Ein Cyber Defense Center (CDC) überwacht die IT-Umgebung eines Unternehmens rund um die Uhr, erkennt Angriffe und leitet die Reaktion ein. Es geht über ein klassisches Security Operations Center (SOC) hinaus, indem es Bedrohungsinformationen über konkrete Angreifergruppen mit der tatsächlichen Angriffsoberfläche des Unternehmens abgleicht. Managed Detection and Response (MDR) bezeichnet den zugekauften Betrieb dieser Erkennung und Reaktion. Entscheidend bei der Anbieterwahl sind die mittlere Erkennungszeit, verbindliche Eskalationswege, der Ort der Datenhaltung und die Frage, ob der Anbieter im Ernstfall selbst eingreift oder nur alarmiert.
Ein Alarm ohne anschließende Reaktion verschiebt das Problem nur. Prüfen Sie, ob der Vertrag die Eindämmung einschließt – oder an der Benachrichtigung endet.
Fragen Sie nach der mittleren Zeit bis zur Erkennung (MTTD) und bis zur Reaktion – und lassen Sie sich beides vertraglich zusichern, statt es als Zielwert nennen zu lassen.
Datenhaltung, Rechenzentrumsstandort und Zugriffsrechte entscheiden über NIS2- und DSGVO-Konformität – und darüber, wer Ihre Daten im Zweifel herausgeben muss.
24/7 seit 1999, MTTD unter 15 Minuten, über 100 Spezialistinnen und Spezialisten, über 1.000 Kunden im DACH-Raum, ISO/IEC 27001 (TÜV SÜD). Infrastruktur in Deutschland; ein vollständig souveränes CDC ist für Q1/2027 geplant.
Woran Sie ein belastbares Cyber Defense Center erkennen – bevor Sie es brauchen.
MTTD und Reaktionszeit gehören in den Vertrag, nicht ins Datenblatt. Fragen Sie nach dem gemessenen Median, nicht nach dem Bestwert.
Klären Sie, wer isoliert, sperrt und abschaltet: Ihr Team oder der Anbieter. Und ob das nachts um drei genauso gilt wie am Dienstagvormittag.
Manche Anbieter betreiben die Plattform und kaufen die Analyse zu. Fragen Sie, wer die Alarme tatsächlich bewertet und in welcher Sprache eskaliert wird.
Generische Threat Intelligence hilft wenig. Relevant wird sie, wenn ein Anbieter die Methoden aktiver Angreifergruppen mit Ihrer realen Angriffsoberfläche abgleicht.
Standort der Verarbeitung, Aufbewahrungsfristen, Zugriff durch Dritte. Für KRITIS- und NIS2-Pflichtige ist das kein Nebenaspekt, sondern Voraussetzung.
Erkennung und Vorfallbearbeitung aus einer Hand verkürzen die Übergabe. Prüfen Sie, ob ein IR-Retainer mit garantierten Zeiten dazubuchbar ist.
Sie brauchen Berichte, die einer Prüfung standhalten: Risikobewertung, dokumentierte Vorfälle, geübte Notfallpläne. Fragen Sie nach einem Musterbericht.
Klären Sie vor Vertragsschluss, in welchem Format Sie Ihre Log-Daten zurückbekommen und wie lange der Anbieter sie danach aufbewahrt.
Diese Fragen sollten Sie jedem CDC- und MDR-Anbieter stellen – hier unsere Antworten.
Ein SOC erkennt Angriffe, während sie laufen. Ein Cyber Defense Center setzt davor an: Es analysiert fortlaufend, welche Angreifergruppen es auf Ihre Branche abgesehen haben, gleicht deren Vorgehen mit Ihrer tatsächlichen Angriffsoberfläche ab und kalibriert Schutz und Erkennung gezielt darauf.
Nicht ganz. SOC as a Service beschreibt den zugekauften Betrieb eines Security Operations Center. MDR betont zusätzlich die Reaktion – also dass der Anbieter nicht nur erkennt, sondern eingreift. In der Praxis überschneiden sich beide Begriffe stark; entscheidend ist, was der Vertrag konkret zusichert.
Ein eigenes 24/7-Team erfordert mindestens acht bis zehn Analystinnen und Analysten allein für die Schichtabdeckung. Für die meisten mittelständischen Unternehmen ist der zugekaufte Betrieb deshalb der einzige realistische Weg zu durchgehender Überwachung.
Das hängt von Anzahl und Art der Log-Quellen ab. Planen Sie für die Grundanbindung mehrere Wochen ein und verlangen Sie einen Onboarding-Plan mit Meilensteinen statt eines Starttermins.