SOAR
Werkzeuge.
SOAR verbindet Alerts, Menschen, Systeme und Entscheidungen. Der Wert liegt nicht in möglichst vielen Playbooks, sondern in kontrollierter Reaktion mit klaren Freigaben, Nachweisen und Rückwegen.
Automatisierung ist kein Selbstzweck.
SOAR übernimmt wiederkehrende Arbeit im Sicherheitsbetrieb: Anreicherung, Triage, Eskalation, Case-Erstellung, Ticketing, Benachrichtigung, Quarantäne oder technische Gegenmassnahmen.
Stark wird SOAR dort, wo Playbooks nicht blind laufen, sondern Entscheidungen dokumentieren. Kritische Aktionen brauchen Human-in-the-Loop, saubere Rollen und eine nachvollziehbare Änderungsspur.
SIEM erkennt und korreliert. SOAR orchestriert Reaktion. Case Management hält die Bearbeitung zusammen. TIP liefert Kontext. Ein gutes SOAR-Projekt beginnt deshalb mit wenigen belastbaren Workflows, nicht mit einer Bibliothek voller ungenutzter Playbooks.
Für regulierte Umgebungen sind Freigaben, Protokollierung, Rollback, Mandantentrennung und Begründungspflichten genauso wichtig wie Geschwindigkeit.
Playbooks brauchen Grenzen.
Die Matrix trennt klassische Enterprise-SOARs, SIEM-nahe Automatisierung, Hyperautomation, Threat-Intelligence-getriebene Plattformen und Open-Source-Ansätze.
| Hersteller | Produkt | Einordnung | Betrieb | Playbook und Workflow Automation | Integrationen und App Ecosystem | Case Management und Incident Ingestion |
|---|---|---|---|---|---|---|
| Palo Alto Networks, Inc. | Cortex XSOAR | Spezialisierte Enterprise SOAR & Threat Intel Platform | SaaS / On-Premises / Hybrid | Drag-and-Drop Visual Playbook Editor, Python/PowerShell-Skripting | 900+ vorgefertigte Integrationen & Content Packs im Cortex Marketplace | Vollständiges Incident Case Management mit automatischer Alert-Ingestion |
| Cisco Systems, Inc. | Splunk SOAR | Enterprise SOAR Platform | SaaS (Splunk Cloud) / On-Premises | Visual Playbook Editor, Python 3 Skripting, Custom Functions & Blocks | 300+ Apps und 2.000+ vordefinierte Actions für IT- & Security-Tools | Integriertes Case Management (Workbooks & Container-Modell) |
| IBM Corporation | IBM Security QRadar SOAR | Enterprise Incident Response & SOAR | SaaS / On-Premises / Hybrid | Dynamische Playbooks (Dynamic Playbooks), Visual Workflow Designer | Hunderte zertifizierte App-Connectors via IBM App Exchange | Vollständiges Incident Management & regulatorische Vorfallsdokumentation |
| Fortinet, Inc. | FortiSOAR | Security Orchestration, Automation & Response | Virtual Appliance / On-Premises / Cloud | Grafischer Visual Playbook Builder, Jinja2 & Python-Unterstützung | 500+ Konnektoren für Fortinet Security Fabric & Drittanbieter-Tools | Multi-Tenant Case Management, Triage & Incident Matrix |
| Google LLC (Alphabet) | Google Chronicle SOAR | Cloud-Native Security Operations & SOAR | Cloud-SaaS (Google Cloud Platform) | Threat-Centric Playbook Builder, Visual Workflow Editor | Hunderte vorgefertigte Integrationen & Open API Connector Framework | Threat-Centric Case Management mit automatischer Alert-Gruppierung |
| Swimlane Inc. | Swimlane Turbine | Agentic AI & Low-Code Automation Platform | Cloud-SaaS / On-Premises / Hybrid | Low-Code Workflow Studio, Agentic AI Playbooks & Python Engine | API-First-Architektur mit unbegrenzten Konnektoren & Microsoft-Graph-Sync | Integriertes Case Management & hochgradig anpassbare Datenformulare |
| Tines | Tines Platform | No-Code Automation & Orchestration Platform | Cloud-SaaS / Private Cloud / On-Premises | No-Code Drag-and-Drop Workflow Canvas, JSON/REST API-Logik | API-agnostisch: Verbindet jede REST/GraphQL API ohne feste Konnektoren | Integriertes Tines Cases Modul für kollaboratives Incident Response |
| Torq Inc. | Torq Hyperautomation Platform | Next-Gen Security Hyperautomation / SOAR | Cloud-SaaS (Cloud Native) | No-Code / Low-Code AI-driven Builder (Torq Socrates) | Hunderte vorgefertigte Cloud-Konnektoren & Event-Trigger-Integrationen | Event-driven Incident Case Management & Triage Automation |
| D3 Security | D3 Smart SOAR | Independent Enterprise SOAR Specialist | Cloud-SaaS / On-Premises | Codeless Playbook Builder, Event Pipeline & Incident Playbooks | 500+ tiefgehende, herstellergeprüfte Integrationen mit Response-Aktionen | Event Pipeline zur automatischen Rauschentfernung & Case Management |
| Microsoft Corporation | Microsoft Sentinel Automation (Logic Apps / SOAR) | Cloud-Native Security Automation & SOAR | Cloud-SaaS (Microsoft Azure) | Visual Workflow Designer (Azure Logic Apps), Playbook Templates | 100+ native Microsoft Security Connectors & Hunderte Azure API-Apps | Integriertes Microsoft Sentinel Incident Management & Queue |
| ThreatConnect, Inc. | ThreatConnect Risk Threat-Aware SOAR | Threat-Intelligence-Driven SOAR Platform | Cloud-SaaS / On-Premises | Visual Playbook Builder, Low-Code Automatisierung & Skripte | Breite Palette an Konnektoren für SIEM, EDR, Firewall & CTI Tools | Case Management gekoppelt mit kontinuierlicher Threat-Datenbank |
| Shuffle | Shuffle Open Source SOAR | Open-Source Security Automation Platform | Self-Hosted (Docker, K8s) / Cloud-SaaS | No-Code Visual Workflow Builder, OpenAPI-basierte Logik | OpenAPI / Swagger Import erlaubt die schnelle Einbindung jeder REST API | Integriertes Lightweight Case Management & Alert Management |
Was die Plattformen leisten.
Palo Alto Networks, Inc.
Cortex XSOAR
Frühere Namen / Kontext: Demisto
Drag-and-Drop Visual Playbook Editor, Python/PowerShell-Skripting
900+ vorgefertigte Integrationen & Content Packs im Cortex Marketplace
Vollständiges Incident Case Management mit automatischer Alert-Ingestion
Automatisierte Containment-Playbooks (Isolierung, IP-Block, User-Sperre)
Integriertes Threat Intelligence Management (TIM) mit Indikator-Prüfung
Kombination von SOAR, nativem Threat Intel Management & Live War Room
Hoher Konfigurationsaufwand und Komplexität bei massgeschneiderten Skripten
Cisco Systems, Inc.
Splunk SOAR
Frühere Namen / Kontext: Phantom / Splunk Phantom
Visual Playbook Editor, Python 3 Skripting, Custom Functions & Blocks
300+ Apps und 2.000+ vordefinierte Actions für IT- & Security-Tools
Integriertes Case Management (Workbooks & Container-Modell)
Automatisiertes Triage, Phishing Remediation & Network Containment
Automatische Anreicherung von Indikatoren (IP, File Hash, URL)
Sehr tiefe Integration in Splunk Enterprise Security & flexible Custom Blocks
Skriptbasierte Logik erfordert fundierte Python-Kenntnisse für komplexe Use Cases
IBM Corporation
IBM Security QRadar SOAR
Frühere Namen / Kontext: Resilient Systems / IBM Resilient
Dynamische Playbooks (Dynamic Playbooks), Visual Workflow Designer
Hunderte zertifizierte App-Connectors via IBM App Exchange
Vollständiges Incident Management & regulatorische Vorfallsdokumentation
Automatische Isolations- & Behebungsaktionen über IT/Security-Tools
Integration mit IBM X-Force & externen CTI-Feeds (STIX/TAXII)
Einzigartige Integration von regulatorischen Benachrichtigungsfristen & IR-Guides
Hoher Einrichtungsaufwand für die Abstimmung komplexer Konzern-Workflows
Fortinet, Inc.
FortiSOAR
Frühere Namen / Kontext: CyberSponse
Grafischer Visual Playbook Builder, Jinja2 & Python-Unterstützung
500+ Konnektoren für Fortinet Security Fabric & Drittanbieter-Tools
Multi-Tenant Case Management, Triage & Incident Matrix
Automated Response & Remediation quer über Netzwerk, Endpoint & Cloud
Integriertes Threat Intelligence Management (Indicator Scoring & Feeds)
Hervorragende Multi-Tenancy für MSSPs & nahtlose Security Fabric Anbindung
Volles Potenzial entfaltet sich am stärksten im Fortinet-Ökosystem
Google LLC (Alphabet)
Google Chronicle SOAR
Frühere Namen / Kontext: Siemplify
Threat-Centric Playbook Builder, Visual Workflow Editor
Hunderte vorgefertigte Integrationen & Open API Connector Framework
Threat-Centric Case Management mit automatischer Alert-Gruppierung
Automatisierte Behebungsworkflows & Skriptausführung via Cloud Agents
Integration mit Mandiant Threat Intelligence, VirusTotal & CTI Feeds
Bedrohungsorientierte Alert-Konsolidierung reduziert Fehlalarme & Triage-Zeit
Hauptsächlich als Cloud-SaaS auf GCP verfügbar
Swimlane Inc.
Swimlane Turbine
Frühere Namen / Kontext: Swimlane
Low-Code Workflow Studio, Agentic AI Playbooks & Python Engine
API-First-Architektur mit unbegrenzten Konnektoren & Microsoft-Graph-Sync
Integriertes Case Management & hochgradig anpassbare Datenformulare
Automatisierte EDR-Reaktion, Phishing Triage & Identity Access Revocation
Multi-Vendor CTI Import, Enrichment & automatisiertes Matching
Sehr hohe Verarbeitungsgeschwindigkeit (25M+ Actions/Tag) & Flexibilität
Erfordert Einarbeitung in das herstellereigene Low-Code-Datenmodell
Tines
Tines Platform
Frühere Namen / Kontext: Tines
No-Code Drag-and-Drop Workflow Canvas, JSON/REST API-Logik
API-agnostisch: Verbindet jede REST/GraphQL API ohne feste Konnektoren
Integriertes Tines Cases Modul für kollaboratives Incident Response
End-to-End Behebung: Accounts sperren, Tickets erstellen, Endpunkte isolieren
Automatisierte Abfrage beliebiger Threat-Intel-APIs & Data-Enrichment
Extremer Bedienkomfort, keine Abhängigkeit von vorgefertigten Plugins
Bietet keine klassischen out-of-the-box Inhaltsvorlagen wie Legacy-SOARs
Torq Inc.
Torq Hyperautomation Platform
Frühere Namen / Kontext: Torq
No-Code / Low-Code AI-driven Builder (Torq Socrates)
Hunderte vorgefertigte Cloud-Konnektoren & Event-Trigger-Integrationen
Event-driven Incident Case Management & Triage Automation
Hyperautomatisierte Echtzeit-Reaktion quer über Cloud, Identity & Networks
Automatische Anreicherung von Alerts mit Live Threat Data & KI-Kontext
Extrem schnelle Erstellung von Automatisierungen durch KI-Assistenten
Reine Cloud-SaaS-Plattform; nicht für reine Offline/Air-Gapped SOCs gedacht
D3 Security
D3 Smart SOAR
Frühere Namen / Kontext: D3 Security
Codeless Playbook Builder, Event Pipeline & Incident Playbooks
500+ tiefgehende, herstellergeprüfte Integrationen mit Response-Aktionen
Event Pipeline zur automatischen Rauschentfernung & Case Management
Vollautomatisierte Remediation-Aktionen mit Human-in-the-Loop-Option
Operationalisierte Threat Intelligence & TTP Mapping auf MITRE ATT&CK
Führend bei herstellerunabhängigem Event-Filtering & Triage vor der Orchestrierung
Benutzeroberfläche bei sehr komplexen Regelwerken teils verschachtelt
Microsoft Corporation
Microsoft Sentinel Automation (Logic Apps / SOAR)
Frühere Namen / Kontext: Azure Logic Apps / Sentinel
Visual Workflow Designer (Azure Logic Apps), Playbook Templates
100+ native Microsoft Security Connectors & Hunderte Azure API-Apps
Integriertes Microsoft Sentinel Incident Management & Queue
Automatisierte Reaktion in Defender, Entra ID, Intune & Azure
Integration mit Microsoft Threat Intelligence & Custom API Feeds
Perfekte, kostenfreie Einbindung in die Microsoft Defender & Sentinel Suite
Ausführung von Logic Apps verursacht verbrauchsabhängige Azure-Kosten
ThreatConnect, Inc.
ThreatConnect Risk Threat-Aware SOAR
Frühere Namen / Kontext: ThreatConnect Platform
Visual Playbook Builder, Low-Code Automatisierung & Skripte
Breite Palette an Konnektoren für SIEM, EDR, Firewall & CTI Tools
Case Management gekoppelt mit kontinuierlicher Threat-Datenbank
Automated Threat Containment gesteuert durch verifizierte CTI-Daten
Branchenführendes Threat Intelligence Management (TIP) als Kern-Engine
Einzigartige Verbindung von tiefem Threat Intelligence Management (TIP) mit SOAR
Hohe Komplexität und Lizenzstruktur bei voller Plattform-Nutzung
Shuffle
Shuffle Open Source SOAR
Frühere Namen / Kontext: Shuffle
No-Code Visual Workflow Builder, OpenAPI-basierte Logik
OpenAPI / Swagger Import erlaubt die schnelle Einbindung jeder REST API
Integriertes Lightweight Case Management & Alert Management
Skriptbasierte & API-gesteuerte Response-Aktionen auf Endpunkten/Netzen
Ingestion von Open-Source CTI Feeds (MISP, VirusTotal, AbuseIPDB)
Kostenfreie Open-Source SOAR-Lösung mit voller Datenkontrolle & Flexibilität
Erfordert Eigenleistung bei der Pflege von Apps und Server-Infrastruktur
Kandidaten für später.
Einige Werkzeuge sind relevant, aber in der aktuellen Quelle noch nicht ausreichend belastbar als eigenständige SOAR-Plattform eingeordnet.
- ReliaQuest GreyMatterEnterprise Security Operations & Automation Plattform.
- ServiceNow Security Incident Response (SIR)Security-Workflow- und SOAR-Erweiterung im ServiceNow Ecosystem.
- LogPoint SOARIntegrierte SOAR-Komponente innerhalb der europäischen LogPoint SIEM Suite.
Mit echten Playbooks testen.
- Drei reale Use Cases wählen: Phishing, Malware-Alert und privilegierter Zugriff.
- Human-in-the-Loop für riskante Aktionen erzwingen und dokumentieren.
- Integrationen zu SIEM, EDR, Ticketing, IAM und Kommunikation praktisch prüfen.
- Fehlerfälle testen: API-Ausfall, falscher Alert, fehlender Owner, Rollback.
- Messbar machen, ob Bearbeitungszeit sinkt, ohne neue Betriebsrisiken zu erzeugen.
Security Tool Navigator · Gebiet 09
Im Gebiet Security Operations einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Operations. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.