Erkennen, entscheiden,
reagieren.
Security Operations führt Signale aus allen Gebieten zusammen, erkennt Angriffe und steuert die Reaktion. Die Qualität hängt weniger am Werkzeug als an Datenquellen, Erkennungslogik und Menschen, die rund um die Uhr entscheiden. Die Werkzeugklassen decken Sammeln, Erkennen, Untersuchen und Reagieren ab.
Drei Ebenen, 12 Werkzeugklassen.
Eine Plattform kann mehrere Ebenen abdecken. Für die Auswahl zählt, welche Aufgabe sie verlässlich erfüllt und wer die Ergebnisse verantwortet.
Signale in Alarme übersetzen.
SIEM, Security Analytics und UEBA werten Ereignisse aus. Detection Engineering pflegt die Erkennungslogik, Threat Intelligence liefert Kontext, Deception erzeugt Alarme mit hoher Aussagekraft.
Alarme zu Fällen machen.
SOAR automatisiert wiederkehrende Schritte, Case Management führt Fälle nachvollziehbar.
Ursachen klären und eindämmen.
Incident Response, Digital Forensics und Malware Analysis klären, was passiert ist. MDR liefert Erkennung und erste Reaktion als Dienst; Forensik und vollständige Incident Response sind oft Zusatzleistung.
Alle Werkzeugklassen im Gebiet.
SIEM
SIEM-Werkzeuge im Vergleich: Security Information and Event Management für zentrale Log- und Bedrohungsanalyse.
SOAR
SOAR-Werkzeuge im Vergleich: Sicherheitsvorfälle automatisiert erkennen, priorisieren und beantworten.
Security Analytics
Security Analytics untersucht grosse Mengen technischer Telemetrie auf Zusammenhänge, Abweichungen und Angriffsmuster.
UEBA
User and Entity Behavior Analytics modelliert normales Verhalten und markiert relevante Abweichungen.
Threat Intelligence
Threat-Intelligence-Werkzeuge im Vergleich: externe Bedrohungsinformationen in interne Entscheidungen übersetzen, für Priorisierung, Detection und Lagebild.
Detection Engineering
Detection Engineering behandelt Erkennungslogik wie ein versioniertes technisches Produkt.
Case Management
Security Case Management hält Untersuchung, Evidenz, Entscheidungen, Aufgaben und Kommunikation in einem verantworteten Fall zusammen.
Digital Forensics
Digitale Forensik: vierzehn Werkzeuge für Endpoint-Triage, Datenträger, Arbeitsspeicher, Mobilgeräte und Cloud, eingeordnet nach Beweisquelle und Betriebsmodell.
Incident Response
Incident-Response-Werkzeuge führen ein qualifiziertes Sicherheitsereignis durch Untersuchung, Eindämmung, Bereinigung und Wiederherstellung.
Malware Analysis
Malware-Analyse untersucht Dateien, URLs, Dokumente und Skripte statisch oder während ihrer Ausführung.
Deception
Deception platziert glaubwürdige Köder, falsche Identitäten und Decoy-Systeme ausserhalb legitimer Arbeitswege.
MDR
MDR verbindet eine technische Detection-Plattform mit einem rund um die Uhr arbeitenden Analystenteam.
CIO und CISO entscheiden nicht dasselbe.
CISO: Schutzwirkung
Der CISO braucht eine Erkennung, die die relevanten Angriffstechniken tatsächlich abdeckt.
- Welche Techniken werden erkannt, welche nicht?
- Wer entscheidet nachts über Eindämmung?
- Wie werden Meldefristen im Ernstfall eingehalten?
CIO: Betriebsfähigkeit
Der CIO verantwortet Datenmengen, Kosten und die Anbindung der Quellsysteme.
- Welche Protokolle werden wie lange gespeichert?
- Was kostet zusätzliches Datenvolumen?
- Wie greift Incident Response in den IT-Betrieb ein?
Was dieses Gebiet nicht abdeckt.
Security Operations bearbeitet Ereignisse. Governance setzt Vorgaben und prüft Wirksamkeit, Resilience stellt nach einem Vorfall wieder her, und Service Operations führt Störungen und Changes im Betrieb.
Orientierung, keine Produktempfehlung.
Die Einordnung stützt sich auf Standards, Rahmenwerke und Rechtsgrundlagen. Produktangaben stehen auf den einzelnen Werkzeugseiten.
Stand: 10. Oktober 2026 · Nächste planmässige Prüfung: 10. Januar 2027 · Produktangaben und regulatorische Anwendbarkeit sind vor einer konkreten Entscheidung erneut zu prüfen.