SOC & Response · Frankfurt am Main
Besetzt,auchwennniemandhinsieht
Unser Security Operations Center ist kein Zulieferer, sondern Teil des Hauses: dieselben Menschen, die nachts einen Anomalie-Alarm sehen, fahren die Eindämmung, wenn es eskaliert. Diese Seite beschreibt, wie der Betrieb läuft — Schichten, Laufzeiten, Eskalation, Übergabe.
- 128 402
- Auswertungen an einem Tag
- 41
- Eskalationen daraus
- 2:40 min
- Median bis Triage
- 11 min
- Median bis Eindämmung
DreiSchichten,eineHandschrift
Früh-, Spät- und Nachtschicht sind personell besetzt, nicht virtuell. Die Nachtschicht ist dünn besetzt und tief in den Werkzeugen: Sie entscheidet, was eine Lage ist, und weckt, wenn eine Entscheidung ansteht.
Events laufen in drei Straßen: Identitäten und Zugriffe, Endpunkte und Netze, Cloud und SaaS. Jede Straße hat eine Grundrate, gegen die bewertet wird — eine Anmeldung aus einem neuen Land ist für sich genommen nichts, im Zusammenspiel mit einem Massenexport ist sie ein Vorfall. Auf jede Auswertung folgt ein Eintrag im Schichtbuch.
- 3 Schichten, 14 Analystinnen und Analysten
- Jede Schicht arbeitet mit demselben Regelbestand; Änderungen laufen über eine freigegebene Liste
- Freitag nachmittags besetzen wir wie Montag früh — die Personallage gehört zu den Laufzeiten
Drei Straßen, Bewertungsband, Auslösungen; der Zähler endet auf dem geprüften Stand.
Laufzeiten, die im Vertrag stehen
Reaktionszeiten sind keine Mittelwerte über alle Vorfälle, sondern Zusagen je Stufe. Die Tabelle ist der Auszug aus dem Standardvertrag; die Zeit beginnt mit dem Auslösen der Regel, nicht mit dem Öffnen eines Tickets.
| Stufe | typischer Auslöser | Reaktion | Eskalation | Eindämmung | Meldung an Sie |
|---|---|---|---|---|---|
| P1 · Betrieb bedroht | Verschlüsselung, Kontrollübernahme, OT-Ausfall | < 5 min | < 15 min | < 60 min | sofort, Telefon |
| P2 · bestätigter Vorfall | Bewegungsversuch, Datenabfluss-Ansatz, Phishing mit Erfolg | < 20 min | < 2 h | < 8 h | im Zeitfenster, Telefon + Mail |
| P3 · Auffälligkeit | Anomalie ohne Kontext, Regel mit hoher Grundrate | < 4 h | mit Schichtende | mitgeplant | Nachtzusammenfassung |
P1-Lagen werden telefonisch gemeldet, auch nachts, und enden mit einer Entscheidung, die im Protokoll steht. Unterschrittene Zusagen melden wir aktiv mit Begründung.
Zeiten sind Beispielwerte der Demonstrationsumgebung, keine vertraglichen Zusagen.
FünfStufen,keineTelefonkette
Eskalation folgt einem Stufenplan, der vor dem Vorfall verabredet ist: Wer entscheidet, wer getragen wird, wer informiert wird, ab welcher Schwelle die Geschäftsführung. Im Vorfall gilt der Plan, nicht die Vermutung.
Der Plan ist die einzige Stelle, an der Geschwindigkeit herkommt. Wir üben ihn einmal im Jahr mit Ihrem Betrieb, außerhalb der regulären Meldezeiten, und schreiben auf, wo er nicht getragen hat — das ist der eigentliche Wert der Übung.
- Stufe 1–2 im SOC, Stufe 3 bei Ihnen, Stufe 4 Geschäftsführung, Stufe 5 Externe (Anzeige, Versicherer, Presse)
- Entscheidungsvorlagen mit zwei Optionen und einer Empfehlung, nie mit einer Bitte um Freigabe im Ungefähren
- Jede Stufe hinterlässt einen Zeitstempel; die Zeitleiste wird Teil des Berichts
Fünf Stufen mit Zeitmarken, der Signallauf wandert die Treppe entlang bis zum Endpunkt.
DieSchichtübergibtschriftlich
Kein Wissen wandert nur in Köpfen: offene Lagen, Beobachtungen, Verabredungen und Regeländerungen stehen in der Übergabe, und die nächste Schicht bestätigt sie.
Eine Nachtschicht, die um sieben Uhr morgens ohne Text endet, ist ein Betriebsrisiko. Wir übergeben Beleg für Beleg: was offen ist, wer angerufen wurde, was verabredet wurde, was als Nächstes geprüft wird. Aus den Übergaben wächst der Monatsbericht.
- Übergabe ist Teil der Arbeitszeit, nicht des guten Willens
- Vorfallsakten führen wir als Kette: Sicherung, Hash, Verantwortlichkeit, Aufbewahrung
- Die Monatsauswertung zeigt auch, was wir nicht gewusst haben: Lücken in der Abdeckung
Beleg für Beleg mit Zeitstempel und Hash, die Kette schließt sich von oben nach unten.