SOC oder CDC? Warum KI keine klaren Verantwortlichkeiten ersetzt
Es ist zwei Uhr morgens. Ein ungewöhnlicher Login, auffällig viele Downloads und die Frage: Ist das ein Angriff? Wer darf jetzt eingreifen? Und was passiert, wenn ausgerechnet die Gegenmaßnahme den Betrieb lahmlegt? In dieser Folge von „Cybersecurity ist Chefsache“ sprechen Nico Freitag und Ann-Katrin Lange mit Lora Schedlik von CANCOM darüber, was ein Security Operations Center leisten kann, wie sich die Leistungen in einem Cyber Defense Center erweitern und welche Rolle KI dabei spielt. Im Mittelpunkt stehen Menschen, Prozesse und die Entscheidungen, die Unternehmen vor dem Ernstfall treffen müssen. Lora ist seit mehr als zehn Jahren in der Cybersecurity unterwegs. Im Gespräch erzählt sie von ihren Stationen in Security Operations, Architektur, regulatorischen Themen und DevSecOps sowie ihrer Rückkehr in das SOC- und CDC-Umfeld. Sie bringt die Perspektive eines Dienstleisters mit, der technische Erkenntnisse mit den Anforderungen und Abläufen seiner Kunden zusammenbringen muss. Schon beim Einstieg wird deutlich: Ein externer Dienstleister kann nur dann sinnvoll unterstützen, wenn die Grundlagen stimmen. Welche Systeme gibt es? Welche Anwendungen sind für das Geschäft kritisch? Wer ist erreichbar und wer darf welche Entscheidung treffen? Ein 24/7-Monitoring hilft nur begrenzt, wenn nachts niemand auf Kundenseite Verantwortung übernehmen kann und mögliche Reaktionen nicht vorher vereinbart wurden. Besonders anschaulich erklärt Lora die Priorisierung mit einem Einbruchsszenario: Weiß jemand nur, wo das Haus steht, schaut er bereits durchs Fenster oder befindet er sich schon im Wohnzimmer? Das Bild macht die unterschiedliche Dringlichkeit greifbar. Für die tatsächliche Einordnung braucht das SOC aber den Geschäftskontext und den Schutzbedarf des Kunden. Auch bewusst akzeptierte Risiken müssen bekannt und dokumentiert sein. Ein großer Teil des Gesprächs dreht sich um KI. Sie kann dabei helfen, Zusammenhänge in historischen Daten zu erkennen, Analysen zu beschleunigen und Routineaufgaben zu erleichtern. Gleichzeitig diskutieren die drei, warum das keine saubere Datenbasis, verlässliche Prozesse oder kritisches Denken ersetzt. Wenn es um die Verifikation eines verdächtigen Zugriffs oder die Folgen eines Eingriffs in die Produktion geht, bleibt menschliches Urteilsvermögen entscheidend. Dazu kommen Threat Intelligence, Schwachstellenmanagement und Incident Response. Lora beschreibt, warum ein eingespielter Patch allein noch nicht jede Frage zu einem möglichen früheren Angriff beantwortet. Entscheidend ist auch, welche Spuren vorhanden sind, was tatsächlich beobachtet wurde und ob weiter untersucht werden muss. Die Folge zeigt, wie eng Prävention, Erkennung und Reaktion zusammenhängen. Auch die Perspektive der Geschäftsführung kommt zur Sprache: Woran erkennt man, ob das SOC gute Arbeit leistet? Reaktionszeiten und bearbeitete Meldungen sind relevant, beantworten aber nicht automatisch die Frage nach dem Nutzen. Lora erklärt, warum nachvollziehbare Berichte über konkrete Prüfungen, erkannte Risiken und durchgeführte Analysen mehr Orientierung geben können als eine reine Aufzählung von Tickets. Zum Schluss geht es um Datenmengen und Kosten. Nur weil Logs in einem SIEM liegen, werden daraus noch keine wirksamen Erkennungen. Dafür braucht es passende Use Cases, Detection-Regeln und die richtigen Datenquellen. In der Schnellfragerunde diskutieren die drei unter anderem Eigenbetrieb, externe und hybride Modelle, die Zukunft von Analysten und die Frage, wer nachts über einen Produktionsstopp entscheiden darf. Im Gespräch geht es unter anderem um: Wie SOC-Leistungen in ein umfassenderes Cyber Defense Center eingebettet werden Warum Asset-Übersicht und Sichtbarkeit die Grundlage der Überwachung bilden Welche Systeme und Anwendungen besonderen Schutzbedarf haben Weshalb Eskalationspfade und Entscheidungsbefugnisse vorab geklärt werden müssen Was 24/7-Monitoring ohne erreichbare Ansprechpartner leisten kann Welche Voraussetzungen Unternehmen für die Zusammenarbeit mit einem Dienstleister brauchen Wie Prioritäten anhand von Geschäftskontext und Dringlichkeit entstehen Warum ein Alert zunächst geprüft werden muss, bevor daraus ein Incident wird Wie technische Analysen die Dokumentation und Meldung von Vorfällen unterstützen können Wie mit bekannten, bewusst akzeptierten Risiken umgegangen wird Wo KI Analysten entlasten und die Auswertung beschleunigen kann Weshalb KI-Ergebnisse nachvollziehbar sein und hinterfragt werden müssen Warum Threat Intelligence und Incident Response eng zusammenarbeiten Welche Rolle Social Engineering und persönliche Verifikation spielen Welche Kennzahlen dem Management tatsächlich Orientierung geben Warum gespeicherte Logs noch keine wirksame Angriffserkennung bedeuten Wie Detection Use Cases die Auswahl relevanter Datenquellen beeinflussen Was für externe oder hybride Betriebsmodelle spricht Warum Tools, Menschen und Prozesse gemeinsam betrachtet werden müssen Der rote Faden der Folge: Gute Cyberabwehr beginnt nicht mit dem Kauf eines Tools oder der Unterschrift unter einem SOC-Vertrag. Sie braucht Klarheit über Systeme, Risiken und Verantwortung. KI kann diese Arbeit unterstützen und beschleunigen. Welche Entscheidungen für das eigene Unternehmen tragbar sind, muss jedoch vorher gemeinsam geklärt werden. Eine Folge für Geschäftsführungen, CISOs, IT-Leitungen, Security-Verantwortliche und alle, die ein SOC auswählen, weiterentwickeln oder dessen Nutzen für ihr Unternehmen besser beurteilen möchten. ____________________________________________ 👤 Mehr Informationen Lora Schedlik - LinkedIn Profil ____________________________________________ 🎧 Reinschauen lohnt sich! 🎙Podcast - Cybersecurity ist Chefsache: @cybersec_ist_chefsache 🎙Podcast - Cybersecurity shall be C-Level priority: @cybersec_clevel_priority 🎙Podcast - Die Zwei Auftrag: Cybersicherheit: @diezweicyber Schließe dich uns an, um tiefer in die Welt der digitalen Sicherheit einzutauchen. ____________________________________________ Du findest mich auf folgenden Social Media Kanälen: 📸 Instagram: cybersec_ist_chefsache 🕺 TikTok: cybersec_ist_chefsache 🤝 LinkedIn - Nico: nicofreitag 🤝 LinkedIn - Ann-Katrin: annkatrin 📌 Kontaktaufnahme - Podcast: Cybersecurity ist Chefsache ____________________________________________ Deine Reise in die Welt der Cyber Security startet hier – ich freue uns darauf, mich mit dir zu vernetzen.
