IT made easy!
Dein Security Operations Center als Service: rund um die Uhr Logs sammeln, korrelieren, Angriffe erkennen und auf Vorfälle reagieren. Das SOC liefern wir mit einem spezialisierten Partner, die laufende Überwachung Deiner Systeme übernehmen wir - statt eines Teams, das Du selbst aufbauen müsstest.
SIEM · 24/7-Monitoring · Threat Detection · Incident Response · NIS2-kompatibel
+49 221 292 763 30 · info@seraph-it.de
BAFA-gelisteter Berater Unternehmen, die auf Seraph IT vertrauen
Leistungsumfang
Das Herzstück. Wir sammeln Logs aus all Deinen Quellen - Firewall, Server, Endpoints, Active Directory, Cloud (Microsoft 365, Entra ID), VPN - zentral. Die Korrelation macht den Unterschied: einzelne Ereignisse ergeben zusammen ein Muster, das ein Mensch sonst nie verbindet.
Logs werden nicht erst beim Vorfall angeschaut, sondern laufend ausgewertet. Regeln und Detection-Logik schlagen an, wenn etwas vom Normalbild abweicht. Nachts, am Wochenende, an Feiertagen - genau dann, wenn Angreifer am liebsten arbeiten.
Wir kombinieren regelbasierte Erkennung (bekannte Angriffsmuster, Indicators of Compromise) mit Anomalie-Erkennung (was ist für genau Deine Umgebung untypisch). Detection-Regeln werden gepflegt und an neue Bedrohungslagen angepasst.
Erkennen ist nur die halbe Miete. Bei einem bestätigten Vorfall durchlaufen wir vier Schritte: erkennen, analysieren (echter Angriff oder False Positive), eindämmen (System isolieren, Account sperren) und beheben (Ursache schließen, sauberer Zustand wiederhergestellt).
So arbeiten wir
Welche Systeme gibt es, welche Logs liefern sie, was ist überhaupt schützenswert. Wir identifizieren die Log-Quellen, die wir anbinden.
Firewall, Server, Endpoints, AD/Entra und Cloud-Dienste ans SIEM anbinden. Anschließend lernt das SOC Dein Normalbild kennen - Arbeitszeiten, übliche Standorte, normale Datenmengen.
Detection-Regeln auf Deine Umgebung anpassen, Fehlalarme reduzieren, Eskalations- und Alarmierungswege festschreiben.
24/7-Monitoring aktiv, monatliches Reporting, kontinuierliche Pflege der Detection-Logik.
Ein 24/7-SOC selbst zu betreiben, rechnet sich für den Mittelstand nicht. Wir liefern es mit einem spezialisierten SOC-Partner und übernehmen die laufende Überwachung Deiner Systeme; Du bekommst eine Meldung, wenn es zählt, und einen Ansprechpartner statt einer eigenen Nachtschicht.
Die meisten Angriffe laufen nachts, am Wochenende oder über Wochen unbemerkt. Ein Verschlüsselungstrojaner kündigt sich Tage vorher an - durch ungewöhnliche Logins, Massen-Dateizugriffe, deaktivierte Backups. Das Problem ist nicht, dass diese Spuren fehlen. Das Problem ist, dass niemand hinschaut, der sie deuten kann.
Ein eigenes SOC mit 24/7-Schichtbetrieb braucht mindestens sechs bis acht Analysten, ein SIEM und Prozesse. Für einen Mittelständler unbezahlbar und überdimensioniert. Deshalb liefern wir Managed SOC gemeinsam mit einem spezialisierten SOC-Partner: Die SOC-Plattform und das 24/7-Analysten-Team stellt der Partner, die Anbindung Deiner Systeme und die laufende Überwachung übernehmen wir. Du bekommst Erkennung und Reaktion rund um die Uhr, mit uns als einem Ansprechpartner und ohne selbst eine Schicht zu besetzen.
Ein gutes SOC erkennt nicht „den Angriff“, sondern die Frühindikatoren davor. Je früher im Angriffsverlauf, desto kleiner der Schaden.
Bevor verschlüsselt wird, passiert vieles: Schattenkopien werden gelöscht, Backups deaktiviert, ein bekanntes Angriffs-Tool taucht auf, plötzlich greift ein Account auf hunderte Dateien in kurzer Zeit zu. Diese Kette schlägt bei uns Alarm - idealerweise Stunden bevor die erste Datei verschlüsselt ist.
Hunderte fehlgeschlagene Logins auf ein Konto oder ein fehlgeschlagener Login auf hunderte Konten (Password Spraying) sind klassische Vorboten. Wir erkennen die Häufung und den darauf folgenden ersten Erfolg.
Hat ein Angreifer einen Rechner, will er weiter ins Netz. Ungewöhnliche interne Verbindungen, Nutzung administrativer Shares, ein Standard-User, der sich plötzlich auf Servern anmeldet - die seitliche Ausbreitung hinterlässt Spuren, die wir korrelieren.
Login aus einem Land, in dem Dein Unternehmen nicht tätig ist. Anmeldung um 3 Uhr nachts bei einem 9-bis-17-Uhr-Mitarbeiter. „Impossible Travel“ - derselbe Account meldet sich innerhalb von Minuten aus Köln und aus Übersee an. Alles starke Indikatoren für kompromittierte Zugangsdaten.
Du wirst nicht mit Alerts zugeschüttet. Du wirst informiert, wenn es zählt - und wir handeln, bevor wir auf Deine Antwort warten.
Wir filtern False Positives vorab heraus, damit Du nicht in Alert-Müdigkeit verfällst. Was Dich erreicht, ist gewichtet:
Die Alarmierungswege, Ansprechpartner und Reaktionszeiten legen wir beim Onboarding gemeinsam fest und halten sie in einem Runbook fest - damit im Ernstfall jeder weiß, was zu tun ist.
Managed SOC ist Erkennung & Reaktion. Security as a Service ist der Schutz-Stack davor. Du brauchst beides - sie ersetzen einander nicht.
Ein Schloss an der Tür (Firewall, EDR, VPN, Verschlüsselung) hält die meisten Angreifer draußen - das ist Security as a Service, der präventive Schutz-Stack. Eine Alarmanlage mit Wachdienst bemerkt, wenn doch jemand reinkommt, und reagiert - das ist das Managed SOC.
Kein Schutz ist hundertprozentig. Genau deshalb braucht Prävention eine Erkennungs- und Reaktionsebene dahinter. Für NIS2-pflichtige Unternehmen ist die Kombination faktisch Pflicht: Art. 21 verlangt kontinuierliche Überwachung und ein funktionierendes Vorfallmanagement mit Meldepflicht ans BSI - genau das, was ein Managed SOC liefert.
FAQ
Angreifer wählen Ziele nicht nach Größe, sondern nach Verwundbarkeit - und gerade KMU sind beliebt, weil sie selten 24/7-Überwachung haben. Ein eigenes SOC ist für Dich unwirtschaftlich, ein Managed SOC nicht. Du teilst Dir die Plattform und das Analysten-Team unseres SOC-Partners mit anderen Kunden und zahlst nur Deinen Anteil.
Erkennung und Analyse laufen automatisch. Bei eingreifenden Maßnahmen - Account sperren, System isolieren - gilt das, was wir beim Onboarding vereinbaren: entweder definierte Sofortmaßnahmen, die wir bei kritischen Vorfällen eigenständig ausführen dürfen, oder Freigabe durch Deinen Ansprechpartner. Beides halten wir im Runbook fest.
Ja - das ist sogar der Normalfall. Wir binden vorhandene Firewalls, EDR-Lösungen und Cloud-Dienste als Log-Quellen an. Das SOC sitzt als Erkennungsebene über Deinem bestehenden Schutz-Stack, egal welche Hersteller dort im Einsatz sind.
Managed SOC ist Erkennung & Reaktion, Security as a Service ist der präventive Schutz-Stack davor (Firewall, EDR, VPN, Verschlüsselung). Du brauchst beides - sie ersetzen einander nicht. Für NIS2-pflichtige Unternehmen ist die Kombination faktisch Pflicht.
Der Preis hängt an Anzahl und Art der angebundenen Quellen und am Datenvolumen, nicht allein an der Mitarbeiterzahl - eine Umgebung mit drei Standorten und vielen Servern erzeugt mehr Last als ein Büro mit reiner Cloud-Nutzung. Nach der Aufnahme Deiner Systeme nennen wir Dir einen monatlichen Festpreis. Günstiger als ein eigenes SOC ist es in jedem Fall, weil Plattform und Analysten-Team geteilt genutzt werden.
Nein, und das sagen wir bewusst deutlich. Ein 24/7-Schichtbetrieb braucht mindestens sechs bis acht Analysten plus Plattform und Prozesse - das leisten wir nicht besser als ein spezialisierter Anbieter, deshalb liefern wir das SOC gemeinsam mit einem SOC-Partner. Von uns kommt, was wir wirklich können: die Anbindung Deiner Systeme, die Kenntnis Deiner Umgebung, die laufende Überwachung und ein Ansprechpartner, der Deinen Betrieb kennt.
Die ersten Quellen liefern innerhalb von Tagen Daten, aber scharf ist ein SOC erst nach dem Tuning. Das System muss Dein Normalbild kennen, also Arbeitszeiten, übliche Standorte und typische Datenmengen, sonst schlägt es bei jedem Sonderfall an. Rechne mit einigen Wochen von der Anbindung bis zu einem Betrieb, in dem Alarme wirklich aussagekräftig sind.
Logs enthalten personenbezogene Daten - Benutzernamen, IP-Adressen, Zugriffszeiten. Deshalb gehören Verarbeitungsort, Aufbewahrungsdauer und Zugriffsberechtigungen in den Auftragsverarbeitungsvertrag, und wir legen sie Dir vor Vertragsschluss offen statt danach. Die Aufbewahrungsdauer richtet sich nach Deinem Bedarf und den Nachweispflichten, denen Du unterliegst.
NIS2 schreibt kein SOC vor, sondern Ergebnisse: Artikel 21 verlangt unter anderem kontinuierliche Überwachung und ein funktionierendes Vorfallmanagement, dazu kommen Meldefristen gegenüber dem BSI. Ohne eine Erkennungsebene, die auch nachts läuft, sind diese Anforderungen praktisch kaum zu erfüllen. Ob Du überhaupt betroffen bist, hängt von Branche und Größe ab - das klären wir vorab, statt Dir pauschal Pflichten einzureden.
Ein EDR sieht, was auf einem einzelnen Endgerät passiert, und ist darin sehr gut. Das SOC sieht die Verbindung zwischen den Quellen: der auffällige Login in der Cloud, kurz darauf ein Zugriff auf einen Server, gleichzeitig ungewöhnlicher Datenverkehr an der Firewall. Dein EDR wird dabei nicht ersetzt, sondern zu einer der wichtigsten Log-Quellen - das Muster entsteht erst aus der Kombination.
Die Firewall allein ist zu wenig. Die aussagekräftigsten Quellen sind heute Identitäten und Endgeräte, also Active Directory, Entra ID, Microsoft 365 und EDR, weil dort die Angriffe stattfinden, die wirklich wehtun. Welche Quellen bei Dir den größten Erkennungsgewinn bringen, legen wir in der Aufnahme fest, statt einfach alles anzubinden, was Logs erzeugt.
Gerade dann. Ein großer Teil der heutigen Angriffe zielt auf Identitäten statt auf Server: übernommene Konten, heimliche Weiterleitungsregeln im Postfach, Anmeldungen aus unmöglichen Orten. Diese Spuren stehen in den Protokollen von Microsoft 365 und Entra ID - sie werden nur meistens von niemandem gelesen.
Bei informativen Meldungen nichts, die stehen im Monatsbericht. Bei einem Verdacht meldet sich ein Mensch bei Dir mit Einschätzung und Empfehlung. Was Du bereitstellen musst, ist ein erreichbarer Ansprechpartner mit Entscheidungsbefugnis für kritische Fälle - oder Du autorisierst uns im Runbook vorab zu definierten Sofortmaßnahmen, damit nachts niemand auf einen Rückruf wartet.
Eindämmen und die Ursache schließen gehört zur Incident Response dazu: System isolieren, Konto sperren, Zugang schließen, sauberen Zustand wiederherstellen. Eine tiefe forensische Aufarbeitung, etwa für Versicherung, Anzeige oder Behörden, ist ein eigenes Thema mit eigenem Aufwand und wird gesondert beauftragt. Was im laufenden Betrieb an Beweismitteln anfällt, sichern wir dafür von Anfang an.
Du bekommst Deine Daten und wir löschen sie nach der vereinbarten Frist - beides steht im Vertrag, nicht im Kleingedruckten. Die angebundenen Systeme bleiben unverändert Deine, abgeschaltet wird die Erkennungsebene und nicht Dein Schutz-Stack. Die Runbooks und die Dokumentation der Alarmierungswege übergeben wir, damit ein Nachfolger daran anknüpfen kann.
Bereit?
Kostenfreies Erstgespräch - ehrlich, ohne Verkaufsdruck. Wir melden uns schnellstmöglich.
Wir messen anonym mit Plausible (cookielos, ohne Einwilligung). Zusätzlich möchten wir Google Analytics nutzen, um die Seite zu verbessern - das setzt Cookies und läuft nur mit Deiner Einwilligung. Details in der Datenschutzerklärung.