Die IT moderner Unternehmen ist stark vernetzt, verteilt und dynamisch. Cloud-Services, SaaS-Anwendungen, Homeoffice, verschiedene Standorte und externe Partner erweitern die digitale Wertschöpfung – vergrössern aber auch die Angriffsfläche. Damit einhergehend steigen die Anzahl und Komplexität von Cyberangriffen sowie die regulatorischen Anforderungen und Erwartungen an eine schnelle Reaktionsfähigkeit.

Genau hier setzt ein Security Operations Center (SOC) an. Als zentrale Einheit für die Sicherheitsüberwachung, die Bedrohungsanalyse und die Einleitung erster Sofortmassnahmen bildet das Security Operations Center das operative Herzstück der Cyberabwehr.

Doch was genau ist ein SOC? Welche Aufgaben übernimmt es konkret? Und wie gelingt der erfolgreiche Aufbau oder die Auslagerung in ein Managed SOC in der Praxis? In diesem Beitrag erfahren Sie, wie Sie ein SOC strategisch planen, effizient implementieren und langfristig erfolgreich betreiben.

Was ist ein Security Operations Center (SOC) und warum ist es heute unverzichtbar?

Ein Security Operations Center ist weit mehr als ein technisches Überwachungssystem oder eine reine SIEM-Plattform. Ein SOC ist eine organisatorische und operative Einheit, die Sicherheitsereignisse zentral überwacht, analysiert und koordiniert behandelt. Entscheidend ist dabei das Zusammenspiel von Menschen, klar definierten Prozessen und leistungsfähigen Technologien.

Zu den zentralen Aufgaben eines Security Operations Center gehören:

• kontinuierliche Überwachung sicherheitsrelevanter Ereignisse
• Erkennung von Angriffen und Anomalien
• strukturierte Bearbeitung von Security Alerts
• Bereitstellung von Lagebildern und Reports für Management und Fachbereiche
• kontinuierliche Verbesserung der Detektions- und Reaktionsfähigkeit

Ein professionell betriebenes SOC bildet damit das operative Herzstück der Cyberabwehr.

Warum ist ein SOC heute unverzichtbar für Unternehmen?

Die Antwort liegt in der veränderten IT-Landschaft. Moderne Unternehmen arbeiten zunehmend:

• dezentral über mehrere Standorte hinweg
• mit Cloud- und Hybrid-Infrastrukturen
• mit externen Partnern, Zulieferern und Dienstleistern
• mit mobilen Arbeitsplätzen und Remote-Zugängen
• mit zunehmendem regulatorischem Druck und immer strengeren Compliance-Vorgaben

Ein klar definierter Netzwerkperimeter existiert faktisch nicht mehr. Systeme, Identitäten und Daten verteilen sich heute über verschiedene Zonen, Cloud-Dienste, Standorte und externe Partner. Angriffe erfolgen längst nicht mehr nur über offensichtliche Schwachstellen, sondern häufig über kompromittierte Identitäten, Drittzugänge oder Fehlkonfigurationen sicherheitsrelevanter Komponenten.

Gleichzeitig steigt der regulatorische Druck. Vorgaben wie die NIS2-Richtlinie, der Digital Operational Resilience Act (DORA), der Cyber Resilience Act (CRA) sowie in der Schweiz das Informationssicherheitsgesetz (ISG) fordern von Unternehmen zunehmend nachweisbare Fähigkeiten zur kontinuierlichen Überwachung, schnellen Erkennung und strukturierten Behandlung von Sicherheitsvorfällen. Cybersecurity wird damit nicht nur zur technischen, sondern auch zur organisatorischen und regulatorischen Pflichtaufgabe. Unternehmen müssen belegen können, dass Risiken aktiv überwacht und Vorfälle zeitnah erkannt sowie angemessen behandelt werden.

Vorteile eines Security Operations Center (SOC)

Ein Security Operations Center schafft Transparenz. Es korreliert sicherheitsrelevante Ereignisse zentral, erkennt Risiken frühzeitig und stellt eine koordinierte Reaktion auf Vorfälle sicher.

Für das Management bedeutet ein Security Operations Center vor allem Planbarkeit und Kontrolle. Risiken werden nicht erst im Krisenmodus adressiert, sondern kontinuierlich überwacht und proaktiv gesteuert. Verantwortlichkeiten sind definiert, Abläufe etabliert und potenzielle Schäden lassen sich deutlich reduzieren.

Wie entscheidend diese Transparenz ist, zeigt ein typisches Szenario aus der Praxis: Wird ein kompromittiertes Benutzerkonto eines externen Dienstleisters frühzeitig durch das SOC erkannt, kann der Zugriff sofort gesperrt und eine laterale Bewegung im Netzwerk verhindert werden, bevor geschäftskritische Systeme betroffen sind oder meldepflichtige Vorfälle entstehen.

Welche Art von SOC passt zu unserem Unternehmen und welche Leistungen brauchen wir wirklich?

So klar der Nutzen eines Security Operations Center ist, so unterschiedlich sind die verschiedenen Lösungen – denn Unternehmen können ihr SOC unterschiedlich aufsetzen:

• Internes SOC – alles im Unternehmen, volle Kontrolle, hoher Ressourcenbedarf
• Managed SOC / externes SOC – ausgelagerte Expertise, schnelle Skalierbarkeit
• Hybrides SOC – Kombination aus internen Teams und externen Dienstleistern

Neben dem Betriebsmodell muss sich ein Unternehmen auch bewusst für die SOC-Leistungen entscheiden, die es benötigt. Dazu gehören zum Beispiel Security Monitoring, Use-Case-Abdeckung, Threat Hunting, Incident Response, Threat Intelligence, Digital Forensics oder Schwachstellenmanagement.

Ein häufiger Fehler besteht darin, Konzepte oder Anbieter eins zu eins zu übernehmen. Ein wirksames SOC ist immer individuell und risikobasiert und welche Form sinnvoll ist, hängt von der eigenen Organisation ab. Es stellt sich die Frage: Welche Leistungen werden wirklich benötigt und wie muss das SOC auf die eigenen Systeme, Prozesse und kritischen Assets zugeschnitten sein?

Grundlage für ein passgenaues SOC: die Organisation verstehen

Entscheidend ist also zunächst ein klares Verständnis der eigenen IT-Landschaft und Prozesse:

• Wie sieht unsere IT-Landschaft aus?
• Wo befinden sich unsere Systeme und Daten?
• Welche Assets und Geschäftsprozesse sind kritisch?
• Welche (Sicherheits-)Technologien setzen wir ein?
• Welche Cloud- und SaaS-Dienste sind angebunden?
• Welche externen Partner, Zulieferer oder Dienstleister haben Zugriff auf unsere Systeme?
• Welche regulatorischen Anforderungen müssen wir erfüllen?
• Welche Möglichkeiten bestehen für Automatisierung und KI-gestützte Analyse, etwa zur Alarmanreicherung (Enrichment), Priorisierung oder Einleitung von Sofortmassnahmen?

Ein SOC kann nur das überwachen und schützen, was bekannt, angebunden und sinnvoll priorisiert ist. Deshalb muss die gesamte Angriffsfläche betrachtet werden, denn sie endet nicht an der Unternehmensgrenze. Auch externe Partner, Lieferanten oder Dienstleister stellen potenzielle Eintrittspunkte für Angriffe dar.

Besondere Aufmerksamkeit verdienen dabei:

• geschäftskritische Assets (Systeme, Daten, Identitäten)
• privilegierte Zugänge
• externe Schnittstellen und APIs
• Remote-Zugänge und Drittanbieter-Verbindungen
• Erst wenn klar ist, welche Assets besonders schützenswert sind und über welche Angriffsvektoren diese erreicht werden können, lassen sich sinnvolle Überwachungsszenarien definieren. Ein SOC schützt nicht automatisch alles gleich, sondern sollte immer risikobasiert aufgebaut werden.

SOC-Vorstudie: Von der Analyse zum konkreten Zielbild

Nachdem ein klares Verständnis der eigenen Organisation, kritischen Assets und IT-Landschaft vorhanden ist, müssen die konkreten SOC-Bedürfnisse definiert werden. Hier hat sich eine SOC-Vorstudie bewährt: Sie schafft die Basis für ein individuell zugeschnittenes Security Operations Center.

Ziel der Vorstudie ist es, gemeinsam ein präzises Zielbild zu entwickeln:

• Welche SOC-Leistungen sind notwendig, welche nicht?
• Welche Risiken sollen adressiert werden?
• Welche Erwartungen bestehen an Reaktionszeiten, Reports und Verantwortlichkeiten?

Gleichzeitig entsteht ein gemeinsames Verständnis über die eigene IT-Landschaft, relevante Perimeter, geschäftskritische Assets sowie angebundene Partner und Dienstleister. Nur wenn diese Grundlagen transparent sind, lassen sich sinnvolle Überwachungsszenarien und realistische Anforderungen an ein SOC definieren.

Die Vorstudie bildet zudem eine belastbare Basis für interne Entscheidungen und nachgelagerte Beschaffungsschritte. Auf Grundlage des Zielbilds können Anforderungen strukturiert in eine Angebotsanfrage oder formale Ausschreibung übernommen werden. Dadurch lassen sich Leistungen, Service Levels und Verantwortlichkeiten klar beschreiben, Angebote verschiedener Anbieter vergleichen sowie Fehlentscheidungen reduzieren und das gewählte SOC-Betriebsmodell kann fachlich wie wirtschaftlich optimal auf die Organisation abstimmt werden.

Unser SOC Consulting Service unterstützt Unternehmen genau in diesem Prozess. Unsere Expertinnen und Experten begleiten Sie bei der SOC-Vorstudie, definieren gemeinsam mit Ihnen die passenden Leistungen und sorgen dafür, dass Ihr SOC auf Ihre spezifischen Risiken, Assets und Prozesse zugeschnitten wird. Hier erfahren Sie mehr.

Wie gelingt die Einführung eines SOC? Unsere Praxistipps

In der Praxis scheitern SOC-Projekte selten an der eingesetzten Technologie. Häufiger sind unklare Erwartungen, fehlende Governance oder eine unzureichende Vorbereitung die Ursache. Mit unseren Praxistipps zeigen wir, wie Unternehmen ein Security Operations Center effektiv einführen und langfristig erfolgreich betreiben.

Detection klar definieren – Welche Angriffe soll das SOC erkennen?

Eine der zentralen Fragen lautet: Was wird vom Security Operations Center wirklich detektiert und wie zuverlässig? Viele Unternehmen gehen davon aus, dass ein SOC automatisch alle relevanten Angriffe erkennt. In der Realität hängt die Detection-Fähigkeit stark ab von:

• definierten Use Cases
• angebundenen Logquellen
• der Qualität der Daten
• der Klarheit der Anforderungen

Praxistipp: Frameworks wie MITRE ATT&CK helfen, Detection-Szenarien strukturiert zu beschreiben und Lücken sichtbar zu machen. Wichtig ist, dass die Abdeckung auf die eigene Architektur und die relevanten Bedrohungsszenarien abgestimmt wird – nicht auf theoretische Vollständigkeit.

Onboarding und Logdaten-Strategie planen

Ein weiterer kritischer Punkt ist die Onboarding-Phase. Hier entscheidet sich oft, ob ein SOC langfristig Mehrwert liefert oder zur Alarmfabrik wird. Nicht alle Systeme müssen gleichzeitig angebunden werden und nicht alle Logs sind gleich relevant.

Praxistipp: Berücksichtigen Sie während des Onboardings folgende Fragestellungen:

• Welche Logdaten benötigen wir wirklich für unsere Use Cases?
• Müssen alle Logdaten gleich lange aufbewahrt werden? Was sind regulatorische Anforderungen?
• Welche Logs gehören in den Hot Storage / Analytics Workspace, welche in den Cold Storage?
• Wie gehen wir mit Kosten und Performance um?

Eine klare Logdaten-Strategie sorgt dafür, dass das SOC effizient arbeitet, Kosten kontrollierbar bleiben und die Sicherheit messbar steigt.

SOC-Ausschreibung, -Integration und -Betrieb

Eine saubere und gezielte Vorbereitung vermeidet kurz- und langfristig viele mögliche Probleme. Daher empfehlen wir, folgende Schritte vorzubereiten:

• Strukturierte Angebotsanfragen oder formale Ausschreibungsunterlagen ermöglichen vergleichbare Angebote, transparente Bewertungen und realistische Erwartungen an Leistungen und Kosten.
• Nach der Auswahl folgt die Integration: Prozesse abstimmen, SLAs kontrollieren und diese schrittweise in den Regelbetrieb überführen.
• Regelmässige Reviews, kontinuierliche Verbesserungsprozesse, Tests und Übungen sichern die Leistungsfähigkeit des SOC langfristig.

So lassen sich die Einführung und der Betrieb eines SOC planen, effizient gestalten und an die eigenen Anforderungen anpassen – von der Definition der Use Cases über die Logdaten-Strategie bis hin zum Betrieb.

Fazit: Ein SOC ist nicht nur eine Dienstleistung, sondern ein kontinuierlicher Prozess

Ein Security Operations Center ist kein einmaliges Projekt und kein Tool, das man «einfach einkauft». Es ist ein kontinuierlicher Prozess, der tief in die Organisation hineinwirkt. Der Schlüssel zum Erfolg liegt in einem klaren Verständnis der eigenen IT-Landschaft, der geschäftskritischen Assets und der relevanten Angriffsvektoren, inklusive externer Schnittstellen, Partner und Dienstleister.

Unternehmen, die sich die Zeit nehmen, ihre Anforderungen strukturiert zu definieren, schaffen die Grundlage für ein wirksames, nachhaltiges SOC. Sie vermeiden Fehlentscheidungen, reduzieren Risiken und gewinnen die Transparenz, die in einer zunehmend digitalen und vernetzten Welt unerlässlich ist.

Ein SOC schützt nicht pauschal die gesamte IT, sondern gezielt jene Szenarien, die ein Unternehmen verstanden, priorisiert und schlussendlich mit einem Anbieter umgesetzt hat.

Haben Sie Fragen oder benötigen Sie Unterstützung bei der Planung, Beschaffung oder Integration Ihres SOC? Das Cybersecurity Consulting Team der Oneconsult AG unterstützt Sie gerne, unabhängig, strukturiert und mit einem klaren Fokus auf nachhaltige Lösungen.