Ein Cyber Defense Center (CDC) überwacht die IT-Umgebung eines Unternehmens rund um die Uhr, erkennt Angriffe und leitet die Reaktion ein. Es geht über ein klassisches Security Operations Center (SOC) hinaus, indem es Bedrohungsinformationen über konkrete Angreifergruppen mit der tatsächlichen Angriffsoberfläche des Unternehmens abgleicht. Managed Detection and Response (MDR) bezeichnet den zugekauften Betrieb dieser Erkennung und Reaktion. Entscheidend bei der Anbieterwahl sind die mittlere Erkennungszeit, verbindliche Eskalationswege, der Ort der Datenhaltung und die Frage, ob der Anbieter im Ernstfall selbst eingreift oder nur alarmiert.
Ein Alarm ohne anschließende Reaktion verschiebt das Problem nur. Prüfen Sie, ob der Vertrag die Eindämmung einschließt – oder an der Benachrichtigung endet.
Fragen Sie nach der mittleren Zeit bis zur Erkennung (MTTD) und bis zur Reaktion – und lassen Sie sich beides vertraglich zusichern, statt es als Zielwert nennen zu lassen.
Datenhaltung, Rechenzentrumsstandort und Zugriffsrechte entscheiden über NIS2- und DSGVO-Konformität – und darüber, wer Ihre Daten im Zweifel herausgeben muss.
24/7 seit 1999, MTTD unter 15 Minuten, über 100 Spezialistinnen und Spezialisten, über 1.000 Kunden im DACH-Raum, ISO/IEC 27001 (TÜV SÜD). Infrastruktur in Deutschland; ein vollständig souveränes CDC ist für Q1/2027 geplant.
Woran Sie ein belastbares Cyber Defense Center erkennen – bevor Sie es brauchen.
MTTD und Reaktionszeit gehören in den Vertrag, nicht ins Datenblatt. Fragen Sie nach dem gemessenen Median, nicht nach dem Bestwert.
Klären Sie, wer isoliert, sperrt und abschaltet: Ihr Team oder der Anbieter. Und ob das nachts um drei genauso gilt wie am Dienstagvormittag.
Manche Anbieter betreiben die Plattform und kaufen die Analyse zu. Fragen Sie, wer die Alarme tatsächlich bewertet und in welcher Sprache eskaliert wird.
Generische Threat Intelligence hilft wenig. Relevant wird sie, wenn ein Anbieter die Methoden aktiver Angreifergruppen mit Ihrer realen Angriffsoberfläche abgleicht.
Standort der Verarbeitung, Aufbewahrungsfristen, Zugriff durch Dritte. Für KRITIS- und NIS2-Pflichtige ist das kein Nebenaspekt, sondern Voraussetzung.
Erkennung und Vorfallbearbeitung aus einer Hand verkürzen die Übergabe. Prüfen Sie, ob ein IR-Retainer mit garantierten Zeiten dazubuchbar ist.
Sie brauchen Berichte, die einer Prüfung standhalten: Risikobewertung, dokumentierte Vorfälle, geübte Notfallpläne. Fragen Sie nach einem Musterbericht.
Klären Sie vor Vertragsschluss, in welchem Format Sie Ihre Log-Daten zurückbekommen und wie lange der Anbieter sie danach aufbewahrt.
Cyber Defense Center werden von sehr unterschiedlichen Häusern betrieben – und sie passen nicht zu jeder Unternehmensgröße gleich gut. Die folgende Einordnung sortiert das Feld nach Anbietertyp, bevor es an den Leistungsvergleich geht.
| Anbietertyp | Typische Unternehmensgröße | Trägt besonders bei | Wo es an Grenzen stößt |
|---|---|---|---|
| Spezialisiertes Forensik- und Beratungshaus | keine feste Größe; häufig Konzerne und öffentliche Verwaltung | tiefe Aufklärung einzelner Vorfälle, gerichtsfeste Beweissicherung, Gutachten und Aufarbeitung | kein eigener Dauerbetrieb – laufende Überwachung und Erkennung müssen von woanders kommen |
| Managed-Security-Anbieter mit eigenem SOC/CDC | Mittelstand, etwa 250 bis 5.000 Mitarbeitende | Dauerüberwachung und Vorfallbearbeitung aus einer Hand, feste Reaktionszeiten über einen Retainer | Konzerne mit eigenem SOC brauchen eher Zulieferung einzelner Bausteine als den Gesamtbetrieb |
| Konzern- und Plattformanbieter | Großkonzerne und international verteilte Gruppen | Skalierung über viele Länder und Standorte, Einbettung in bestehende Konzern-IT | längere Vorlaufzeiten; individuelle Eskalationswege sind im Mittelstand schwerer zu bekommen |
| Nischenspezialist (z. B. OT/ICS) | produzierende Industrie, Energieversorger, KRITIS-Betreiber | Tiefe in Produktions- und Steuerungsumgebungen, rückwirkungsfreie Verfahren | die IT-seitige Vollabdeckung ist meist ergänzend, nicht der Kern |
Die Einordnung beschreibt Anbietertypen, keine einzelnen Unternehmen. Viele Anbieter decken mehrere Typen ab; die Tabelle darunter zeigt, welche Leistungen der jeweilige Anbieter tatsächlich ausweist.
Welche Leistungen die Anbieter auf ihren eigenen Websites ausweisen – alphabetisch, ohne Rangfolge. Die Übersicht vergleicht ausschließlich die öffentlichen Angaben der Anbieter, nicht deren tatsächliche Leistungsfähigkeit.
✓ laut Website ausgewiesen · – laut Website nicht ausgewiesen · geprüft am 10.08.2026
| Anbieter | Schwerpunkt | 24/7-Betrieb | MDR (Erkennung + Reaktion) | Incident Response im selben Haus | IR-Retainer | OT-/ICS-Abdeckung | Erkennungszeit beziffert | Sitz |
|---|---|---|---|---|---|---|---|---|
| Argos Security | Cyber Defense Center seit 1999, Erkennung und Reaktion aus einer Hand. Mittelstand, 250–5.000 Mitarbeitende (DACH), regulierte Sektoren | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ MTTD unter 15 Minuten | München und Freiburg |
| AVANTEC | Managed Security aus der Schweiz, eigenes Cyber Defense Center | ✓ | ✓ | ✓ | – | – | – | Zürich |
| DCSO | Herstellerneutraler MSSP aus einer Initiative der deutschen Wirtschaft | – | ✓ | ✓ | – | – | – | Berlin |
| InfoGuard | CSIRT und 24/7-SOC im eigenen Cyber Defence Center | ✓ | ✓ | ✓ | – | – | – | Baar (Schweiz) |
| r-tec IT Security | Cyber Defense Center mit ausgewiesenem OT-Schwerpunkt. Mittelstand, KRITIS, Energie, Gesundheit, Kommunen | ✓ | ✓ | ✓ | ✓ | ✓ | – | Wuppertal |
| SITS | Europäische Security-Gruppe, SOC und Managed XDR | – | ✓ | ✓ | – | – | – | DACH und Nordeuropa |
| suresecure | Managed SOC als Full- und Co-Managed-Variante | ✓ | ✓ | ✓ | ✓ | – | – | Düsseldorf |
Grundlage sind die öffentlich zugänglichen Angaben auf den Websites der genannten Unternehmen, geprüft am 10.08.2026. Ein „–“ bedeutet, dass die Leistung dort nicht ausgewiesen ist – nicht, dass der Anbieter sie nicht erbringt. Die Übersicht erhebt keinen Anspruch auf Vollständigkeit und stellt keine Bewertung dar.
Diese Fragen sollten Sie jedem CDC- und MDR-Anbieter stellen – hier unsere Antworten.
Ein SOC erkennt Angriffe, während sie laufen. Ein Cyber Defense Center setzt davor an: Es analysiert fortlaufend, welche Angreifergruppen es auf Ihre Branche abgesehen haben, gleicht deren Vorgehen mit Ihrer tatsächlichen Angriffsoberfläche ab und kalibriert Schutz und Erkennung gezielt darauf.
Nicht ganz. SOC as a Service beschreibt den zugekauften Betrieb eines Security Operations Center. MDR betont zusätzlich die Reaktion – also dass der Anbieter nicht nur erkennt, sondern eingreift. In der Praxis überschneiden sich beide Begriffe stark; entscheidend ist, was der Vertrag konkret zusichert.
Ein eigenes 24/7-Team erfordert mindestens acht bis zehn Analystinnen und Analysten allein für die Schichtabdeckung. Für die meisten mittelständischen Unternehmen ist der zugekaufte Betrieb deshalb der einzige realistische Weg zu durchgehender Überwachung.
Das hängt von Anzahl und Art der Log-Quellen ab. Planen Sie für die Grundanbindung mehrere Wochen ein und verlangen Sie einen Onboarding-Plan mit Meilensteinen statt eines Starttermins.