Warum sind viele SOCs noch nicht im TDIR-Modus?

Eine Marktanalyse — von der Alert-Flut zum Betriebsmodell

1. TDIR ist kein Tool, sondern ein Betriebsmodus

Threat Detection, Investigation, and Response ist keine Produktkategorie, sondern ein Betriebsmodell: ein durchgängiger Workflow von der Erkennung über Triage und Untersuchung bis zur Reaktion, use-case-getrieben und risikopriorisiert, mit einem Kreislauf zurück ins Detection Engineering. Geprägt hat den Begriff Exabeam 2021 mit den ersten „TDIR Use Case Packages“ (Businesswire). Inzwischen definiert Gartner den kompletten SIEM-Markt über genau diesen Outcome: “…for the purposes of threat detection, investigation and response” (Gartner® Magic Quadrant™ für SIEM 2025).

“TDIR is a workflow, not a tool category. […] it elevates investigation as a distinct phase between detection and response.”

— Vectra AI, TDIR explained

Abb. 1: TDIR als Workflow mit Investigation als eigener Phase (eigene Darstellung)

Das entscheidende Wort ist Investigation: eine eigene, datengestützte Phase mit Kontext (Entities, Timeline, Risiko) und direkt angebundener Response. In vielen SOCs schrumpft sie auf eine Kurz-Triage plus Ticket an ein anderes Team. Genau an dieser Stelle trennt sich Alert-Monitoring vom TDIR-Modus. Warum also stecken so viele SOCs noch im Monitoring fest?

2. Warum es schwer ist: fünf Zahlen statt Ausreden

• Tool-Sprawl: 78 % nennen ihre Security-Tools “dispersed and disconnected”, 46 % verbringen mehr Zeit mit Tool-Wartung als mit Verteidigung (Splunk Lagebericht Security 2025). Im Schnitt: 83 Security-Lösungen von 29 Herstellern pro Organisation (IBM/PANW via ISACA).

• Alert-Flut: Ø 3.832 Alerts/Tag, 62 % davon werden ignoriert (Vectra 2024). Wo jeder Alert nur Sekunden bekommt, findet keine Investigation statt.

• Menschen: 4,8 Mio. fehlende Security-Fachkräfte weltweit (ISC2 2024), Analysten bleiben im Schnitt nur 1–2 Jahre (SOC-CMM 2025).

• Prozesse: 64 % der SOCs haben kein Metrik-Programm, rund die Hälfte deckt nur ~30 % der MITRE-ATT&CK-Techniken ab (SOC-CMM). 42 % kippen alle Daten planlos ins SIEM, 85 % reagieren primär auf Endpoint-Alerts (SANS SOC Survey 2025).

• Messlatte: Median Dwell Time 11 Tage (M-Trends 2025), Identify+Contain im Schnitt 241 Tage (IBM CODB 2025).

  

Abb. 2: Fünf belegte Engpässe — Studienlage 2024/2025 (eigene Darstellung)

Dazu kommt eine Wahrnehmungslücke. In einer Exabeam/IDC-Befragung hielten über 90 % ihre Detection für gut bis exzellent; 57 % hatten im selben Jahr signifikante Incidents (Exabeam/IDC). Viele SOCs glauben, sie seien längst im TDIR-Modus. Die Prozessdaten sagen etwas anderes.

3. Der deutsche Sonderweg: vier Bremsen

Regulatorik dominiert die Agenda. Das NIS2-Umsetzungsgesetz kam 13 Monate zu spät (in Kraft seit 6.12.2025) und macht schlagartig ~29.500 Unternehmen meldepflichtig, vorher waren es ~4.500 (NIS2UmsuCG-Überblick). 2026 ist damit das Jahr der Compliance-Projekte, nicht der TDIR-Transformation. Die Management-Frage lautet „Sind wir konform?“ statt „Wie schnell stoppen wir einen Angreifer?“. Compliance schafft Budget und Grundhygiene. Ein Meldeprozess ans BSI detektiert aber nichts.

Mitbestimmung bremst verhaltensbasierte Detection. § 87 Abs. 1 Nr. 6 BetrVG macht SIEM/UEBA mitbestimmungspflichtig, und zwar schon ab dem Customizing; eine Überwachungsabsicht ist nicht nötig (Fachbeitrag). Vor dem UEBA-Rollout steht also die Betriebsvereinbarung. Wie lange das dauert, lässt sich kaum pauschal sagen: Es hängt vor allem an der Beziehung zwischen Arbeitgeber und Betriebsrat, und daran, wie ihr argumentiert. Diese Argumentationslinien haben sich in der Praxis bewährt:

• Gemeinsames Schutzinteresse statt Überwachung: Das SIEM schützt auch die Beschäftigten und ihre Daten; die Schadenslage (Bitkom: Milliardenschäden durch Ransomware) betrifft am Ende Arbeitsplätze (Tapaus Consulting).
• Hartes Auswertungsverbot anbieten: Zweckbindung „ausschließlich zur Abwehr von Cyberbedrohungen, nicht zur Leistungs- oder Verhaltenskontrolle“ explizit in die BV schreiben. Das ist das Zugeständnis, das Vertrauen schafft.
• Technische Schutzmaßnahmen zusagen: abgestuftes Rollen-/Berechtigungskonzept, Protokollierung aller Zugriffe auf SIEM-Daten (Audit-Trail) und klare Speicher- und Löschfristen (Dr. Datenschutz). Bewusst nicht auf der Liste: Pseudonymisierung. Für die Vorfallsaufklärung müsst ihr wissen, welches Konto und welcher Host betroffen sind; der Beschäftigtenschutz gehört in Zugriffskontrolle und Auswertungsverbote, nicht in verstümmelte Daten.
• Betriebsrat als Kontrollinstanz einbauen: Eskalationsverfahren mit BR-Beteiligung, wenn im Verdachtsfall personenbezogen ausgewertet werden muss, plus regelmäßige Berichte über durchgeführte Untersuchungen (Tapaus).
• Regulatorik als externe Pflicht: NIS2 wirkt über Meldepflichten und Lieferketten-Anforderungen auch dort, wo das Unternehmen selbst (noch) nicht direkt reguliert ist (Wilke Witte).
• Testphase und Schulungen vereinbaren: Pilotbetrieb mit Anpassungsmöglichkeit der Regeln senkt die Einstiegshürde (Wilke Witte).

Diese Bremse gibt es in den USA oder UK trotzdem nicht, und sie kostet auch mit guter Argumentation Zeit. Aber sie ist verhandelbar.

Souveränität verlangsamt Cloud-SecOps. 78 % sehen Deutschland zu abhängig von US-Cloud-Anbietern, 37 % akzeptieren Funktionsverzicht für eine „Nur-Deutschland“-Verarbeitung (Bitkom 2025). Die TDIR-Innovation (KI-Triage, SaaS-Datalakes) findet aber fast nur in der Cloud statt. Wer nicht in die Cloud darf, bekommt den Fortschritt später. Oder gar nicht.

Nicht Geld fehlt, sondern Menschen. 18 % des IT-Budgets fließen in Security (2022: 9 %), und nur 37 % der deutschen CISOs klagen über ihr Budget, global sind es 42 % (Bitkom, Splunk CISO Report). Gleichzeitig sind ~109.000 IT-Stellen unbesetzt (Bitkom), und 58 % finden kein Personal für Detection und Response (KPMG e-Crime). Der Ausweg läuft über Partner: Für 89 % der Großunternehmen ist Cyber-Resilienz der wichtigste Treiber für Managed Services (Lünendonk 2025). Das ist legitim, denn “MDR is … a delivery model for TDIR” (Vectra).

Abb. 3: Vier strukturelle Bremsen im deutschen Markt (eigene Darstellung)

4. Marktcheck: Welche fünf Lösungen sind wirklich „echtes TDIR“?

Die Testfrage an jede Plattform: Wie viel des Workflows deckt sie nativ in einer Suite ab? Kriterien: (a) Detection inkl. UEBA/ML, (b) integrierte Investigation/Case Management, (c) natives SOAR, (d) Content mit ATT&CK-Mapping, (e) offene Datenplattform + on-prem-Option (für DACH kein Nice-to-have). Als externes Korrektiv: Gartner® Magic Quadrant™ für SIEM 2025 (Leader: Splunk, Microsoft, Google, Exabeam, Securonix, Gurucul) und Forrester Wave Q2/2025 (Leader: Splunk, Microsoft, Elastic).

Zu den Plätzen: Splunk ES 8.x erfüllt als einzige alle fünf Kriterien, steht bei Gartner und Forrester als Leader und liefert den unified TDIR-Workflow als einzige Suite auch customer-managed/on-prem (Splunk, RSAC 2025; Herstellerclaim, die Deployment-Fakten dahinter sind überprüfbar. Disclosure: Arbeitgeber des Autors.) Microsoft treibt seine Agentic-AI-Roadmap von allen am schnellsten voran, das „SOAR“ besteht aber aus generischen Logic Apps. Google hat mit dem Siemplify-SOAR und Mandiant/Gemini eine runde Suite gebaut, nur eben SaaS-only. Exabeam bleibt die Referenz bei UEBA und Timelines; die Response ist das schwächste Glied. XSIAM hat Detection, Investigation und Response am radikalsten in ein Datenmodell gegossen und übernimmt gerade die QRadar-SaaS-Kunden, steht im ersten MQ-Auftritt 2025 aber als Challenger da. Und ist ebenfalls SaaS-only.

Zwei Befunde wiegen schwerer als das Ranking. Der Markt konsolidiert: IBM verkaufte QRadar-SaaS an Palo Alto (TechTarget), Exabeam und LogRhythm fusionierten, Splunk gehört zu Cisco. Und: Von fünf echten TDIR-Suiten ist genau eine vollständig on-prem-fähig. Für den deutschen Markt ist das oft das K.-o.-Kriterium.

5. Gelebte Praxis: die 21-Prozent-Wahrheit

Mit dem Kauf einer Top-5-Suite seid ihr noch nicht im TDIR-Modus. Reale SIEM-Instanzen haben aktive Detections für nur 21 % der ATT&CK-Techniken, obwohl die bereits ingestierten Daten theoretisch über 90 % erlauben würden (CardinalOps 2025). Und nur jeder siebte simulierte Angriff (14 %) erzeugt überhaupt einen Alert: „silent failures“ durch fehlkonfigurierte Regeln und Logging-Lücken (Picus Blue Report 2025). Die Lücke zwischen „Daten vorhanden“ und „Detection gebaut“ ist kein Tool-Problem. Es ist ein Betriebsmodell-Problem.

Abb. 4: Coverage-Lücke und Alarmquote in realen Umgebungen (eigene Darstellung)

Was gelebte TDIR-Praxis konkret heißt:

1. Use-Case-Lifecycle – jeder Use Case mit Owner, Datenquellen, Detection, Runbook, Playbook; Veraltetes fliegt raus.
2. Detection Engineering as Code – Versionskontrolle, Peer Review, CI/CD-Tests, ATT&CK-Mapping. Die Adoption hat sich seit 2022 verdreifacht (SANS/Anvilogic 2025).
3. Kontinuierliche Validierung – Purple Teaming/BAS als Routine. Ohne Test weiß niemand, ob Detections feuern; bei Picus taten es 86 % nicht.
4. Metriken – MTTD/MTTR und ATT&CK-Coverage gehören ins Management-Reporting. Wer nicht misst, ist per Definition nicht im TDIR-Modus.

6. TDIR im KI-Zeitalter: Das Fundament wird wichtiger

Der Druck ist real. Die durchschnittliche eCrime-Breakout-Zeit liegt bei 29 Minuten, die schnellste beobachtete bei 27 Sekunden (CrowdStrike 2026 GTR). Über 80 % des Phishings läuft inzwischen KI-gestützt (ENISA Threat Landscape 2025). Gegen dieses Tempo kommt manuelle Triage schlicht nicht an. Das ist das beste Argument für KI und Automation im SOC.

Abb. 5: Angreifer-Tempo vs. Verteidiger-Metriken (eigene Darstellung)

Der Hype ist allerdings genauso real. Gartner warnt vor „Agent Washing“ und erwartet, dass “over 40% of agentic AI projects will be canceled by the end of 2027”, wegen “escalating costs, unclear business value or inadequate risk controls” (Gartner, 2025). Nur 11 % vertrauen KI vollständig bei kritischen Aufgaben (Splunk Lagebericht Security 2025).

Beides zusammen führt zu einer einfachen These: KI setzt das TDIR-Fundament voraus. Ein Triage-Agent kann nur triagieren, was eine Detection erkannt hat; bei 14 % Alert-Quote automatisiert er auf den anderen 86 % gar nichts. Ein Response-Agent braucht Playbooks als Leitplanken seiner „bounded autonomy“. Und KI auf planlos befüllten SIEMs reproduziert das Chaos, nur schneller. Die Hersteller bauen ihre Agenten folgerichtig in die TDIR-Workflows ein, Splunk etwa mit Triage Agent, Malware Reversal Agent und AI Playbook Authoring direkt in ES/SOAR (.conf25, Rollout 2026, Pressemitteilung). Wer nicht im TDIR-Modus ist, für den wird Agentic AI zum Verstärker des Ist-Zustands.

7. Wie Splunk das Thema adressiert: ES Premier in der Praxis

Kapitel 4 hat gezeigt, dass Splunk als einzige der Top-5-Suiten alle fünf TDIR-Kriterien nativ erfüllt. Hier das Wie. Splunk Enterprise Security Premier bündelt fünf Bausteine als Suite (GA): SIEM-Analytics mit Risk-Based Alerting und Finding Groups, integrierte Threat Intelligence aus Cisco Talos und Splunk, das neue Detection Studio zum Bauen, Testen und Coverage-Monitoring von Detections, embedded SOAR mit Playbooks und Case-Automation sowie UEBA für verhaltensbasierte Erkennung. Alles hinter einer Analystenoberfläche, Mission Control (Produktseite). Splunk positioniert das als „AI-powered SecOps Platform“ mit drei Versprechen: volle Datensichtbarkeit über jede Quelle („full-fidelity visibility“, inkl. Routing/Tiering gegen die Kostenexplosion), die beste Analysten-Experience durch unified TDIR, und eingebaute AI auf jeder Ebene. Letzteres reicht vom AI Assistant in Security (SPL-Generierung, Finding-Summaries, Remediation-Guidance; verfügbar für Cloud) bis zu Triage Agent, Guided Response Agent und Automation Builder Agent, der natürliche Sprache in getestete SOAR-Playbooks übersetzt (Alpha bzw. angekündigt; Herstellerpositionierung, Produktstatus vor Projektstart prüfen).

Abb. 6: ES Premier — fünf native Bausteine, drei Versprechen (eigene Darstellung)

Interessant wird es dort, wo diese Bausteine direkt auf die Befunde aus den Kapiteln 2, 3 und 5 antworten. Risk-Based Alerting korreliert schwache Einzelsignale zu risikobasierten Findings, das entschärft die Alert-Flut. Detection Studio zielt auf die 21-Prozent-Lücke: Detections schneller bauen, testen und Coverage-Lücken schließen, also Use-Case-Lifecycle als Produktfunktion statt Excel-Liste. Embedded SOAR beendet das Ticket-Ping-Pong zwischen Detection und Response. Und weil der volle Workflow als einzige Top-5-Suite auch customer-managed/on-prem läuft (Splunk, RSAC 2025), bleiben Souveränitäts- und Mitbestimmungsanforderungen erfüllbar. Die Daten bleiben im Haus.

Wie sich das im Betrieb anfühlt, beschreiben Kunden selbst: “the unification of SIEM, SOAR, and UEBA … combined into one seamless integrated platform” (Patricia Voight, CISO, Webster Bank), oder “push aside the noise … see a clear chain of activity in real time” (Scott Margolis, CISO, MBTA). Die Ergebniszahlen dazu: 111 % mehr korrekt erkannte Bedrohungen und 55 % schnellere Incident-Lösung (IDC Business Value Snapshot „The Business Value of Splunk Security: A Unified TDIR Platform“, #US53392325, Mai 2025, Splunk-gesponsert) sowie 64 % höhere SecOps-Effizienz (Enterprise Strategy Group, September 2023), so ausgewiesen auf der ES-Produktseite. Beides sind von Splunk beauftragte Studien, keine unabhängigen Messungen; sie passen aber zur neutralen Studienlage.

Abb. 7: Von Splunk veröffentlichte Kundenergebnisse — Herstellerangaben (eigene Darstellung)

Was heißt das in Zeit? Eine illustrative Beispielrechnung für einen Standardfall Phishing-Triage. Manuell über getrennte Konsolen kostet der Fall realistisch ~90 Minuten Analystenzeit: Sichten, Anreichern, Scope-Suche, Response, Doku. Mit ES Premier laufen Aggregation, Enrichment, Kontext und Response-Schritte im Playbook; beim Analysten bleiben Verdict und Freigabe, etwa 10 Minuten. Bei nur zehn solcher Fälle pro Tag sind das über 13 Analystenstunden. Zeit, die in Detection Engineering und Hunting fließen kann. Die Größenordnung deckt sich mit der Studienlage: Teams mit vereinheitlichtem TDIR-Ansatz berichten 78 % schnellere Detection und 66 % schnellere Remediation (Splunk Lagebericht Security 2025), und umfassende AI/Automation verkürzt den Breach-Lifecycle um ~80 Tage (IBM CODB 2025).

Abb. 8: Illustrative Beispielrechnung Phishing-Triage — keine Benchmark (eigene Darstellung)

8. Die Analystenrolle: Aufstieg statt Abbau

Der Status quo ist nicht schützenswert. 71 % Burnout, 64 % verbringen über die Hälfte der Zeit mit repetitiver Handarbeit (Tines, Voice of the SOC), 62 % der Alerts werden ignoriert (Vectra). Dass Analysten nach 1–2 Jahren gehen, ist die logische Folge. Die realistische Entwicklung, von Gartner als augment, not replace eingeordnet (via AI Magazine), verschiebt den Menschen entlang des TDIR-Workflows nach oben: Die Erst-Triage geht an die Maschine, der Analyst wird KI-Supervisor, Detection Engineer, Threat Hunter oder Automation Engineer. Das sind exakt die Disziplinen, die laut SOC-CMM heute am schwächsten besetzt sind. Es geht um Umschichtung in Arbeit, die längst liegen bleibt.

Zur Ehrlichkeit gehört die Gegenposition. Gartner erwartet, dass bis 2030 30 % der Organisationen wegen KI-Übervertrauen schlechtere Entscheidungen treffen (Gartner, 2026), und BCG beobachtet Deskilling schon heute (BCG, 2026). Das Gegenmittel steht in Kapitel 5: Purple Teaming, Hands-on-Investigations und Detection Engineering halten genau die Fähigkeiten am Leben, die beim reinen KI-Konsum verkümmern.

9. Fazit: Der TDIR-Modus ist eine Entscheidung, kein Kauf

Global scheitert TDIR an Fragmentierung, Alert-Flut und Prozessreife; 21 % ATT&CK-Coverage bei vorhandenen Daten ist die Zahl zum Merken. In Deutschland kommen geballte Regulatorik, Mitbestimmung, Souveränität und der Personalengpass dazu. Und im KI-Zeitalter wird die Lücke teurer: Angreifer arbeiten in Maschinengeschwindigkeit, während 40 % der Agentic-Projekte am fehlenden Fundament scheitern werden.

Bewertet euer SOC deshalb nicht nach der Tool-Liste, sondern nach dem Betriebsmodus. Habt ihr einen Use-Case-Lifecycle? Messt ihr MTTD/MTTR und Coverage? Feuern eure Detections nachweislich? Läuft Response aus dem Case statt über Ticket-Ping-Pong? Jede dieser Fragen lässt sich dieses Quartal angehen, mit oder ohne neue Plattform. Wer on-prem oder souverän bleiben muss, hat bei echten End-to-End-TDIR-Suiten ohnehin wenig Auswahl. Aber welches Werkzeug ihr auch wählt: In den TDIR-Modus schaltet kein Produkt euer SOC. Das tut ihr.