Es ist zwei Uhr morgens. Ein ungewöhnlicher Login, auffällig viele Downloads und die Frage: Ist das ein Angriff? Wer darf jetzt eingreifen? Und was passiert, wenn ausgerechnet die Gegenmaßnahme den Betrieb lahmlegt?
In dieser Folge von „Cybersecurity ist Chefsache“ sprechen Nico Freitag und Ann-Katrin Lange mit Lora Schedlik von CANCOM darüber, was ein Security Operations Center leisten kann, wie sich die Leistungen in einem Cyber Defense Center erweitern und welche Rolle KI dabei spielt. Im Mittelpunkt stehen Menschen, Prozesse und die Entscheidungen, die Unternehmen vor dem Ernstfall treffen müssen.
Lora ist seit mehr als zehn Jahren in der Cybersecurity unterwegs. Im Gespräch erzählt sie von ihren Stationen in Security Operations, Architektur, regulatorischen Themen und DevSecOps sowie ihrer Rückkehr in das SOC- und CDC-Umfeld. Sie bringt die Perspektive eines Dienstleisters mit, der technische Erkenntnisse mit den Anforderungen und Abläufen seiner Kunden zusammenbringen muss.
Schon beim Einstieg wird deutlich: Ein externer Dienstleister kann nur dann sinnvoll unterstützen, wenn die Grundlagen stimmen. Welche Systeme gibt es? Welche Anwendungen sind für das Geschäft kritisch? Wer ist erreichbar und wer darf welche Entscheidung treffen? Ein 24/7-Monitoring hilft nur begrenzt, wenn nachts niemand auf Kundenseite Verantwortung übernehmen kann und mögliche Reaktionen nicht vorher vereinbart wurden.
Besonders anschaulich erklärt Lora die Priorisierung mit einem Einbruchsszenario: Weiß jemand nur, wo das Haus steht, schaut er bereits durchs Fenster oder befindet er sich schon im Wohnzimmer? Das Bild macht die unterschiedliche Dringlichkeit greifbar. Für die tatsächliche Einordnung braucht das SOC aber den Geschäftskontext und den Schutzbedarf des Kunden. Auch bewusst akzeptierte Risiken müssen bekannt und dokumentiert sein.
Ein großer Teil des Gesprächs dreht sich um KI. Sie kann dabei helfen, Zusammenhänge in historischen Daten zu erkennen, Analysen zu beschleunigen und Routineaufgaben zu erleichtern. Gleichzeitig diskutieren die drei, warum das keine saubere Datenbasis, verlässliche Prozesse oder kritisches Denken ersetzt. Wenn es um die Verifikation eines verdächtigen Zugriffs oder die Folgen eines Eingriffs in die Produktion geht, bleibt menschliches Urteilsvermögen entscheidend.
Dazu kommen Threat Intelligence, Schwachstellenmanagement und Incident Response. Lora beschreibt, warum ein eingespielter Patch allein noch nicht jede Frage zu einem möglichen früheren Angriff beantwortet. Entscheidend ist auch, welche Spuren vorhanden sind, was tatsächlich beobachtet wurde und ob weiter untersucht werden muss. Die Folge zeigt, wie eng Prävention, Erkennung und Reaktion zusammenhängen.
Auch die Perspektive der Geschäftsführung kommt zur Sprache: Woran erkennt man, ob das SOC gute Arbeit leistet? Reaktionszeiten und bearbeitete Meldungen sind relevant, beantworten aber nicht automatisch die Frage nach dem Nutzen. Lora erklärt, warum nachvollziehbare Berichte über konkrete Prüfungen, erkannte Risiken und durchgeführte Analysen mehr Orientierung geben können als eine reine Aufzählung von Tickets.
Zum Schluss geht es um Datenmengen und Kosten. Nur weil Logs in einem SIEM liegen, werden daraus noch keine wirksamen Erkennungen. Dafür braucht es passende Use Cases, Detection-Regeln und die richtigen Datenquellen. In der Schnellfragerunde diskutieren die drei unter anderem Eigenbetrieb, externe und hybride Modelle, die Zukunft von Analysten und die Frage, wer nachts über einen Produktionsstopp entscheiden darf.
Im Gespräch geht es unter anderem um:
Wie SOC-Leistungen in ein umfassenderes Cyber Defense Center eingebettet werden
Warum Asset-Übersicht und Sichtbarkeit die Grundlage der Überwachung bilden
Welche Systeme und Anwendungen besonderen Schutzbedarf haben
Weshalb Eskalationspfade und Entscheidungsbefugnisse vorab geklärt werden müssen
Was 24/7-Monitoring ohne erreichbare Ansprechpartner leisten kann
Welche Voraussetzungen Unternehmen für die Zusammenarbeit mit einem Dienstleister brauchen
Wie Prioritäten anhand von Geschäftskontext und Dringlichkeit entstehen
Warum ein Alert zunächst geprüft werden muss, bevor daraus ein Incident wird
Wie technische Analysen die Dokumentation und Meldung von Vorfällen unterstützen können
Wie mit bekannten, bewusst akzeptierten Risiken umgegangen wird
Wo KI Analysten entlasten und die Auswertung beschleunigen kann
Weshalb KI-Ergebnisse nachvollziehbar sein und hinterfragt werden müssen
Warum Threat Intelligence und Incident Response eng zusammenarbeiten
Welche Rolle Social Engineering und persönliche Verifikation spielen
Welche Kennzahlen dem Management tatsächlich Orientierung geben
Warum gespeicherte Logs noch keine wirksame Angriffserkennung bedeuten
Wie Detection Use Cases die Auswahl relevanter Datenquellen beeinflussen
Was für externe oder hybride Betriebsmodelle spricht
Warum Tools, Menschen und Prozesse gemeinsam betrachtet werden müssen
Der rote Faden der Folge: Gute Cyberabwehr beginnt nicht mit dem Kauf eines Tools oder der Unterschrift unter einem SOC-Vertrag. Sie braucht Klarheit über Systeme, Risiken und Verantwortung. KI kann diese Arbeit unterstützen und beschleunigen. Welche Entscheidungen für das eigene Unternehmen tragbar sind, muss jedoch vorher gemeinsam geklärt werden.
Eine Folge für Geschäftsführungen, CISOs, IT-Leitungen, Security-Verantwortliche und alle, die ein SOC auswählen, weiterentwickeln oder dessen Nutzen für ihr Unternehmen besser beurteilen möchten.
____________________________________________
Mehr Informationen
Lora Schedlik - LinkedIn Profil
____________________________________________
Reinschauen lohnt sich!
Podcast - Cybersecurity ist Chefsache: @cybersec_ist_chefsache
Podcast - Cybersecurity shall be C-Level priority: @cybersec_clevel_priority
Podcast - Die Zwei Auftrag: Cybersicherheit: @diezweicyber
Schließe dich uns an, um tiefer in die Welt der digitalen Sicherheit einzutauchen.
____________________________________________
Du findest mich auf folgenden Social Media Kanälen:
Instagram: cybersec_ist_chefsache
TikTok: cybersec_ist_chefsache
LinkedIn - Nico: nicofreitag
LinkedIn - Ann-Katrin: annkatrin
Kontaktaufnahme - Podcast: Cybersecurity ist Chefsache
____________________________________________
Deine Reise in die Welt der Cyber Security startet hier – ich freue uns darauf, mich mit dir zu vernetzen.
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.