Was ist Sicherheitsmonitoring?Sicherheitsmonitoring, auch IT-Sicherheitsmonitoring oder Security Monitoring genannt, ist der fortlaufende Prozess, sicherheitsrelevante Daten aus IT-Systemen zentral zu sammeln, auszuwerten und daraus Alarme sowie Kennzahlen abzuleiten. Ziel ist es, Angriffe, Missbrauch und Fehlkonfigurationen frühzeitig zu erkennen und eine schnelle Reaktion zu ermöglichen. Die US-Standardisierungsbehörde NIST beschreibt diesen Ansatz als Information Security Continuous Monitoring (ISCM), also das dauerhafte Aufrechterhalten eines Lagebilds über Sicherheit, Schwachstellen und Bedrohungen als Grundlage für fundierte Risikoentscheidungen. Die typischen Bausteine des Sicherheitsmonitorings im Überblick: - Protokolldaten zentral sammeln und aufbewahren (Log-Management)
- Ereignisse korrelieren und analysieren, meist mit einem System für das Security Information and Event Management (SIEM)
- Alarme erzeugen und priorisieren sowie Sicherheitskennzahlen und Berichte erstellen
- Schwachstellen und Konfigurationen kontinuierlich prüfen
Cloud-Dienste, SaaS-Anwendungen (Software as a Service) und Identitäten einbeziehen
Datenquellen im SicherheitsmonitoringWirksames Sicherheitsmonitoring lebt von den richtigen Datenquellen. In der Praxis haben sich fünf Kategorien etabliert: Protokolldaten (Logs): Betriebssysteme, Anwendungen, Firewalls und Server erzeugen Logdateien über Anmeldungen, Rechteänderungen und Prozesse. Die Logdatei-Analyse ist das Fundament jeder Detektion. Netzwerk: Verkehrsdaten, Flow-Informationen und Sensoren an Netzübergängen zeigen ungewöhnliche Verbindungen, Datenabflüsse oder Kommunikation mit bekannten Angreifer-Infrastrukturen. Endpunkte: Agenten auf Clients und Servern, etwa aus der Endpoint Detection and Response (EDR), liefern Telemetrie zu Prozessen, Dateizugriffen und Veränderungen an den IT-Systemen. Cloud und SaaS: Cloud-Plattformen und SaaS-Anwendungen stellen eigene Audit- und Aktivitätsprotokolle bereit, die in das Monitoring einfließen müssen. Identitäten: Anmeldeverhalten, privilegierte Konten und Berechtigungsänderungen verraten kompromittierte Zugänge oft früher als jede Malware-Erkennung. Welche Quellen eine Organisation überwacht, legt sie risikobasiert fest. Nicht jedes IT-System braucht dieselbe Überwachungstiefe.
Sicherheitsmonitoring in Standards und GesetzenSicherheitsmonitoring ist fest in den relevanten Regelwerken verankert. Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) behandelt es in zwei Bausteinen. OPS.1.1.5 „Protokollierung” fordert, sicherheitsrelevante Ereignisse zu protokollieren und die Daten sicher zu speichern, während DER.1 „Detektion von sicherheitsrelevanten Ereignissen” die Auswertung dieser Daten und den Aufbau von Detektionssystemen beschreibt. Für die Bundesverwaltung konkretisiert der BSI-Mindeststandard „Protokollierung und Detektion von Cyber-Angriffen” beide Bausteine als Pflicht. Für Betreiber Kritischer Infrastrukturen schreibt § 31 Absatz 2 BSIG Systeme zur Angriffserkennung vor, die geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Die BSI-Orientierungshilfe dazu gliedert die Anforderungen in die drei Bereiche Protokollierung, Detektion und Reaktion. Die NIS-2-Richtlinie ist in Deutschland seit dem 6. Dezember 2025 im BSIG umgesetzt und weitet vergleichbare Pflichten auf deutlich mehr Unternehmen aus. International setzt NIST die Maßstäbe. Die Sonderveröffentlichung SP 800-137 definiert Information Security Continuous Monitoring als eigenes Programm mit Strategie, Metriken und Berichtswesen. Das Cybersecurity Framework führt die Funktion „Detect” mit der Kategorie Continuous Monitoring (DE.CM). Die ISO/IEC 27001:2022 verlangt in der Maßnahme 8.16 „Monitoring activities”, Netzwerke, IT-Systeme und Anwendungen auf anomales Verhalten zu überwachen und potenzielle Sicherheitsvorfälle zu bewerten.
Sicherheitsmonitoring, SIEM, SOC und Detection and Response: Wo liegen die Unterschiede?Die Begriffe rund um die Sicherheitsüberwachung werden oft vermischt, bezeichnen aber unterschiedliche Ebenen: Sicherheitsmonitoring ist der Prozess: Es umfasst die dauerhafte Tätigkeit, sicherheitsrelevante Daten zu erheben, auszuwerten und zu bewerten, unabhängig davon, welche Werkzeuge dafür laufen. SIEM ist das Werkzeug: Ein SIEM sammelt Logdaten zentral, korreliert Ereignisse und erzeugt Alarme. Es ist die technische Plattform, auf der Sicherheitsmonitoring meist aufsetzt. SOC ist die Organisation: Ein Security Operations Center (SOC) bündelt die Analysten, Prozesse und Schichtmodelle, die das Monitoring rund um die Uhr betreiben und Alarme bearbeiten. Detection and Response ist der Erkennungs- und Reaktionsteil: Erkennung allein genügt nicht. Dienste wie Managed Detection and Response (MDR) ergänzen das Monitoring um Untersuchung und aktive Eindämmung von Vorfällen.
Vorteile des Sicherheitsmonitorings, Risiken & Herausforderungen
Vorteile des Sicherheitsmonitorings
Frühe Erkennung: Sicherheitsrelevante Aktivitäten und Anomalien werden kontinuierlich überwacht. Dadurch lassen sich viele Angriffe deutlich früher erkennen. Das Zeitfenster für unbemerkte Aktivitäten verkürzt sich. Kürzere Reaktionszeiten: Kontextreiche und priorisierte Alarme erleichtern die Bewertung von Sicherheitsereignissen. Sicherheitsteams können dadurch schneller geeignete Maßnahmen zur Eindämmung und Behebung eines Vorfalls einleiten. Compliance-Nachweis: Monitoring-Berichte belegen Anforderungen aus IT-Grundschutz, ISO 27001 und § 31 BSIG. Prüfungen und Audits stützen sich auf dokumentierte Daten. Bessere Risikoentscheidungen: Kennzahlen und Auswertungen zeigen, welche Sicherheitsmaßnahmen wirksam sind und wo Handlungsbedarf besteht. Dadurch lassen sich Sicherheitsinvestitionen gezielter priorisieren und begründen.
Risiken des Sicherheitsmonitorings
Datenschutz und Mitbestimmung: Monitoring verarbeitet personenbeziehbare oder sogar personenbezogene Daten und kann Beschäftigte überwachen. Zweckbindung, Löschfristen und die Mitbestimmung des Betriebsrats gehören deshalb vor der Einführung geklärt. Scheinsicherheit: Eine große Menge an Logdaten bedeutet noch kein wirksames Sicherheitsmonitoring. Erst durch geeignete Auswertung, Korrelation, Priorisierung und definierte Reaktionsprozesse werden aus Daten verwertbare Sicherheitshinweise.Alarmmüdigkeit: Schlecht abgestimmte Regeln erzeugen Fehlalarm-Fluten. Echte Vorfälle gehen darin unter.
Herausforderungen des Sicherheitsmonitorings
Vollständige Datenquellen-Abdeckung: Cloud, SaaS und Identitäten fehlen in vielen Monitoring-Konzepten noch. Genau dort finden moderne Angriffe statt. Personal für den Dauerbetrieb: Die Auswertung rund um die Uhr erfordert Analysten, die viele Organisationen nicht besetzen können. Eine Auslagerung an SOC- oder MDR-Dienstleister ist dann eine Option. Pflegeaufwand: Erkennungsregeln und Schwellwerte müssen fortlaufend an neue Bedrohungen angepasst werden. Ein einmalig eingerichtetes Monitoring veraltet sonst schnell.
Sicherheitsmonitoring: Fragen und Antworten
Häufige Fragen (FAQ)Was bedeutet Sicherheitsmonitoring? Sicherheitsmonitoring ist die kontinuierliche Überwachung von IT-Systemen, Netzwerken und Cloud-Diensten, um Angriffe und Sicherheitsvorfälle frühzeitig zu erkennen. Worin unterscheidet sich Sicherheitsmonitoring von einem SIEM? Sicherheitsmonitoring ist der Prozess der Überwachung. Ein SIEM ist das Werkzeug, das dafür Logdaten sammelt, korreliert und Alarme erzeugt. Was hat ein SOC mit Sicherheitsmonitoring zu tun? Das Security Operations Center (SOC) ist die Organisationseinheit, deren Analysten das Sicherheitsmonitoring rund um die Uhr betreiben und Alarme bearbeiten. Welche Datenquellen gehören in ein Sicherheitsmonitoring? Protokolldaten, Netzwerkverkehr, Endpunkt-Telemetrie, Cloud- und SaaS-Protokolle sowie Identitäts- und Anmeldedaten, ausgewählt nach Risiko und Kritikalität. Ist Sicherheitsmonitoring gesetzlich vorgeschrieben? Für Betreiber Kritischer Infrastrukturen ja. § 31 Absatz 2 BSIG verlangt Systeme zur Angriffserkennung. Das BSIG setzt NIS-2 um und weitet vergleichbare Pflichten auf weitere Unternehmen aus. Welche IT-Grundschutz-Bausteine behandeln Sicherheitsmonitoring? OPS.1.1.5 Protokollierung regelt das Erfassen sicherheitsrelevanter Ereignisse, DER.1 Detektion von sicherheitsrelevanten Ereignissen deren Auswertung und die Detektionssysteme. Was fordert ISO 27001 zum Thema Monitoring? Die Maßnahme 8.16 Monitoring activities der ISO/IEC 27001:2022 verlangt, Netzwerke, IT-Systeme und Anwendungen auf anomales Verhalten zu überwachen. Was ist Information Security Continuous Monitoring (ISCM)? Das NIST-Konzept aus der Sonderveröffentlichung SP 800-137. Es beschreibt ein dauerhaftes Programm, das ein Lagebild über Sicherheit, Schwachstellen und Bedrohungen für Risikoentscheidungen aufrechterhält. Dürfen Unternehmen ihre Beschäftigten per Sicherheitsmonitoring überwachen? Nur in engen Grenzen. Das Datenschutzrecht verlangt Zweckbindung und Verhältnismäßigkeit, und der Betriebsrat hat bei technischen Überwachungseinrichtungen mitzubestimmen. Reicht es, Logdaten zu sammeln? Nein. Ohne Auswertung, Korrelation und definierte Reaktionswege bleibt die Sammlung wirkungslos. Detektion und Reaktion gehören zwingend dazu.
Quellenangabe: BSI (IT-Grundschutz-Baustein OPS.1.1.5 Protokollierung) BSI (IT-Grundschutz-Bausteine, Edition 2023) NIST (SP 800-137, Information Security Continuous Monitoring) BSI (Orientierungshilfe Systeme zur Angriffserkennung) ISMS.online (ISO 27001:2022 Annex A Control 8.16) BSI (Mindeststandard Protokollierung und Detektion) NIST (Cybersecurity Framework) Verwandte Einträge: Security Information and Event Management (SIEM) Endpoint Detection and Response (EDR) Security Operations Center (SOC) Logdatei-Analyse Intrusion Detection Incident Response Zukünftige Verlinkungen: Datenschutz Exfiltration (Datenabfluss) Managed Detection and Response Autor:
Prof. Dr. Norbert Pohlmann
Informatikprofessor für Cyber-Sicherheit und Leiter des Instituts für Internet-Sicherheit an der Westfälischen Hochschule. Stand: 26. Oktober 2026
Weitere Informationen zum Begriff “Sicherheitsmonitoring”:
„Die Vermessung der Unsicherheit – Der neue Cyber-Risiko-Score"
„Denken in Fallen – Wie kognitive Verzerrungen Sicherheitsentscheidungen sabotieren" „IT-Sicherheit und Künstliche Intelligenz"
„Lehrbuch-Cyber-Sicherheit"
„Übungsaufgaben und Ergebnisse zum Lehrbuch-Cybersicherheit“ „Bücher im Bereich Cyber Security und IT-Sicherheit zum kostenlosen Download"
„Vorlesungen zum Lehrbuch-Cyber-Sicherheit“
„Forschungsinstitut für Internet-Sicherheit (IT-Sicherheit, Cybersicherheit)“
„Master-Studiengang Internet-Sicherheit (IT-Sicherheit, Cybersicherheit)“ „Marktplatz IT-Sicherheit“ „IT-Notfall- Marktplatz IT-Sicherheit“ „IT-Sicherheitstools - Marktplatz IT-Sicherheit“ „Selbstlernangebot - Marktplatz IT-Sicherheit“ „Köpfe der IT-Sicherheit - Marktplatz IT-Sicherheit “ „Vertrauenswürdigkeits-Plattform"
Summary Article NameSicherheitsmonitoring DescriptionSicherheitsmonitoring überwacht IT-Systeme, Netzwerke, Identitäten und Cloud-Dienste kontinuierlich, erkennt Angriffe frühzeitig und liefert die Grundlage für schnelle Reaktion und belastbare Compliance-Nachweise Author Prof. Norbert Pohlmann Publisher Name Institut für Internet-Sicherheit – if(is) Publisher Logo | 
