Die Rolle eines SOC besteht nach dem britischen NCSC darin, den Schaden f\u00fcr eine Organisation zu begrenzen, indem es Cyberangriffe erkennt und darauf reagiert, die vorbeugende Sicherheitskontrollen erfolgreich umgehen. Die meisten SOCs sind f\u00fcr das Erkennen von und das Reagieren auf Cyberangriffe<\/strong> zust\u00e4ndig, ihr Umfang kann aber stark variieren. Ein SOC erkennt Sicherheitsvorf\u00e4lle und kann je nach Aufgabenverteilung auch Ma\u00dfnahmen zur Eind\u00e4mmung einleiten. Zus\u00e4tzlich kann ein SOC weitere Sicherheitsaufgaben wie Schwachstellenbewertung, Compliance-Aktivit\u00e4ten und Systemkonfiguration umfassen.<\/p>\n Ein Versicherer kann die \u00dcberwachung von Sicherheitswarnungen in einem eigenen oder ausgelagerten Security Operations Center (SOC) b\u00fcndeln; DORA verlangt von Finanzunternehmen ausreichende Ressourcen und Kapazit\u00e4ten, um Nutzeraktivit\u00e4ten, IKT-Anomalien und IKT-bezogene Vorf\u00e4lle, insbesondere Cyberangriffe, zu \u00fcberwachen. DORA nennt kein SOC. Ein SOC kann eine M\u00f6glichkeit sein, die geforderte \u00dcberwachung zu organisieren, ist aber keine in DORA vorgeschriebene Einrichtung<\/strong>. Nach ENISA kann ein SOC neben dem Betrieb an einem physischen Ort aus virtuellem und ausgelagertem Personal bestehen oder als Mischform aus internem und ausgelagertem Personal betrieben werden.<\/p>\n Die Erkennung st\u00fctzt sich unter anderem auf Logquellen, die nach dem britischen NCSC nicht nur der Detektion dienen, sondern bei einem Vorfall auch wertvollen Kontext zum Systemverhalten f\u00fcr die Reaktion liefern. Ein festgelegtes Zielbetriebsmodell erlaubt es, verh\u00e4ltnism\u00e4\u00dfige SOC-Dienste wie Threat Intelligence, Content-Entwicklung, Threat Hunting und Incident Response aufzubauen. Wie sich Informationen sammeln, korrelieren und auswerten lassen<\/strong>, um sicherheitsrelevante Ereignisse m\u00f6glichst vollst\u00e4ndig und zeitnah zu detektieren, beschreibt der Baustein DER.1 des IT-Grundschutz-Kompendiums als systematischen Weg. Als sicherheitsrelevantes Ereignis bezeichnet der Baustein ein Ereignis, das sich auf die Informationssicherheit auswirkt und die Vertraulichkeit, Integrit\u00e4t oder Verf\u00fcgbarkeit beeintr\u00e4chtigen kann.<\/p>\n Nach einer im ENISA-Bericht wiedergegebenen Aussage ist das SOC die erste Linie, die alle Alarme erh\u00e4lt<\/strong>, w\u00e4hrend ein Incident-Response-Team dort nur eskalierte Alarme bekommt oder an der Koordination beteiligt ist.<\/p>\n Nach ENISA entwickeln sich SOC-Teams typischerweise aus IT-Sicherheitsteams, die ihre \u00dcberwachung mit einem SIEM und weiterer Technik zur Automatisierung und Orchestrierung automatisieren; das SIEM ist dabei die Technik, das SOC-Team nutzt sie.<\/p>\n Incident Response bezeichnet dagegen das vorgegebene und erprobte Verfahren zur Behandlung<\/strong> von Sicherheitsvorf\u00e4llen (Baustein DER.2.1); ein SOC \u00fcbernimmt die laufende Beobachtung und kann je nach Aufgabenverteilung auch an der Reaktion beteiligt sein. Nach ENISA konzentrieren sich SOCs in gro\u00dfen Unternehmen mitunter nur auf \u00dcberwachung und Erkennung und \u00fcbergeben die Bearbeitung an ein separates CSIRT. In kleineren Organisationen gelten CSIRT und SOC dagegen oft als gleichbedeutend.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[431,441,393],"class_list":["post-34255","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-security-operations","glossary_intl_topic-soc-betrieb-automatisierung-soar","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"Security Operations Center: Einheit, die Sicherheitsvorf\u00e4lle in Netzwerken und Systemen erkennt und je nach Aufgabenverteilung eingreift.","nav_theme":"Security Operations","nav_subtheme":"SOC-Betrieb & Automatisierung (SOAR)","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Ein Security Operations Center (SOC) ist die Leitstelle f\u00fcr IT-Sicherheit einer Organisation, die technische Ereignisse in Netzwerken und Systemen beobachtet, um Sicherheitsvorf\u00e4lle zu erkennen, und daneben auch f\u00fcr die Reaktion darauf zust\u00e4ndig sein kann.","at_a_glance":[{"bullet":"Ein SOC kann mit eigenem, ausgelagertem oder gemischtem Personal betrieben werden."},{"bullet":"Der Umfang der Aufgaben kann stark variieren; manche SOCs konzentrieren sich auf \u00dcberwachung und Erkennung."},{"bullet":"DORA nennt kein SOC, verlangt von Finanzunternehmen aber ausreichende Ressourcen und Kapazit\u00e4ten zur \u00dcberwachung."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Zum Schutz der Regierungsnetze und IT-Systeme des Bundes betreibt das BSI das Bundes Security Operations Center (BSOC), das unter anderem Dienstleistungen zur Erfassung und Auswertung von Protokollierungs- und Sensordaten sowie zur Erkennung und Abwehr von Schadsoftware umfasst."},{"example":"Ein SOC erh\u00e4lt die Alarme aus den \u00fcberwachten Systemen, wertet sie aus und eskaliert einen Vorfall an ein separates Incident-Response-Team, sofern die Organisation die Bearbeitung so aufgeteilt hat."},{"example":"Ein Versicherer kann die \u00dcberwachung von Sicherheitswarnungen in einem eigenen oder ausgelagerten SOC b\u00fcndeln, um Nutzeraktivit\u00e4ten, IKT-Anomalien und IKT-bezogene Vorf\u00e4lle, darunter Cyberangriffe, zu \u00fcberwachen."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34076,34245,34259],"pillar_link":null,"sources":[{"publisher":"","name":"How to Setup up CSIRT and SOC \u2013 Good Practice Guide","url":"https:\/\/www.enisa.europa.eu\/sites\/default\/files\/publications\/ENISA%20Report%20-%20How%20to%20setup%20CSIRT%20and%20SOC.pdf","doc_type":"2020","group":"used"},{"publisher":"","name":"Verordnung (EU) 2022\/2554 (DORA), ABl. L 333 vom 27.12.2022","url":"https:\/\/publications.europa.eu\/resource\/cellar\/0caf473a-85bd-11ed-9887-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Building a Security Operations Centre (SOC) | National Cyber Security Centre","url":"https:\/\/www.ncsc.gov.uk\/collection\/building-a-security-operations-centre","doc_type":"2022","group":"used"},{"publisher":"","name":"DER.1 Detektion von sicherheitsrelevanten Ereignissen","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/IT-GS-Kompendium_Einzel_PDFs_2023\/05_DER_Detektion_und_Reaktion\/DER_1_Detektion_von_sicherheitsrelevanten_Ereignissen_Edition_2023.pdf?__blob=publicationFile&v=3","doc_type":"2023","group":"used"},{"publisher":"","name":"Building a Security Operations Centre (SOC) | Onboarding systems and log sources | Log sources | National Cyber Security Centre","url":"https:\/\/www.ncsc.gov.uk\/collection\/building-a-security-operations-centre\/onboarding-systems-and-log-sources\/log-sources","doc_type":"2022","group":"used"},{"publisher":"","name":"Building a Security Operations Centre (SOC) | Operating Model | Things to consider | National Cyber Security Centre","url":"https:\/\/www.ncsc.gov.uk\/collection\/building-a-security-operations-centre\/operating-model\/things-to-consider","doc_type":"2022","group":"used"},{"publisher":"","name":"DER.2.1 Behandlung von Sicherheitsvorf\u00e4llen","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/IT-GS-Kompendium_Einzel_PDFs_2023\/05_DER_Detektion_und_Reaktion\/DER_2_1_Behandlung_von_Sicherheitsvorfaellen_Edition_2023.pdf?__blob=publicationFile&v=3","doc_type":"2023","group":"used"},{"publisher":"","name":"Building a Security Operations Centre (SOC) | Operating Model | Designing an Operating Model | National Cyber Security Centre","url":"https:\/\/www.ncsc.gov.uk\/collection\/building-a-security-operations-centre\/operating-model\/designing-an-operating-model","doc_type":"2022","group":"used"},{"publisher":"","name":"Building a Security Operations Centre (SOC) | Incidents (Incident Management) | National Cyber Security Centre","url":"https:\/\/www.ncsc.gov.uk\/collection\/building-a-security-operations-centre\/incidents","doc_type":"2022","group":"used"},{"publisher":"","name":"Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile","url":"https:\/\/nvlpubs.nist.gov\/nistpubs\/SpecialPublications\/NIST.SP.800-61r3.pdf","doc_type":"2025","group":"used"},{"publisher":"","name":"BSI f\u00fcr den Bund","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Schwerpunktthemen\/BSI_fuer_den_Bund\/BSI_fuer_den_Bund_node.html","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-11"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie arbeitet ein Security Operations Center?<\/h2>\n
Security Operations Center (SOC) im Vergleich<\/h2>\n
Wann lohnt sich ein eigenes Security Operations Center?<\/h2>\n
\n\n
\n \nFrage<\/th>\n Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n \n Eigener oder ausgelagerter Betrieb<\/td>\n Es ist nach ENISA \u00fcbliche Praxis, dass SOCs im Lauf der Zeit zwischen ausgelagertem und internem Betrieb wechseln.<\/td>\n<\/tr>\n \n Bedrohungsprofil der Organisation<\/td>\n Nach dem NCSC (britisches National Cyber Security Centre) ben\u00f6tigen manche Organisationen mit extrem hohem Bedrohungsprofil m\u00f6glicherweise ein SOC, das selbst die raffiniertesten Angriffe erkennen und darauf reagieren kann; die meisten ben\u00f6tigen das nicht.<\/td>\n<\/tr>\n \n Kritische Assets und Gesch\u00e4ftskontext<\/td>\n Nach dem britischen NCSC kann es f\u00fcr ein SOC sehr schwierig sein, die gesamte IT-Landschaft gleich umfassend zu \u00fcberwachen; deshalb muss es wissen, welche Assets der Organisation am kritischsten sind und in welchem Gesch\u00e4ftskontext sie betrieben werden.<\/td>\n<\/tr>\n \n Verf\u00fcgbares und geeignetes Personal<\/td>\n Geeignetes Personal f\u00fcr die Aufgaben zu finden, kann eine der gr\u00f6\u00dften Einschr\u00e4nkungen bei der Umsetzung des Betriebsmodells sein.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n