Managed SOC vs. Interner SOC vs. MSSP: Welches Security-Operations-Modell passt zu deutschen mittelständischen Unternehmen?

Die Entscheidung zwischen einem internen Security Operations Center (SOC), einem klassischen Managed Security Service Provider (MSSP) und einem Managed SOC gehört zu den wichtigsten Cybersecurity-Entscheidungen für mittelständische Unternehmen.

Kurz gesagt: Ein internes SOC lohnt sich, wenn maximale Kontrolle gefragt ist und eine 24/7-Besetzung möglich ist. Ein MSSP eignet sich, wenn ein breiteres Spektrum an ausgelagerten Security-Services benötigt wird. Ein Managed SOC ist die richtige Wahl, wenn kontinuierliche Erkennung und Reaktion gefragt sind, ohne das Team selbst aufzubauen.

Für Organisationen in Branchen wie Fertigung, Logistik und Energie, in denen Cybervorfälle die Produktion, Lieferketten oder kritische Dienstleistungen stören können, wird die Wahl des richtigen Betriebsmodells zunehmend zu einer unternehmerischen statt rein technischen Entscheidung.

Cyberangriffe richten sich längst nicht mehr nur gegen Großunternehmen. Mittelständische Organisationen sind zunehmend betroffen, da sie oft komplexe IT-Umgebungen betreiben, aber über weniger dedizierte Sicherheitsressourcen verfügen.

Für Fertigungsunternehmen kann ein Ransomware-Angriff die Produktion zum Stillstand bringen. Logistikunternehmen riskieren Störungen ihrer Lagerverwaltungs- und Transportsysteme. Energieversorger müssen sowohl die Unternehmens-IT als auch operative Umgebungen schützen und gleichzeitig wachsenden regulatorischen Anforderungen gerecht werden.

Auch die regulatorische Landschaft hat sich verändert. Seit dem 6. Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ohne Übergangsfrist in Kraft. Rund 29.500 deutsche Organisationen mit mindestens 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in 18 Sektoren sind betroffen. Unternehmen müssen angemessene Cybersicherheitsmaßnahmen umsetzen und Meldepflichten nach § 30 BSIG erfüllen, bei Nichteinhaltung drohen erhebliche Bußgelder.

Gleichzeitig bleibt die Rekrutierung erfahrener Cybersecurity-Fachkräfte schwierig. Laut Bitkom fehlen in Deutschland rund 109.000 IT-Fachkräfte.

Vor diesem Hintergrund stellen sich viele IT-Verantwortliche dieselbe Frage: Sollten wir ein internes SOC aufbauen, mit einem klassischen MSSP zusammenarbeiten oder einen Managed-SOC-Anbieter beauftragen?

Dieser Leitfaden vergleicht die einzelnen Optionen, erklärt, wann welche sinnvoll ist, und zeigt auf, was mittelständische Unternehmen vor einer Entscheidung berücksichtigen sollten.

Für die meisten mittelständischen Unternehmen hängt die Entscheidung von Kontrolle, verfügbarem Sicherheitspersonal und dem gewünschten Auslagerungsgrad ab. Ein internes SOC bietet die größte Kontrolle, ein Managed SOC reduziert in der Regel die Personalbelastung, ein MSSP ist sinnvoll, wenn ein breiteres Spektrum an Managed-Security-Services benötigt wird.

Ein Security Operations Center überwacht kontinuierlich die IT-Umgebung eines Unternehmens, um Cyberbedrohungen zu erkennen, zu untersuchen und darauf zu reagieren.

Typische Aufgaben umfassen:

• Kontinuierliches Security-Monitoring
• Bedrohungserkennung und Alert-Triage
• Vorfalluntersuchung und -reaktion
• Threat Hunting
• Detection Engineering
• Sicherheitsberichte
• Kontinuierliche Verbesserung von Erkennungsregeln und Playbooks

Die meisten modernen SOCs setzen auf Technologien wie Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR), Identitätsüberwachung, Cloud-Security-Telemetrie und Automatisierung, um verdächtige Aktivitäten in der gesamten Umgebung zu erkennen.

Der Unterschied zwischen den Betriebsmodellen liegt nicht darin, ob diese Funktionen existieren, sondern wer sie ausführt und wie sie bereitgestellt werden. Ein SOC ist eine Sicherheitsfunktion, ein MSSP ist ein Anbietertyp, und ein Managed SOC ist ein ausgelagertes Betriebsmodell für diese Funktion.

Der Aufbau eines internen Security Operations Centers verschafft Ihrem Unternehmen die vollständige Kontrolle über den Sicherheitsbetrieb. Ihr Team definiert Erkennungslogik, Reaktionsprozesse und Prioritäten und entwickelt dabei tiefgreifendes Wissen über die eigene Umgebung.

Der Nachteil ist die operative Komplexität. Der Betrieb eines ausgereiften SOC erfordert sowohl Fachexpertise als auch kontinuierliche Investitionen in Personal und Technologie.

Wichtige Überlegungen:

• Volle Kontrolle über Prozesse, Tools und Prioritäten.
• Für eine echte 24/7-Abdeckung sind in der Regel 8 bis 12 Sicherheitsfachkräfte erforderlich.
• Laufende Investitionen in SIEM, EDR, Threat Intelligence, Detection Engineering und Analysten-Schulungen.
• Die Rekrutierung und Bindung erfahrener Sicherheitsfachkräfte bleibt eine der größten Herausforderungen für deutsche mittelständische Unternehmen.

Für die meisten Organisationen wird ein internes SOC erst ab einer bestimmten Größenordnung des Sicherheitsbetriebs wirtschaftlich. Für viele mittelständische Unternehmen ist es daher noch nicht die passende Lösung.

Viele mittelständische Unternehmen setzen bereits auf einen MSSP, um Teile ihrer Sicherheitsinfrastruktur zu betreiben. Das reduziert den operativen Aufwand und verschafft Zugang zu externer Expertise, ohne ein eigenes SOC aufzubauen.

Umfang und Qualität der MSSP-Leistungen unterscheiden sich jedoch erheblich, weshalb es wichtig ist, genau zu verstehen, was enthalten ist.

Zu prüfende Punkte:

• Sind Monitoring und Incident Response rund um die Uhr verfügbar oder nur während der Geschäftszeiten?
• Werden Alerts von erfahrenen Analysten untersucht oder nur an Ihr Team weitergeleitet?
• Ist die Preisgestaltung planbar oder abhängig von Ereignissen, Datenvolumen oder Einzelleistungen?
• Kennen sich die Analysten mit Ihrer Umgebung aus, und wo befindet sich das Team?

Ein MSSP eignet sich oft gut für Unternehmen, die Infrastruktur- und Sicherheitsmanagement gemeinsam auslagern möchten, sofern der Service zu ihren betrieblichen Anforderungen passt.

Ein Managed SOC konzentriert sich speziell auf kontinuierliche Bedrohungserkennung, Untersuchung und Incident Response. Statt Alerts einfach weiterzuleiten, verifizieren Analysten Vorfälle, unterstützen bei der Eindämmung und arbeiten während sicherheitsrelevanter Ereignisse mit internen IT-Teams zusammen.

Beim Anbietervergleich zählt häufig das Betriebsmodell mehr als die Feature-Liste.

Achten Sie auf Anbieter, die Folgendes bieten:

• Echtes 24/7-Monitoring durch menschliche Analysten.
• Schnelle Eskalation kritischer Vorfälle.
• Transparente, planbare Preisgestaltung.
• Kontinuierliche Verbesserung von Erkennungen und Playbooks.
• Berichte für Management und Technik zu Sicherheit und Compliance.

Ein Beispiel ist der Managed SOC von Pently, der Microsoft Sentinel und Defender XDR mit einem in Deutschland ansässigen Analysten-Team, transparenter Preisgestaltung pro verwaltetem Asset und direkter telefonischer Eskalation an die IT-Teams der Kunden kombiniert. Das Onboarding bei Pently dauert je nach Komplexität der Umgebung in der Regel 2 bis 4 Wochen.

Für Unternehmen, bei denen Ausfallzeiten Lieferung, Versorgung oder Produktionsfähigkeit unmittelbar gefährden, zeigen sich immer wieder dieselben Muster:

1. Identität und Cloud sind genauso wichtig wie Endpunkte

   Wo der Betrieb von Schnittstellen zu Kunden, Partnern oder Subunternehmern abhängt, sind Identitäten und Cloud-Workloads oft der realistischere Angriffsvektor, nicht nur Laptops und Server.

2. IT/OT-Konvergenz vergrößert die Angriffsfläche

   Wo Steuerungssysteme oder industrielle Komponenten vernetzt sind, reicht klassisches Endpoint-Monitoring allein nicht aus; die Use Cases müssen diese Überschneidung berücksichtigen.

3. Die Reaktionsgeschwindigkeit bestimmt das Schadensausmaß

   Ein Ransomware-Vorfall, der eine Produktionslinie, ein Lagersystem oder eine Steuerungsumgebung erreicht, wird umso teurer, je länger Eskalation und Eindämmung dauern. Hier zählen Minuten mehr als Stunden.

Auch die regulatorische Exposition unter NIS2 wird häufig unterschätzt. Einer Gap-Analyse der eigenen NIS2-Pflichten sollte jede Entscheidung für oder gegen einen Managed SOC vorausgehen.

Erfordert NIS2 ein SOC? Nein. NIS2 schreibt kein bestimmtes SOC-Modell vor, verlangt aber angemessene Risikomanagement- und Incident-Handling-Maßnahmen.

Organisationen bleiben dafür verantwortlich, angemessene technische und organisatorische Sicherheitsmaßnahmen umzusetzen, unabhängig davon, ob der Sicherheitsbetrieb intern oder extern erfolgt.

Ein ausgereiftes Managed SOC kann die Compliance jedoch unterstützen, indem es Folgendes bereitstellt:

• Kontinuierliches Monitoring
• Dokumentierte Incident Response
• Management-Berichte
• Security-Playbooks
• Nachweise für Audits
• Dokumentation von Sicherheitsereignissen

Ein Managed SOC sollte daher als ein Baustein einer umfassenderen Cybersecurity- und Governance-Strategie betrachtet werden und nicht als Ersatz für ein Informationssicherheits-Managementsystem (ISMS). Prüfen Sie hier, ob NIS2 für Ihre Organisation gilt.

Beim Anbietervergleich lohnen sich folgende Fragen:

• Ist das Monitoring wirklich rund um die Uhr verfügbar?
• Wer untersucht die Alerts?
• Sitzen die Analysten vor Ort?
• Wie werden Vorfälle eskaliert?
• Ist die Preisgestaltung planbar?
• Welche Microsoft-Sicherheitstechnologien werden unterstützt?
• Wie werden Erkennungen kontinuierlich verbessert?
• Welche Berichte für das Management werden bereitgestellt?
• Wie schnell kann das Onboarding abgeschlossen werden?
• Wie wird die Incident Response mit internen IT-Teams koordiniert?

Diese Fragen offenbaren oft größere Unterschiede, als Marketingmaterial allein zeigt.

Es gibt kein universell richtiges Betriebsmodell.

Ein internes SOC bietet maximale Kontrolle, erfordert aber erhebliche langfristige Investitionen.

Klassische MSSPs können den operativen Aufwand reduzieren, doch Servicequalität und Reaktionsfähigkeit unterscheiden sich zwischen Anbietern erheblich.

Ein Managed SOC bietet eine Alternative für Organisationen, die kontinuierliches Monitoring, Fachexpertise und planbare Betriebskosten suchen, ohne einen eigenen Sicherheitsbetrieb aufzubauen.

Für viele deutsche mittelständische Unternehmen, etwa in Fertigung, Logistik und Energie, hängt die richtige Wahl vom operativen Risiko, den verfügbaren Ressourcen, den Compliance-Anforderungen und der Reife des bestehenden Sicherheitsprogramms ab.

Wenn Sie Ihren aktuellen Sicherheitsbetrieb evaluieren möchten: Pently bietet ein unverbindliches Assessment Ihrer Microsoft-Sicherheitsumgebung an, um zu ermitteln, ob ein internes SOC, ein klassischer MSSP oder ein Managed SOC am besten zu den Anforderungen Ihres Unternehmens passt.

Über den Autor

Bilal El Hassani

Lead Security Advisor bei Pently

Bilal El Hassani begleitet mittelständische Unternehmen von der Betroffenheitsanalyse über den Aufbau eines ISMS bis zur Audit-Vorbereitung. Sein Schwerpunkt liegt auf Informationssicherheit, IT-Security und Strategie. Regulatorische Anforderungen wie NIS-2 übersetzt er in Maßnahmen, die ein IT-Team ohne eigene Security-Abteilung tatsächlich betreiben kann.