SOC-Outsourcing | Managed Security Monitoring 24/7

Zuletzt aktualisiert: 11. November 2026

SOC-Outsourcing (Security Operations Center) bedeutet, dass ein spezialisiertes Team Ihre Sicherheitsereignisse rund um die Uhr überwacht, Alarme aus SIEM, EDR und Cloud-Diensten bewertet, echte Vorfälle von Fehlalarmen trennt und bei einem Angriff die Reaktion einleitet. 360 Soft stellt aus Istanbul SOC-Analysten (L1–L3), Detection Engineers, Incident Responder und Threat Hunter bereit – remote, vor Ort oder hybrid und auf Wunsch im 24/7-Schichtbetrieb. Ziel ist nicht ein weiteres Dashboard, sondern eine verlässliche Antwort auf die Frage: „Werden wir gerade angegriffen, und was tun wir jetzt?“ Die Verfügbarkeit von Netz und Systemen deckt dagegen unser NOC-Service ab.

Für wen eignet es sich und welches Problem löst es?

SIEM ohne Betrieb: Ein SIEM wurde angeschafft, aber niemand schaut nachts oder am Wochenende auf die Alarme – Angriffe beginnen häufig genau dann.
Alarmmüdigkeit: Tausende Ereignisse pro Tag, wenige davon relevant; das kleine Sicherheitsteam verliert den Überblick.
Fachkräftemangel: Erfahrene SOC-Analysten und Detection Engineers sind schwer zu finden und zu halten.
Regulatorischer Druck: Banken, Zahlungsdienstleister, Gesundheitswesen, Behörden und kritische Infrastrukturen müssen Überwachung und Incident-Response nachweisen.
Meldefristen: Datenschutzverletzungen müssen innerhalb enger Fristen gemeldet werden – ohne frühe Erkennung ist das kaum zu schaffen.

SOC-Technologie: SIEM, SOAR, EDR und mehr

Komponente	Aufgabe	Beispiele
SIEM	Zentrale Sammlung, Korrelation und Analyse von Logs	Microsoft Sentinel, Splunk, IBM QRadar, Elastic Security, Wazuh
EDR/XDR	Telemetrie und Reaktion auf Endpunkten und Servern	Microsoft Defender for Endpoint, CrowdStrike Falcon, SentinelOne
SOAR	Automatisierte Playbooks für Anreicherung und Erstmaßnahmen	Sentinel Playbooks, Splunk SOAR, Cortex XSOAR, Shuffle
NDR	Erkennung auffälligen Netzwerkverkehrs	Zeek, Suricata, kommerzielle NDR-Lösungen
Identität und Cloud	Anmeldeanomalien, Rechteausweitung, Fehlkonfigurationen	Entra ID, AWS GuardDuty, Google Security Command Center
Threat Intelligence	Indikatoren und Kontext zu Angreifern	MISP, kommerzielle Feeds, öffentliche CERT-Meldungen

Wir arbeiten mit Ihren vorhandenen Lizenzen. Ist noch kein SIEM vorhanden, unterstützen wir bei Auswahl und Aufbau – einschließlich Log-Anbindung, Normalisierung und erster Regelbasis. Lizenzen bleiben auf Ihren Namen, damit Sie bei einem Wechsel nicht von uns abhängig sind.

Erkennungsabdeckung mit MITRE ATT&CK

Ein SOC ist nur so gut wie seine Erkennungsregeln. Wir bilden die vorhandenen Use Cases auf das MITRE-ATT&CK-Framework ab und zeigen damit transparent, welche Taktiken und Techniken – etwa Erstzugriff per Phishing, Credential Dumping, laterale Bewegung oder Datenabfluss – Ihre Umgebung heute erkennt und wo Lücken bestehen. Daraus ergibt sich eine priorisierte Roadmap für neue Regeln und Log-Quellen. Detection Engineering wird dabei als laufender Prozess verstanden: Regeln werden getestet, Fehlalarme reduziert und neue Angriffstechniken zeitnah ergänzt.

Leistungsumfang und Rollen

Leistung	Inhalt
24/7-Überwachung und Triage	Bewertung jedes Alarms, Einordnung als Fehlalarm, verdächtig oder Vorfall
Incident Response	Eindämmung nach vereinbarten Playbooks: Host isolieren, Konto sperren, IOC blockieren
Detection Engineering	Neue Regeln, Tuning, ATT&CK-Abdeckung
Threat Hunting	Hypothesengetriebene Suche nach unentdeckten Angreifern
Log-Quellen-Management	Anbindung, Gesundheitsüberwachung fehlender Logs
Reporting	Monatsbericht, Vorfallberichte, Kennzahlen für Management und Audit

Rolle	Verantwortung
SOC-Analyst L1	Alarm-Triage, Anreicherung, Eskalation nach Runbook
SOC-Analyst L2	Tiefere Untersuchung, Korrelation, Eindämmungsmaßnahmen
SOC-Analyst L3 / Incident Responder	Komplexe Vorfälle, forensische Sicherung, Koordination
Detection Engineer	Regelentwicklung, SIEM-Tuning, SOAR-Playbooks
SOC-Leitung	Schichtplanung, SLA-Steuerung, Kundenkommunikation

Regulierung und Standards

Da unser Team in der Türkei arbeitet, berücksichtigen wir die dortigen Vorgaben: Der Leitfaden für Informations- und Kommunikationssicherheit des Digital Transformation Office der Präsidentschaft definiert für Behörden und kritische Infrastrukturen Maßnahmen zu Log-Management, Überwachung und Incident-Response; in kritischen Sektoren werden zudem Cyber-Incident-Response-Teams (SOME) und die Abstimmung mit der nationalen Koordinationsstelle erwartet. Im Banken-, Zahlungs- und Kapitalmarktsektor enthalten die IT-Vorgaben von BDDK, TCMB und SPK detaillierte Anforderungen. Das KVKK verlangt die Meldung von Datenschutzverletzungen an die Behörde ohne Verzögerung, spätestens innerhalb von 72 Stunden. International dienen ISO/IEC 27001:2022 und die NIST-Leitfäden zur Incident-Response als Referenz.

Für Unternehmen im DACH-Raum gelten zusätzlich die Regeln Ihres Landes und Ihrer Branche – insbesondere die DSGVO mit der 72-Stunden-Meldepflicht nach Art. 33, NIS2 und deren nationale Umsetzung, DORA für den Finanzsektor sowie BSI- und KRITIS-Vorgaben. Die Meldung gegenüber Behörden bleibt Ihre Pflicht als Verantwortlicher; das SOC liefert die Fakten, die Zeitleiste und die Entwurfsunterlagen. Welche Pflichten konkret gelten, klären Sie bitte mit Ihrer Rechts- oder Compliance-Abteilung.

Arbeitsmodelle

Modell	Beschreibung	Geeignet für
Remote / Managed SOC	Überwachung aus Istanbul über gesicherten Zugang zu Ihrem SIEM und EDR	Die meisten Unternehmen mit cloudbasierten Werkzeugen
Vor Ort	Analysten arbeiten in Ihrem SOC in der Türkei	Behörden, abgeschottete Netze, strenge Datenlokalisierung
Hybrid	Ihr Team tagsüber, unser Team nachts, am Wochenende und als Verstärkung	Unternehmen mit eigenem, kleinem Sicherheitsteam
Co-Managed	Wir übernehmen L1/L2 und Detection Engineering, Ihr Team behält L3 und Entscheidungen	Organisationen mit hoher interner Kompetenz

Ablauf der Einführung

Assessment: Kritische Assets, vorhandene Tools, Log-Quellen, bestehende Regeln und Eskalationswege werden erfasst.
Log-Anbindung: Priorisierte Quellen (Identität, Endpunkte, Firewall, Cloud, E-Mail) werden angebunden und auf Vollständigkeit geprüft.
Use Cases und ATT&CK-Mapping: Erste Regelbasis, Abdeckungsanalyse und Lückenliste.
Playbooks und Befugnisse: Festlegung, welche Eindämmungsschritte das SOC selbst ausführen darf und welche eine Freigabe erfordern.
Tuning-Phase: Einige Wochen intensives Reduzieren von Fehlalarmen.
Regelbetrieb: 24/7-Überwachung, monatliche Berichte, regelmäßige Reviews und Übungen.

Ein typischer Start des Teams ist innerhalb von 1–2 Wochen möglich; die vollständige Anbindung aller Log-Quellen und das Tuning dauern je nach Umgebung länger.

Der Lebenszyklus eines Alarms

Erkennung: Eine Regel im SIEM oder EDR schlägt an.
Anreicherung: SOAR ergänzt automatisch Kontext – Benutzer, Asset-Kritikalität, Reputation von IP und Domain.
Triage: Der L1-Analyst bewertet: Fehlalarm, verdächtig oder bestätigter Vorfall.
Untersuchung: L2 rekonstruiert die Zeitleiste und den Umfang.
Eindämmung: Nach Playbook werden Host isoliert, Konten gesperrt oder Indikatoren blockiert und Sie werden informiert.
Abschluss und Lernen: Vorfallbericht, Regelanpassung, Empfehlungen zur Härtung.

SLA und KPIs

Kennzahl	Definition
Mean Time to Acknowledge (MTTA)	Zeit vom Alarm bis zur Übernahme durch einen Analysten
Mean Time to Detect (MTTD)	Zeit vom Beginn der Aktivität bis zur Erkennung als Vorfall
Mean Time to Respond (MTTR)	Zeit von der Erkennung bis zur Eindämmung
Benachrichtigungszeit	Zeit bis zur Information Ihres Ansprechpartners bei kritischen Vorfällen
Fehlalarmquote	Anteil der Alarme, die sich als unbegründet erweisen
ATT&CK-Abdeckung	Anteil relevanter Techniken mit getesteter Erkennungsregel
Log-Quellen-Gesundheit	Anteil der Quellen, die vollständig und rechtzeitig liefern

Die Zielwerte werden nach Schweregrad und Abdeckungszeit im Vertrag festgelegt und monatlich berichtet.

SOC-Outsourcing und Security Monitoring — overview

Preisfaktoren

Auf dieser Seite nennen wir keine Preise. Übliche Modelle sind Personenmonat (dedizierte Analystenkapazität), Einheitspreis (pro Endpunkt, Log-Volumen oder Log-Quelle), Stundenbasis (Incident-Response-Einsätze, Projekte) und Festpreis (SIEM-Aufbau, ATT&CK-Assessment).

Faktor	Auswirkung
Log-Volumen und Anzahl der Quellen	Analyseaufwand, SIEM-Kosten, Tuning
Anzahl der Endpunkte und Identitäten	Umfang der EDR- und Identitätsüberwachung
Abdeckungszeiten	24/7 oder nur außerhalb der Geschäftszeiten
Reaktionsbefugnis	Nur Benachrichtigung oder aktive Eindämmung
Werkzeuge	Vorhandenes SIEM/EDR oder Neuaufbau
Threat Hunting und Detection Engineering	Umfang der proaktiven Leistungen
Regulatorische Berichte	Branchenspezifische Nachweise und Auditunterstützung

Eigenes SOC, Freelancer oder Outsourcing?

Kriterium	Eigenes SOC	Freelancer	Outsourcing
24/7-Abdeckung	Mindestens fünf bis sechs Personen pro Schichtposition	Nicht realistisch	Schichtbetrieb ist Teil der Leistung
Aufbauzeit	Viele Monate	Punktuell schnell	Typisch 1–2 Wochen für den Teamstart
Erfahrungsbreite	Begrenzt auf eigene Vorfälle	Abhängig von einer Person	Wissen aus vielen Umgebungen
Kontrolle	Maximal	Gering	Über Playbooks, SLA und Berichte
Ausfallsicherheit	Fluktuation reißt Lücken	Hohes Risiko	Vertretungs- und Ersatzprozess

Risiken und Gegenmaßnahmen

Risiko	Gegenmaßnahme
Fehlende Log-Quellen	Gesundheitsüberwachung der Quellen, Alarm bei ausbleibenden Logs
Zu viele Fehlalarme	Strukturiertes Tuning, regelmäßige Review-Termine
Unklare Befugnisse im Ernstfall	Schriftlich vereinbarte Playbooks und Eskalationsmatrix, regelmäßige Übungen
Zugriff auf sensible Daten	Least Privilege, MFA, Protokollierung, AVV, NDA
Abhängigkeit vom Dienstleister	Lizenzen, Regeln und Playbooks gehören Ihnen; Exit-Plan

Vertrag, Datenschutz, NDA und geistiges Eigentum

Die Zusammenarbeit erfolgt auf Basis eines Dienstvertrags; für abgegrenzte Projekte wie einen SIEM-Aufbau kommt gegebenenfalls ein Werkvertrag in Betracht. 360 Soft steuert das eigene Team – es handelt sich um keine Arbeitnehmerüberlassung. Ob Aspekte des AÜG oder einer Scheinselbständigkeit zu prüfen sind, hängt von der tatsächlichen Durchführung ab; wir empfehlen eine rechtliche Prüfung des Vertragsmodells. Für die Verarbeitung personenbezogener Daten in Logs schließen wir einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO; Übermittlungen in die Türkei werden über EU-Standardvertragsklauseln (SCCs) abgesichert, auf türkischer Seite gilt das KVKK. Eine NDA regelt die Vertraulichkeit; Erkennungsregeln, Playbooks, Berichte und Dokumentation, die im Auftrag entstehen, gehen vertraglich in Ihr Eigentum über.

Beispielszenario (illustrativ): Mittelständler mit Microsoft 365

Beispielszenario (illustrativ): Ein mittelständisches Unternehmen nutzt Microsoft 365, Defender for Endpoint und Sentinel, hat aber nur zwei Personen in der IT-Sicherheit. Das SOC würde zunächst Identitäts-, E-Mail- und Endpunkt-Logs priorisiert anbinden, die Regeln auf ATT&CK abbilden und Playbooks für verdächtige Anmeldungen und Phishing festlegen. Meldet nachts eine Regel eine Anmeldung aus ungewöhnlichem Land mit anschließender Weiterleitungsregel im Postfach, sperrt das SOC nach Playbook die Sitzung, setzt das Konto zurück und informiert die Ansprechperson mit einer Zeitleiste. Das Szenario dient nur der Veranschaulichung.

Checkliste für die Auswahl

Wird die Erkennungsabdeckung transparent nach MITRE ATT&CK dargestellt?
Ist schriftlich geregelt, welche Eindämmung das SOC ohne Freigabe ausführen darf?
Bleiben SIEM- und EDR-Lizenzen auf Ihren Namen?
Werden fehlende Log-Quellen aktiv überwacht?
Gibt es echte 24/7-Besetzung statt bloßer Rufbereitschaft?
Unterstützt das SOC bei Meldungen nach DSGVO, NIS2 oder KVKK mit Fakten und Zeitleisten?
Liegen AVV, SCCs und NDA vor?
Gibt es einen Exit-Plan und eine dokumentierte Übergabe?

Häufig gestellte Fragen

Was ist der Unterschied zwischen SOC-Outsourcing und MDR?

Managed Detection and Response (MDR) ist meist an die Plattform eines Herstellers gebunden und auf Endpunkte fokussiert. Ein ausgelagertes SOC arbeitet herstellerunabhängig mit Ihren vorhandenen Werkzeugen und kann Identitäten, Netzwerk, Cloud und Anwendungen gemeinsam auswerten.

Was passiert, wenn wir keine eigene SIEM-Lizenz haben?

Wir unterstützen bei der Auswahl einer passenden Lösung, vom Open-Source-Ansatz wie Wazuh bis zu Microsoft Sentinel oder Splunk. Die Lizenz wird auf Ihren Namen abgeschlossen, damit Sie unabhängig bleiben.

Ist eine 24/7-Überwachung zwingend?

Nicht in jedem Fall, aber viele Angriffe beginnen nachts oder am Wochenende. Alternativ ist ein Modell möglich, bei dem wir nur außerhalb Ihrer Geschäftszeiten überwachen.

Greifen Sie im Ernstfall selbst ein?

Ja, im vorab vereinbarten Umfang. Typische Maßnahmen sind das Isolieren eines Hosts, das Sperren eines Kontos oder das Blockieren von Indikatoren. Weitergehende Schritte erfolgen nach Freigabe gemäß Playbook.

Warum ist das MITRE-Framework wichtig?

Das Framework beschreibt reale Angriffstechniken. Wer seine Erkennungsregeln darauf abbildet, sieht objektiv, welche Techniken erkannt werden und wo Lücken bestehen, und kann gezielt nachbessern.

Welche Log-Quellen sollten angebunden werden?

Priorität haben Identität und Anmeldungen, Endpunkte und Server, Firewall und VPN, E-Mail sowie Cloud-Kontrollebenen. Danach folgen kritische Anwendungen, Datenbanken und Netzwerkdaten.

Wer meldet eine Datenschutzverletzung an die Behörde?

Die Meldung bleibt Pflicht des Verantwortlichen, also Ihres Unternehmens. Das SOC liefert Fakten, Zeitleiste und betroffene Systeme, damit Sie die Fristen nach DSGVO oder KVKK einhalten können.

Wie lange dauert die Einführung?

Ein Teamstart ist typischerweise innerhalb von 1–2 Wochen möglich. Die vollständige Anbindung der Log-Quellen und das Tuning dauern je nach Umgebung länger.

Wonach richtet sich der Preis?

Nach Log-Volumen, Anzahl der Quellen, Endpunkte und Identitäten, Abdeckungszeit, Reaktionsbefugnis, Werkzeugen und gewünschten proaktiven Leistungen.

Können Sie mit unserem bestehenden Sicherheitsteam zusammenarbeiten?

Ja. Im Co-Managed-Modell übernehmen wir zum Beispiel L1/L2 und Detection Engineering, während Ihr Team die Entscheidungen und L3 behält.

Ist das eine Arbeitnehmerüberlassung?

Nein. 360 Soft erbringt den SOC-Betrieb als Dienstleistung auf Basis eines Dienstvertrags und steuert das eigene Team. Da die Einordnung von der tatsächlichen Durchführung abhängt, empfehlen wir eine rechtliche Prüfung.

Kontakt

Sie möchten Ihren SOC-Bedarf besprechen? Schildern Sie uns Ihren Ausgangspunkt – wir melden uns mit einem Vorschlag zu Umfang, Arbeitsmodell und Startzeitpunkt. Telefon: +90 850 335 10 87 · E-Mail: info@360-soft.com · WhatsApp · Kontaktformular. 360 Soft Marketing Yazılım ve Danışmanlık Ltd. Şti., Nidakule Ataşehir Batı, Barbaros Mah. Begonya Sk. No:1 D:2, 34746 Ataşehir/İstanbul.

SOC-Outsourcing und Security Monitoring