Alarme sichten, statt Angriffe zu fahren
Die erste Stufe im Security Operations Center lebt von Sorgfalt und Wiederholung, und der Wert der Arbeit entsteht in den wenigen Alarmen, hinter denen wirklich etwas steckt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Beruf wird über Angriffstechniken beworben und über Schichtpläne organisiert
Wer sich über Videos und Kursbeschreibungen dem Thema nähert, erwartet Analyse am offenen Netzwerkmitschnitt und das Aufdecken eines Angriffs. Die erste Stufe im Schichtbetrieb sieht anders aus: Der weit überwiegende Teil der Alarme ist erklärbar, und die Arbeit besteht darin, diese Erklärung schnell zu finden, sie so aufzuschreiben, dass die nächste Schicht sie versteht, und den Alarm zu schließen.
Das ist keine Nebensache, sondern der eigentliche Beruf. Wer Fehlalarme schludrig schließt, verschiebt die Arbeit in die nächste Schicht und deckt irgendwann einen echten Fall mit zu. Wer jeden Alarm eskaliert, weil er sich nicht festlegen will, macht die zweite Stufe zum Flaschenhals und wird nach wenigen Wochen darauf angesprochen.
Dazu kommt die Belastung durch das Schichtmodell. Ein Betrieb rund um die Uhr bedeutet Nachtdienste, verschobene Wochenenden und einen Schlafrhythmus, der sich nie ganz einpendelt. Das ist der häufigste Grund, aus dem Leute die Rolle nach ein paar Jahren verlassen, und es gehört in die Entscheidung hinein, nicht erst in das zweite Jahr.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Sechs Schritte vom Vorwissen zur ersten Schicht
Der Weg hinein läuft über nachweisbares Grundverständnis und über eine Bewerbung, in der du selbst prüfst, ob die Stelle eine Einarbeitung vorsieht. Die Reihenfolge ist hier wichtiger als das Tempo, weil jeder Schritt den nächsten überhaupt erst lesbar macht.
- 1
Netzwerk und Betriebssystem auf Arbeitsniveau bringen
Du musst einen Verbindungsaufbau erklären können, wissen, was ein Proxy im Protokoll hinterlässt, und den Unterschied zwischen einer Anmeldung direkt am Gerät, einer Anmeldung über das Netz und einem Fernzugriff benennen. Ohne diesen Unterbau liest du Alarme wie eine Fremdsprache und bleibst auf die Einschätzung anderer angewiesen.
Geschafft, wenn: Du kannst einen Netzwerkmitschnitt öffnen und Schritt für Schritt sagen, was passiert ist.
- 2
Die Logquellen kennenlernen, aus denen Alarme entstehen
Im Windows-Sicherheitsprotokoll sind vor allem die erfolgreiche Anmeldung mit dem Ereignis 4624 und der Start eines Prozesses mit dem Ereignis 4688 interessant, dazu die Anmeldeart, die eine Anmeldung über das Netz von einem Fernzugriff unterscheidet. Daneben stehen Proxy, DNS, Firewall und die Meldungen der Endpunktlösung. Wer die Rohereignisse kennt, sortiert Fehlalarme schneller aus, weil er weiß, wie der Normalfall aussieht.
Geschafft, wenn: Du findest zu einem Alarm die zugehörigen Rohereignisse, ohne jemanden zu fragen.
- 3
Ein SIEM anfassen und eigene Abfragen schreiben
Besorg dir eine Testumgebung, schick eigene Ereignisse hinein und schreib Abfragen darauf, in Microsoft Sentinel etwa in der Abfragesprache KQL. Wichtiger als die Syntax ist die Erfahrung, dass eine Erkennung immer zwischen zu vielen Fehlalarmen und zu vielen übersehenen Fällen abwägt und dass diese Abwägung jemand bewusst trifft.
Geschafft, wenn: Du kannst eine einfache Erkennung selbst bauen und benennen, wo sie danebengreift.
- 4
Triage üben, bis die Begründung sitzt
Nimm dir einen nachgestellten Vorfall vor und arbeite ihn vollständig durch: Alarm, Hypothese, geprüfte Belege, Entscheidung, schriftliche Begründung. Beschreib das Verhalten dabei mit den Taktiken und Techniken aus MITRE ATT&CK. Genau diese Notiz ist das, was du in einer Bewerbung vorzeigen kannst, und sie wirkt stärker als eine weitere Zeile im Lebenslauf.
Geschafft, wenn: Du hast zwei bis drei durchgearbeitete Fälle schriftlich vorliegen.
- 5
Ein Zertifikat wählen, das zur Zielumgebung passt
Wenn die Wunscharbeitgeber auf Microsoft setzen, ist die Prüfung zum Security Operations Analyst der passende Nachweis, weil sie Sentinel und Defender abdeckt. Für den herstellerunabhängigen Einstieg in die Arbeitsweise eines SOC eignet sich der Certified SOC Analyst, für die Erstreaktion der Certified Incident Handler. Kein Zertifikat ersetzt die durchgearbeiteten Fälle, es öffnet nur die Vorauswahl.
Geschafft, wenn: Du kannst begründen, warum du genau diese Prüfung gewählt hast.
- 6
Im Gespräch die Fragen stellen, die über das erste Jahr entscheiden
Frag nach der Stufenstruktur, nach der Zahl der Alarme pro Schicht, danach, ob es geschriebene Abläufe für die häufigen Fälle gibt, wie lange die Einarbeitung dauert und ob jemand für Rückfragen erreichbar ist. Frag außerdem, ob das Team seine Erkennungsregeln selbst pflegt. Wo das der Fall ist, gibt es einen Weg aus der reinen Alarmbearbeitung heraus.
Geschafft, wenn: Du weißt vor der Zusage, ob dich eine Einarbeitung erwartet oder eine Warteschlange.
Ein Alarm in sechs Schritten
- 01 Eine Erkennungsregel schlägt an und erzeugt einen Alarm mit Zeitstempel.
- 02 Du prüfst zuerst, ob Nutzer, Gerät und Uhrzeit zueinander passen.
- 03 Du holst die Rohereignisse dazu und suchst nach Belegen statt nach Bestätigung.
- 04 Du entscheidest zwischen Fehlalarm und Fall und schreibst die Begründung auf.
- 05 Ein echter Fall geht mit Zeitleiste und offenen Fragen an die nächste Stufe.
- 06 Wiederkehrende Fehlalarme gehen an die Regel zurück, nicht in die nächste Schicht.
Was du für die erste Schicht wirklich mitbringen musst
Der Quereinstieg gelingt nicht über Angriffswerkzeuge, sondern über das Verständnis dessen, was in einem Netz normal aussieht. Alles, was danach kommt, ist Umgang mit den Werkzeugen und lässt sich im Betrieb lernen.
Erkennen, was normal aussieht
Eine Anmeldung um drei Uhr nachts ist im Rechenzentrum unauffällig und in der Buchhaltung ein Fall. Diese Einordnung braucht Wissen über die Umgebung, nicht über Angriffe, und sie ist der Grund, warum Leute aus Administration und Anwenderbetreuung im Schichtbetrieb schnell nützlich werden.
Die Rohereignisse hinter dem Alarm lesen
Ein Alarm ist die Meinung einer Regel. Belastbar wird die Einschätzung erst, wenn du die Ereignisse dahinter aufmachst, also im Windows-Sicherheitsprotokoll die erfolgreiche Anmeldung mit ihrer Anmeldeart und den Start des zugehörigen Prozesses, dazu die Einträge aus Proxy, DNS und Firewall.
Eine Hypothese aufstellen und sie widerlegen wollen
Die häufigste Fehlerquelle in der Triage ist die Suche nach Bestätigung. Wer als Erstes fragt, welche harmlose Erklärung es geben könnte, und diese gezielt prüft, kommt schneller zu einer belastbaren Entscheidung als jemand, der Belege für den Verdacht sammelt.
So schreiben, dass die nächste Schicht weiterarbeiten kann
In den Fall gehören Zeitleiste, geprüfte Punkte, Belege und die offene Frage. Wer nur schreibt, dass etwas unauffällig war, zwingt den nächsten Menschen, alles noch einmal zu machen. Diese Notiz ist die Arbeitsprobe, an der du in den ersten Monaten gemessen wirst.
Wiederkehrende Fehlalarme in die Regel zurückspielen
Wenn dieselbe Sicherungssoftware jede Nacht denselben Alarm auslöst, ist das kein Schicksal, sondern eine Regel, die eine Ausnahme braucht. Wer solche Fälle sammelt und begründet weitergibt, macht sich in Richtung der zweiten Stufe sichtbar.
Beobachtungen in einer gemeinsamen Sprache beschreiben
Mit den Taktiken und Techniken aus MITRE ATT&CK benennst du ein Verhalten so, dass jeder im Team dasselbe darunter versteht, und die Übergabe an die nächste Stufe verliert unterwegs weniger Information.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Was in der Schicht tatsächlich passiert
Eine Schicht beginnt mit der Übergabe: offene Fälle, laufende Untersuchungen, bekannte Störungen, angekündigte Wartungsarbeiten. Danach arbeitest du die Warteschlange ab, nach Schwere und Alter sortiert. Für die häufigen Alarme gibt es in gut geführten Teams geschriebene Abläufe, die sagen, welche Belege zu prüfen sind und ab wann eskaliert wird. Gemessen wirst du an der Zeit bis zur ersten Sichtung und daran, wie viele deiner Entscheidungen die nächste Stufe später kassiert.
Der Schichtdienst ist arbeitsrechtlich geregelt, und diese Regeln kennen erstaunlich wenige Bewerber. Nachtarbeit begründet nach dem Arbeitszeitgesetz einen Anspruch auf arbeitsmedizinische Untersuchung vor Beginn der Tätigkeit und danach in regelmäßigen Abständen, ab dem fünfzigsten Lebensjahr jährlich. Wer ein Kind unter zwölf Jahren zu versorgen hat oder Angehörige pflegt, kann die Umsetzung auf einen Tagesarbeitsplatz verlangen, sofern dem keine dringenden betrieblichen Gründe entgegenstehen. Ohne Tarifvertrag schuldet der Arbeitgeber für Nachtarbeitsstunden bezahlte freie Tage oder einen angemessenen Zuschlag.
Beim Verdienst wirken sich diese Zuschläge stärker aus, als der Stundensatz vermuten lässt, denn Zuschläge für Sonntags-, Feiertags- und Nachtarbeit sind unter den Bedingungen des Einkommensteuergesetzes in Grenzen steuerfrei. Wer zwei Angebote vergleicht, sollte deshalb nicht nur auf das Grundgehalt sehen, sondern auf das Schichtmodell, die Zuschlagsregelung und die Zahl der Nachtdienste im Turnus.
Der Weg hinein, und welche Nachweise dabei zählen
Aus der Systemadministration und aus der Anwenderbetreuung ist der Weg am kürzesten, weil du weißt, wie eine Umgebung im Normalbetrieb aussieht, und weil du Ticketarbeit gewohnt bist. Aus der Netzwerktechnik kommst du mit dem Protokollverständnis, das viele Quereinsteiger erst mühsam aufbauen. Aus fachfremden Berufen ist der Einstieg möglich, dauert aber länger, weil die Grundlagen in Netzwerk und Windows nicht abkürzbar sind.
Bei den Nachweisen wird gern überschätzt, was ein Zertifikat leistet. Es bringt dich durch die Vorauswahl und beweist, dass du dich strukturiert mit dem Feld befasst hast. Im Gespräch fällt dagegen sofort auf, wer nie eine Abfrage geschrieben und nie einen Fall zu Ende dokumentiert hat. Deshalb ist die Kombination wirksam: eine Prüfung, die zur Zielumgebung passt, und zwei oder drei schriftlich durchgearbeitete Fälle aus einer Übungsumgebung.
Nicht gefragt ist beim Einstieg offensives Wissen. Es schadet nicht, ein Angriffsmuster selbst nachgestellt zu haben, aber niemand stellt jemanden für die erste Stufe ein, weil er Werkzeuge zum Angriff bedienen kann. Gefragt sind Ausdauer bei wiederholter Arbeit, ein sauberer schriftlicher Ausdruck und die Bereitschaft, eine Entscheidung zu treffen und sie zu begründen.
Was zwei Leute nach zwei Jahren unterscheidet
Die eine Person klickt denselben Fehlalarm zweihundert Mal weg. Die andere schreibt nach dem dritten Mal auf, welche Bedingung ihn zuverlässig erklärt, und schlägt eine Ausnahme vor. Nach zwei Jahren hat die zweite Person die Warteschlange des ganzen Teams verkürzt und einen nachweisbaren Beitrag, der über die eigene Schicht hinausreicht.
Der zweite Unterschied ist die Neugier auf die Umgebung. Wer weiß, welche Anwendungen im Haus laufen, welche Dienstkonten es gibt und wann die Sicherung startet, entscheidet schneller und irrt seltener. Dieses Wissen steht in keinem Kurs, es entsteht durch Fragen an die Administration, und wer es sich holt, wird zur Anlaufstelle für die anderen.
Der dritte Unterschied betrifft die Sprache. Wer einen Fall so übergibt, dass die zweite Stufe ohne Rückfrage weiterarbeiten kann, wird dort schnell als jemand wahrgenommen, mit dem sich arbeiten lässt. Genau über diesen Weg werden Stellen in der zweiten Stufe besetzt, seltener über Ausschreibungen.
Wohin die Rolle führt
Der übliche nächste Schritt ist die zweite Stufe, in der du nicht mehr triagierst, sondern untersuchst: Wie ist jemand hereingekommen, was wurde erreicht, was muss zurückgebaut werden. Von dort führt der Weg in die Erstreaktion bei Vorfällen und in die digitale Forensik, wo Datenträger und Arbeitsspeicher ausgewertet werden und es auf Beweissicherung ankommt.
Die zweite Richtung ist das Bauen der Erkennung selbst. Wer Regeln schreibt, statt Alarme abzuarbeiten, verschiebt seine Arbeit vom Einzelfall auf das System, das die Einzelfälle erzeugt. Hier zahlt sich aus, wer im Schichtbetrieb gesammelt hat, welche Regeln in der eigenen Umgebung Lärm machen. Verwandt dazu ist die Jagd nach Auffälligkeiten ohne vorherigen Alarm, für die man beides braucht, Umgebungswissen und Angreiferwissen.
Die dritte Richtung führt heraus aus dem Schichtbetrieb, in die Steuerung der Informationssicherheit. Dort geht es um Vorgaben, Prüfungen und Nachweise statt um Alarme, und der Schichtdienst entfällt. Wer offensiv weitermachen will, wechselt in Richtung Sicherheitsprüfung von Systemen, was ein anderer Beruf ist und nicht die Fortsetzung dieses Wegs.
Warum auf dieser Seite keine Gehaltszahl steht
Die IT-Sicherheit hat in der Klassifikation der Berufe, nach der die amtliche Verdiensterhebung rechnet, keine eigene Berufsgattung. Die Tätigkeiten verteilen sich auf IT-Systemadministration, IT-Netzwerktechnik und Informatik, je nachdem, wie eine Stelle im Betrieb zugeschnitten und gemeldet ist. Welche dieser Zellen wir hier abbilden, wäre unsere Auswahl und keine Erhebung, deshalb steht hier keine Zahl.
Erschwerend kommt hinzu, dass der Verdienst in dieser Rolle stark am Schichtmodell hängt. Zwei Stellen mit demselben Grundgehalt liegen am Jahresende weit auseinander, wenn die eine einen Turnus mit Nachtdiensten und die andere reinen Tagdienst mit Rufbereitschaft vorsieht. Eine einzelne Zahl könnte diesen Unterschied gar nicht abbilden.
Belegbar ist die Branchenebene. Das Statistische Bundesamt weist für die Branche Information und Kommunikation den durchschnittlichen Bruttojahresverdienst Vollzeitbeschäftigter aus, einschließlich Sonderzahlungen. Der Wert zeigt die Höhenlage einer Branche und nicht den Verdienst dieser Rolle, denn er umfasst alle Beschäftigten und ist ein Durchschnitt, den Spitzenverdienste nach oben ziehen. Für die eigene Verhandlung ist er ein Anhaltspunkt, kein Beleg.
Dazu passende Kurse
Den Umgang mit SIEM, Netzwerkmitschnitt und Erstreaktion üben die Kurse zur Erkennung und Abwehr von Angriffen an nachgestellten Vorfällen.
Wer die Grundlagen in Netzwerk und Windows erst noch aufbauen muss, holt sich den Unterbau über Kurse zum Betrieb von Servern und Verzeichnisdiensten .
Warum es zu dieser Rolle keine amtliche Zahl gibt
Für den SOC-Analysten gibt es keine amtliche Zahl, weil die IT-Sicherheit in der Klassifikation der Berufe keine eigene Gattung hat und sich über Administration, Netzwerktechnik und Informatik verteilt. Welche dieser Zellen wir zeigen würden, wäre unsere Auswahl und keine Erhebung. Dazu kommt, dass in dieser Rolle Schichtzulagen und Zuschläge einen erheblichen Teil des Jahresverdienstes ausmachen, den eine Monatszahl ohnehin nicht abbildet. Belegbar bleibt die Branchenebene, also der durchschnittliche Bruttojahresverdienst Vollzeitbeschäftigter in Information und Kommunikation, der Sonderzahlungen einschließt und nur eine Größenordnung anzeigt.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
- Cybersecurity-Grundlagenschulung: Risiken erkennen
- Certified SOC-Analyst (CSA)
- SC-200 Training: Microsoft Security Operations Analyst (SC-200T00-A)
- SC-5001 – Konfigurieren von SIEM-Sicherheitsoperationen mit Microsoft Sentinel
- Certified Incident Handler (ECIH v3)
- Wireshark-Schulung: Netzwerkanalyse in der Praxis
Ein sehr gutes, praxisorientiertes und nachhaltiges Seminar. So sollte es immer sein. Vielen Dank.
Ein sehr guter und verständlicher Überblick über die Grundlagen im Umgang mit BricsCAD.
Alle meine Erwartungen wurden erfüllt und ich habe mich sehr gut aufgenommen gefühlt, jede Frage wurden Probleme direkt beseitigt.
Häufige Fragen
Kann ich ohne IT-Ausbildung als SOC-Analyst einsteigen?
Muss ich wirklich nachts arbeiten?
Was unterscheidet den SOC-Analysten vom Penetration Tester?
Welches Zertifikat bringt für den Einstieg am meisten?
Quellen
- MITRE ATT&CK, Wissensbasis zu Taktiken und Techniken von Angreifern
- Microsoft Learn, Windows-Sicherheitsereignis 4624 und verwandte Ereignisse
- § 6 Arbeitszeitgesetz, Nacht- und Schichtarbeit
- § 3b Einkommensteuergesetz, Steuerfreiheit von Zuschlägen für Sonntags-, Feiertags- oder Nachtarbeit
- Statistisches Bundesamt, Bruttojahresverdienste nach Wirtschaftszweigen
- Bundesagentur für Arbeit, Klassifikation der Berufe 2010 in der Fassung 2020
Passt thematisch dazu
Sobald aus dem Alarm ein bestätigter Vorfall wird, entscheidet sich in der ersten Stunde, was du bei einem übernommenen Server zuerst sicherst und was du nicht anfasst .
Wenn personenbezogene Daten betroffen sind, wird aus der Alarmsichtung eine Fristenfrage, denn wann die 72-Stunden-Frist für eine Meldung zu laufen beginnt , richtet sich nach dem Bekanntwerden und nicht nach dem Vorfall.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem IT-Berufe-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Einmal durch einen Vorfall, bevor er dir in der Schicht begegnet
Wer Triage, Netzwerkanalyse und Erstreaktion an einem nachgestellten Vorfall geübt hat, geht mit einer Arbeitsprobe ins Gespräch statt mit einer Absichtserklärung, und genau daran arbeitest du bei cmt.
Passt dazu
- Penetration Tester: es gibt keine Ausbildung dafür, und das ist der eigentliche Punkt
- Netzwerkadministrator werden: der Weg über Grundlagen, Cisco und Automatisierung
- Systemadministrator: was zu der Rolle gehört und was nicht
- IT-Leiter: wo die Rolle aufhört, Technik zu sein