrere vLLM-Engines bewerten denselben Alert. Bei Konsens: hohe Konfidenz, klare Handlungsempfehlung.
Bei Dissens greift der Analyst ein – kein stilles Durchwinken durch eine einzelne Blackbox-KI.
RAG-basierte Empfehlung mit Quellen aus eigenen Playbooks – jeder Vorschlag ist auditierbar.
Netzwerk-Isolation, Account-Disable, Session-Kill – Playbook-getrieben mit einem Klick statt Tool-Jonglage.
NIS2- und DSGVO-relevante Vorfälle werden automatisch markiert – inklusive 24h-Frist-Timer.
Volltext-Kontext, Actor-Profil und Suspicion-Score – Grundlage für die behördliche Meldung.
Jedes überwachte System mit Schutzbedarf, Risiko-Score und Patch-Stand – Grundlage jeder Analyse.
Rule-Quality-Scoring deckt blinde Flecken auf – welche Engine erkennt welche Angriffsklasse zuverlässig?
NIS2-konformer Entwurf mit vorausgefüllten Fall-Daten – der Analyst kontrolliert, unterschreibt, reicht ein.
SHA-512 + HMAC-Signatur, Verify-URL – bewiesen, wann was an wen gemeldet wurde.
Sauberes Tenant-Modell vom ersten Tag – vom MSP mit 20 Kunden bis zum Konzern skalierbar.
Ingest, Enrichment, Detection, Arena, Containment – die komplette SOC-Pipeline transparent dokumentiert.
Fragen von Geschäftsführung und IT-Leitung.
01Ersetzt das SOC unsere IT-Abteilung?+
Nein. Wir übernehmen Überwachung und Ersteinschätzung. Entscheidungen über Ihre Systeme treffen weiterhin Sie — wir liefern die Grundlage dafür.
02Wie schnell ist das SOC einsatzbereit?+
Nach einem einwöchigen Assessment folgen zwei bis drei Wochen Integration und Tuning. In der Tuning-Phase lernt das System Ihre Normalzustände, Fehlalarme werden reduziert.
03Was kostet das im Vergleich zum Eigenbetrieb?+
Ein eigenes SOC liegt bei rund 420.000 € jährlich. Unser Einstieg beginnt ab 12.000 € pro Jahr — der konkrete Preis richtet sich nach Log-Volumen und Service-Klasse.
04Welche Logquellen brauchen Sie?+
Server, Clients, Firewall, VPN-Gateways und Cloud-Dienste. Welche davon bei Ihnen fehlen, klärt das Assessment — es ist der häufigste Befund.
05Bekommen wir Nachweise für NIS2 und ISO 27001?+
Ja. Der Monatsbericht ist so aufgebaut, dass er als Nachweis taugt: Kennzahlen mit Herkunft, lückenlose Protokolle, dokumentierte Meldewege, signierte Exporte.
06Laufen die Daten über einen US-Anbieter?+
Nein. Betrieb im Rechenzentrum der SÜC Coburg, AVV nach Art. 28 DSGVO, offengelegte Unterauftragsverarbeitung. Die KI-Engines laufen auf eigener Hardware.
07Was passiert bei einem Fehlalarm?+
Er wird eingeordnet und fließt ins Regel-Tuning ein. Bekannte Muster gehen gebündelt in den Morgenbericht, statt jemanden zu wecken.
08Können wir das SIEM später selbst betreiben?+
Ja. Die Plattform ist offen und mandantenfähig — ein Übergang in den Eigenbetrieb ist vorgesehen und vertraglich geregelt.
09Was unterscheidet ein SOC von einem Virenschutz?+
Ein Virenschutz erkennt Bekanntes auf einem einzelnen Gerät. Ein SOC korreliert Ereignisse über Server, Clients, Firewall und Cloud-Dienste hinweg — und sieht dadurch Angriffe, die auf keinem einzelnen System auffällig aussehen. Beides ersetzt einander nicht: der Virenschutz bleibt, das SOC kommt darüber.
10Welche Systeme werden überwacht?+
Server unter Windows und Linux, Arbeitsplätze, Firewalls, Switches, VPN-Gateways, Cloud-Dienste wie Microsoft 365, Azure und AWS, dazu E-Mail-Systeme und Fachanwendungen. Alle sicherheitsrelevanten Protokolle laufen zentral im SIEM zusammen, werden korreliert und von Analysten bewertet.
11Zählt das SOC bei der Cyber-Versicherung?+
Ja. Die meisten Versicherer verlangen inzwischen aktives Security-Monitoring — teils als Voraussetzung für den Abschluss, teils als Prämienfaktor. Dasselbe Monitoring verlangen NIS2 und ISO 27001 für kritische Systeme. Was zählt, ist der Nachweis, nicht die Absicht.
12Ab welcher Größe lohnt sich ein Managed SOC?+
Erfahrungsgemäß ab etwa 50 Mitarbeitern — oder früher, wenn Regulierung greift (NIS2, KRITIS, TISAX) oder ein Produktionsausfall unmittelbar Umsatz kostet. Darunter ist ein gut betriebenes Backup mit EDR meist der wirtschaftlichere erste Schritt. Das sagen wir auch dann, wenn es gegen den eigenen Auftrag spricht.
Wazuh statt Splunk-Lizenz
- Ausgangslage
- Finanzdienstleister mit 95 Mitarbeitern, seit 2019 auf Splunk Enterprise. Die Lizenz lag bei 69.000 € im Jahr und sollte um weitere 23 Prozent steigen — bei fehlenden Funktionen für NIS2.
- Maßnahme
- Nach Prüfung von Elastic SIEM, Graylog und Wazuh Umstieg auf Wazuh. Das deckt zugleich Schwachstellenprüfung und Dateiintegrität ab, die vorher fehlten.
Security-Assessment anfragen.
Eine Woche. Danach wissen Sie, welche Logquellen fehlen und was das SOC bei Ihnen kosten würde.
30 Minuten, unverbindlich und direkt mit einem technischen Ansprechpartner.
Wir melden uns innerhalb von 24 Stunden. Wenn es eilt, erreichen Sie uns unter 09571 873149.