Ein SIEM, das sich selbst erklärt.

Dashboard-Cockpit: die Lage in einer Screen

Alle Mandanten, DEFCON-Level, offene Alerts, Meldepflicht-Timer, Suspicion-Scores und Top-Actors – auf einer Ansicht. Analysten behalten ohne Kontextwechsel die Kontrolle.

• DEFCON-Level je Mandant
• Meldepflicht-Timer (24 h / NIS2)
• Top-Actors mit Suspicion-Score
• Engine-Arena Status-Widget
• MTTD / MTTR Live-KPIs
• Honey-Canary-Events Stream

Fallakte: ein Vorfall, eine strukturierte Akte

Timeline, IoCs, betroffene Assets, Containment-Schritte, forensische Artefakte, Kommunikation – lückenlos dokumentiert. Direkt als SHA-512-signiertes PDF exportierbar.

• Vollständige Incident-Timeline
• IoCs & MITRE ATT&CK-Mapping
• Betroffene Assets verlinkt
• Automatische Forensik-Sicherung
• Direkt-Export als signiertes PDF
• Post-Incident-Review-Template

Engine-Arena: vier Meinungen, eine Entscheidung

Jeder Alert durchläuft alle drei Engines parallel. Bei Konsens ist die Automatik schnell. Bei Dissens holt die Plattform den Analysten ins Boot – mit allen Scores, Begründungen und ATT&CK-Klassifikationen.

• Konsens-Schwelle konfigurierbar
• Pro-Engine Score & Begründung
• Audit-Log jeder Entscheidung
• Dissens-Eskalation in < 500 ms

KI-Empfehlung mit Herkunftsnachweis

Jede KI-Empfehlung zitiert Quellen aus Ihren SOC-Playbooks, Runbooks und Security-Policies. Analyst sieht: welche Passage hat welchen Vorschlag ausgelöst. Kein Halluzinieren.

• Zitierte Quellen aus Playbooks
• Vertrauens-Score je Quelle
• One-Click Playbook-Öffnung
• Feedback-Loop zur Re-Indexierung

Containment-Cockpit: Isolation auf Knopfdruck

Netzwerk-Isolation, Account-Disable, Session-Kill, VM-Snapshot – alles über dokumentierte Playbooks ausführbar. Kein Tool-Jonglieren, kein Skript-Chaos.

• Host-Isolation über EDR/Firewall
• Account-Disable in AD/Entra ID
• Session-Kill & Token-Revoke
• Rollback-Pfad je Aktion
• Audit-Trail jeder Ausführung
• 4-Augen-Prinzip optional

Von Alert zu signiertem PDF an das BSI – in einem Flow

Meldepflichtige Alerts werden automatisch markiert. Entwurf wird vorausgefüllt, vom Analysten bestätigt, als SHA-512 + HMAC signiertes PDF gespeichert. Mit Verify-URL für spätere Nachprüfbarkeit.

• 24 h-Frist-Timer pro Alert
• Auto-vorausgefüllte BSI-Vorlage
• SHA-512 + HMAC Signatur
• Öffentliche Verify-URL
• Audit-Seite im PDF
• Archivierung revisionssicher

Assets und Engine-Vergleich: Transparenz über Ihre Angriffsfläche

Jedes überwachte System mit Schutzbedarf, Risiko-Score, Patch-Stand – und die Rule-Quality-Matrix zeigt, welche Engine welche ATT&CK-Technik wie zuverlässig erkennt.

• Schutzbedarf & Risiko je Asset
• Patch-Stand auto-synchronisiert
• Rule-Quality-Score je Regel
• Blindspot-Matrix MITRE ATT&CK

Mandantenfähig vom ersten Tag – bis zum Konzern

Sauberes Tenant-Modell, Background-Queue für schwere Jobs (Embeddings, Enrichment, Rendering). Vom MSP mit 20 Kunden bis zum Konzern – ohne Re-Platforming.

• Tenant-Isolation auf DB-Ebene
• RBAC mit Mandanten-Grenzen
• Background-Queue für heavy Jobs
• Horizontale Skalierung je Stage

Banken & Finanzdienstleister: DORA, BAIT, MaRisk – auf einer Plattform

Ab dem 17. Januar 2025 ist DORA (Digital Operational Resilience Act) verbindlich. Meldepflichten für schwerwiegende IKT-Vorfälle binnen 4 Stunden, penible Dokumentation jeder SOC-Entscheidung, IT-Drittparteirisiken. Unsere Plattform liefert diese Nachweise ab Tag 1 – signiert, mandantenfähig, auditierbar. Die Engine-Arena erkennt eine MT103-Nachricht mit ungewöhnlichem Korrespondenzbank-Pfad. KI-SPEZIAL SecOps: 96, SIEM LLAMA: 94, MiniMax: 91 – Konsens 93,7 %. Die Plattform kickt automatisch das Playbook contain_swift_fraud: MT-Gateway pausiert, Treasury-CISO wird geweckt, DORA-Entwurf an BaFin vorausgefüllt, SHA-512-PDF nach 4h erstellt. Dauer bis zur Meldung: 2h 12m.

• SWIFT-Angriffe & FraudCarbanak-artige Manipulationen von Zahlungsnachrichten, MT-Message-Anomalien.
• APT-Gruppen (Lazarus, FIN7)Nation-State-Akteure auf Trading-Systemen und Custody-Plattformen.
• Ransomware auf Kernbanken-SystemenREvil, LockBit mit Double-Extortion – Hebel für Erpressung.
• Insider-FraudPrivilegierte Händler-Konten, Treasury-Zugriffe außerhalb üblicher Zeiten.
• Engine-Arena auf Transaktions-Anomaliendrei KI-Engines analysieren MT-Messages, Trade-Flows, Payment-Batches parallel.
• Honey-Canary auf Treasury-AccountsScheinbar privilegierte Accounts als Köder – jeder Zugriff ist Insider- oder APT-Indiz.
• DORA-4h-Meldepflicht-TimerAutomatische BaFin-Meldekette mit vorausgefülltem Formular und Audit-Trail.
• 10-Jahre-Retention revisionssicherSHA-512-signierte Archive, WORM-Storage-kompatibel.

Versicherungen: VAIT, DORA, DSGVO – und sensible Gesundheitsdaten

Lebensversicherer und Krankenversicherer verarbeiten besonders schützenswerte Daten nach Art. 9 DSGVO. Die BaFin- VAIT fordert dokumentierte Überwachungs- und Reaktionsprozesse. Ab 2025 kommt DORA dazu. Die Plattform deckt DSGVO-Meldepflicht (72h), VAIT-Monitoring und DORA-Meldekette in einem Workflow ab. Ein Makler-Account löst plötzlich Full-Table-Scans auf der Krankenakten-DB aus. Der Honey-Canary-Record vip_patient_archive wird gelesen – automatisch DEFCON 2. Die Plattform isoliert den Account, fordert 4-Augen-Freigabe für weitere Schritte, startet den DSGVO-72h-Entwurf. Tenant der Krankenversicherung ist containt, andere Sparten (Life, Sach) bleiben unberührt – kein Übergreifen des Incidents auf den Konzern.

• Ransomware auf BestandssystemenBusiness Disruption durch Verschlüsselung von Policen- und Schadensdatenbanken.
• Gesundheitsdaten-DiebstahlExfiltration von Art.-9-Daten – hoher Erpressungs- und Meldefristen-Druck.
• Claims-ManipulationInsider mit Agenten-Zugriffen erstellen fingierte Schäden, manipulieren Auszahlungen.
• Makler-Phishing & Credential-StuffingExterne Makler-Portale als leichtes Einfallstor in den Konzern.
• Mandantenfähigkeit für Tochter-KonzerneSaubere Trennung je Versicherungssparte – Life, Kranken, Sach auf einer Plattform.
• Claims-Anomalie-DetectionEngine-Arena erkennt ungewöhnliche Schadens-Muster, ausufernde Auszahlungen.
• DSGVO-72h-Meldung gerichtsfestAutomatischer Entwurf für Landesdatenschutzbehörden inkl. Art.-33-Angaben.
• Honey-Canary in Policy-DBsScheinbare VIP-Kundenrecords als Köder – verdeckt Lateral-Movement-Versuche.

Stadtwerke: IT und OT gemeinsam überwachen – KRITIS-konform

Strom, Wasser, Gas, Fernwärme – Stadtwerke sind KRITIS-Betreiber mit besonderen Pflichten aus EnWG §11 Abs. 1a und dem IT-Sicherheitskatalog der BNetzA. Die Plattform korreliert IT- und OT-Telemetrie, ohne in die Leittechnik einzugreifen. Read-only, segmentiert, NIS2-ready. Ein Engineering-Laptop öffnet plötzlich eine Session zur HMI im Umspannwerk außerhalb der Wartungsfenster. Die Arena erkennt das abweichende DNP3 -Muster. Containment läuft ausschließlich IT-seitig: Engineering-Netz-Segment wird isoliert, der HMI-Zugriff wird über die Firewall blockiert. Das Umspannwerk bleibt voll betriebsfähig, keine Netz-Versorgung unterbrochen. Gleichzeitig startet der BNetzA-Meldeprozess unverzüglich plus 24h-Folgebericht.

• OT-Angriffe via IT-BrückenkopfStuxnet-Pattern: IT-Kompromittierung als Sprungbrett in die Leittechnik.
• Ransomware auf Kunden-/Billing-SystemenAbrechnung, Kundenportal, SAP IS-U – hoher wirtschaftlicher Schaden.
• Supply-Chain über SCADA-Herstellerkompromittierte Firmware-Updates für RTUs und Feldgeräte.
• Fernwartungs-VPN als EinfallstorHerstellerzugänge mit schwachen Credentials, ungepatchte Jumphosts.
• Read-only OT-Telemetriepassive Tap-Anbindung an SCADA/HMI – Leittechnik bleibt unberührt.
• IT/OT-Korrelation via Engine-Arenaerkennt Brückenkopf-Pattern zwischen Büro-IT und Feldleittechnik.
• BNetzA-/BSI-KRITIS-MeldepflichtZwei-Phasen-Meldung (unverzüglich + 24h) automatisiert, signiert.
• Containment ohne Leittechnik-AusfallPlaybooks greifen nur in die IT – OT-Betrieb bleibt redundant.

Energieversorger: Nation-State-Bedrohungen ernst genommen

Übertragungsnetzbetreiber, Verteilnetzbetreiber und große Kraftwerksbetreiber sind Ziel von Sandworm, BlackEnergy und APT-Gruppen. Der IT-Sicherheitskatalog der BNetzA und der branchenspezifische Sicherheitsstandard B3S Strom fordern ein dediziertes SIEM mit 24/7-Auswertung. Wir liefern es – on-prem, deutsch, auditierbar. Ein bekannter Volt-Typhoon-C2-Host wird von einem Jumphost der Leittechnik kontaktiert. Engine-Arena-Konsens: 98 % – DEFCON 1. Containment läuft IT-seitig: Jumphost isoliert, alle Fernwartungs-Sessions terminiert. Die Leittechnik bleibt über redundante Pfade erreichbar, die Netzstabilität ist ungefährdet. BSI-KRITIS-Meldung binnen 47 Minuten, BNetzA-Folgebericht nach 18h – alle Artefakte SHA-512-signiert im Audit-Archiv.

• Sandworm & BlackEnergyAPT-Gruppen mit nachweislichen Stromabschaltungen in der Ukraine als Blaupause.
• Ransomware auf Marktprozess-ITMaBiS, REMIT-Schnittstellen, Bilanzkreismanagement – Geschäftsstillstand.
• Supply-Chain auf Smart-Meter-GatewaysBSI-zertifizierte SMGW als hochwertiges Ziel – massenhafte Kompromittierung.
• Wartungszugriffe von AnlagenherstellernFernwartung von Turbinen-, Trafo-, Wind-Herstellern als Einfallstor.
• IoC-Feeds mit Nation-State-FokusSandworm-, BlackEnergy-, Volt-Typhoon-Signaturen permanent abgeglichen.
• SMGW-Telemetrie-IntegrationSmart-Meter-Gateway-Flotten im Blick – Massen-Anomalien werden erkannt.
• DEFCON-Automatik mit VersorgungsprioPlaybooks priorisieren Netzstabilität vor Containment – nie Blackout-Risiko erzeugen.
• BSI-KRITIS-Meldekette 24/7Unverzüglich + 24h-Folgebericht – vorausgefüllt, signiert, per Kurier einreichbar.