Einstieg in die Abwehr

Alarme sichten, statt Angriffe zu fahren

Die erste Stufe im Security Operations Center lebt von Sorgfalt und Wiederholung, und der Wert der Arbeit entsteht in den wenigen Alarmen, hinter denen wirklich etwas steckt.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Seit 1997 am Markt Kleine Gruppen Präsenz und Live-Online Zertifizierte Trainer
Worum es geht

Der Beruf wird über Angriffstechniken beworben und über Schichtpläne organisiert

Wer sich über Videos und Kursbeschreibungen dem Thema nähert, erwartet Analyse am offenen Netzwerkmitschnitt und das Aufdecken eines Angriffs. Die erste Stufe im Schichtbetrieb sieht anders aus: Der weit überwiegende Teil der Alarme ist erklärbar, und die Arbeit besteht darin, diese Erklärung schnell zu finden, sie so aufzuschreiben, dass die nächste Schicht sie versteht, und den Alarm zu schließen.

Das ist keine Nebensache, sondern der eigentliche Beruf. Wer Fehlalarme schludrig schließt, verschiebt die Arbeit in die nächste Schicht und deckt irgendwann einen echten Fall mit zu. Wer jeden Alarm eskaliert, weil er sich nicht festlegen will, macht die zweite Stufe zum Flaschenhals und wird nach wenigen Wochen darauf angesprochen.

Dazu kommt die Belastung durch das Schichtmodell. Ein Betrieb rund um die Uhr bedeutet Nachtdienste, verschobene Wochenenden und einen Schlafrhythmus, der sich nie ganz einpendelt. Das ist der häufigste Grund, aus dem Leute die Rolle nach ein paar Jahren verlassen, und es gehört in die Entscheidung hinein, nicht erst in das zweite Jahr.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Schritt für Schritt

Sechs Schritte vom Vorwissen zur ersten Schicht

Der Weg hinein läuft über nachweisbares Grundverständnis und über eine Bewerbung, in der du selbst prüfst, ob die Stelle eine Einarbeitung vorsieht. Die Reihenfolge ist hier wichtiger als das Tempo, weil jeder Schritt den nächsten überhaupt erst lesbar macht.

  1. 1

    Netzwerk und Betriebssystem auf Arbeitsniveau bringen

    Du musst einen Verbindungsaufbau erklären können, wissen, was ein Proxy im Protokoll hinterlässt, und den Unterschied zwischen einer Anmeldung direkt am Gerät, einer Anmeldung über das Netz und einem Fernzugriff benennen. Ohne diesen Unterbau liest du Alarme wie eine Fremdsprache und bleibst auf die Einschätzung anderer angewiesen.

    Geschafft, wenn: Du kannst einen Netzwerkmitschnitt öffnen und Schritt für Schritt sagen, was passiert ist.

  2. 2

    Die Logquellen kennenlernen, aus denen Alarme entstehen

    Im Windows-Sicherheitsprotokoll sind vor allem die erfolgreiche Anmeldung mit dem Ereignis 4624 und der Start eines Prozesses mit dem Ereignis 4688 interessant, dazu die Anmeldeart, die eine Anmeldung über das Netz von einem Fernzugriff unterscheidet. Daneben stehen Proxy, DNS, Firewall und die Meldungen der Endpunktlösung. Wer die Rohereignisse kennt, sortiert Fehlalarme schneller aus, weil er weiß, wie der Normalfall aussieht.

    Geschafft, wenn: Du findest zu einem Alarm die zugehörigen Rohereignisse, ohne jemanden zu fragen.

  3. 3

    Ein SIEM anfassen und eigene Abfragen schreiben

    Besorg dir eine Testumgebung, schick eigene Ereignisse hinein und schreib Abfragen darauf, in Microsoft Sentinel etwa in der Abfragesprache KQL. Wichtiger als die Syntax ist die Erfahrung, dass eine Erkennung immer zwischen zu vielen Fehlalarmen und zu vielen übersehenen Fällen abwägt und dass diese Abwägung jemand bewusst trifft.

    Geschafft, wenn: Du kannst eine einfache Erkennung selbst bauen und benennen, wo sie danebengreift.

  4. 4

    Triage üben, bis die Begründung sitzt

    Nimm dir einen nachgestellten Vorfall vor und arbeite ihn vollständig durch: Alarm, Hypothese, geprüfte Belege, Entscheidung, schriftliche Begründung. Beschreib das Verhalten dabei mit den Taktiken und Techniken aus MITRE ATT&CK. Genau diese Notiz ist das, was du in einer Bewerbung vorzeigen kannst, und sie wirkt stärker als eine weitere Zeile im Lebenslauf.

    Geschafft, wenn: Du hast zwei bis drei durchgearbeitete Fälle schriftlich vorliegen.

  5. 5

    Ein Zertifikat wählen, das zur Zielumgebung passt

    Wenn die Wunscharbeitgeber auf Microsoft setzen, ist die Prüfung zum Security Operations Analyst der passende Nachweis, weil sie Sentinel und Defender abdeckt. Für den herstellerunabhängigen Einstieg in die Arbeitsweise eines SOC eignet sich der Certified SOC Analyst, für die Erstreaktion der Certified Incident Handler. Kein Zertifikat ersetzt die durchgearbeiteten Fälle, es öffnet nur die Vorauswahl.

    Geschafft, wenn: Du kannst begründen, warum du genau diese Prüfung gewählt hast.

  6. 6

    Im Gespräch die Fragen stellen, die über das erste Jahr entscheiden

    Frag nach der Stufenstruktur, nach der Zahl der Alarme pro Schicht, danach, ob es geschriebene Abläufe für die häufigen Fälle gibt, wie lange die Einarbeitung dauert und ob jemand für Rückfragen erreichbar ist. Frag außerdem, ob das Team seine Erkennungsregeln selbst pflegt. Wo das der Fall ist, gibt es einen Weg aus der reinen Alarmbearbeitung heraus.

    Geschafft, wenn: Du weißt vor der Zusage, ob dich eine Einarbeitung erwartet oder eine Warteschlange.

Ein Alarm in sechs Schritten

  1. 01 Eine Erkennungsregel schlägt an und erzeugt einen Alarm mit Zeitstempel.
  2. 02 Du prüfst zuerst, ob Nutzer, Gerät und Uhrzeit zueinander passen.
  3. 03 Du holst die Rohereignisse dazu und suchst nach Belegen statt nach Bestätigung.
  4. 04 Du entscheidest zwischen Fehlalarm und Fall und schreibst die Begründung auf.
  5. 05 Ein echter Fall geht mit Zeitleiste und offenen Fragen an die nächste Stufe.
  6. 06 Wiederkehrende Fehlalarme gehen an die Regel zurück, nicht in die nächste Schicht.
Was du mitnimmst

Was du für die erste Schicht wirklich mitbringen musst

Der Quereinstieg gelingt nicht über Angriffswerkzeuge, sondern über das Verständnis dessen, was in einem Netz normal aussieht. Alles, was danach kommt, ist Umgang mit den Werkzeugen und lässt sich im Betrieb lernen.

Erkennen, was normal aussieht

Eine Anmeldung um drei Uhr nachts ist im Rechenzentrum unauffällig und in der Buchhaltung ein Fall. Diese Einordnung braucht Wissen über die Umgebung, nicht über Angriffe, und sie ist der Grund, warum Leute aus Administration und Anwenderbetreuung im Schichtbetrieb schnell nützlich werden.

Die Rohereignisse hinter dem Alarm lesen

Ein Alarm ist die Meinung einer Regel. Belastbar wird die Einschätzung erst, wenn du die Ereignisse dahinter aufmachst, also im Windows-Sicherheitsprotokoll die erfolgreiche Anmeldung mit ihrer Anmeldeart und den Start des zugehörigen Prozesses, dazu die Einträge aus Proxy, DNS und Firewall.

Eine Hypothese aufstellen und sie widerlegen wollen

Die häufigste Fehlerquelle in der Triage ist die Suche nach Bestätigung. Wer als Erstes fragt, welche harmlose Erklärung es geben könnte, und diese gezielt prüft, kommt schneller zu einer belastbaren Entscheidung als jemand, der Belege für den Verdacht sammelt.

So schreiben, dass die nächste Schicht weiterarbeiten kann

In den Fall gehören Zeitleiste, geprüfte Punkte, Belege und die offene Frage. Wer nur schreibt, dass etwas unauffällig war, zwingt den nächsten Menschen, alles noch einmal zu machen. Diese Notiz ist die Arbeitsprobe, an der du in den ersten Monaten gemessen wirst.

Wiederkehrende Fehlalarme in die Regel zurückspielen

Wenn dieselbe Sicherungssoftware jede Nacht denselben Alarm auslöst, ist das kein Schicksal, sondern eine Regel, die eine Ausnahme braucht. Wer solche Fälle sammelt und begründet weitergibt, macht sich in Richtung der zweiten Stufe sichtbar.

Beobachtungen in einer gemeinsamen Sprache beschreiben

Mit den Taktiken und Techniken aus MITRE ATT&CK benennst du ein Verhalten so, dass jeder im Team dasselbe darunter versteht, und die Übergabe an die nächste Stufe verliert unterwegs weniger Information.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Was in der Schicht tatsächlich passiert

Eine Schicht beginnt mit der Übergabe: offene Fälle, laufende Untersuchungen, bekannte Störungen, angekündigte Wartungsarbeiten. Danach arbeitest du die Warteschlange ab, nach Schwere und Alter sortiert. Für die häufigen Alarme gibt es in gut geführten Teams geschriebene Abläufe, die sagen, welche Belege zu prüfen sind und ab wann eskaliert wird. Gemessen wirst du an der Zeit bis zur ersten Sichtung und daran, wie viele deiner Entscheidungen die nächste Stufe später kassiert.

Der Schichtdienst ist arbeitsrechtlich geregelt, und diese Regeln kennen erstaunlich wenige Bewerber. Nachtarbeit begründet nach dem Arbeitszeitgesetz einen Anspruch auf arbeitsmedizinische Untersuchung vor Beginn der Tätigkeit und danach in regelmäßigen Abständen, ab dem fünfzigsten Lebensjahr jährlich. Wer ein Kind unter zwölf Jahren zu versorgen hat oder Angehörige pflegt, kann die Umsetzung auf einen Tagesarbeitsplatz verlangen, sofern dem keine dringenden betrieblichen Gründe entgegenstehen. Ohne Tarifvertrag schuldet der Arbeitgeber für Nachtarbeitsstunden bezahlte freie Tage oder einen angemessenen Zuschlag.

Beim Verdienst wirken sich diese Zuschläge stärker aus, als der Stundensatz vermuten lässt, denn Zuschläge für Sonntags-, Feiertags- und Nachtarbeit sind unter den Bedingungen des Einkommensteuergesetzes in Grenzen steuerfrei. Wer zwei Angebote vergleicht, sollte deshalb nicht nur auf das Grundgehalt sehen, sondern auf das Schichtmodell, die Zuschlagsregelung und die Zahl der Nachtdienste im Turnus.

Der Weg hinein, und welche Nachweise dabei zählen

Aus der Systemadministration und aus der Anwenderbetreuung ist der Weg am kürzesten, weil du weißt, wie eine Umgebung im Normalbetrieb aussieht, und weil du Ticketarbeit gewohnt bist. Aus der Netzwerktechnik kommst du mit dem Protokollverständnis, das viele Quereinsteiger erst mühsam aufbauen. Aus fachfremden Berufen ist der Einstieg möglich, dauert aber länger, weil die Grundlagen in Netzwerk und Windows nicht abkürzbar sind.

Bei den Nachweisen wird gern überschätzt, was ein Zertifikat leistet. Es bringt dich durch die Vorauswahl und beweist, dass du dich strukturiert mit dem Feld befasst hast. Im Gespräch fällt dagegen sofort auf, wer nie eine Abfrage geschrieben und nie einen Fall zu Ende dokumentiert hat. Deshalb ist die Kombination wirksam: eine Prüfung, die zur Zielumgebung passt, und zwei oder drei schriftlich durchgearbeitete Fälle aus einer Übungsumgebung.

Nicht gefragt ist beim Einstieg offensives Wissen. Es schadet nicht, ein Angriffsmuster selbst nachgestellt zu haben, aber niemand stellt jemanden für die erste Stufe ein, weil er Werkzeuge zum Angriff bedienen kann. Gefragt sind Ausdauer bei wiederholter Arbeit, ein sauberer schriftlicher Ausdruck und die Bereitschaft, eine Entscheidung zu treffen und sie zu begründen.

Was zwei Leute nach zwei Jahren unterscheidet

Die eine Person klickt denselben Fehlalarm zweihundert Mal weg. Die andere schreibt nach dem dritten Mal auf, welche Bedingung ihn zuverlässig erklärt, und schlägt eine Ausnahme vor. Nach zwei Jahren hat die zweite Person die Warteschlange des ganzen Teams verkürzt und einen nachweisbaren Beitrag, der über die eigene Schicht hinausreicht.

Der zweite Unterschied ist die Neugier auf die Umgebung. Wer weiß, welche Anwendungen im Haus laufen, welche Dienstkonten es gibt und wann die Sicherung startet, entscheidet schneller und irrt seltener. Dieses Wissen steht in keinem Kurs, es entsteht durch Fragen an die Administration, und wer es sich holt, wird zur Anlaufstelle für die anderen.

Der dritte Unterschied betrifft die Sprache. Wer einen Fall so übergibt, dass die zweite Stufe ohne Rückfrage weiterarbeiten kann, wird dort schnell als jemand wahrgenommen, mit dem sich arbeiten lässt. Genau über diesen Weg werden Stellen in der zweiten Stufe besetzt, seltener über Ausschreibungen.

Wohin die Rolle führt

Der übliche nächste Schritt ist die zweite Stufe, in der du nicht mehr triagierst, sondern untersuchst: Wie ist jemand hereingekommen, was wurde erreicht, was muss zurückgebaut werden. Von dort führt der Weg in die Erstreaktion bei Vorfällen und in die digitale Forensik, wo Datenträger und Arbeitsspeicher ausgewertet werden und es auf Beweissicherung ankommt.

Die zweite Richtung ist das Bauen der Erkennung selbst. Wer Regeln schreibt, statt Alarme abzuarbeiten, verschiebt seine Arbeit vom Einzelfall auf das System, das die Einzelfälle erzeugt. Hier zahlt sich aus, wer im Schichtbetrieb gesammelt hat, welche Regeln in der eigenen Umgebung Lärm machen. Verwandt dazu ist die Jagd nach Auffälligkeiten ohne vorherigen Alarm, für die man beides braucht, Umgebungswissen und Angreiferwissen.

Die dritte Richtung führt heraus aus dem Schichtbetrieb, in die Steuerung der Informationssicherheit. Dort geht es um Vorgaben, Prüfungen und Nachweise statt um Alarme, und der Schichtdienst entfällt. Wer offensiv weitermachen will, wechselt in Richtung Sicherheitsprüfung von Systemen, was ein anderer Beruf ist und nicht die Fortsetzung dieses Wegs.

Warum auf dieser Seite keine Gehaltszahl steht

Die IT-Sicherheit hat in der Klassifikation der Berufe, nach der die amtliche Verdiensterhebung rechnet, keine eigene Berufsgattung. Die Tätigkeiten verteilen sich auf IT-Systemadministration, IT-Netzwerktechnik und Informatik, je nachdem, wie eine Stelle im Betrieb zugeschnitten und gemeldet ist. Welche dieser Zellen wir hier abbilden, wäre unsere Auswahl und keine Erhebung, deshalb steht hier keine Zahl.

Erschwerend kommt hinzu, dass der Verdienst in dieser Rolle stark am Schichtmodell hängt. Zwei Stellen mit demselben Grundgehalt liegen am Jahresende weit auseinander, wenn die eine einen Turnus mit Nachtdiensten und die andere reinen Tagdienst mit Rufbereitschaft vorsieht. Eine einzelne Zahl könnte diesen Unterschied gar nicht abbilden.

Belegbar ist die Branchenebene. Das Statistische Bundesamt weist für die Branche Information und Kommunikation den durchschnittlichen Bruttojahresverdienst Vollzeitbeschäftigter aus, einschließlich Sonderzahlungen. Der Wert zeigt die Höhenlage einer Branche und nicht den Verdienst dieser Rolle, denn er umfasst alle Beschäftigten und ist ein Durchschnitt, den Spitzenverdienste nach oben ziehen. Für die eigene Verhandlung ist er ein Anhaltspunkt, kein Beleg.

Dazu passende Kurse

Den Umgang mit SIEM, Netzwerkmitschnitt und Erstreaktion üben die Kurse zur Erkennung und Abwehr von Angriffen an nachgestellten Vorfällen.

Wer die Grundlagen in Netzwerk und Windows erst noch aufbauen muss, holt sich den Unterbau über Kurse zum Betrieb von Servern und Verzeichnisdiensten .

Was verdient man

Warum es zu dieser Rolle keine amtliche Zahl gibt

Für den SOC-Analysten gibt es keine amtliche Zahl, weil die IT-Sicherheit in der Klassifikation der Berufe keine eigene Gattung hat und sich über Administration, Netzwerktechnik und Informatik verteilt. Welche dieser Zellen wir zeigen würden, wäre unsere Auswahl und keine Erhebung. Dazu kommt, dass in dieser Rolle Schichtzulagen und Zuschläge einen erheblichen Teil des Jahresverdienstes ausmachen, den eine Monatszahl ohnehin nicht abbildet. Belegbar bleibt die Branchenebene, also der durchschnittliche Bruttojahresverdienst Vollzeitbeschäftigter in Information und Kommunikation, der Sonderzahlungen einschließt und nur eine Größenordnung anzeigt.

Ein sehr gutes, praxisorientiertes und nachhaltiges Seminar. So sollte es immer sein. Vielen Dank.
LimeSurvey - Anwendertraining Teil 1 (Grundlagen)
Ein sehr guter und verständlicher Überblick über die Grundlagen im Umgang mit BricsCAD.
BricsCAD 2D Schulung Grundkurs
Alle meine Erwartungen wurden erfüllt und ich habe mich sehr gut aufgenommen gefühlt, jede Frage wurden Probleme direkt beseitigt.
BricsCAD 3D Schulung - Grundlagen

Häufige Fragen

Kann ich ohne IT-Ausbildung als SOC-Analyst einsteigen?
Ja, das kommt regelmäßig vor, verlangt aber Vorarbeit. Netzwerkgrundlagen und der Umgang mit Windows-Ereignisprotokollen sind nicht abkürzbar, weil du sonst jeden Alarm nur weiterreichen kannst. Wer diese Grundlagen aufgebaut und zwei bis drei Fälle in einer Übungsumgebung schriftlich durchgearbeitet hat, wird in der Vorauswahl ernst genommen.
Muss ich wirklich nachts arbeiten?
In einem Betrieb rund um die Uhr ja, und das ist die ehrlichste Auskunft zu diesem Beruf. Es gibt Teams mit erweiterten Tagesdiensten und Rufbereitschaft statt durchgehender Nachtschicht, meist bei Dienstleistern mit Kunden in einer einzigen Zeitzone. Frag im Gespräch nach dem Turnus, der Zahl der Nachtdienste und der Zuschlagsregelung, bevor du zusagst.
Was unterscheidet den SOC-Analysten vom Penetration Tester?
Der SOC-Analyst arbeitet dauerhaft, breit und reagierend an der eigenen Umgebung. Der Penetration Tester arbeitet zeitlich befristet, zielgerichtet und im Auftrag gegen ein abgegrenztes System. Beide brauchen dieselben Grundlagen, aber der Alltag, die Arbeitszeiten und die Nachweise unterscheiden sich vollständig.
Welches Zertifikat bringt für den Einstieg am meisten?
Das hängt an der Zielumgebung. Wo Microsoft gesetzt ist, passt die Prüfung zum Security Operations Analyst, weil sie Sentinel und Defender abdeckt. Herstellerunabhängig ordnet der Certified SOC Analyst die Arbeitsweise eines SOC, und für die Erstreaktion gibt es den Certified Incident Handler. Alle drei öffnen die Vorauswahl, keiner ersetzt eine durchgearbeitete Fallakte.

Passt thematisch dazu

Sobald aus dem Alarm ein bestätigter Vorfall wird, entscheidet sich in der ersten Stunde, was du bei einem übernommenen Server zuerst sicherst und was du nicht anfasst .

Wenn personenbezogene Daten betroffen sind, wird aus der Alarmsichtung eine Fristenfrage, denn wann die 72-Stunden-Frist für eine Meldung zu laufen beginnt , richtet sich nach dem Bekanntwerden und nicht nach dem Vorfall.

Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem IT-Berufe-Programm den passenden Kurs für deinen Stand zu finden.

Norbert Jansen

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.

Einmal durch einen Vorfall, bevor er dir in der Schicht begegnet

Wer Triage, Netzwerkanalyse und Erstreaktion an einem nachgestellten Vorfall geübt hat, geht mit einer Arbeitsprobe ins Gespräch statt mit einer Absichtserklärung, und genau daran arbeitest du bei cmt.