Im SOC ist Geschwindigkeit unabdingbar. Doch allzu viele Teams müssen sich abstrampeln, dass sie nicht im Security-Treibsand versinken, weil ihre kleinteiligen Tools nicht miteinander können. Das Ergebnis? Verzögerungen, blinde Flecken und überhöhte Geschäftsrisiken.
Aus dem Lagebericht Security 2025 (Stärker und smarter: Das SOC der Zukunft) von Splunk geht hervor, dass die Sicherheitsverantwortlichen zu 78 % darunter zu leiden haben, dass ihre Sicherheitstools verteilt und unverbunden sind. Und 69 % sagen, dass diese unzusammenhängenden Architekturen gewisse bis erhebliche Herausforderungen für ihr Team mit sich bringen. Spürbar wird das dann in vergeudeten Analystenstunden, vermeidbaren Incidents und in blinden Flecken, die teuer kommen.
Oft ist es so, dass die Sicherheitsteams immer mehr Tools anhäufen – in Reaktion auf neue Bedrohungen oder neue Compliance-Anforderungen oder weil die Tools neue und angeblich unverzichtbare Funktionen versprechen. Mit der Zeit ergibt das einen überladenen Stack mit schlechter Integration, Silo-Kontext und eher oberflächlichem Anwendungswissen. Wenn wir z. B. ein SOC nehmen, das seine Standards rund um ein primäres SIEM aufgebaut hat, dann sind die Analysten darin gründlich geschult. Sobald aber Tools unterschiedlicher Anbieter angeflanscht werden, entstehen Komplexitäten und es wird mehr Personal erforderlich. Und die Budgets skalieren selten im selben Tempo mit.
Im Lagebericht Security 2025 geben 59 % der Befragten an, dass sie zu viel Zeit und Mühe für die Wartung der Tools und der zugehörigen Workflows aufwenden. Dabei sind die Teams aufgrund des anhaltenden Fachkräftemangels ohnedies überlastet: 49 % sagen, dass Personalmangel und Qualifizierungslücken die größte Herausforderung für die Cybersicherheit in ihrem Unternehmen darstellen. Wenn die Analysten ihre Aufgaben auf vier oder mehr Plattformen jonglieren müssen, dann suchen und finden sie unweigerlich Abkürzungen, um irgendwie im Plan zu bleiben („Wir patchen und upgraden halt einmal im Quartal statt alle 30 Tage“). Aus solchen faulen Kompromissen werden mit der Zeit Schwachstellen, sowohl in Bezug auf die Sicherheit als auch auf die Performance.
Die Folgen sind dann deutlich spürbar. Ich kenne Kunden, die von Warnmeldungen geradezu überschwemmt wurden, weil ihre Tools fehlkonfiguriert waren oder Dubletten produzierten – die Analysten gingen in einer Flut von Informationen unter, und echte Bedrohungen blieben unentdeckt. Oder wenn Bedrohungen aus Mangel an Fachkenntnissen – für 32 % ist dies eine der Hauptursachen von Ineffizienz im SOC – schlicht übersehen werden. Ich weiß von einem Fall, in dem der Kunde mehrere Firewalls hatte, und eine einzige Engineering-Fachkraft sollte alle drei Firewall-Anbieter managen. Allerdings überschaute der Techniker die Besonderheiten der einzelnen Produkte nicht und schrieb eine Regel, die Datenverkehr aus einer Hochrisikoregion verhindern sollte, implementierte sie aber nicht in allen Firewalls ordnungsgemäß. Das Resultat: Eine fehlerhafte Regelhierarchie ermöglichte es einem Angreifer, die Schutzmaßnahmen zu umgehen und über einen Exchange-Server in der DMZ Ransomware zu verbreiten.
Verstreute Tools gehen oft auch mit mangelnder Hygiene einher. Eine Kundschaft hatte z. B. keinen zentralen Log-Aggregator, sondern verließ sich auf Syslog-Datenhäppchen, sodass es große Sichtbarkeitslücken gab und das Unternehmen nicht einmal sicher sagen konnte, ob überhaupt Logs von allen Geräten empfangen wurden. Die Antivirenlösung war zwar das Neueste vom Neuen, wurde aber selten aktualisiert. Das alles gab die Illusion von Sicherheit, doch in Wirklichkeit war es eine einzige klaffende Sicherheitslücke.
Letztlich lautet die Rechenaufgabe für das Unternehmen: Kann eine einzige Fachkraft vier Tools managen? Und wenn nein: Was wird dabei geopfert?
Unzusammenhängende Tools können sich im weiteren Verlauf auch negativ auf die Compliance und die operative Disziplin auswirken. Ich weiß von SOC-Teams, die kurzerhand eigene Ticket-Systeme geholt haben, nur um die Engpässe der zentralisierten IT zu umgehen, und Tools ohne Freigabe oder Sicherheitsüberprüfung eingeführt haben. Dass die Dokumentation überholt ist. Dass Schatten-IT wuchert. In manchen Fällen behalten Leute noch Wochen nach der Kündigung Zugriff auf Slack und ähnliche Plattformen zur Zusammenarbeit, nur weil die Identitäts- und die HR-Systeme nicht zusammenarbeiten – ein Exfiltrationsrisiko, das offen zutage liegt.
All dies stößt am Ende auf die harte Realität der Wirtschaftlichkeit. Jedes neue Tool erfordert die Budgetierung von Lizenzen sowie von Kosten für Engineering, Schulungen, Integration und Wartung. Wenn eure Architektur zwei Technikkräfte pro Tool erfordert, euer Budget aber nur eine für vier Tools erlaubt, dann ist das nicht nur ineffizient, sondern riskant.
Eine Organisation der öffentlichen Hand, mit der ich zusammengearbeitet habe, hat ihr Toolset erfolgreich von Hunderten von Anbietern auf 25 reduziert. Das Ergebnis? Einsparungen in Höhe von sage und schreibe $ 40 Millionen, die in Personal und Fähigkeiten reinvestiert wurden. Gewiss, manche Funktionen gingen verloren – aber es konnten bessere Leute gewonnen werden, und letztlich konnte die Sicherheitslage deutlich gestärkt werden.
Die Rationalisierung der Tools ist zuerst oft eine Maßnahme zur Kostensenkung. Vernünftiger wäre es aber, wenn Sicherheitsverantwortliche dies als Resilienzstrategie begreifen. Am besten beginnt ihr damit, eure vorhandenen Ressourcen zu überprüfen:
Und, was vielleicht am wichtigsten ist: Welche Tools hält das Team für die wirksamsten?
Lasst euch nicht von den neuesten Funktionen blenden, sondern konzentriert euch auf die Tools, die euer Team tatsächlich effektiv nutzen kann. Eine einzige gut ausgestattete und integrierte EDR-Plattform ist z. B. besser als drei Lösungen, die nur teilweise implementiert sind; das gilt vor allem dann, wenn dadurch Budget für die Einstellung, Schulung und Bindung von Analysten frei wird. In vielen Fällen ist mehr Sicherheit nicht mit mehr Tools erreichbar, sondern dadurch, dass ihr weniger Tools intelligenter einsetzt.
Es geht darum, den Analysten die effiziente Arbeit in einem zusammenhängenden Ökosystem zu ermöglichen, statt dass sie sich ihren Kontext aus unterschiedlichen Plattformen holen und zusammenflicken müssen.
Sicherheit ist eine Aufgabe für Menschen, nicht nur für Technik. Wenn eure Tools es dem Team nur schwerer machen, erfolgreich ans Ziel zu gelangen, dann ist es an der Zeit, den Ansatz zu überdenken. Die Frage muss lauten „Wie kann ich mein Team am einfachsten effizienter machen?“ statt „Welche Lücke stopfe ich als Erstes?“. Macht euch daran, ein SOC zu schaffen, das den Aspekten Integration, User-Freundlichkeit und Resilienz Priorität einräumt.
Ladet euch den Lagebericht Security 2025 herunter, wenn ihr mehr darüber erfahren wollt, wie Teams Ineffizienzen beseitigen und ein intelligenteres, stärker automatisiertes SOC aufbauen können.
Die führenden Unternehmen der Welt vertrauen auf Splunk, einem Unternehmen von Cisco, um ihre digitale Resilienz mit der einheitlichen Sicherheits- und Observability-Plattform, unterstützt durch branchenführende KI, kontinuierlich zu stärken.
Unsere Kunden setzen auf die preisgekrönten Sicherheits- und Observability-Lösungen von Splunk, um die Zuverlässigkeit ihrer komplexen digitalen Umgebungen zu sichern und zu optimieren – in jeder Größenordnung.