MTTR

Mean Time to Respond (MTTR) ist die durchschnittliche Zeit von der Erkennung eines Vorfalls bis zu seiner Eindämmung. Sie zeigt, wie schnell ein SOC einen Angriff tatsächlich stoppt.

So funktioniert es

Gemessen wird pro Case die Zeit zwischen Detection und einer wirksamen Massnahme. Das kann das Isolieren eines Geräts, das Sperren eines Kontos oder das Blockieren einer Verbindung sein. Der Mittelwert über alle Cases ergibt die MTTR. Aussagekräftiger ist oft die Auswertung pro Severity, weil Critical-Fälle anders behandelt werden als Low.

Ein Beispiel: Ein Ransomware-Vorläufer wird um 02:10 Uhr erkannt. Um 02:18 Uhr ist der betroffene Server isoliert. Die Zeit bis zur Response beträgt acht Minuten. Hätte das Team bis zum Morgen gewartet, wäre die Verschlüsselung vermutlich schon gelaufen.

Worauf Sie achten sollten

• Definition: Klären Sie, ob der Anbieter bis zur ersten Reaktion misst oder bis zur Eindämmung.
• Verteilung: Ein guter Mittelwert kann einzelne sehr langsame Fälle verdecken. Fragen Sie nach Medianwert und Ausreissern.
• Nachtzeiten: Vergleichen Sie die MTTR in Bürozeiten mit nachts und am Wochenende.
• Mandat: Ohne vorab freigegebene Aktionen wartet das SOC auf Rückruf. Das verlängert die MTTR stark.

Zusammenhang mit MTTD

MTTD misst, wie schnell ein Angriff erkannt wird. MTTR misst, wie schnell er gestoppt wird. Beide zusammen bestimmen, wie viel Zeit ein Angreifer in der Umgebung hat.

Wie Sie die MTTR senken

Die grössten Hebel liegen selten bei der Technik. Entscheidend sind ein klares Mandat, gepflegte Playbooks und aktuelle Kontaktlisten. Wenn das SOC vorab weiss, welche Systeme es isolieren darf, entfällt das Warten auf eine Freigabe. Auch eine gute Asset-Liste hilft, weil Analysten sofort sehen, wie kritisch ein System ist. Vergleichen Sie die MTTR regelmässig pro Szenario, etwa Phishing, Kontoübernahme und Malware.

So setzen wir es um

Für Critical sichern wir vertraglich eine Reaktion unter 60 Minuten zu, rund um die Uhr. Typischerweise reagieren wir unter 15 Minuten.