Ein typischer Verlauf: Am Samstagabend meldet sich ein Benutzerkonto über den Fernzugang an. Kurz darauf startet auf einem Arbeitsplatz ein Programm, das dort noch nie lief. In der Nacht beendet jemand die Schutzsoftware auf einem Server. Jedes Ereignis für sich wirkt unauffällig. Zusammen ergeben sie das Bild eines Angriffs. Ohne Sicherheitsüberwachung fällt das womöglich erst am Montag auf, wenn Dateien verschlüsselt sind.
IT-Security-Monitoring soll solche Zusammenhänge früh sichtbar machen und eine Reaktion auslösen. Dieser Beitrag erklärt, was Sicherheitsüberwachung umfasst, welche Daten sie braucht, wie sie sich von SIEM und MDR unterscheidet und wie kleine und mittlere Unternehmen sie organisieren können.
Was IT-Security-Monitoring ist
IT-Security-Monitoring ist die laufende Überwachung der IT auf sicherheitsrelevante Ereignisse. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) versteht darunter Ereignisse, die sich auf die Informationssicherheit auswirken und die Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigen können. So steht es im IT-Grundschutz-Baustein DER.1 Detektion von sicherheitsrelevanten Ereignissen (Edition 2023). Ziel des Bausteins ist es, Informationen zu sammeln, zu verknüpfen und auszuwerten, um solche Ereignisse möglichst vollständig und zeitnah zu erkennen.
Abgrenzung zum Infrastruktur-Monitoring
Infrastruktur-Monitoring fragt, ob Systeme verfügbar sind und genug Leistung haben: Ist der Server erreichbar, ist die Festplatte voll, ist die Leitung ausgelastet? Wie das funktioniert, beschreiben unsere Beiträge IT-Infrastruktur-Monitoring, Netzwerk-Monitoring-Tools und IT-Monitoring-Software. Security-Monitoring fragt dagegen, ob jemand unbefugt handelt. Beide Aufgaben ergänzen sich. Das BSI empfiehlt für erhöhten Schutzbedarf, IT-Monitoring-Systeme als Datenquelle für das Sicherheitsmonitoring zu nutzen (OPS.1.1.1.A21).
Warum das Thema auch kleinere Unternehmen betrifft
Das Bundeskriminalamt (BKA) zählte im Bundeslagebild Cybercrime 2025 insgesamt 333.922 Cybercrime-Delikte. 207.888 davon waren Auslandstaten, bei denen die Täter im Ausland handeln oder ihr Aufenthaltsort unbekannt ist. Angriffe mit Verschlüsselungstrojanern (Ransomware) wurden 1.041-mal angezeigt, 10 Prozent mehr als im Vorjahr. Das BKA bezeichnet Ransomware als zentrale Bedrohung für Unternehmen und öffentliche Einrichtungen. Die Zahlen umfassen nur Fälle, die der Polizei bekannt wurden.
Firewall und Virenschutz bleiben wichtig. Sie bewerten aber vor allem einzelne Verbindungen oder Dateien. Security-Monitoring betrachtet Ereignisse im Zusammenhang und über mehrere Systeme hinweg.
Welche Daten Security-Monitoring braucht
Grundlage ist eine saubere Protokollierung. Das BSI verlangt im Baustein OPS.1.1.5 Protokollierung, alle sicherheitsrelevanten Ereignisse von IT-Systemen und Anwendungen zu protokollieren (Anforderung A3). Die Systemzeit aller protokollierenden Systeme muss synchron sein (A4). Die Protokolle sollen an einer zentralen Stelle gespeichert werden (A6). Wir empfehlen, mit diesen Quellen zu beginnen:
- Anmeldungen und Konten: erfolgreiche und fehlgeschlagene Anmeldungen, neue Administratorrechte, Änderungen an Konten.
- Fernzugänge: VPN-Anmeldungen, Uhrzeiten, verwendete Geräte.
- Netzgrenzen: Ereignisse der Firewall, ungewöhnliche Verbindungen nach außen, Namensauflösungen (DNS).
- Endgeräte und Server: gestartete Programme, Meldungen der Schutzsoftware und deren Status.
- Cloud-Dienste: Anmeldungen, Konfigurationsänderungen und Aktivitäten privilegierter Konten, etwa in Microsoft 365.
Der Status der Schutzsoftware verdient besondere Aufmerksamkeit. Das BSI berichtet im Lagebericht 2024, dass Angreifer zunehmend Erkennungssoftware in infizierten Netzen abschalten, um unentdeckt zu bleiben. Eine Meldung, wenn die Schutzsoftware auf einem Gerät nicht mehr läuft, gehört deshalb zu den ersten Regeln.
Drei Blickwinkel: Protokolle, Netz und Endgeräte
Security-Monitoring nutzt drei Blickwinkel. Jeder beantwortet eine andere Frage, keiner ersetzt die anderen vollständig.
| Blickwinkel | Beantwortet die Frage | Typische Quellen | Grenzen |
|---|---|---|---|
| Protokolle | Wer hat wann was getan? | Anmeldedienste, Microsoft 365, VPN, Server | Lücken, wenn Systeme nicht oder uneinheitlich protokollieren |
| Netz | Wer kommuniziert mit wem? | Firewall, DNS, Flow-Daten | Verschlüsselte Verbindungen zeigen keine Inhalte |
| Endgeräte | Was passiert auf dem Gerät? | Endpoint Detection and Response (EDR) | Wirkt nur auf Geräten mit laufendem Agenten |
EDR-Software läuft dauerhaft auf Arbeitsplätzen und Servern. Laut BSI-Lagebericht 2024 soll sie mithilfe von Signaturen und Verhaltensmustern im laufenden Betrieb Auffälligkeiten erkennen, etwa ein Programm, das sich schädlich verhält. Klassische Antivirensoftware prüft Dateien dagegen vor allem beim Scan oder beim Eingang.
SIEM, MDR und SOC: Was ist was?
Rund um Security-Monitoring tauchen drei Begriffe auf, die oft vermischt werden. Sie bezeichnen verschiedene Dinge:
- SIEM (Security Information and Event Management) ist eine Software-Plattform. Sie sammelt Protokolle aus vielen Quellen, bringt sie in ein einheitliches Format, verknüpft sie und löst bei auffälligen Mustern Alarme aus. Ein SIEM bewertet nicht selbst, ob ein Alarm echt ist. Dafür braucht es Menschen. Mehr dazu im Beitrag SIEM-Lösung für KMU.
- SOC (Security Operations Center) bezeichnet das Team, das Sicherheitsmeldungen bewertet und Reaktionen einleitet. Ein SOC kann im eigenen Haus oder bei einem Dienstleister sitzen.
- MDR (Managed Detection and Response) ist eine Dienstleistung: Ein externes Team überwacht vor allem die Endgeräte mit EDR-Software und reagiert auf erkannte Angriffe, zum Beispiel indem es hilft, einen Angriff einzudämmen.
Für den Einstieg brauchen kleinere Unternehmen nicht zwingend alle drei. Wir empfehlen, mit einer verlässlichen Überwachung der Endgeräte und klaren Meldewegen zu beginnen und die Auswertung weiterer Protokolle schrittweise zu ergänzen.
Vom Alarm zur Reaktion
Ein Alarm ist erst ein Hinweis. Entscheidend ist, was danach geschieht. Das BSI verlangt in DER.1 (Anforderung A3), Melde- und Alarmierungswege festzulegen und zu dokumentieren: welche Stellen wann informiert werden, wie die Personen erreichbar sind und welche Kommunikationswege je nach Dringlichkeit gelten. Diese Wege sollen regelmäßig geprüft und erprobt werden. Wir empfehlen einen Ablauf in fünf Schritten:
- Sichten: Eine zuständige Person prüft den Alarm nach festgelegten Kriterien.
- Einordnen: Benutzer, Gerät, laufende Wartungsarbeiten und frühere Ereignisse werden ergänzt.
- Bewerten: Fehlbedienung, technische Störung, geplante Änderung oder Sicherheitsvorfall?
- Reagieren: nach vorher festgelegten Abläufen, etwa Konto sperren, Gerät isolieren, Spuren sichern.
- Abschließen: Ursache, Maßnahmen und offene Punkte dokumentieren.
Das BSI empfiehlt außerdem, Protokolldaten möglichst dauerhaft zu überwachen, dafür Zuständige zu benennen und genügend Personal bereitzustellen (DER.1.A6). Bei der Auswertung müssen Datenschutz und die Mitbestimmungsrechte der Mitarbeitervertretung gewahrt werden (DER.1.A2).
Kennzahlen, die etwas aussagen
Das BSI empfiehlt regelmäßige Audits der Erkennungssysteme und nennt dabei Messgrößen, die beim Aufnehmen, Melden und Eskalieren von Ereignissen anfallen (DER.1.A13). Wir empfehlen vier Kennzahlen: die Zeit vom Ereignis bis zur Erkennung, die Zeit von der Erkennung bis zur Reaktion, den Anteil der Fehlalarme und den Anteil der Vorgänge, die in der vereinbarten Zeit abgeschlossen wurden. Die bloße Zahl gesammelter Ereignisse sagt wenig über die Qualität aus.
Security-Monitoring und NIS-2
Für Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, nennt § 30 BSI-Gesetz (BSIG) die Bewältigung von Sicherheitsvorfällen ausdrücklich als Teil der Risikomanagementmaßnahmen. Ein bestimmtes Werkzeug schreibt das Gesetz nicht vor. Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG in Stufen zu melden:
- Frühe Erstmeldung: spätestens 24 Stunden nach Kenntnis,
- Meldung: spätestens 72 Stunden nach Kenntnis, mit einer ersten Bewertung,
- Abschlussmeldung: spätestens einen Monat nach der Meldung.
Security-Monitoring hilft, einen Vorfall früh zu bemerken und den Ablauf mit Zeitstempeln nachzuvollziehen. Die Bewertung, ob ein Vorfall erheblich ist, und die Meldung bleiben Aufgaben Ihres Unternehmens. Mehr dazu auf unserer Seite NIS2 und Risikomanagement.
Selbst betreiben oder Dienstleister beauftragen?
Ein eigener Betrieb gibt Ihnen volle Kontrolle über Daten und Regeln. Dafür müssen Sie Personal, Vertretungen und Erreichbarkeit auch nachts und am Wochenende selbst organisieren. Für erhöhten Schutzbedarf empfiehlt das BSI Personal, dessen überwiegende Aufgabe die Auswertung der Protokolle ist (DER.1.A14).
| Kriterium | Eigenbetrieb | Dienstleister |
|---|---|---|
| Erreichbarkeit | nur mit eigener Rufbereitschaft | nach vereinbartem Leistungsumfang |
| Wissen über die Umgebung | im eigenen Team vorhanden | muss übergeben und gepflegt werden |
| Kosten | Personal, Software, Schulung intern | laufende Gebühr nach Umfang und Vertrag |
| Datenschutz | Daten bleiben im Haus | Vertrag zur Auftragsverarbeitung und Datenstandort klären |
Auch mit Dienstleister bleibt Arbeit im Haus: Ihr Team liefert Wissen über die Umgebung, meldet geplante Änderungen und gibt Eingriffe frei. Halten Sie im Vertrag fest, welche Systeme überwacht werden, wer wann erreichbar ist, welche Reaktionen der Dienstleister selbst auslösen darf und wie er bei einer NIS-2-Meldung unterstützt.
Einstieg in drei Schritten
- Prioritäten festlegen: die wichtigsten Systeme erfassen, etwa Anmeldedienste, Server, Firewall, Fernzugänge, Cloud-Dienste und Datensicherung. Dazu die Szenarien, die Sie zuerst erkennen wollen, zum Beispiel ungewöhnliche Administratoranmeldungen oder abgeschaltete Schutzsoftware.
- Quellen anbinden: die Protokolle dieser Systeme zentral sammeln, Zeitstempel und Zuordnung prüfen und den Normalbetrieb kennenlernen.
- Reaktion üben: Meldewege und Abläufe für die wichtigsten Szenarien festlegen und an einem angenommenen Vorfall durchspielen.
Danach beginnt die Pflege: Neue Systeme und Dienste verändern das Normalverhalten. Regeln und Meldewege sollten deshalb regelmäßig überprüft werden.
Unterstützung durch GSL
Die GSL Groß GmbH bietet Managed Security an. Für die Überwachung und die Hilfe im Ernstfall arbeiten wir mit unserem Partner Eye Security zusammen. Leistungsstufen und Einzelheiten finden Sie auf unserer Seite zu Managed Security und MDR. Wie wir den Stand Ihrer IT-Sicherheit prüfen und verbessern, lesen Sie auf unserer Seite zur IT-Sicherheit. Wir betreuen Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeiten wir dafür mit einem Partnersystemhaus zusammen.
Sie möchten wissen, welche Ereignisse in Ihrer IT heute niemand sieht? Sprechen Sie uns an. Wir besprechen Ihre Ausgangslage und die nächsten Schritte.