T1 / T2 / T3

T1, T2 und T3 bezeichnen die drei klassischen Stufen in einem SOC. T1 sortiert Alerts vor, T2 untersucht Vorfälle, T3 übernimmt komplexe Fälle, Threat Hunting und Detection Engineering.

So funktioniert es

T1-Analysten arbeiten eine Warteschlange ab und prüfen Alerts nach Checklisten. Was sie nicht klar einordnen können, eskalieren sie an T2. T2 untersucht den Fall genauer, sammelt Belege und leitet Massnahmen ein. T3 unterstützt bei schwierigen Angriffen, schreibt neue Detection-Regeln und sucht aktiv nach Bedrohungen.

Ein Beispiel: Ein T1-Analyst sieht einen Alert zu einer ungewöhnlichen Anmeldung. Er prüft Standort und Gerät, findet keine Erklärung und eskaliert. Die T2-Analystin muss sich neu einlesen und fragt nach. Zwischen Alert und Entscheid kann so mehr als eine Stunde vergehen.

Worauf Sie achten sollten

• Übergaben: Jede Stufe kostet Zeit und Kontext. Fragen Sie nach der mittleren Dauer pro Eskalation.
• Belastung: T1 ist monoton und hat hohe Fluktuation. Das gefährdet die Qualität.
• Erfahrung nachts: Oft ist nachts nur T1 besetzt. Klären Sie, wer dann entscheidet.
• Rolle der Automatisierung: Viele T1-Aufgaben lassen sich heute automatisieren.

Warum das Modell unter Druck ist

Das Stufenmodell stammt aus einer Zeit mit wenig Automatisierung. Heute übernehmen Playbooks und KI einen grossen Teil der Vorsortierung. Damit verschiebt sich die Arbeit zu erfahrenen Analysten, die einen Fall durchgehend bearbeiten.

Prüffragen an einen Anbieter

Wenn ein Anbieter mit Stufen arbeitet, fragen Sie nach dem Anteil der Alerts, die eskaliert werden. Ein hoher Anteil deutet auf wenig Automatisierung oder unerfahrene Leute auf der ersten Stufe hin. Fragen Sie auch, wie lange eine Eskalation im Mittel dauert, besonders nachts. Klären Sie zudem, ob T3 für Ihren Vorfall rund um die Uhr erreichbar ist oder nur zu Bürozeiten.

So setzen wir es um

Wir arbeiten ohne Tiering. Die Vorsortierung ist automatisiert, und jeder Case bleibt bei einem erfahrenen Analysten bis zum Abschluss.