Ein anonymisierter, jedoch realer Erfahrungsbericht aus dem Alltag unseres Security Operation Center (SOC) Team
Was ist passiert?
Ende April 2025 meldete unser Security Operations Center (SOC) bei einem Kunden plötzlich verdächtige Aktivitäten auf einem produktiven Server-System. Wenige Augenblicke später stand fest: Ein Angreifer versuchte, eine damals brandneue Sicherheitslücke in SAP NetWeaver auszunutzen, um eine Schadsoftware hochzuladen - der erste Schritt zur vollständigen Kompromittierung. Dank unserer Alarmketten konnten wir den Angriff schon in der Anlaufphase stoppen – bevor Daten entwendet oder Systeme verschlüsselt wurden.
Zum Leuchter Security Operations Center
Die Kurzchronik
- T‑0 Minuten: Unser SOC-Team erkannte mittels einer eigens entwickelten Überwachungsregel ungewöhnliche und viele Systemabfragen auf einem System.
- +1 Minute: Interne Alarmkette springt an: Unser Analyst meldet „Critical“ an das Schicht‑Lead und der Chat‑War‑Room wird automatisch eröffnet.
- +10 Minuten: Erste Verifikation: Es handelt sich um den frisch veröffentlichten SAP‑Zero‑Day (CVE‑2025‑31324).
- +15 Minuten: Automatische Isolation des betroffenen Servers, gleichzeitiges Briefing des Kunden‑IT‑Teams.
- +2 Stunden: Löschung und Blockierung der fremden Datei, umfassende Spurensuche inklusive forensischer Untersuchung abgeschlossen, keine Folgeschäden festgestellt, Server wird entisoliert, Informationssicherung gestartet.
- Am selben Tag: Roll‑out des vom Hersteller bereitgestellten Patches, Präventionsregeln dauerhaft aktiviert.
Eindämmung & Beseitigung
Nach der Erkennung eines Sicherheitsvorfalls ist eine strukturierte und schnelle Reaktion entscheidend, um Schäden zu minimieren und den Geschäftsbetrieb zu schützen. Die Phasen Eindämmung, Beseitigung und Wiederherstellung bilden dabei das Rückgrat jeder effektiven Incident-Response-Strategie.
In der Eindämmungsphase geht es darum, die Ausbreitung des Vorfalls sofort zu stoppen und betroffene Systeme abzusichern. Anschliessend folgt die Beseitigung, bei der die Ursache des Vorfalls nachhaltig entfernt wird. Die letzte Phase, die Wiederherstellung, stellt sicher, dass betroffene Systeme unter sicheren Bedingungen wieder in Betrieb genommen werden und ein erneutes Auftreten verhindert wird.
Warum ist das wichtig?
- Zero‑Days (eine noch unbekannte, ungepatchte Sicherheitsschwachstelle) sind Schnellläufer. Vom ersten öffentlichen Hinweis bis zu aktivem Missbrauch vergingen diesmal nur Stunden. Ohne automatisierte Überwachung wäre das Risiko einer Ransomware‑Forderung oder Datenverlust enorm gewesen.
- Sicherheit ist Teamsport. Unsere SOC‑Analyst*innen arbeiteten Hand in Hand mit dem Kunden: Entscheidend war die klare Rollenverteilung – unser Notfallplan liess keine Zeit für Abstimmungsschleifen.
- Transparenz schafft Vertrauen. Durch fortlaufende Updates wussten alle Stakeholder jederzeit, was gerade passiert. Das nahm viel Druck aus der Situation und beschleunigte Entscheidungen.
Drei zentrale Learnings für alle Unternehmen
- Patch‑Management priorisieren – für alle Systeme
Ob SAP, Windows, Linux, Netzwerk‑Appliance oder Cloud‑Dienst: Kritische Updates gehören so schnell wie möglich eingespielt. Ein einziges ungepatchtes System kann das gesamte Unternehmen gefährden. - Alarmketten regelmässig testen
Ein Sicherheitsalarm nützt wenig, wenn er unbemerkt bleibt, weil das Bereitschaftstelefon stumm im Konferenzraum liegt oder die Push‑Nachricht keinen Empfänger findet. Proben Sie den Ernstfall – Minuten entscheiden. - SOC = Betriebssicherheit
Durch den Einsatz eines modernen SOC reduziert sich die Angriffsfläche, Angriffszeit und Ausfallkosten dramatisch – ein Wettbewerbsvorteil, der sich rechnen lässt und für jede Unternehmung unumgänglich ist.
Fazit
Bedrohungen werden nicht weniger – aber berechenbarer, wenn Prozesse stehen.
Dieser Vorfall zeigt: Mit einer gut eingespielten SOC‑Mannschaft, moderner Telemetrie und klaren Entscheidungswegen lässt sich selbst eine „perfekte“ Sicherheitslücke entschärfen, bevor sie zur Krise wird. Nutzen Sie die Zeit, um Ihre eigene Vorbereitung zu testen – bevor der nächste Zero‑Day an der Tür klopft.
Leuchter IT Cyber Security Operations Center - langfristig besser
Fragen Sie sich also nicht, ob Sie ein SOC brauchen, sondern ob Sie es sich leisten können, keins zu haben.
