Bei fast jeder Nachbetrachtung zeigt sich dasselbe Bild: Die Warnung war da. Ausgelöst, mit Zeitstempel, sauber abgelegt. Gelesen hat sie keiner.
Darum geht es bei SOC-Tools in Wahrheit. Nicht um Häkchen auf einer Funktionsliste, sondern darum, ob ein Signal bei der richtigen Person landet, und zwar mit genug Kontext, um daraus eine Entscheidung zu machen. Dabei begegnet einem immer wieder derselbe Irrtum: Vieles, was als SOC-Tool vermarktet wird, ist keines. Diese Produkte überwachen Verfügbarkeit, nicht Absicht. Wer ein Budget aufteilen muss, spürt sehr schnell, wie viel an dieser Unterscheidung hängt.
Das Wichtigste in Kürze
Hartnäckig hält sich die Vorstellung, die Reife eines SOC lasse sich an der Zahl der eingesetzten Bausteine ablesen. Die Daten sagen genau das Gegenteil.
Der Bericht State of the SOC: Unify Now or Pay Later, den Omdia im Auftrag von Microsoft erstellt hat, hält fest: Sicherheitsteams jonglieren mit einer zweistelligen Zahl an Konsolen, und knapp die Hälfte aller Alarme wird nie untersucht (Quelle: Omdia / Microsoft, Februar 2026). Das SANS Institute kommt zum gleichen Schluss: 73 Prozent der Organisationen nennen Fehlalarme als größtes Hindernis bei der Detektion (Quelle: SANS 2025 Detection and Response Survey).
Der Engpass ist kein technischer, sondern ein kognitiver. Jede weitere Konsole heißt: neuer Kontext, eigene Abfragesyntax, eigene Namenskonvention. Unter Druck wiegt dieser ständige Wechsel schwerer als jede noch so ausgefeilte Funktion im Datenblatt.
Ein SIEM misst nicht den Zustand eines Systems. Es sammelt Protokolldaten und macht Abfolgen sichtbar, die kein einzelnes Werkzeug je erkennen würde.
Splunk begann als Datenanalyseplattform und wurde erst über den Aufsatz Enterprise Security zum SIEM. Die Abfragesprache macht daraus ein starkes Ermittlungswerkzeug, das auch weit zurückliegende Zeiträume durchforstet. Die Kehrseite ist bekannt: Weil traditionell nach aufgenommenem Datenvolumen abgerechnet wird, gerät jede neue Logquelle zur Budgetfrage. Inzwischen gehört das Produkt zu Cisco.
QRadar denkt in sogenannten Offenses. Die Engine fasst mehrere korrelierte Ereignisse zu einem einzigen Vorfall zusammen und senkt damit schon rein mechanisch das Rauschen, das beim Analysten ankommt.
Ein Punkt gehört vor jedes Projekt geklärt. Palo Alto Networks schloss am 31. August 2024 die Übernahme der QRadar-SaaS-Assets von IBM ab und kündigte anschließend das Vertriebsende zum 14. April 2025 an, mit Migrationspfad zu Cortex XSIAM. Die Variante im Eigenbetrieb ist davon nicht betroffen: IBM liefert weiterhin Support, Patches und Konnektor-Updates. Wer über QRadar nachdenkt, muss die Betriebsart also gleich zu Beginn festlegen.
Wazuh stammt aus dem OSSEC-Umfeld und verbindet SIEM-Funktionen mit Endpunktschutz: Integritätsprüfung von Dateien, hostbasierte Angriffserkennung, Compliance-Dashboards. Keine Lizenzkosten. Das Budget wandert vollständig in die eigene Technikmannschaft. Für Organisationen mit einem echten Team ein exzellenter Einstieg, für solche mit zwei Allroundern eine Falle.
SolarWinds verdient eine eigene Erwähnung, denn hinter dem Namen stecken zwei verschiedene Dinge. Die Suite Observability gehört ins Monitoring. Security Event Manager dagegen ist tatsächlich ein SIEM, ausgeliefert als virtuelle Appliance für den Eigenbetrieb, lizenziert nach der Zahl der Logquellen statt nach Volumen. Genau dieses Abrechnungsmodell ist sein stärkstes Argument gegenüber Plattformen, die pro Terabyte kassieren.
Hier liegt der blinde Fleck. Eine Monitoring-Plattform überwacht Verfügbarkeit und Leistung: ein ausgefallener Dienst, eine ungewöhnliche Last, ein Prozess in der Neustartschleife. Manchmal sind das Spuren, die ein Angreifer ungewollt hinterlässt. Doch keines dieser Werkzeuge ist dafür gebaut, ein gegnerisches Vorgehen als solches zu erkennen.
Centreon nimmt im französischen Markt eine Sonderstellung ein. Heimischer Hersteller, verteilte Kollektoren, ein Open-Source-Kern mit kommerziellen Editionen darüber. Weil sich damit Geschäftsprozesse abbilden lassen, wird aus einem technischen Vorfall eine Auswirkung, die auch die Geschäftsführung sofort versteht. Im Krisenraum unbezahlbar, in der Detektion wirkungslos.
Zabbix liefert eine bemerkenswerte Abdeckung ohne Softwarekosten, verlangt dafür aber eine aufwendige Konfiguration. WhatsUp Gold zielt auf kleine Netzwerkteams: automatische Erkennung, visuelle Topologie. Das Tool zeigt binnen Minuten, was wo hängt, eine Information, die mitten in der Krise erstaunlich oft fehlt.
NinjaOne spielt in einer weiteren Liga, der Geräteverwaltung: Inventar, Patches, Fernzugriff. Für ein SOC liegt der Nutzen in der Behebung. Die französische Cybersicherheitsbehörde ANSSI stellt fest, dass rund 29 Prozent der 2025 ausgenutzten Schwachstellen bereits am Tag ihrer Veröffentlichung oder sogar davor angegriffen wurden (Quelle: ANSSI, Panorama de la cybermenace 2025). Wie schnell ein Patch ausgerollt wird, ist damit selbst zum Sicherheitsparameter geworden.
| Tool | Tatsächliche Kategorie | Rolle im SOC-Kontext |
|---|---|---|
| Splunk ES | SIEM | Detektion und Ermittlung |
| IBM QRadar | SIEM | Detektion, Korrelation über Offenses |
| Wazuh | SIEM und XDR, Open Source | Detektion, Compliance |
| SolarWinds SEM | SIEM im Eigenbetrieb | Detektion, Lizenz pro Quelle |
| Centreon | Monitoring | Kontext, Geschäftsprozesse |
| Zabbix | Monitoring | Kontext zur Infrastruktur |
| WhatsUp Gold | Netzwerküberwachung | Topologie, Inventar |
| NinjaOne | Geräteverwaltung | Behebung, Patches |
Kein SIEM genügt allein. Je nach Umfeld kommen drei Ergänzungen dazu.
EDR deckt die Endpunkte ab, und dort entsteht der Großteil der Alarme: Für 85 Prozent der vom SANS Institute befragten Analysten sind Endpunktmeldungen der häufigste Auslöser einer Intervention (Quelle: SANS 2025 SOC Survey). Diese Dominanz zeigt zugleich, wie dünn die Abdeckung an anderer Stelle ausfällt.
NDR übernimmt dort, wo sich kein Agent installieren lässt. An einem Industriestandort summieren sich Steuerungen, Sensoren und Altgeräte schnell auf mehrere Dutzend. Genau solche Systeme hatte der Triton-Angriff 2017 im Visier, als Angreifer die Sicherheitssteuerung einer saudischen Petrochemieanlage attackierten. Ein Fehler im Schadcode legte die Anlage still und brachte den Einbruch überhaupt erst ans Licht.
SOAR schließlich nimmt den Teams die immer gleichen Handgriffe ab. Laut IBM verkürzen Organisationen, die stark auf KI und Automatisierung setzen, den Lebenszyklus eines Sicherheitsvorfalls um 80 Tage und sparen im Schnitt 1,9 Millionen Dollar (Quelle: IBM, Cost of a Data Breach Report 2025).
Ein Analyst arbeitet an seinen Bildschirmen. Ein Team arbeitet an einem gemeinsamen Lagebild. Sobald ein CISO, ein Netzwerkverantwortlicher und die Geschäftsführung an einem Tisch sitzen müssen, wird der Unterschied unangenehm deutlich.
Die Videowall sortiert nach Priorität: Zustand des Perimeters, laufende Vorfälle, Auslastung der Teams. Vor allem lässt sich der Bildschirm eines Arbeitsplatzes sofort auf die gemeinsame Anzeige spiegeln. Alle sehen dann im selben Moment dasselbe.
Sobald ein SIEM und eine Monitoring-Plattform nebeneinander laufen, legt die Hypervision eine Verdichtungsschicht über die Spezialwerkzeuge. Motilde integriert solche Plattformen herstellerneutral, sodass Bestehendes erhalten bleibt. Besonders deutlich wird der Nutzen, wenn ein SOC und ein NOC koexistieren: Der Abgleich beider Sichten trennt eine Störung oft binnen Minuten von einem Angriff.
Bleibt der menschliche Faktor. Das SANS Institute stellt fest, dass 70 Prozent der Analysten mit höchstens fünf Jahren Erfahrung ihre Stelle innerhalb von drei Jahren verlassen. Eine Anomalie zu erkennen setzt aber voraus, dass man den Normalzustand genau dieses Betriebs im Gefühl hat. Dieses Wissen geht mit den Menschen, und die Ergonomie des Kontrollraums zählt zu den greifbarsten Hebeln, um Leute zu halten.
Kaufen, bevor klar ist, wonach gesucht wird. Zehn bis fünfzehn priorisierte Detektionsszenarien reichen völlig, um die Auswahl zu steuern. Umgekehrt entsteht ein SIEM voller Logs und ohne Detektionen. Das SANS Institute beobachtet zudem, dass 42 Prozent der SOC sämtliche Daten ins SIEM kippen, ohne einen Auswertungsplan zu haben.
Monitoring mit Detektion verwechseln. Ein perfekt ausgerolltes Centreon oder Zabbix wird nie ein SIEM ersetzen. Es speist es.
Den Raum als Restposten behandeln. Die Gestaltung des Kontrollraums gehört zeitgleich mit den Lizenzen auf den Tisch, nicht ans Ende der Budgetliste.
Monitoring, etwa mit Centreon, Zabbix oder WhatsUp Gold, misst Verfügbarkeit und Leistung. Ein SIEM wie Splunk, QRadar oder Wazuh sucht nach Abfolgen, die auf böswillige Absicht hindeuten. Eine unerklärliche Lastspitze interessiert beide Teams, aber nur das SIEM bringt sie mit einer verdächtigen Anmeldung drei Stunden zuvor zusammen.
Ein SIEM für die Korrelation, ein EDR für die Endpunkte und ein Case-Management-Werkzeug, um Untersuchungen nachvollziehbar zu dokumentieren. NDR wird nötig, sobald der Perimeter Systeme ohne Agent umfasst. SOAR drängt sich auf, sobald das Volumen die manuelle Bearbeitung übersteigt.
Technisch ja. Wazuh deckt einen guten Teil des SIEM- und Endpunktspektrums ab, Zabbix übernimmt die Infrastruktur, der Open-Source-Kern von Centreon ergänzt die Geschäftsprozesssicht. Die Kosten verschwinden nicht, sie wandern in die eigene Technikmannschaft.
Im Eigenbetrieb ja: IBM sichert Support und Updates weiterhin zu. Die SaaS-Version ging 2024 an Palo Alto Networks und wurde 2025 aus dem Vertrieb genommen, mit Migrationspfad zu Cortex XSIAM. Die Betriebsart muss vor jeder Entscheidung feststehen.
Vier Kennzahlen genügen: Zeit bis zur Erkennung, Zeit bis zur Eindämmung, Fehlalarmquote und Anteil der ohne Untersuchung geschlossenen Alarme. Die letzte Zahl ist die ehrlichste von allen.
SOC-Tools wählt man nicht einzeln aus. Sie bilden eine Kette, und die erste Entscheidung besteht darin, zu trennen, was detektiert, von dem, was lediglich beobachtet.
Was als Nächstes kommt, spielt auf einem noch wenig besetzten Feld. Die ANSSI zählt für 2025 196 Vorfälle im Zusammenhang mit Datenabflüssen gegenüber 130 im Vorjahr und weist auf Angriffe mit physischen Folgen hin. Operative Zentren werden künftig Sicherheits-, Netzwerk- und Prozessdaten in einem Raum zusammenführen müssen. Genau das ist das Terrain von Motilde, von der technischen Architektur bis zur Gestaltung des Raums.
Copyright © 2026. MOTILDE. All rights reserved.