Wie merke ich, dass etwas nicht stimmt?
Monitoring.
Was du nicht siehst, kannst du nicht schützen. Wie Überwachung Angriffe früh sichtbar macht.
2 Arten von Monitoring.#
Betriebs-Monitoring
Läuft alles? Server, Dienste, Zertifikate, Speicher und Leitungen werden auf Verfügbarkeit und Leistung beobachtet.
Security-Monitoring
Ist etwas verdächtig? Anmeldungen, Netzwerkverkehr und Verhalten werden auf Anzeichen von Angriffen geprüft.
Beides zusammen
Ein ungewöhnlicher Ausfall kann ein Angriff sein, ein Angriff zeigt sich oft zuerst als Leistungsproblem.
6 Datenquellen.#
Gutes Monitoring schaut an mehreren Stellen gleichzeitig.
Endgeräte und Server
EDR meldet verdächtige Prozesse, Dateiänderungen und Verschlüsselungsversuche.
Netzwerk
Firewall-Logs, Flussdaten und NDR zeigen ungewöhnliche Verbindungen und Datenabflüsse.
Identitäten
Anmeldungen, Rechteänderungen und ungewöhnliche Zugriffe sind oft das erste Warnsignal.
Cloud und Anwendungen
Audit-Logs zeigen Konfigurationsänderungen und Zugriffe auf Daten.
Infrastruktur
Verfügbarkeit, Auslastung, Zertifikatsablauf und Umweltsensoren im Serverraum.
OT, IoT und Gebäude
Passive Beobachtung von Anlagen, Kameras und Zutrittssystemen, ohne sie zu stören.
Vom Ereignis zum Vorfall.#
Aus Millionen Rohdaten werden wenige Fälle, die wirklich zählen.
Sammeln
Logs und Telemetrie aus allen Quellen zusammenführen.
Korrelieren
Ein SIEM verknüpft Ereignisse, die einzeln harmlos wirken.
Erkennen
Regeln, Anomalie-Erkennung und Bedrohungsinformationen schlagen Alarm.
Bewerten
Analysten sortieren nach Risiko und schließen Fehlalarme aus.
Reagieren
Playbooks, Eskalation und bei Bedarf automatische Eindämmung.
Eigenes SOC oder Dienst?#
3 Betriebsmodelle im Vergleich.
| Eigenes SOC | SOC oder MDR als Dienst | Hybrid | |
|---|---|---|---|
| Aufwand | Hoch: Team, Werkzeuge, Prozesse | Gering: Anbieter betreibt Plattform und Team | Mittel: Aufgaben werden aufgeteilt |
| Rund um die Uhr | Nur mit mehreren Schichten, teuer | Üblich im Leistungsumfang | Dienst nachts, intern tagsüber |
| Wissen | Muss intern aufgebaut und gehalten werden | Breites Spezialwissen verfügbar | Interne Kenntnis plus externe Tiefe |
| Kontrolle | Maximal | Vertraglich und über Berichte | Geteilt |
| Passt zu | Großen Organisationen mit hohem Risiko | Mittelstand und knappen IT-Teams | Wachsenden Organisationen |
Woran du Qualität erkennst.#
MTTD: Zeit bis zur Erkennung
Wie lange dauert es im Schnitt, bis ein Angriff auffällt? Je kürzer, desto besser.
MTTR: Zeit bis zur Reaktion
Wie schnell wird eingedämmt und wiederhergestellt?
Abdeckung
Welcher Anteil der Systeme, Konten und Standorte ist angebunden?
Fehlalarmquote
Zu viele falsche Alarme führen zu Alarmmüdigkeit und echte Treffer gehen unter.
Aufbewahrung
Wie lange sind Logs verfügbar, und sind sie manipulationssicher?
Übungsergebnisse
Werden Test-Angriffe erkannt? Das beweist die Wirksamkeit.
Monitoring und Datenschutz
Überwachung verarbeitet personenbezogene Daten, etwa Anmeldungen und Nutzungsverhalten. Zweck, Umfang, Zugriffe und Aufbewahrung gehören geregelt, in Unternehmen oft mit dem Betriebsrat in einer Betriebsvereinbarung.
Check: Monitoring.#
6 Fragen an deine Überwachung.
Grobe Orientierung, kein Audit. Die Auswahl bleibt in deinem Browser.
Häufige Fragen.#
Reicht ein Virenscanner?
Er erkennt bekannte Schadsoftware, aber keine Angriffe, die sich wie normale Nutzung verhalten. EDR und zentrale Auswertung schließen diese Lücke.
Wie lange sollen Logs aufbewahrt werden?
Eine pauschale Zahl gibt es nicht. Entscheidend sind Zweck, Risiko, Vorgaben und Datenschutz. Lege die Dauer bewusst fest und dokumentiere sie.
Was ist der Unterschied zwischen SIEM und XDR?
Ein SIEM sammelt und korreliert Logs aus beliebigen Quellen. XDR bringt die Erkennung und Reaktion eng verzahnt aus Endgeräten, E-Mail, Netz und Cloud. Beide werden oft kombiniert.
Kann ich Monitoring selbst aufbauen?
Technisch ja, auch mit offenen Werkzeugen. Der Aufwand liegt im Betrieb: Regeln pflegen, Alarme bewerten und rund um die Uhr erreichbar sein.
Monitoring planen?
Schreib mir, was du überwachen möchtest, dann ergänzen wir die Inhalte.