Aufbauen oder extern einkaufen? Eigene SOCs, SOCaaS, MSSP und MDR im Vergleich

Unternehmen können ein SOC intern aufbauen, es über „SOC-as-a-Service“ oder einen MSSP auslagern oder MDR nutzen, um auf verwaltete Erkennungs- und Reaktionsfunktionen zuzugreifen. Dieser Leitfaden vergleicht die wichtigsten Betriebsmodelle, Kosten, Personalbedarf, Abdeckung und Amortisationszeit und skizziert anschließend einen praktischen Fahrplan für die SOC-Reife sowie Best Practices.

Kernpunkte dieses Artikels:

• Es gibt kein SOC-Modell, das für alle gleichermaßen geeignet ist. Die richtige Wahl hängt vom eigenen Budget, Risikoprofil und internen Fachwissen ab.
• Interne SOCs bieten die größte Kontrolle, während MSSP-, SOC-as-a-Service- und MDR-Modelle den Personalaufwand und den Betriebsaufwand reduzieren.
• MDR konzentriert sich auf Ergebnisse. Es hilft Ihnen dabei, Bedrohungen zu erkennen, zu untersuchen und einzudämmen.
• Bewerten Sie Ihren Reifegrad, bevor Sie eine Entscheidung treffen. Rahmenwerke wie SOC-CMM können dabei helfen, zu bestimmen, ob Sie SOC-Fähigkeiten selbst aufbauen, zukaufen oder kombinieren sollten.

Verschiedene SOC-Betriebsmodelle: intern, virtuell, gemeinsam verwaltet und SOC-as-a-Service

Der Aufbau und Betrieb eines SOC ist kostspielig, zeitaufwendig und erfordert kontinuierliche Investitionen. Daher lagern viele Unternehmen ihre SOC-Aktivitäten ganz oder teilweise an Managed Security Service Provider (MSSPs), SOC-as-a-Service (SOCaaS)-Anbieter oder Managed Detection and Response (MDR)-Dienste wie die von ESET aus.

Alle drei Ansätze tragen dazu bei, die Kosten für den Betrieb eines SOC auf mehrere Kunden zu verteilen, tun dies jedoch auf leicht unterschiedliche Weise.

Wie sieht das in der Praxis aus?

Der OMSS-Markt (Outsourced Managed Security Services), zudem SOC gehören, verzeichnet laut Gartner in den vergangenen Jahren ein jährliches Wachstum von 11,5 Prozent. Grund dafür ist die steigende Zahl von Unternehmen, die den wachsenden Anforderungen durch neue Cyberbedrohungen, technologische Entwicklungen und komplexere IT-Umgebungen nicht mehr allein mit internen Ressourcen begegnen können. Diese setzen daher verstärkt auf externe Sicherheitsdienstleister.^[1]

Dieser Wandel spiegelt eine strukturelle Realität wider. Viele Unternehmen betrachten SOC-Funktionen nicht mehr als etwas, das vollständig intern aufgebaut werden muss. Stattdessen wenden sie sich an externe Anbieter, um auf Fähigkeiten zuzugreifen, die intern nur schwer skalierbar sind. Das beinhalt insbesondere die 24/7-Überwachung, die Reaktion auf Vorfälle sowie natürlich fortschrittliche Analyse und Bedrohungsinformationen.

Ausgelagerte Dienstleistungen haben sich erheblich verändert, um dieser neuen Nachfrage gerecht zu werden. Während sich Anbieter traditionell auf Bereiche wie Firewall-Management, Intrusion Detection und grundlegende Überwachung konzentrierten, erwarten Unternehmen heute proaktive Bedrohungssuche, schnelle Reaktion, Schwachstellenmanagement sowie Koordinations- und Automatisierungsfunktionen. Dies hat Dienstleister dazu veranlasst, ihr Angebot auf Dienstleistungen auszuweiten, die auf den tatsächlichen Ablauf moderner Angriffe abgestimmt sind.

 Unternehmen strukturieren ihre Sicherheitsabläufe deshalb neu. Outsourcing bietet Zugang zu einem umfassenderen Überblick über Kampagnen von Bedrohungsakteuren, branchenspezifische Risiken und neu aufkommende Angriffstechniken. Unternehmen stehen aber keines Falls vor einem "Entweder-oder"-Problem. Was diesen Ansatz so attraktiv macht, ist seine Flexibilität bei der Einbindung ein Teil der Attraktivität dieses Ansatzes liegt darin, dass es eine stufenweise Skala der Einbindung gibt.

In der Praxis entscheiden sich viele Unternehmen für ein Hybridmodell, bei dem interne Kontrolle mit externem Fachwissen kombiniert wird. So behalten sie die Kontrolle über kritische Ressourcen und Entscheidungsprozesse, während sie sich bei der kontinuierlichen Überwachung, Erkennung und Reaktion – Fähigkeiten, die intern nur schwer skalierbar sind – auf Anbieter verlassen.

Eine hybride Option ist „Managed Detection and Response“ (MDR). Dabei kommt ein ergebnisorientierter Ansatz zum Einsatz, der Technologie, Bedrohungsinformationen und menschliches Fachwissen kombiniert, um Bedrohungen zu erkennen und darauf zu reagieren. Anstatt lediglich Warnmeldungen zu generieren, sind MDR-Dienste darauf ausgelegt, Bedrohungen zu untersuchen, einzudämmen und auszuräumen, sobald sie auftreten.

MDR stellt somit eine direkte Reaktion darauf dar, wie sich moderne Angriffe entfalten. Partner, Aufsichtsbehörden und Cyberversicherer sehen den Dienst zunehmend als Voraussetzung.

Diese Unterschiede werden deutlicher, wenn man die Funktion von MSSPs, SOCaaS-Anbieter und MDR-Dienste in der Praxis vergleicht.

SOC: Kaufen oder mieten?

Eine Möglichkeit zur Einordnung dieser Modelle ist das „Build-or-Buy“-Prinzip: Baut ihr Unternehmen die Funktion selbst auf oder beziehen Sie Managed Services bzw. ausgelagerte Ressourcen ein, um die gleiche Leistungsfähigkeit zu erreichen?

Bei einem hauseigenen SOC ist das Unternehmen für den Aufbau und die Wartung aller Komponenten verantwortlich: Technologie, Prozesse und qualifiziertes Personal. Damit einher gehen wiederkehrende Investitionen, denn Tools entwickeln sich weiter, die Infrastruktur muss skalieren und auch SOC-Analysten verlassen das Unternehmen.

Eine vom SANS Institute im Jahr 2025 durchgeführte Umfrage unter SOC-Fachkräften unterstreicht diese Herausforderung. Sie stellt fest, dass viele SOCs relativ klein bleiben, eine anhaltende Fluktuation verzeichnen und Schwierigkeiten haben, Talente zu binden. Die selbsternannten SOCs waren mit zwei bis zehn Mitarbeitern besetzt, die durchschnittliche Betriebszugehörigkeit lag zwischen drei und fünf Jahren. Ganze 62 % der Mitarbeiter waren der Meinung, ihr Betrieb unternehme nicht genug, um Talente zu binden.

Im Gegensatz dazu verlagern die meisten ausgelagerten Modelle einen Teil dieser Belastung auf einen Dritten. Dies geschieht jedoch auf unterschiedliche Weise. Bei SOCaaS nutzen Unternehmen in der Regel einen plattformbasierten Dienst, der Überwachungs-, Erkennungs- und Analysefunktionen bereitstellt. Je nach Anbieter und Servicestufe müssen interne Teams möglicherweise weiterhin eine Kombination aus Personal, Prozessen oder Fähigkeiten zur Reaktion auf Vorfälle bereitstellen.

MSSPs konzentrieren sich eher auf den Betrieb und die Verwaltung der Sicherheitsinfrastruktur, das Sammeln und Analysieren von Protokollen, das Generieren von Warnmeldungen sowie die Wartung von Sicherheitstools. In den meisten Fällen liegen Untersuchung, Entscheidungsfindung und Reaktion jedoch weiterhin in der Verantwortung des Kundenunternehmens. Das resultiert in einer eine nach wie vor erheblichen Belastung für interne Mitarbeiter.

Bei MDR verlagert sich der Fokus auf Ergebnisse. MDR-Anbieter übernehmen die Verantwortung für die Triage, die Untersuchung und die aktive Eindämmung von Bedrohungen. Sie kombinieren dabei Technologie, Bedrohungsinformationen und menschliche Expertise, um Risiken zu reduzieren und auf Vorfälle zu reagieren, sobald diese auftreten. Die folgende Tabelle bietet einen allgemeinen Vergleich dieser Betriebsmodelle und skizziert deren typische Stärken, Einschränkungen und Zuständigkeitsbereiche.

Hinweis: In der Praxis kombinieren viele Anbieter Elemente der unten aufgeführten Modelle, und die Funktionen variieren erheblich zwischen den einzelnen Angeboten.

Wann MDR sinnvoll ist

Anbieter können MDR- und MSSP-Dienste sehr schnell bereitstellen. Das macht sie besonders wertvoll für Unternehmen, die ihre Erkennungs- und Reaktionsfähigkeiten schnell aufbauen oder stärken müssen.

Im Gegensatz zu Modellen, die in erster Linie Warnmeldungen generieren, konzentriert sich MDR auf Ergebnisse, etwa die Untersuchung, Eindämmung und Abwehr von Bedrohungen in Echtzeit. Dadurch wird die operative Belastung der internen Teams verringert.

Dies ist einer der Hauptgründe, warum sich MDR bei kleinen und mittelständischen Unternehmen als Modell weit verbreitet hat. Diesen Unternehmen fehlen oft die Ressourcen, um ein vollwertiges, rund um die Uhr besetztes SOC aufzubauen und zu betreiben. Dennoch sind sie mit derselben Bedrohungslage konfrontiert wie größere Unternehmen. Mit der Reifung des Marktes sind MDR-Dienste zugänglicher geworden, während zunehmender regulatorischer Druck und Anforderungen von Cyberversicherungen die Einführung weiter beschleunigen.

Wie man ein SOC aufbaut (oder kauft): ein praktischer Leitfaden

Unternehmen stehen vor der Frage, in welcher Form sie von den Vorteilen eines SOCs profitieren können. In der Praxis können nur wenige Betriebe die Kosten und den Aufwand für Aufbau und Betrieb eines eigenständigen SOC alleine stämmen.

Rahmenwerke wie SOC-CMM einen bieten einen strukturierten Ansatz zur Reifebewertung und -verbesserung. Das Modell definiert sechs Kompetenzstufen, die von gar keinen formellen Sicherheitsmaßnahmen bis hin zu vollständig optimierten, informationsgesteuerten SOC-Funktionen reichen. Zudem umfasst es frei verfügbare Werkzeuge zur Unterstützung der Selbstbewertung.

Das SOC-Reifegradmodell

Die SOC-Reife wird üblicherweise anhand von sechs aufeinander aufbauenden Stufen beschrieben:

1: Keine

Es gibt keine formellen SOC-Funktionen.

2: Ad-hoc

Allgemeines IT-Personal reagiert auf Warnmeldungen, sobald diese auftreten, ohne dass definierte Prozesse oder ein Abdeckungsmodell vorliegen.

3: Einsteiger

Grundlegende Tools wie SIEM sind vorhanden, ebenso wie begrenzte Prozesse; die Abdeckung ist uneinheitlich und in der Regel auf die Bürozeiten beschränkt.

4: Definiert

Es gibt dokumentierte Prozesse und Playbooks sowie eigens dafür zuständiges Personal und strukturierte Eskalationswege. Wichtige Kennzahlen wie die durchschnittliche Erkennungszeit (MTTD) und die durchschnittliche Reaktionszeit (MTTR) werden erfasst.

5: Quantitativ gesteuert

Eine kontinuierliche Überwachung ist etabliert, ebenso wie eine proaktive Bedrohungssuche. Die Leistung bei Erkennung und Reaktion wird im Hinblick auf das Geschäftsrisiko gemessen und kommuniziert, und es werden Anstrengungen unternommen, die manuelle Arbeitsbelastung der Analysten durch Automatisierung zu reduzieren.

6: Optimiert

Das SOC wird zu einer strategischen Funktion, die mit auf Informationen basierenden Erkenntnissen zu Risikobewertungen beiträgt. Bedrohungsinformationen sind eng in den Betrieb integriert, und fortgeschrittene Vorgehensweisen wie Red-, Blue- und Purple-Teaming sind formalisiert.

Ein eigenes SOC ist für die meisten Betriebe nicht sinnvoll

Der Aufbau eines internen SOC ist in der Regel nur für Unternehmen sinnvoll, die spezifischen regulatorischen Anforderungen oder Verpflichtungen zur Datenlokalisierung unterliegen oder erhebliche interne Sicherheitskapazitäten nachweisen müssen. Diese Unternehmen gehören oft besonders gefährdeten Branchen an und unterhalten bereits umfangreiche interne Sicherheitsteams.

Für die meisten anderen besteht die Herausforderung darin, von den Vorteilen eines SOC zu profitieren, ohne Kosten und Aufwand für den internen Aufbau stemmen zu müssen.

Aufgepasst beim SOC-Einkauf

Unternehmen, müssen bei ausgelagerten SOCs ein Gleichgewicht zwischen Kontrolle, Risikotoleranz und Ressourcenverfügbarkeit finden. In der Praxis verteilen SOCaaS-, MSSP- und MDR-Modelle die Verantwortung auf unterschiedliche Weise auf Mitarbeiter, Prozesse und Technologie.

Der wichtigste Kostenfaktor in jedem SOC ist qualifiziertes Personal. Daher hängt die Entscheidung oft davon ab, wie viel Verantwortung ein Unternehmen intern behalten möchte und wie viel es im Gegenzug für eine schnellere Erkennung, eine konsistentere Abdeckung und verbesserte Reaktionsergebnisse an einen externen Anbieter delegieren will.

Die richtige Wahl des SOC treffen

Es gibt kein einheitliches Betriebsmodell, das für jedes Unternehmen geeignet ist. Die richtige Wahl hängt von der Risikotoleranz, dem internen Fachwissen, den regulatorischen Verpflichtungen und dem Budget ab.

Für viele Unternehmen besteht das Ziel nicht darin, ein SOC von Grund auf neu aufzubauen, sondern SOC-Ergebnisse durch die Kombination aus Personal, Prozessen und Technologie zu erzielen, die ihren Anforderungen am besten entspricht.

[1] Gartner, Market Guide for Outsourced Managed Security Services, 5. Januar 2026. GARTNER ist eine Marke von Gartner, Inc. und/oder deren verbundenen Unternehmen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen SOCaaS (SOC as a Service), MDR und einem MSSP?

Bei SOCaaS wird die SOC-Funktion eines Unternehmens an einen spezialisierten Anbieter ausgelagert. MDR ist ein Managed Service, der sich auf die Erkennung von und Reaktion auf Bedrohungen konzentriert. In der Regel stützt sich der Dienst auf EDR/XDR, wobei häufig Analysten im Auftrag der Kundenunternehmen tätig sind. Ein MSSP ist ein spezialisiertes Managed-Service-Unternehmen, das Sicherheitstools umfassend verwaltet, jedoch möglicherweise nur Warnmeldungen weiterleitet, anstatt darauf zu reagieren. Alle haben ihre Stärken und Schwächen, es gibt keine Einheitslösung, die für alle passt.

Ist es günstiger, ein SOC auszulagern, als eines selbst aufzubauen?

Für die meisten kleinen bis mittelgroßen Unternehmen bedeutet der Aufbau eines effektiven, rund um die Uhr verfügbaren internen SOCs, gefragte Analysten für drei Schichten einzustellen sowie zahlreiche Tools und andere Technologien anzuschaffen und ständig zu aktualisieren. Ein Co-Managed- oder MDR-Modell bietet eine Rund-um-die-Uhr-Betreuung zu vorhersehbaren Kosten, weshalb viele Teams ein Ergebnis auf SOC-Niveau erreichen, ohne ein eigenes SOC aufzubauen. Die richtige Antwort hängt von der Größe des Unternehmens, der Risikobereitschaft, dem Budget und internen Kompetenzen ab.

Brauchen kleine und mittelständische Unternehmen ein SOC?

KMU benötigen die Ergebnisse, die ein SOC liefert. Dazu müssen sie aber kein eigenes aufbauen. Ein Managed- oder Co-Managed-Modell ist der realistische Weg zu einem Rund-um-die-Uhr-Schutz ohne ein eigenes Team und die damit verbundenen Kosten und Aufwände. Es bietet den größten Teil des Schutzes, den das Unternehmen benötigt – mit Ausnahme der gezieltesten und ressourcenstärksten Angriffe.