SOC, EDR, MDR, SIEM und Co.: Begriffe der IT-Sicherheit einfach erklärt

Angebote von Cybersecurity Dienstleistern sind voller Abkürzungen, und manche Begriffe werden von Anbietern unterschiedlich verwendet. Dieses Glossar erklärt die wichtigsten Begriffe verständlich und mit Abgrenzung, damit Sie Angebote einordnen und gezielt nachfragen können. Die Erklärungen sind allgemein gehalten, einzelne Anbieter definieren Pakete abweichend. Fragen Sie deshalb immer nach, was konkret enthalten ist.

Überwachung und Reaktion

Begriff	Bedeutung	Praxisbeispiel
SOC (Security Operations Center)	Team und Prozesse zur Überwachung und Bewertung von Sicherheitsereignissen	Ein Team bewertet Alarme aus Ihren Systemen, rund um die Uhr oder zu Geschäftszeiten
EDR (Endpoint Detection and Response)	Software auf Rechnern und Servern, die Verhalten aufzeichnet und verdächtige Aktivität meldet oder stoppt	Ein Programm erkennt, dass ein Dokument im Hintergrund Verschlüsselungsprozesse startet
MDR (Managed Detection and Response)	Dienstleistung: Menschen werten EDR-Alarme aus und reagieren	Ein Anbieter isoliert nachts einen auffälligen Rechner und ruft Sie an
XDR (Extended Detection and Response)	Erweiterung von EDR um weitere Datenquellen wie E-Mail, Netzwerk und Cloud	Alarme aus mehreren Quellen werden zu einem Vorfall verknüpft
SIEM (Security Information and Event Management)	Plattform, die Logdaten sammelt, korreliert und Alarme erzeugt	Anmeldungen aus verschiedenen Systemen werden zusammen ausgewertet
SOAR	Automatisierung von Reaktionsschritten	Ein Skript sperrt automatisch ein Konto nach bestimmten Mustern
MSSP	Managed Security Service Provider, betreibt Sicherheitsdienste für Kunden	Anbieter stellt SIEM, EDR und Überwachung als Paket bereit

Kostenlogik und Vertragsfragen finden Sie im Beitrag Managed SOC und MDR: Kostenmodelle.

Prüfen und testen

Begriff	Bedeutung	Abgrenzung
Schwachstellenscan	Automatisierte Suche nach bekannten Schwachstellen	Schnell, wiederholbar, ohne manuelle Verkettung
Penetrationstest (Pentest)	Manuelle Angriffssimulation mit Freigabe	Menschen prüfen Logik und verketten Schwächen
Red Teaming	Realistische, oft verdeckte Angriffsszenarien gegen Technik, Menschen und Prozesse	Prüft auch, ob Ihr Team Angriffe bemerkt
Blue Team	Verteidigendes Team	Gegenspieler des Red Teams
Purple Teaming	Zusammenarbeit von Angreifer- und Verteidigerteam	Ziel ist gemeinsames Lernen
Bug Bounty	Öffentliches oder privates Programm, bei dem Forschende für gemeldete Schwachstellen belohnt werden	Ergänzung, kein Ersatz für gezielte Tests
Audit	Prüfung gegen Anforderungen eines Standards oder Vertrags	Prüft Prozesse und Nachweise, weniger technische Ausnutzbarkeit

Die Unterschiede im Detail behandelt der Beitrag Schwachstellenscan oder Pentest.

Management und Organisation

ISMS (Informationssicherheits-Managementsystem): Gesamtheit von Regeln, Rollen und Prozessen, mit denen eine Organisation Informationssicherheit plant, umsetzt, prüft und verbessert. ISO/IEC 27001 beschreibt Anforderungen an ein ISMS.
IT-Grundschutz: Methodik und Bausteinsammlung des BSI mit konkreten Anforderungen.
ISB/ISO: Informationssicherheitsbeauftragte oder Information Security Officer, zuständig für Koordination und Überwachung.
CISO/vCISO: Chief Information Security Officer, als vCISO (virtuell) im Zeitkontingent von extern. Siehe Externer Informationssicherheitsbeauftragter und vCISO.
DSB: Datenschutzbeauftragte nach DSGVO und BDSG, weisungsfrei und für personenbezogene Daten zuständig.
Risikoanalyse: Bewertung von Bedrohungen, Schwachstellen und möglichen Schäden zur Priorisierung von Maßnahmen.
Geltungsbereich (Scope): Abgrenzung dessen, was eine Prüfung, ein Zertifikat oder ein Dienst umfasst.

Technische Grundbegriffe

Mehr-Faktor-Authentifizierung (MFA): Anmeldung mit mindestens zwei unabhängigen Nachweisen, etwa Passwort und Code aus einer App oder ein Sicherheitsschlüssel.
Zero Trust: Prinzip, keinem Gerät und keiner Person allein wegen des Standorts im Netz zu vertrauen, sondern Zugriffe laufend zu prüfen und zu begrenzen.
Patch: Aktualisierung, die eine Schwachstelle schließt. Patch-Management ist der Prozess, sie rechtzeitig einzuspielen.
Phishing: Täuschende Nachrichten, die zu Klicks oder Eingaben von Zugangsdaten verleiten.
Ransomware: Schadsoftware, die Daten verschlüsselt und Lösegeld verlangt, oft verbunden mit Datendiebstahl.
Exploit: Code oder Verfahren, das eine Schwachstelle ausnutzt.
Zero-Day: Schwachstelle, für die noch kein Patch existiert.
Segmentierung: Aufteilung eines Netzes in getrennte Bereiche, damit sich Angriffe nicht ungehindert ausbreiten.
Least Privilege: Jede Person und jedes System erhält nur die Rechte, die für die Aufgabe nötig sind.
Backup nach 3-2-1: Drei Kopien auf zwei Medientypen, davon eine an einem anderen Ort oder offline.

Rechtliche Begriffe

DSGVO: Datenschutz-Grundverordnung der EU, Grundlage für Datenschutzpflichten und Auftragsverarbeitung nach Art. 28.
AVV: Auftragsverarbeitungsvertrag, siehe Verträge mit Dienstleistern.
NIS2: EU-Richtlinie zur Cybersicherheit, in Deutschland durch das NIS-2-Umsetzungsgesetz umgesetzt, siehe NIS2 in Deutschland.
KRITIS: Kritische Infrastrukturen, etwa Energie, Wasser, Gesundheit, mit besonderen Anforderungen.
TOMs: Technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.

Rechenbeispiel: Einordnung eines Angebots (illustrativ)

Ein Anbieter bietet „Managed Security“ für 6 Euro je Endgerät und Monat an. Bei 50 Geräten wären das 300 Euro im Monat und 3.600 Euro im Jahr. Fragen Sie nun: Ist EDR-Software enthalten oder nur Überwachung? Werden Alarme rund um die Uhr bearbeitet? Darf der Anbieter reagieren? Wie viele Stunden Incident Response sind enthalten? Je nach Antworten kann ein günstiger Preis ein reines Monitoring ohne Reaktion bedeuten. Die Zahlen sind frei gewählt und zeigen nur, warum Begriffe präzise geklärt werden sollten.

Wann Sie sich beraten lassen sollten

Wenn ein Angebot Begriffe verwendet, die Sie nicht eindeutig zuordnen können, lassen Sie sich den Leistungsumfang schriftlich beschreiben. Bei rechtlichen Fragen ziehen Sie Rechtsberatung oder Datenschutzbeauftragte hinzu. Eine Checkliste vor der Beauftragung hilft, die richtigen Fragen zu stellen.

Häufige Fragen

Was ist der Unterschied zwischen EDR und MDR?

EDR ist Software, MDR ist eine Dienstleistung, bei der Menschen die Alarme der Software auswerten und reagieren. Manche Anbieter verkaufen beides zusammen.

Brauche ich ein SIEM?

Für viele kleine und mittlere Unternehmen ist ein eigenes SIEM zu aufwendig. Ein Managed-Dienst, der Logdaten auswertet, kann eine Alternative sein.

Was ist ein Zertifikat „nach ISO 27001“ wert?

Es zeigt, dass ein Managementsystem im definierten Geltungsbereich geprüft wurde. Es sagt nichts über die Qualität einzelner Leistungen außerhalb dieses Bereichs.

Quellen und weiterführende Stellen

Bundesamt für Sicherheit in der Informationstechnik (BSI) — Glossar, IT-Grundschutz-Kompendium und Empfehlungen
Allianz für Cyber-Sicherheit — Verständliche Einführungen für Unternehmen
Internationale Organisation für Normung (ISO) — Normen zur Informationssicherheit