Der Alarm war da. Wochen bevor irgendetwas stillstand, hatte das System die verdächtige Anmeldung gemeldet, sauber protokolliert, mit Zeitstempel und Kontonamen. Die Mail dazu lag in einem Sammelpostfach, das seit einem Personalwechsel niemand mehr öffnete.
So beginnt in unserer Erfahrung ein grosser Teil der Vorfälle, die wir im Nachgang anschauen. Selten steht am Anfang der raffinierte Angriff, den kein Security Monitoring der Welt erkannt hätte. Meistens steht dort ein Hinweis, der technisch gesehen wurde und trotzdem bei niemandem ankam. Die Firma hatte Überwachung. Sie hatte nur niemanden, der zuständig war.
Was Security Monitoring leisten muss
Der Zweck von Überwachung ist unspektakulär: Du willst merken, wenn etwas nicht stimmt, solange es noch billig ist, darauf zu reagieren. Eine kompromittierte Mailbox am Tag eins ist ein Passwort-Reset und ein unangenehmes Gespräch. Dieselbe Mailbox nach sechs Wochen ist eine umgeleitete Zahlung und ein Fall für Anwälte.
Damit das funktioniert, braucht Monitoring drei Dinge, und nur eines davon ist Technik. Erstens muss etwas hinschauen, ein System, das Anmeldungen, Endpunkte und Mailflüsse beobachtet und Auffälliges meldet. Zweitens muss jemand die Meldung lesen, und zwar innerhalb einer Frist, die ihr vorher festgelegt habt, nicht «wenn Zeit ist». Drittens muss diese Person entscheiden dürfen: Konto sperren, Gerät isolieren, nachfragen, abhaken.
Ein Alarm ist ein Auftrag an einen Menschen. Kein Pixel auf einem Bildschirm. Solange für jeden Alarmtyp klar ist, wessen Auftrag er ist und wie schnell reagiert wird, ist fast jede Technik gut genug. Sobald das unklar ist, hilft auch die beste nicht.
Die Frist verdient dabei mehr Aufmerksamkeit, als sie üblicherweise bekommt. «Wir schauen regelmässig rein» ist keine Frist. Eine Frist klingt so: Alarme zur Identität werden werktags innerhalb von vier Stunden angeschaut, alles andere am Folgetag. Ob vier Stunden oder acht, ist eine Geschäftsentscheidung und hängt davon ab, was bei euch auf dem Spiel steht. Entscheidend ist, dass die Zahl existiert, dass jemand sie kennt und dass sie ab und zu überprüft wird. Ohne Zahl gibt es nichts, woran man scheitern kann, und genau das ist das Problem.
Wenige Alarme, die etwas bedeuten
Neben der fehlenden Zuständigkeit gibt es einen zweiten stillen Ausfallmodus: die Menge. Viele Systeme melden in der Standardeinstellung alles, was auffällig sein könnte. Das Postfach des Zuständigen füllt sich mit Hinweisen, von denen die meisten nichts bedeuten. Menschen gewöhnen sich schneller an Lärm, als jedem Sicherheitskonzept lieb ist. Nach ein paar Wochen entsteht die Postfachregel, die alles in einen Unterordner schiebt, und ab diesem Moment ist das Monitoring formal aktiv und praktisch tot.
Deshalb ist Ausdünnen die vielleicht wichtigste Monitoring-Arbeit überhaupt, und sie ist herrlich unglamourös. Es geht darum, die Handvoll Ereignisse zu definieren, bei denen immer jemand hinschaut, und den Rest bewusst leiser zu stellen. Für ein typisches KMU gehören auf diese kurze Liste etwa: Anmeldungen, die geografisch oder zeitlich nicht plausibel sind. Neu eingerichtete Weiterleitungsregeln in Postfächern, der Klassiker im Vorfeld von Zahlungsbetrug. Ein neues Konto mit Administratorrechten. Deaktivierte Sicherungen oder Schutzfunktionen. Und die als kritisch eingestuften Meldungen der Endpunkt-Lösung.
Ob eure Liste sechs oder zehn Punkte hat, ist zweitrangig. Der Massstab ist ein anderer: Wie viele Alarme kamen letzten Monat an, und wie viele davon hat jemand angeschaut? Wenn es dreihundert waren und die zweite Zahl null ist, trainiert euer Setup den Zuständigen gerade darauf, wegzuschauen. Dann fängt besseres Monitoring mit Löschen an.
Das Dashboard ist nicht das Monitoring
In Beratungsgesprächen hören wir regelmässig denselben Satz: «Wir haben da ein Dashboard.» Gemeint ist eine Übersicht, die der IT-Dienstleister eingerichtet hat, manchmal ein Portal mit Ampeln, manchmal ein wöchentlicher PDF-Report. Der Satz wird ruhig ausgesprochen, als Beleg, dass das Thema erledigt ist.
Ein Dashboard ist eine Vitrine. Es zeigt Dinge an. Etwas sehen können ist aber nicht dasselbe wie etwas tun, und genau in dieser Lücke passieren die teuren Wochen zwischen Erstzugriff und Entdeckung. Die unbequeme Kontrollfrage lautet nicht «Was zeigt das Dashboard an?», sondern «Wann hat zuletzt jemand aufgrund dieser Anzeige etwas getan?». Wenn die Antwort lange zurückliegt, betreibt ihr kein Monitoring, sondern Dekoration, die den Auditor beruhigt.
Dasselbe gilt für den monatlichen Sicherheitsreport des Dienstleisters. Er wird zugestellt, abgelegt und bei der nächsten Prüfung als Nachweis vorgezeigt. Das ist nicht wertlos, ein sauberer Bericht hat seinen Platz. Aber ein Bericht, der vier Wochen alte Ereignisse zusammenfasst, ist Buchhaltung, keine Erkennung. Wenn der Erstzugriff am dritten Tag des Monats passiert und der Report am ersten des Folgemonats kommt, hatte der Angreifer vier Wochen Vorsprung, bei voller Dokumentation.
Der Reflex an dieser Stelle ist fast immer der Kauf: ein SIEM, eine XDR-Plattform, mehr Sensorik. Danach werden mehr Ereignisse erzeugt, die weiterhin niemand liest, nur teurer. Wir haben beim Thema Schwachstellen dasselbe Muster beschrieben: der Scanner ist der einfache Teil, die Entscheidungsschleife dahinter schützt. Beim Monitoring gilt das noch schärfer, weil hier die Frist nicht in Wochen gemessen wird, sondern in Stunden.
Wie viel Überwachung braucht ein KMU?
Weniger, als dir der Markt verkaufen will, und mehr, als die meisten betreiben. Beides gleichzeitig.
Weniger, weil das Standardargument «ohne 24/7-SOC bist du blind» für ein KMU mit 50 bis 500 Mitarbeitenden selten der erste Engpass ist. Bevor sich die Frage nach Nachtschichten stellt, muss die Grundmechanik tagsüber funktionieren: wenige Alarmtypen mit hoher Aussagekraft, ein benannter Besitzer, eine definierte Reaktionsfrist, ein kurzer Entscheidungsweg. Vieles davon liefert die Technik, die du schon bezahlst. In Microsoft-Umgebungen bringen die vorhandenen Bordmittel brauchbare Alarme für Identitäten, Endpunkte und Mail mit, bevor auch nur ein Franken zusätzlich ausgegeben ist.
Mehr, weil «der Dienstleister schaut schon» in unserer Erfahrung die häufigste ungeprüfte Annahme im Schweizer KMU ist. Viele IT-Verträge decken Betrieb und Verfügbarkeit ab, nicht Sicherheitsüberwachung. Ob jemand reagiert, wenn um 15 Uhr ein Konto aus einem unerwarteten Land angemeldet wird, steht selten im Vertrag und wird noch seltener getestet. Die Frage «Wer genau liest unsere Sicherheitsalarme, und was ist vereinbart?» kostet eine E-Mail und beantwortet mehr als jede Produktevaluation.
Und ja, Angriffe halten sich nicht an Bürozeiten. Verschlüsselungswellen starten mit Vorliebe dann, wenn möglichst lange niemand hinschaut, also nachts und am Wochenende. Nur folgt daraus für ein KMU nicht der Aufbau einer eigenen Nachtschicht. Es gibt drei ehrliche Antworten auf die Stunden ausserhalb des Betriebs: eine vertraglich geregelte Bereitschaft beim Dienstleister für die wenigen kritischen Alarmtypen, automatische Sofortreaktionen der Technik, etwa das Isolieren eines auffälligen Geräts, oder das bewusst akzeptierte Restrisiko, als dokumentierter Entscheid der Geschäftsleitung. Alle drei sind vertretbar. Nicht vertretbar ist die vierte, verbreitetste Variante: die Frage nie gestellt zu haben.
Erst wenn die Tagesmechanik steht und ihr sie nicht selbst tragen könnt, ist externes Monitoring der logische nächste Schritt. Dann kaufst du nämlich das Richtige ein: Reaktion mit Fristen, die im Vertrag stehen, statt noch mehr Software. Welche Aufgaben du behalten musst und welche du abgeben kannst, haben wir im Beitrag über IT-Sicherheit ohne eigenes Security-Team sortiert. Die Kurzfassung: Hinschauen kannst du einkaufen, die Entscheidung über euer Risiko nicht.
Genau diese Betriebsfrage ist der Kern unseres Angebots für Security Management & Operations: bestehende Technik nutzen, Alarme auf das Aussagekräftige reduzieren, Zuständigkeit und Fristen festlegen, und erst dann über Zukäufe reden. Meistens wird das Setup dabei günstiger, nicht teurer.
Wer liest den nächsten Alarm?
Zurück zum Sammelpostfach vom Anfang. Das Bittere an dieser Geschichte ist nicht, dass etwas gefehlt hätte. Lizenz, Sensorik, Meldung: alles vorhanden, alles bezahlt. Gefehlt hat ein Name. Eine Person, die den Alarm als ihren Auftrag versteht, mit einer Frist und dem Recht, ein Konto zu sperren, ohne vorher drei Leute zu fragen.
Wenn du für dein Unternehmen wissen willst, wo ihr steht, brauchst du dafür kein Projekt. Nimm den letzten Sicherheitsalarm, den eure Umgebung erzeugt hat, und verfolge seinen Weg: Wer hat ihn gesehen, nach welcher Zeit, und was wurde entschieden? Das Ergebnis dieser einen Übung sagt mehr über eure Erkennungsfähigkeit als jedes Datenblatt.
Die möglichen Befunde sortieren sich von selbst. Findet ihr den Alarm samt Empfänger, Reaktionszeit und Entscheid, dann funktioniert euer Monitoring, unabhängig davon, wie bescheiden die Technik dahinter ist. Findet ihr den Alarm, aber keinen Menschen, der ihn gelesen hat, dann kennt ihr jetzt eure eigentliche Baustelle, und sie kostet keine Lizenzgebühr. Und findet ihr gar keinen Alarm, obwohl der Betrieb seit Monaten läuft, ist auch das eine Antwort: Entweder ist eure Umgebung auffällig still konfiguriert, oder es meldet schlicht niemand etwas. Beides will man wissen, bevor es ein Vorfall beantwortet.
Und falls sich herausstellt, dass niemand die Antwort kennt: Genau dafür gibt es uns. In einem unverbindlichen Erstgespräch schauen wir gemeinsam an, was ihr schon habt und wo die Lücke liegt.
Uns interessiert dabei ehrlich: Wann hat bei euch zum letzten Mal ein Alarm dazu geführt, dass jemand noch am selben Tag etwas verändert hat?
