Warum Ihre IT-Abteilung keine Logs lesen muss
Ressource · Lesezeit ca. 9 Minuten · AEGYS DATALYTICS
Kurz gesagt: Wenn im Mittelstand die Frage aufkommt, ob im eigenen Netzwerk etwas passiert, das nicht passieren dürfte, richtet sich der erste Gedanke fast immer auf Personal. Wer sieht sich die Daten an? Diese Frage führt in eine Sackgasse, weil sie einen Engpass vergrößern will, der sich nicht vergrößern lässt. Der tragfähige Weg verschiebt die Arbeit: Das Sichten übernimmt die Maschine, das Entscheiden bleibt beim Menschen. Was dabei realistisch möglich ist und wo die Grenze verläuft, beschreibt dieser Artikel.
Der Reflex heißt Personal
Ein mittelständisches Unternehmen mit 200 Mitarbeitern betreibt schnell 400 bis 600 vernetzte Geräte. Notebooks, Server, Drucker, Kameras, Klimatechnik, Maschinensteuerungen, Telefone, das Gäste-WLAN. Jedes davon kommuniziert, viele davon rund um die Uhr.
Betreut wird das in der Regel von ein bis zwei Personen, die daneben auch für Backups, Endgeräte, Datenschutz, Lizenzen und den Drucker im zweiten Stock zuständig sind. Kommt nun die Anforderung dazu, den Netzwerkverkehr auf sicherheitsrelevante Auffälligkeiten zu prüfen, lautet die naheliegende Antwort: dafür brauchen wir jemanden.
Die Rechnung geht selten auf. Laut Bitkom fehlten in Deutschland zuletzt rund 149.000 IT-Fachkräfte, eine offene IT-Stelle blieb durchschnittlich 7,7 Monate unbesetzt. Wer eine Security-Rolle ausschreibt, konkurriert dabei mit Konzernen und Dienstleistern um dieselben Kandidaten. Und selbst bei erfolgreicher Besetzung bleibt eine Person eine Person: acht Stunden am Tag, fünf Tage die Woche, gegen einen Datenstrom, der keine Pause macht.
Der Engpass ist nicht die Datenmenge
Netzwerkdaten zu erzeugen ist trivial. Ein Mitschnitt des Verkehrs an einem einzigen Switch produziert in wenigen Stunden mehr Zeilen, als ein Mensch in einem Arbeitsleben liest. Der Engpass liegt eine Ebene höher: bei der Aufmerksamkeit.
Menschliche Aufmerksamkeit ist die knappste Ressource im Sicherheitsbetrieb und die einzige, die sich nicht durch Einkauf skalieren lässt. Sie hat außerdem eine unangenehme Eigenschaft: Sie verbraucht sich an Wiederholung. Wer täglich hundert Meldungen ansieht, von denen 98 belanglos sind, wird die beiden anderen mit hoher Wahrscheinlichkeit ebenfalls durchwinken. Das ist keine Nachlässigkeit, sondern eine bekannte Eigenschaft von Wahrnehmung unter Reizüberflutung.
Genau hier scheitern viele Projekte, die technisch sauber aufgesetzt waren. Die Daten sind da, die Regeln greifen, die Meldungen laufen auf. Nur sieht sie niemand mehr an.
Was die Maschine übernimmt und was nicht
Die tragfähige Aufteilung ergibt sich aus dem, was beide Seiten tatsächlich gut können.
| Aufgabe | Wer sie sinnvoll übernimmt |
|---|---|
| Vollständigen Netzwerkverkehr erfassen, ohne Lücken | Maschine |
| Normales Betriebsbild lernen und Abweichungen davon markieren | Maschine |
| Ereignisse aus verschiedenen Quellen zeitlich und logisch zusammenführen | Maschine |
| Wiederkehrendes Rauschen aussortieren | Maschine |
| Beurteilen, ob eine Auffälligkeit im eigenen Betrieb erklärbar ist | Mensch |
| Entscheiden, ob getrennt, gesperrt, eskaliert oder abgewartet wird | Mensch |
| Verantwortung gegenüber Geschäftsführung, Prüfern und Versicherern tragen | Mensch |
Die Trennlinie verläuft zwischen Sichten und Entscheiden. Alles, was Vollständigkeit, Ausdauer und Mustererkennung über große Mengen verlangt, ist maschinelles Terrain. Alles, was Kontextwissen über den eigenen Betrieb verlangt, bleibt menschlich und wird es auf absehbare Zeit bleiben.
Ein Beispiel dafür, warum das so ist: Ein Server, der um 3 Uhr nachts größere Datenmengen zu einer Adresse im Ausland überträgt, ist ein technisch identisches Ereignis, egal ob dahinter ein neu eingerichtetes Backup beim Dienstleister steht oder ein Abfluss von Konstruktionsdaten. Das System kann die Übertragung finden, einordnen und melden. Welche der beiden Erklärungen zutrifft, weiß nur jemand, der weiß, was letzte Woche beauftragt wurde.
Die Frage verschiebt sich
Damit ändert sich die Ausgangsfrage. Sie lautet nicht mehr: Wer liest die Daten? Sondern: Was landet auf dem Tisch der Leute, die wir ohnehin haben, und in welchem Zustand?
Der Unterschied ist praktisch. Im ersten Fall wird Kapazität gesucht, die es am Arbeitsmarkt nicht gibt. Im zweiten Fall wird vorhandene Kapazität an die Stelle verlagert, an der sie den größten Unterschied macht.
Das hat eine Konsequenz für die Auswahl von Werkzeugen. Ein System, das Sicherheitsarbeit erst ermöglicht, nachdem jemand Use Cases definiert, Regeln geschrieben und Schwellwerte gepflegt hat, verschiebt den Engpass nur nach vorn. Es verlangt am Anfang genau die Ressource, die fehlt. Diese Anforderung ist einer der Gründe, warum klassische SIEM-Einführungen im Mittelstand häufig stecken bleiben, was wir in einem eigenen Artikel zu Detection-Lücken im SIEM genauer aufschlüsseln. Eine Auswertung von CardinalOps aus 2025 kam zu dem Ergebnis, dass produktive SIEM-Regelwerke im Durchschnitt rund 21 Prozent der Techniken aus dem MITRE-ATT&CK-Katalog abdecken, obwohl im Schnitt weit über 13.000 Regeln aktiv waren. Aufwand und Abdeckung hängen also nur lose zusammen.
Wo die Grenze liegt
An dieser Stelle ist Nüchternheit angebracht, weil der Markt an genau dieser Stelle gern zu weit geht.
Automatisierte Erkennung und Korrelation im Netzwerk sind heute Standard und funktionieren ohne eigenes Sicherheitsteam. Was daraus regelmäßig gemacht wird, nämlich das Versprechen einer Instanz, die den Vorfall untersucht, bewertet, priorisiert und im Zweifel gleich behebt, ist etwas anderes. Wer solche Funktionen anbietet, betreibt sie in aller Regel in einer Cloud-Umgebung, oft außerhalb Deutschlands, und mit Zugriff auf die Daten seiner Kunden.
AEGYS bietet diese Ebene bewusst nicht an. Die Auswertung läuft in Deutschland, und was das System liefert, ist eine Sicht auf das, was passiert, mit Einordnung und Priorität. Die Bewertung im eigenen Kontext und die Entscheidung darüber, was daraus folgt, bleiben beim Kunden oder bei dessen Dienstleister. Ebenso wenig greift das System aktiv in den Netzwerkverkehr ein: Es blockiert nicht, es isoliert nicht, es ersetzt weder Firewall noch Endpoint-Schutz.
Das ist keine Einschränkung, die wir wegverhandeln möchten, sondern die Position, auf der die gesamte Konstruktion ruht. Ein System, das sieht und berichtet, lässt sich neben alles Vorhandene stellen, ohne dass etwas abgelöst, umgestellt oder freigeräumt werden muss.
Woran Sie erkennen, ob Sie das Problem haben
Vier Fragen, die sich ohne Werkzeug beantworten lassen:
- Wenn heute ein Gerät in Ihrem Netz mit einem unbekannten Ziel im Ausland kommuniziert, wie lange dauert es, bis das jemandem auffällt?
- Wer hat zuletzt in die Netzwerkdaten gesehen, und aus welchem Anlass?
- Wenn Ihre Versicherung oder ein Prüfer nach dem Nachweis einer Angriffserkennung fragt, worauf zeigen Sie?
- Falls es Meldungen gibt: Wie viele davon werden regelmäßig geöffnet, und wie viele geschlossen, ohne geöffnet worden zu sein?
Wenn bei mindestens zwei dieser Fragen die ehrliche Antwort unangenehm ausfällt, liegt das selten an den Menschen, die diese Arbeit machen. Es liegt daran, dass ihnen eine Aufgabe zugeteilt wurde, die in dieser Form keine Person erledigen kann.
Take-Away in drei Sätzen
- Der Engpass bei der Auswertung von Netzwerkdaten ist nicht die Datenmenge, sondern menschliche Aufmerksamkeit, und die lässt sich nicht einkaufen.
- Tragfähig ist die Aufteilung nach Fähigkeit: Erfassen, Korrelieren und Aussortieren maschinell, Bewerten und Entscheiden menschlich.
- Alles, was darüber hinaus versprochen wird, insbesondere automatisierte Bewertung und Behebung, verlangt Zugriff auf Ihre Daten in einer fremden Umgebung und verdient eine gesonderte Prüfung.
Häufige Fragen zur Auswertung von Netzwerkdaten
Sie wissen nicht, wie es bei Ihnen um die Auswertung steht?
In fünf Minuten haben Sie eine Einschätzung, an welcher Stelle Ihrer Aufstellung die Auswertung hängt. Acht Fragen, Ergebnis sofort, keine Anmeldung.
Oder 15 Minuten am Telefon zur Einordnung. Wenn es nicht passt, sagen wir das. Kontakt
Wie kontinuierliche Netzwerksicht in der Praxis aussieht, steht auf der Seite zu AEGYS Pulse.
Quellen
- Bitkom, Februar 2025 — 149.000 unbesetzte IT-Stellen, durchschnittliche Vakanzdauer 7,7 Monate
- CardinalOps, State of SIEM Detection Risk 2025 — Abdeckung von MITRE-ATT&CK-Techniken durch produktive SIEM-Regelwerke
- MITRE ATT&CK — Referenzkatalog für Angriffstechniken