Was ist ein SOC? Definition, Aufgaben und Aufbau

Ein Security Operations Center (SOC) ist ein Team aus Menschen, Prozessen und Technologie. Es überwacht die IT- und OT-Umgebung einer Organisation rund um die Uhr, erkennt Angriffe und koordiniert die Reaktion. Ein SOC ist keine Software, sondern eine Betriebseinheit.

Alle

Aufgaben eines SOC

  • Kontinuierliche Überwachung von Logs, Endpoints, Netzwerk und Cloud
  • Triage und Investigation jedes einzelnen Alerts
  • Threat Hunting jenseits der bestehenden Regeln
  • Incident Response inklusive Containment und Recovery-Koordination
  • Reporting an Management und Regulator

Werkzeuge: SIEM, EDR, SOAR

SIEM sammelt und korreliert Logs. EDR liefert Telemetrie und Reaktionsfähigkeit auf Endpoints. SOAR automatisiert wiederkehrende Playbooks. Keine dieser Technologien allein ist ein SOC. Ein SOC ist das Team, das sie steuert.

Klassisches Tier-Modell und warum es überholt ist

Historisch war ein SOC in Tier 1 (Sichtung), Tier 2 (Investigation) und Tier 3 (Hunting/Engineering) aufgeteilt. Moderne SOCs verzichten auf die starre Trennung: Automation und Agentic AI übernehmen die Sichtung, alle Analysten arbeiten auf Kontext statt auf Rohalerts.

SOC vs. NOC

Ein NOC (Network Operations Center) sorgt für Verfügbarkeit und Performance. Ein SOC sorgt für Sicherheit. Beide arbeiten 24/7, überwachen aber unterschiedliche Fragen: Läuft es? vs. Ist es kompromittiert?

Häufige Fragen

Was macht ein SOC-Analyst konkret?

SOC-Analysten prüfen Alerts, bewerten den Kontext, entscheiden über Reaktion und koordinieren mit IT und Management. Moderne Analysten verbringen ihre Zeit mit Entscheidungen, nicht mit Copy-Paste zwischen Konsolen.

Was ist der Unterschied zwischen SOC und NOC?

Ein NOC überwacht Verfügbarkeit und Performance, ein SOC überwacht Sicherheitsereignisse und Angriffe.

Braucht ein KMU ein SOC?

Ja, sobald ein Vorfall den Betrieb ernsthaft treffen würde. Für KMU ist ein externes Managed SOC in der Regel die einzige wirtschaftliche Option.

Was ist der Unterschied zwischen SOC und MDR?

Ein SOC ist die Betriebseinheit, MDR ist ein Servicemodell mit vertraglich zugesicherter Reaktion. Details auf [SOC vs. MDR](/de/soc/soc-siem-edr-xdr-mdr-begriffe).

Wie lange dauert der Aufbau eines SOC?

Ein interner SOC-Aufbau dauert mehrere Wochen bis Monate für die Onboarding-Phase, plus mehrere Quartale für Reifung. Ein Managed SOC liefert Betrieb innerhalb der [Onboarding-Phase](/de/soc/soc-onboarding-schweiz).

Weiterlesen im Cluster
SOC as a Service in der Schweiz: Kompletter Leitfaden
SOC as a Service ist ein extern betriebenes Security Operations Center, das Ihre Umgebung rund um die Uhr überwacht, Angriffe erkennt und die Reaktion auslöst. Laut Mandiant M-Trends 2026 blieben Angreifer 2025 im Median 14 Tage unentdeckt. Mit einem SOC, das rund um die Uhr erkennt und bewertet, liegt die Erkennungszeit deutlich kürzer.
SOC, SIEM, EDR, XDR, MDR: die Begriffe im Überblick
SOC ist die Funktion, SIEM, EDR und XDR sind Werkzeuge, MDR ist ein Service. Entscheidend ist nicht das Etikett, sondern ob und in welchem Mandat reagiert wird. Bei ANOMAL umfasst SOC as a Service Erkennung und Reaktion und trägt bei vielen Anbietern die Bezeichnung MDR; ein Managed SIEM ist Teil des SOC mit Analysten und Reaktion im Mandat. Kunden behalten ihre bestehenden Tools.
SOC für KMU in der Schweiz: Was realistisch ist, was es kostet, was sinnvoll ist
Für Schweizer KMU zwischen 50 und 500 Endpoints ist ein Managed SOC praktisch immer der richtige Weg. Ein eigenes SOC rechnet sich in dieser Grösse selten, weil ein 24/7-Platz 8'760 Stunden umfasst und damit mindestens 5 bis 6 Vollzeitstellen sowie eine tragfähige Plattform voraussetzt. Managed SOC liefert 24/7-Detection, dokumentierte Reaktion und regulatorische Nachweise für revDSG, ISG und Kundenverträge.
Kurzdefinitionen im Glossar nachschlagen

Verwandte Begriffe