Ein typischer Verlauf: Am Morgen fällt die Verbindung zwischen zwei Standorten aus. Zunächst bemerkt es niemand. Erst als Kolleginnen und Kollegen anrufen, weil Daten fehlen, beginnt die Suche nach der Ursache in Firewall, Servern und Anwendungen. IT-Infrastruktur-Monitoring soll diese Lücke schließen. Es meldet Störungen und Engpässe möglichst früh und zeigt, wo die Ursache liegt.
Dieser Beitrag behandelt Monitoring als laufende Betriebsaufgabe: was überwacht wird, wie aus Messwerten Meldungen und aus Meldungen Handlungen werden und welche Nachweise dabei entstehen. Welche Software sich für kleine und mittlere Unternehmen eignet, beschreibt unser Beitrag IT-Monitoring-Software für KMU.
Was ist IT-Infrastruktur-Monitoring?
IT-Infrastruktur-Monitoring ist die laufende, automatische Überwachung von Netzwerk, Servern, Speicher, Arbeitsplätzen und zentralen Diensten. Ein Monitoring-System fragt Messwerte ab, vergleicht sie mit festgelegten Schwellwerten und löst bei Abweichungen eine Meldung oder einen Alarm aus.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ordnet das IT-Monitoring im IT-Grundschutz dem allgemeinen IT-Betrieb zu. Die Anforderung OPS.1.1.1.A9 „Durchführung von IT-Monitoring“ aus dem Baustein OPS.1.1.1 Allgemeiner IT-Betrieb (Edition 2023) sieht unter anderem vor:
- Alle IT-Komponenten werden in ein einheitliches Monitoring eingebunden, das die relevanten Parameter umfasst.
- Das Monitoring folgt einem vorher festgelegten Monitoring-Plan.
- Für jede Komponente werden angemessene Schwellwerte festgelegt, die eine Meldung oder einen Alarm auslösen.
- Meldewege und die Folgen einer Meldung sind festgelegt.
- Auf Basis der Ergebnisse wird geprüft, ob die Infrastruktur erweitert oder angepasst werden muss.
- Regelmäßige Berichte zeigen die aktuelle Lage, die Entwicklung und Trends.
- Monitoring-Daten werden nur über sichere Kommunikationswege übertragen.
Das BSI formuliert diese Punkte als Standard-Anforderungen („SOLLTE“). Sie zeigen, worauf es ankommt: Monitoring ist kein Programm, das man einmal installiert. Es ist ein Ablauf mit Plan, Zuständigkeiten und Berichten.
Was überwacht werden sollte
Ein kleines oder mittleres Unternehmen muss nicht jeden verfügbaren Messwert erfassen. Wir empfehlen, mit den Diensten zu beginnen, deren Ausfall den Betrieb zuerst trifft. Danach ergänzen Sie die Signale, die bei früheren Störungen gefehlt haben.
Netzwerk und Standortverbindungen
Wichtig sind Erreichbarkeit, Auslastung der Leitungen, Antwortzeiten (Latenz) und Paketverlust. Viele Netzwerkgeräte wie Switches, Router und Firewalls lassen sich über SNMP abfragen. SNMP (Simple Network Management Protocol) ist ein standardisiertes Protokoll, mit dem Verwaltungssoftware Netzwerkgeräte überwacht und steuert.
Server und Virtualisierung
Bei Servern zählen Prozessor- und Arbeitsspeicherauslastung, Füllstand und Zugriffszeiten der Datenträger, der Status wichtiger Dienste und der Hardwarezustand. In virtualisierten Umgebungen gehören die Hosts dazu, also die physischen Server, auf denen die virtuellen Maschinen laufen. Ein überlasteter Host kann mehrere virtuelle Server gleichzeitig ausbremsen.
Speicher und Datensicherung
Überwachen Sie Füllstände und das Ergebnis jeder Sicherung. Eine fehlgeschlagene Sicherung bleibt sonst womöglich unbemerkt, bis eine Wiederherstellung nötig ist.
Arbeitsplätze und weitere Geräte
Bei Arbeitsplätzen und Notebooks helfen Erreichbarkeit, Update-Stand, Status der Schutzsoftware und freier Speicherplatz. Drucker, Kameras und andere Netzwerkgeräte sollten mindestens auf Erreichbarkeit geprüft werden.
Zentrale Dienste aus Sicht der Nutzer
Ein Server kann laufen, während die Anwendung darauf nicht reagiert. Prüfen Sie deshalb auch die Dienste, mit denen Ihre Mitarbeitenden arbeiten: Anmeldung, E-Mail, Warenwirtschaft (ERP), Dateiablage und genutzte Cloud-Dienste. Automatische Testabfragen, etwa eine regelmäßige Test-Anmeldung, zeigen, ob ein Dienst tatsächlich nutzbar ist.
| Bereich | Typische Messwerte | Beispiel für eine Meldung |
|---|---|---|
| Netzwerk | Erreichbarkeit, Latenz, Paketverlust, Auslastung | Standortverbindung mit wiederholtem Paketverlust |
| Server | Prozessor, Arbeitsspeicher, Datenträger, Dienststatus | Datenträger erreicht den festgelegten Füllstand |
| Datensicherung | Ergebnis und Dauer der Sicherung | Nächtliche Sicherung fehlgeschlagen |
| Arbeitsplätze | Update-Stand, Schutzsoftware, Erreichbarkeit | Gerät nach dem Wartungsfenster ohne aktuelle Updates |
| Dienste | Antwortzeit, Ergebnis der Testabfrage | Test-Anmeldung an der Warenwirtschaft schlägt fehl |
Vom Messwert zur Handlung: Alarme, die ankommen
Ein Postfach voller Warnungen, die niemand liest, macht den Betrieb nicht sicherer. Entscheidend ist, dass jede Meldung bei der richtigen Person ankommt und zu einer Handlung führt.
Schwellwerte aus dem eigenen Betrieb ableiten
Feste Grenzwerte sind ein guter Anfang. Legen Sie sie je Messwert und Dienst fest. Eine hohe Prozessorlast kann während einer nächtlichen Verarbeitung normal sein. Eine längere Antwortzeit der Warenwirtschaft am Vormittag merken dagegen alle. Am besten orientieren Sie die Werte am Normalbetrieb Ihrer Umgebung, nicht an einer allgemeinen Vorlage.
Prioritäten festlegen
Eine einfache Einstufung hilft, Wichtiges von Planbarem zu trennen. Die folgende Tabelle ist ein Vorschlag, den Sie an Ihren Betrieb anpassen:
| Stufe | Bedeutung | Beispiel |
|---|---|---|
| Hoch | Betrieb steht oder ist erheblich gestört, sofort handeln | Zentrale Anwendung nicht erreichbar |
| Mittel | Wichtiger Dienst beeinträchtigt, es gibt eine Ausweichmöglichkeit | Speicherplatz wird in absehbarer Zeit knapp |
| Niedrig | Planbar im nächsten Wartungsfenster | Einzelnes Gerät mit veraltetem Update-Stand |
Vier Regeln gegen die Alarmflut
- Nur alarmieren, was eine Handlung auslöst. Alles andere gehört in einen Bericht.
- Wartungsfenster hinterlegen. Erwartbare Meldungen während Updates und Umbauten werden gebündelt oder unterdrückt.
- Zuständigkeit festlegen. Für jeden Alarm gibt es eine verantwortliche Person und eine Vertretung, dazu eine kurze Handlungsanweisung.
- Nachkontrolle. Nach der Behebung prüfen Sie, ob der Dienst stabil läuft und der Alarm geschlossen ist.
Infrastruktur-Monitoring und Sicherheitsüberwachung trennen
Infrastruktur-Monitoring beantwortet vor allem die Frage, ob Systeme verfügbar sind und ausreichend Leistung haben. Die Erkennung von Angriffen ist eine eigene Aufgabe. Dafür werden Protokolle zentral gesammelt und auf verdächtige Muster ausgewertet, etwa mit einem zentralen Log-Management oder einem Dienst zur Angriffserkennung und Reaktion wie Managed Detection and Response (MDR).
Beide Aufgaben ergänzen sich. Für Bereiche mit erhöhtem Schutzbedarf nennt das BSI im selben Baustein die Anforderung OPS.1.1.1.A21. Danach sollen IT-Management- und IT-Monitoring-Systeme als Datenquelle für das Sicherheitsmonitoring genutzt werden.
Monitoring und NIS-2
Das NIS-2-Umsetzungsgesetz ist nach Angaben des BSI am 6. Dezember 2025 in Kraft getreten. Das BSI ging dabei von rund 29.500 Einrichtungen aus, die künftig beaufsichtigt werden. Betroffene Einrichtungen müssen sich nach § 33 BSI-Gesetz (BSIG) beim BSI registrieren. Laut der BSI-Seite NIS-2 in Zahlen hatten sich bis zum 30. September 2026 mehr als 20.000 Einrichtungen registriert.
Nach § 30 BSIG müssen besonders wichtige und wichtige Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und ihre Umsetzung dokumentieren. Zu den Mindestbereichen gehören unter anderem der Umgang mit Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs und Konzepte zur Bewertung der Wirksamkeit der Maßnahmen. Ein bestimmtes Monitoring-Werkzeug schreibt das Gesetz nicht vor. Ein gepflegtes Monitoring liefert aber Daten für diese Bereiche: Es macht Störungen sichtbar und dokumentiert ihren Verlauf.
Hinzu kommen die Meldepflichten nach § 32 BSIG. Ein erheblicher Sicherheitsvorfall ist in mehreren Stufen zu melden: eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis, eine Meldung spätestens 72 Stunden nach Kenntnis und eine Abschlussmeldung spätestens einen Monat nach der Meldung. Für diese Meldungen hilft es, wenn Alarmverlauf, Bearbeitung und Zeitpunkte bereits dokumentiert sind.
Ob und wie Ihr Unternehmen von NIS-2 betroffen ist, klären Sie am besten gesondert. Einen Einstieg bietet unsere Seite NIS2 und Risikomanagement.
Selbst betreiben oder auslagern?
Ein Monitoring-System ist schnell eingerichtet. Aufwendig ist der laufende Betrieb: Schwellwerte pflegen, Meldungen bewerten, Störungen beheben, Berichte erstellen. Klären Sie deshalb vorab:
- Wer reagiert auf Alarme, auch außerhalb der Bürozeiten und in Urlaubszeiten?
- Wer pflegt Schwellwerte, Wartungsfenster und Handlungsanweisungen?
- Wer entscheidet über Eingriffe in den laufenden Betrieb?
Wenn ein Dienstleister das Monitoring übernimmt, sollten die Aufgaben klar verteilt sein. Der Dienstleister sammelt die Daten, bewertet Meldungen, behebt Störungen im vereinbarten Rahmen und berichtet. Das Unternehmen behält Freigaben und Entscheidungen. Das BSI empfiehlt im Baustein OPS.1.1.1 (Anforderung A18), Dienstleister unter anderem über Vereinbarungen zum Servicelevel (SLA) zu steuern. Im Vertrag sollten deshalb Reaktionszeiten, Eskalationswege, Inhalt der Berichte und die Übergabe zwischen Alarmierung und Behebung festgehalten sein.
Einführung in vier Schritten
Wir empfehlen eine schrittweise Einführung:
- Bestand aufnehmen: Systeme, Standorte, Abhängigkeiten und die Geschäftsabläufe erfassen, die bei einem Ausfall zuerst betroffen wären. Ohne vollständige Geräteliste bleibt jede Übersicht lückenhaft.
- Grundüberwachung einrichten: Erreichbarkeit von Servern, Netzwerk und Standortverbindungen prüfen. Zuständige und Wartungsfenster hinterlegen.
- Tiefe ergänzen: Auslastung, Speicher, Dienststatus, Datensicherung und Testabfragen für zentrale Anwendungen aufnehmen. Schwellwerte aus dem Normalbetrieb ableiten.
- Betrieb stabilisieren: Alarmregeln regelmäßig durchsehen und überflüssige Meldungen entfernen. Eskalationswege testen. Monatliche Berichte zu Verfügbarkeit, Störungen und Kapazität erstellen.
Halten Sie die Dokumentation aktuell: Geräteliste, Alarmwege, Handlungsanweisungen und Zuständigkeiten. Das BSI nennt im selben Baustein das Betriebshandbuch als Ort, an dem unter anderem IT-Monitoring, Protokollierung und Alarmierung beschrieben werden.
Monitoring planen: Wir unterstützen Sie
Die GSL Groß GmbH betreut Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Wenn Sie den laufenden IT-Betrieb nicht selbst abdecken möchten, finden Sie auf unserer Seite zu Managed Services zum monatlichen Festpreis unser Angebot. Für Fragen zur Absicherung Ihrer Systeme gibt es unsere Seite zur IT-Sicherheit.
Sie möchten wissen, was in Ihrer Umgebung überwacht werden sollte und wer auf Alarme reagiert? Sprechen Sie uns an. Wir besprechen Ihre Ausgangslage und die nächsten Schritte.