SOC Frankfurt am MainSchicht 3 von 314 Analystinnen und Analysten im Dienst
Wirbeobachten,wasimSchattenliegt.
Penumbra betreibt das Security Operations Center selbst: dieselben Menschen, die nachts einen Anomalie-Alarm sehen, fahren die Eindämmung, wenn es eskaliert. 24/7 Managed Detection & Response, Incident Response in Minuten, Red Team und NIS2-Beratung — Datenhaltung in der EU, keine Weitergabe an Dritte.
- 4 812
- erfasste Oberflächen
- 128 402
- Auswertungen heute
- 11 min
- Median bis Eindämmung
- 24/7
- Mensch im SOC, auch nachts
Beispielwerte aus der Demonstrationsumgebung
ErstdieGrundfläche,danndieAlarme
Wer nicht weiß, was an seinen Netzen hängt, kann keine ungewöhnliche Bewegung daran erkennen. Wir erfassen die Oberfläche aus 42 Quellen — Verzeichnisse, Cloud-Konten, Endpunkte, OT-Gateways — und halten sie als Karte, die sich mit dem Netz mitbewegt.
- Erfassung ohne Agent-Zwang: zuerst Flow und Verzeichnis, Agent nur wo er hilft
- Unbekannte Systeme bleiben als eigene Klasse sichtbar, statt im Raster zu verschwinden
- Dieselbe Karte arbeitet für Härtung, Response und NIS2-Nachweis
Der Vermessungsring wandert über das Demonstrationsnetz, Knoten leuchten beim Erfassen auf. 22 Knoten, 4 812 Oberflächen.
Aus128000AuswertungenbleibenvierzigGespräche
Unsere Detektionsmodelle sind auf Ihre Umgebung geschrieben, nicht auf den Durchschnitt aller Kunden. Ein Anlass landet nur dann auf dem Tisch einer Analystin, wenn die Beweislage trägt — deshalb ist jede Eskalation, die bei Ihnen ankommt, eine, die sich gelohnt hat.
Korreliert werden Identität, Endpunkt, Netz, Cloud und Anwendung in einer Schicht; die Quellrohdaten bleiben 400 Tage abrufbar, weil Vorfälle selten am Tag ihres Beginns verstanden werden.
- 1 180 Erkennungsmodelle, davon rund 140 pro Kunde maßgeschrieben
- Triage median in 2:40 Minuten, jede Bewertung mit Begründung und Beleg
- Kein Alarm ohne Namen: wer, wo, welche Sitzung, welcher Beleg
Drei Datenstraßen laufen von rechts nach links; Anomalien heben sich, das Triage-Fenster markiert sie. Demonstrationsstrom, drei Ereignisse.
ZwischenAlarmundEindämmungliegenelfMinuten,keineWochen
Alarm, Lagebild, Information, Isolation, Eindämmung: die Linie ist vorab mit Ihnen vereinbart, inklusive der Frage, wer in Ihrer Organisation was entscheiden darf. Im Incident-Response-Rahmen haben wir diese Schritte geprobt, bevor der erste echte Fall kommt.
- Vorbereitete Response-Vereinbarung: Eskalationspfade, Entitiäten, Vollmachten
- Eingriffe mit Schreibrechten nur nach Ihrer Freigabe — dokumentiert im Protokoll
- Nachbereitung mit Zeitachse, Beweismitteln und Behebungsvorschlägen
Ein Signal steigt die fünf Stufen der Eskalation empor; jede Stufe behält Zeitmarke und Titel. Medianwerte der Demonstrationsumgebung.
Waswirtun,lässtsichhinterherbelegen
Jedes Beweismittel bekommt bei der Aufnahme einen Zeitpunkt, einen Aufnehmer und einen Hash. Die Kette ist die Arbeitsgrundlage für drei Adressen: die eigene Geschäftsführung, die Versicherung und die Aufsichtsbehörde.
Auswertung in der eigenen Forensik-Umgebung in Frankfurt; Originalbelege bleiben bei Ihnen, Kopien werden verschlüsselt und mit Löschfristen geführt.
- Beweiskette mit Zeitstempel, Aufnehmer und Hash je Beleg
- Aufbewahrung nach Ihrer Richtlinie, Mindestfristen mit dokumentierter Löschung
- Berichte in zwei Fassungen: technische Details und Entscheidungsvorlage
Beweismittel legen sich als Zeilen ab, jede mit Verkettungspunkt; eine Integritätswelle schließt die Kette.
DreiSätzeüberNachtarbeit
Nachts ist kein Vorfall, nachts ist ein Verdacht. Die Frage ist, wer ihn mit Ihnen prüft — und wer die Konsequenz tragen würde, wenn die Prüfung falsch ist.
Nadja Ferrand · Leiterin SOC, Frankfurt
Ein guter Bericht ist der, den die Geschäftsführung am Montag um neun versteht und die Versicherung am selben Tag akzeptiert.
Jonas Beckmann · Incident Response
Wir zeigen Angreifern ihre Grenzen, indem wir sie einladen — mit Genehmigung, mit Zeitplan und mit einem Protokoll, das niemandem wehtut.
Miri Kowalke · Red Team, Berlin
WirgehendenWeg,bevorihnjemandanderesgeht
Ein Red-Team-Durchlauf ist eine genehmigte Übung: wir starten dort, wo ein Angreifer startet — im Postfach einer Praktikantin — und gehen so weit, wie die Genehmigung reicht. Aufgehört wird an der vereinbarten Kante, nicht später.
- Annahmen vorher schriftlich: Ziele, Zeitfenster, Notfallsignale, Abbruchkriterien
- Jeder Hop protokolliert: was funktioniert hat, welche Kontrolle es verhindert hat
- Befund mit Behebungsvorschlägen in der Reihenfolge Ihrer Machbarkeit
Der Pfad zieht sich Hop für Hop durch die Zonen; jeder Hop behält seine Beschriftung. Übung im genehmigten Rahmen, Demonstrationsnetz.
DerNachweisisteineNebenaufgabe,diewirmitliefern
Aus dem laufenden Betrieb entstehen die Belege für NIS2, ISO 27001, DORA und KRITIS: wer wann gewirkt hat, welche Maßnahme greift, was offen ist. Wir führen diese Liste mit und schreiben sie so, dass eine Prüfung sie ohne Übersetzung lesen kann.
- Control-Mapping aus dem Betrieb, nicht aus der Folie
- Monatsauswertung mit offenen Punkten und Fristen
- Vorbereitung auf Audits inklusive Gespräch mit der Prüfung
Anforderungen links, Control-Feld rechts; die Abdeckung füllt sich Zeile für Zeile. Demonstrationsmapping.
StimmenausdenNetzen,diewirbetreuen
Dr. Katrin Maul
@maul_it · CISO, Maschinenbau
Der Anruf kam um 03:22, mit einer fertigen Lagebeschreibung und zwei Optionen. Wir haben um 04:10 isoliert und am Montag dem Vorstand ein Protokoll gezeigt, das trägt.
Tilman Osterloh
@osterloh · IT-Leitung, Klinikverbund
Was für uns den Ausschlag gab: dieselbe Schicht, die nachts den Alarm sieht, fährt auch den Eingriff. Keine Übergabe an ein Partnerunternehmen, keine third-party-Warteschleife.
Sofia Gries
@sgries · Datenschutz & Compliance
Die NIS2-Liste ist bei uns aus dem Betrieb gewachsen, nicht aus einem Workshop. Die Prüfung hat zwölf Fragen gestellt, elf waren in der Monatsauswertung schon beantwortet.
Stimmen und Porträts sind Beispiele dieser Demonstrationsseite.
Vorfall in der Nacht? Die Leitung ist besetzt, nicht beantwortet.
Rufen Sie an, wenn es brennt — das SOC nimmt ab, schreibt das Lagebild und fährt die Eindämmung. Für alles andere genügt eine Mail mit dem Betreff „Erstgespräch“.