Entscheidung im Überblick Die Entscheidung auf einen Blick Ein eigenes SOC lohnt sich vor allem dann, wenn ein Unternehmen Security-Know-how, Technologie, Prozesse und die gewünschte Betriebszeit dauerhaft selbst bereitstellen kann und hohe Anforderungen an Kontrolle oder Datenhoheit bestehen. Ein Full Managed SOC ist häufig geeigneter, wenn 24/7-Überwachung und spezialisierte Fähigkeiten benötigt werden, intern aber nicht wirtschaftlich oder personell aufgebaut werden sollen. Ein Hybrid SOC verbindet eine kundeneigene Datenplattform mit externen SOC-Leistungen. Die Entscheidung ist keine reine Preisfrage. Sie hängt davon ab, welche Verantwortung intern bleiben soll, wo die Daten verarbeitet werden dürfen, welche Reaktionszeiten benötigt werden und wie schnell der Regelbetrieb stehen muss. Drei wichtige Entscheidungsregeln Eigenbetrieb: wenn ein erfahrenes Security-Team, eigene Plattformverantwortung und dauerhaft tragfähige Betriebsressourcen vorhanden sind.Hybrid SOC: wenn Datenplattform und Datenhoheit weitgehend beim Unternehmen bleiben sollen, Analyse und Alarmbearbeitung aber extern unterstützt werden.Full Managed SOC: wenn Technologie, Betrieb, Monitoring und spezialisierte SOC-Ressourcen möglichst umfassend als Service bezogen werden sollen. Managed vs. eigenes SOC im Vergleich Managed SOC oder eigenes SOC: Vergleichstabelle KriteriumEigenbetriebHybrid SOCFull Managed SOCGesamtkostenEigene Personal-, Technologie-, Betriebs- und WeiterentwicklungskostenEigene Plattformkosten plus externe SOC-LeistungenServicegebühr, nutzungsabhängige Komponenten und vereinbarte ZusatzleistungenZeit bis zum RegelbetriebAbhängig von Recruiting, Plattformaufbau, Use Cases und ProzessenAbhängig von vorhandener Plattform, Datenquellen und IntegrationenAbhängig von Scope, Datenanbindung, Use Cases und Freigaben24/7-AbdeckungMuss intern mit Schichten und Vertretungen organisiert werdenKann zwischen internem Team und Dienstleister aufgeteilt werdenWird durch den Dienstleister erbracht.Know-how-ZugangAbhängig vom eigenen Team und dessen SpezialisierungInternes Kontextwissen plus externe SOC-SpezialistenBreiter externer Zugriff auf Analysten- und SpezialrollenKontrolle und DatenhoheitSehr hoch, da Plattform und Betrieb intern liegenHoch, insbesondere bei Datenplattform in der KundenumgebungAbhängig von Architektur, Hosting, Vertrag und RollenmodellSkalierbarkeitErfordert zusätzliche Lizenzen, Infrastruktur und PersonalPlattform und Service müssen gemeinsam skaliert werdenÜber vertraglichen Scope und variable Leistungsparameter skalierbarCompliance-NachweiseMüssen intern aufgebaut, gepflegt und bereitgestellt werdenGeteilte Verantwortung für Plattform und ServiceNachweise und Dokumentation im vereinbarten LeistungsumfangWichtig: Die Tabelle zeigt typische Unterschiede. Der konkrete Zuschnitt hängt von Architektur, Vertrag, Mitwirkungspflichten und Verantwortungsmatrix ab. Die drei Betriebsmodelle Ein Security Operations Center ist eine organisatorische Fähigkeit aus Menschen, Prozessen und Technologie. Für die Bereitstellung dieser Fähigkeit bestehen drei grundlegende Betriebsmodelle. Eigenbetrieb: In-House-SOC Beim Eigenbetrieb verantwortet das Unternehmen Personal, Plattformen, Detection Content, Betriebsprozesse, Dokumentation und Weiterentwicklung. Dieses Modell schafft hohe Kontrolle und kann besonders sinnvoll sein, wenn bereits ein erfahrenes Security-Team vorhanden ist oder besondere Anforderungen an Datenverarbeitung und technische Eigenständigkeit bestehen. Die Herausforderung liegt im dauerhaften Betrieb: Ein SOC muss nicht nur aufgebaut, sondern über Jahre personell besetzt, technisch gepflegt, getestet und weiterentwickelt werden. Schlüsselpersonen, Bereitschaftsmodelle und Plattformbetrieb werden damit zu dauerhaften Managementaufgaben. Hybrid oder Co-Managed Bei einem Hybrid SOC werden Verantwortlichkeiten geteilt. Häufig verbleiben Datenplattform, Daten und bestimmte technische Entscheidungen beim Unternehmen, während ein externer Anbieter beispielsweise Alarmtriage, Analyse, Use-Case-Entwicklung oder definierte Betriebsaufgaben übernimmt. „Co-Managed SOC“ ist dafür ein verbreiteter Marktbegriff; Axians verwendet die Angebotsbezeichnung Hybrid SOC. In der internen Axians-Ausgestaltung arbeitet das Hybrid SOC auf einer kundeneigenen Datenplattform. Die Entwicklung des Regelwerks und das Case Handling können durch Axians erfolgen, während Verantwortung und Auditierung der Datenplattform beim Kunden liegen. Vollständig betreut: Full Managed SOC Beim Full Managed SOC werden Plattform- und SOC-Leistungen umfassend als Service bereitgestellt. Welche Technologie, Servicezeiten, Reaktionsleistungen und Zusatzmodule enthalten sind, ergibt sich aus dem konkreten Angebot und Vertrag. Das Unternehmen benötigt dennoch interne Ansprechpartner, Freigabewege, gepflegte Asset-Informationen und eine klare Verantwortung für Geschäftsentscheidungen im Incident. Kosten eigenes SOC Was kostet ein eigenes SOC? 01 Personal und 24/7-Betrieb Ein kontinuierlicher Betrieb erfordert mehrere Schichten sowie Reserven für Urlaub, Krankheit, Weiterbildung, Übergaben und Aufgaben außerhalb der Alarmbearbeitung. Die Personalplanung sollte deshalb nicht von einer pauschalen Analystenzahl ausgehen, sondern von der Rechenlogik: erforderliche Besetzung je Zeitfenster multipliziert mit den abzudeckenden Betriebsstunden, ergänzt um Abwesenheiten, Führung, Engineering und Spezialrollen. Neben Analysten können je nach Scope SOC-Management, Detection Engineering, Platform Engineering, Incident Response, Threat Hunting und Service Management erforderlich sein. Ein Modell, das nur die besetzte Konsole kalkuliert, unterschätzt den Gesamtaufwand. 02 Technologie und Datenbetrieb Zu berücksichtigen sind unter anderem SIEM, SOAR, EDR/XDR, NDR, Ticketing, Threat-Intelligence-Quellen, Infrastruktur, Speicherung, Datentransfer und Backup. Je nach Lizenzmodell können Nutzer, Endpoints, Assets, Logquellen, Datenvolumen, Workloads oder Aufbewahrungsdauer die Kosten beeinflussen. 03 Versteckte und wiederkehrende Kosten Recruiting und Einarbeitung spezialisierter FachkräfteSchichtzulagen, Bereitschaft und VertretungsmodelleWeiterbildung, Zertifizierungen und ÜbungenPlattformpflege, Upgrades und Integration neuer DatenquellenEntwicklung, Test und Optimierung von Detection Use CasesDokumentation, Auditnachweise und Service ReportingFluktuation, Wissensverlust und Abhängigkeit von Schlüsselpersonen Der Business Case sollte mindestens Aufbaukosten, jährliche Betriebskosten, interne Mitwirkung und einen realistischen Entwicklungspfad betrachten. Kosten Managed SOC Was kostet ein Managed SOC? Der Preis eines Managed SOC wird aus dem vereinbarten Leistungsumfang und den verbrauchs- oder größenabhängigen Parametern abgeleitet. Seriöse Angebote benennen die Kostentreiber transparent, statt einen vermeintlichen Standardpreis für jedes Unternehmen zu versprechen. Die fünf wichtigsten Kostentreiber Anzahl der Nutzer, Assets oder Endpoints und die Zahl besonderer Datenquellen Servicelevel und Betriebszeit, beispielsweise 10/5 oder 24/7 Technologie-Stack, Plattformarchitektur und Datenvolumen Compliance-, Dokumentations- und Datenhaltungsanforderungen Reaktionszeit, Eskalationsmodell und Umfang aktiver Response-Leistungen Typische Preismodelle Pro Asset, Endpoint oder Nutzer verständlich und gut planbar, aber nur aussagekräftig, wenn die enthaltenen Datenquellen und Leistungen klar definiert sind. Nach Datenvolumen nah an den Kosten datenbasierter Plattformen, jedoch abhängig von Telemetrie, Filterung und Aufbewahrung. Pauschale nach Servicestufe ermöglicht Planbarkeit, benötigt aber klare Grenzen für Scope, Volumen und Zusatzleistungen. Hybrides Modell kombiniert eine feste Servicegebühr mit variablen Komponenten, beispielsweise für zusätzliches Datenvolumen oder weitere Logquellen. Was ist enthalten und was kann zusätzlich berechnet werden? Im Angebot sollten Onboarding, Datenanbindung, Standard-Use-Cases, Reporting, Service Management, Plattformbetrieb und vereinbarte Alarmbearbeitung eindeutig beschrieben sein. Zusatzkosten können je nach Vertrag etwa für besondere Datenquellen, zusätzliche Speicherung, kundenspezifische Detection, Active Response, Incident-Response-Einsätze, Forensik oder erweiterte Compliance-Nachweise entstehen. Wichtig: Preise nur nach individuellem Angebot wirklich ernst nehmen. Anfangs und informell werden immer schnell Preise angegeben, die am Ende nicht umsetzbar sind. Ein sinnvoller Vergleich betrachtet immer Scope, Servicezeiten, Datenvolumen, Verantwortlichkeiten und Zusatzleistungen gemeinsam. Wann lohnt welches Modell? Wann lohnt sich ein eigenes SOC, wann ein Managed SOC? Ein eigenes SOC ist nicht grundsätzlich besser, und ein Managed SOC ist nicht automatisch günstiger. Entscheidend ist, welches Modell die benötigte Security-Fähigkeit dauerhaft und beherrschbar bereitstellt. Ein eigenes SOC passt eher, wenn ... bereits ein erfahrenes Security-Team und belastbare Führungsstrukturen vorhanden sindPlattformbetrieb und Detection Engineering strategische Kernkompetenzen sein sollenbesondere Anforderungen an Datenhoheit, technische Eigenständigkeit oder interne Kontrolle bestehengenügend Personal für Betriebszeit, Vertretung und kontinuierliche Weiterentwicklung verfügbar istdas Unternehmen die notwendigen Investitionen langfristig tragen möchte Ein Full Managed SOC passt eher, wenn ... 24/7-Überwachung benötigt wird, intern aber nicht dauerhaft besetzt werden kannspezialisierte Analysten- und Engineering-Fähigkeiten schneller verfügbar sein solleneine standardisierte Betriebsorganisation und vertraglich definierte Servicezeiten gewünscht sindinterne Teams von Plattformbetrieb und Alarmtriage entlastet werden sollender Scope flexibel mit Unternehmensentwicklung oder Bedrohungslage wachsen muss Ein Hybrid SOC passt eher, wenn ... die Datenplattform oder wesentliche Datenbestände in der eigenen Umgebung bleiben sollenein internes Security-Team vorhanden ist, aber für Monitoring, Triage oder Engineering ergänzt werden sollVerantwortlichkeiten bewusst zwischen internem Team und Anbieter geteilt werden sollenbestehende SIEM-Investitionen weiter genutzt werden sollen Einstieg ohne eigenes Team SOC im Mittelstand: Einstieg ohne eigenes Sicherheitsteam Für mittelständische Unternehmen ist häufig nicht die Frage entscheidend, ob sie ein vollständiges eigenes SOC aufbauen, sondern wie sie eine belastbare Detection- und Response-Fähigkeit mit begrenzten internen Ressourcen organisieren. Was im Unternehmen bleibt Auch bei einem vollständig gemanagten Modell verbleiben zentrale Aufgaben beim Kunden: Ansprechpartner und Eskalationswege benennen, Assets und Kritikalitäten pflegen, notwendige Zugänge ermöglichen, Response-Maßnahmen freigeben und Geschäftsentscheidungen treffen. Ein externer Anbieter kann Security-Aufgaben übernehmen, aber nicht die unternehmerische Verantwortung ersetzen. Für den Einstieg sollten mindestens Scope, kritische Systeme, relevante Datenquellen, Betriebszeiten, Verantwortungsmatrix und Kommunikationswege feststehen. Erst danach lassen sich Plattform, Use Cases und Servicelevel sinnvoll dimensionieren. Fachkräftemangel und NIS2 als Entscheidungsfaktoren NIS2 verlangt von betroffenen wesentlichen und wichtigen Einrichtungen angemessene und verhältnismäßige technische, operative und organisatorische Risikomanagementmaßnahmen. Dazu gehören unter anderem Incident Handling, Business Continuity, Lieferkettensicherheit, Wirksamkeitsprüfung und grundlegende Cyberhygiene. Ein SOC kann diese Anforderungen unterstützen, ersetzt aber weder die rechtliche Betroffenheitsprüfung noch ein umfassendes Informationssicherheitsmanagement. Das deutsche Umsetzungsgesetz zur NIS2-Richtlinie wurde am 5. Dezember 2025 im Bundesgesetzblatt veröffentlicht. Welche konkreten Pflichten gelten, muss organisationsbezogen geprüft werden; dieser Artikel ist keine Rechtsberatung. Der Einstieg in einen Managed Service umfasst typischerweise die Festlegung von Scope und Verantwortlichkeiten, die technische Datenanbindung, die Auswahl und Parametrisierung relevanter Use Cases sowie Tests und Übergabe in den Regelbetrieb. Details gehören in die Leistungsbeschreibung und den konkreten Onboarding-Plan. Wechsel zwischen den Modellen Wechsel und Ausstieg: Von Eigenbetrieb zu Managed SOC und zurück Ein Betriebsmodell sollte nicht als irreversible Entscheidung behandelt werden. Unternehmen können von Eigenbetrieb zu Hybrid oder Full Managed wechseln, Leistungen schrittweise zurückholen oder einen Anbieter ersetzen. Voraussetzung ist, dass Exit und Transition bereits im Vertrag und in der Architektur berücksichtigt werden. Wichtige Punkte sind Datenexport und Löschung, Übergabe von Use Cases und Dokumentation, Eigentum an kundenspezifischen Regeln, offene Incidents, Zugänge und Zertifikate, Wissenstransfer, Kündigungsfristen sowie Unterstützung während der Transition. Bei einem Hybrid SOC kann die eigene Datenplattform den Wechsel erleichtern, während im Full-Managed-Modell Exportformate und Migrationsunterstützung besonders wichtig sind. Was passiert mit dem internen Team? Ein Wechsel bedeutet nicht zwingend Personalabbau. Interne Fachkräfte können sich stärker auf Security Governance, Architektur, Risikomanagement, Response-Entscheidungen, Fachbereichskoordinierung und die Steuerung des Dienstleisters konzentrieren. Rollen, Verantwortlichkeiten und Kompetenzaufbau sollten Teil des Zielbetriebsmodells sein. Business Case prüfen Nächster Schritt: Betriebsmodell und Business Case prüfen Die belastbare Entscheidung entsteht aus Ihrer Ausgangslage, nicht aus einer Standardempfehlung. Im Business-Case-Workshop betrachten wir vorhandene Security-Ressourcen, Betriebszeiten, Datenquellen, Plattformen, Compliance-Anforderungen und Response-Verantwortlichkeiten. Daraus entsteht eine strukturierte Gegenüberstellung von Eigenbetrieb, Hybrid SOC und Full Managed SOC. Business-Case-Workshop Business-Case-Workshop für Ihr SOC-Betriebsmodell Klären Sie, welches Modell fachlich, organisatorisch und wirtschaftlich zu Ihrem Unternehmen passt. Dies erfolgt im Rahmen eines Gesprächs mit unseren SOC-Experten. Business-Case-Workshop anfragen Häufige Fragen Was kostet ein SOC pro Monat? Eine allgemeingültige Monatszahl ist ohne Scope nicht belastbar. Entscheidend sind Nutzer oder Assets, Datenquellen und Datenvolumen, Servicezeit, Technologie, Reaktionsleistungen, Speicherung und Compliance-Anforderungen. Angebote sollten Grund- und variable Komponenten sowie mögliche Zusatzleistungen transparent ausweisen. Ist ein Managed SOC günstiger als ein eigenes Team? Nicht automatisch. Ein Managed SOC kann Investitionen und laufende Aufwände für Personal, Plattformbetrieb und Spezialrollen bündeln. Ein eigenes SOC kann wirtschaftlich sein, wenn relevante Fähigkeiten und Technologien bereits vorhanden sind. Vergleichbar sind nur vollständige Gesamtkosten über einen definierten Zeitraum. Aus Erfahrungen heraus ist ein Managed SOC jedoch wesentlich unkomplizierter als ein eigenes Team, weil der Ressourcenaufwand hinter dem SOC organisiert werden muss. Wie viele Mitarbeitende braucht ein SOC für 24/7? Dafür gibt es keine seriöse Pauschalzahl. Die Planung beginnt mit der benötigten Besetzung je Schicht und den jährlichen Betriebsstunden. Zusätzlich müssen Urlaub, Krankheit, Übergaben, Weiterbildung, Führung, Detection Engineering und Incident-Response-Spezialisten berücksichtigt werden. Wie lange dauert der Aufbau eines eigenen SOC? Eine feste Dauer lässt sich ohne Ausgangslage nicht angeben. Einfluss haben Recruiting, Beschaffung, Plattformintegration, Datenqualität, Use-Case-Entwicklung, Prozessfreigaben und Tests. Unternehmen sollten Aufbau und Reifeentwicklung als Programm planen, nicht als reine Tool-Einführung. Kann ich vom eigenen SOC auf Managed SOC wechseln? Ja. Der Wechsel kann vollständig oder schrittweise erfolgen. Vorher müssen Verantwortlichkeiten, Datenzugriff, bestehende Use Cases, offene Incidents, Servicelevel und die Transition der Betriebsdokumentation geklärt werden. Was passiert mit meinem Team bei einem Wechsel? Das interne Team bleibt häufig für Governance, Architektur, Risikomanagement, Freigaben, Incident-Koordination und Dienstleistersteuerung wichtig. Welche Aufgaben verlagert werden, gehört in das Zielbetriebsmodell und die Verantwortungsmatrix. Braucht ein mittelständisches Unternehmen überhaupt ein SOC? Generelle Antwort: Kommt darauf an. Jedes Unternehmen hat schützenswerte Assets. Sei es ein Produkt, eine Technologie oder ein Prozess. Diese Assets sorgen dafür, dass das Unternehmen Geld verdient. Indem das SOC dafür sorgt, dass diese Assets geschützt werden, wird sozusagen der Umsatz gesichert. Von der Logik her betrachtet braucht jedes Unternehmen ein SOC, das Einnahmen abzusichern hat. Weiter zur Anbieterauswahl Nächster Schritt: SOC-Anbieter auswählen Buyer's Guide für SOC und MDR Worauf kommt es bei der Auswahl eines SOC- oder MDR-Anbieters an? Unser Buyers Guide hilft Ihnen, Ihre Anforderungen zu schärfen, Leistungen einzuordnen und den passenden Security-Partner auszuwählen. Jetzt Buyers Guide für Managed SOC & MDR herunterladen Schließen Formular blockiert Bitte stimmen Sie den funktionellen Cookies für HubSpot Forms zu, um das Formular anzuzeigen. Cookie-Einstellungen öffnen < Zurück zur Übersicht
Drei wichtige Entscheidungsregeln Eigenbetrieb: wenn ein erfahrenes Security-Team, eigene Plattformverantwortung und dauerhaft tragfähige Betriebsressourcen vorhanden sind.Hybrid SOC: wenn Datenplattform und Datenhoheit weitgehend beim Unternehmen bleiben sollen, Analyse und Alarmbearbeitung aber extern unterstützt werden.Full Managed SOC: wenn Technologie, Betrieb, Monitoring und spezialisierte SOC-Ressourcen möglichst umfassend als Service bezogen werden sollen.
Eigenbetrieb: In-House-SOC Beim Eigenbetrieb verantwortet das Unternehmen Personal, Plattformen, Detection Content, Betriebsprozesse, Dokumentation und Weiterentwicklung. Dieses Modell schafft hohe Kontrolle und kann besonders sinnvoll sein, wenn bereits ein erfahrenes Security-Team vorhanden ist oder besondere Anforderungen an Datenverarbeitung und technische Eigenständigkeit bestehen. Die Herausforderung liegt im dauerhaften Betrieb: Ein SOC muss nicht nur aufgebaut, sondern über Jahre personell besetzt, technisch gepflegt, getestet und weiterentwickelt werden. Schlüsselpersonen, Bereitschaftsmodelle und Plattformbetrieb werden damit zu dauerhaften Managementaufgaben.
Hybrid oder Co-Managed Bei einem Hybrid SOC werden Verantwortlichkeiten geteilt. Häufig verbleiben Datenplattform, Daten und bestimmte technische Entscheidungen beim Unternehmen, während ein externer Anbieter beispielsweise Alarmtriage, Analyse, Use-Case-Entwicklung oder definierte Betriebsaufgaben übernimmt. „Co-Managed SOC“ ist dafür ein verbreiteter Marktbegriff; Axians verwendet die Angebotsbezeichnung Hybrid SOC. In der internen Axians-Ausgestaltung arbeitet das Hybrid SOC auf einer kundeneigenen Datenplattform. Die Entwicklung des Regelwerks und das Case Handling können durch Axians erfolgen, während Verantwortung und Auditierung der Datenplattform beim Kunden liegen.
Vollständig betreut: Full Managed SOC Beim Full Managed SOC werden Plattform- und SOC-Leistungen umfassend als Service bereitgestellt. Welche Technologie, Servicezeiten, Reaktionsleistungen und Zusatzmodule enthalten sind, ergibt sich aus dem konkreten Angebot und Vertrag. Das Unternehmen benötigt dennoch interne Ansprechpartner, Freigabewege, gepflegte Asset-Informationen und eine klare Verantwortung für Geschäftsentscheidungen im Incident.
01 Personal und 24/7-Betrieb Ein kontinuierlicher Betrieb erfordert mehrere Schichten sowie Reserven für Urlaub, Krankheit, Weiterbildung, Übergaben und Aufgaben außerhalb der Alarmbearbeitung. Die Personalplanung sollte deshalb nicht von einer pauschalen Analystenzahl ausgehen, sondern von der Rechenlogik: erforderliche Besetzung je Zeitfenster multipliziert mit den abzudeckenden Betriebsstunden, ergänzt um Abwesenheiten, Führung, Engineering und Spezialrollen. Neben Analysten können je nach Scope SOC-Management, Detection Engineering, Platform Engineering, Incident Response, Threat Hunting und Service Management erforderlich sein. Ein Modell, das nur die besetzte Konsole kalkuliert, unterschätzt den Gesamtaufwand.
02 Technologie und Datenbetrieb Zu berücksichtigen sind unter anderem SIEM, SOAR, EDR/XDR, NDR, Ticketing, Threat-Intelligence-Quellen, Infrastruktur, Speicherung, Datentransfer und Backup. Je nach Lizenzmodell können Nutzer, Endpoints, Assets, Logquellen, Datenvolumen, Workloads oder Aufbewahrungsdauer die Kosten beeinflussen.
03 Versteckte und wiederkehrende Kosten Recruiting und Einarbeitung spezialisierter FachkräfteSchichtzulagen, Bereitschaft und VertretungsmodelleWeiterbildung, Zertifizierungen und ÜbungenPlattformpflege, Upgrades und Integration neuer DatenquellenEntwicklung, Test und Optimierung von Detection Use CasesDokumentation, Auditnachweise und Service ReportingFluktuation, Wissensverlust und Abhängigkeit von Schlüsselpersonen
Pro Asset, Endpoint oder Nutzer verständlich und gut planbar, aber nur aussagekräftig, wenn die enthaltenen Datenquellen und Leistungen klar definiert sind.
Nach Datenvolumen nah an den Kosten datenbasierter Plattformen, jedoch abhängig von Telemetrie, Filterung und Aufbewahrung.
Pauschale nach Servicestufe ermöglicht Planbarkeit, benötigt aber klare Grenzen für Scope, Volumen und Zusatzleistungen.
Hybrides Modell kombiniert eine feste Servicegebühr mit variablen Komponenten, beispielsweise für zusätzliches Datenvolumen oder weitere Logquellen.
Ein eigenes SOC passt eher, wenn ... bereits ein erfahrenes Security-Team und belastbare Führungsstrukturen vorhanden sindPlattformbetrieb und Detection Engineering strategische Kernkompetenzen sein sollenbesondere Anforderungen an Datenhoheit, technische Eigenständigkeit oder interne Kontrolle bestehengenügend Personal für Betriebszeit, Vertretung und kontinuierliche Weiterentwicklung verfügbar istdas Unternehmen die notwendigen Investitionen langfristig tragen möchte
Ein Full Managed SOC passt eher, wenn ... 24/7-Überwachung benötigt wird, intern aber nicht dauerhaft besetzt werden kannspezialisierte Analysten- und Engineering-Fähigkeiten schneller verfügbar sein solleneine standardisierte Betriebsorganisation und vertraglich definierte Servicezeiten gewünscht sindinterne Teams von Plattformbetrieb und Alarmtriage entlastet werden sollender Scope flexibel mit Unternehmensentwicklung oder Bedrohungslage wachsen muss
Ein Hybrid SOC passt eher, wenn ... die Datenplattform oder wesentliche Datenbestände in der eigenen Umgebung bleiben sollenein internes Security-Team vorhanden ist, aber für Monitoring, Triage oder Engineering ergänzt werden sollVerantwortlichkeiten bewusst zwischen internem Team und Anbieter geteilt werden sollenbestehende SIEM-Investitionen weiter genutzt werden sollen