Kurzfassung

Sicherheitsorganisationen kaufen moderne SIEM- und EDR-Tools, ändern aber ihre grundlegenden Prozesse nicht – ein kritisches Versprechen, das Cyber-Investitionen zu blossen Produkt-Upgrades degradiert. Die Google Cloud Security Podcast Episode mit Danny Lyman (VP Threat Detection and Response bei Fiserv) enthüllt: Ohne Prozessoptimierung bleiben Teams in veralteten Arbeitsmustern gefangen, selbst wenn die Technologie sub-sekündige Suchen und KI-gestützte Analysen ermöglicht. Das Problem: Viele CISOs und Führungskräfte verwechseln technologische Innovation mit operativer Transformation – und verfehlen damit die eigentliche Chance für Skalierung und Effizienz.

Personen

Themen

  • SOC-Transformation vs. Tool-Migration
  • Föderierte SOC-Modelle und Koordination
  • EDR-Obsession und Multistack-Sicherheit
  • Mean Time to Respond (MTTR) als Erfolgsmesser
  • KI in der Detektion und Datenverfügbarkeit

Clarus Lead

Das zentrale Versprechen scheitert bereits in der Umsetzung: Organisationen investieren Millionen in moderne SIEM- und EDR-Technologien, operieren aber weiterhin nach Playbooks aus 2005. Der Grund ist organisatorisch, nicht technisch. Tim Peacock und Anton Zhivakin kritisieren auf dem Google Cloud Security Podcast, dass Teams ihre Detektion- und Response-Prozesse nicht an moderne Technologie anpassen – obwohl neue Tools sub-sekündige Suchen und KI-gestützte Korrelation ermöglichen würden. Das Ergebnis: Keine neuen Fähigkeiten, keine Skalierung, nur schnellere alte Prozesse. Besonders problematisch ist die EDR-Obsession: Viele Sicherheitsführer glauben, ein Top-Tier-EDR könne alles decken – ein Fehlglauben, der kritische Angriffsschichten (Router, Appliances, Netzwerk, IAM) ausser Acht lässt.

Detaillierte Zusammenfassung

Das Prozess-Problem ist das eigentliche Problem

Danny Lyman bringt das zentrale Versprechen präzise auf den Punkt: „Wenn wir nicht den richtigen Prozess haben, dann wird es eine Herausforderung, Dinge richtig zu machen." Während Investitionen typischerweise in Menschen, Prozesse und Technologie aufgeteilt werden, gravitieren Organisationen überwiegend zur Technologie-Komponente. Das führt zu einem klassischen Szenario: Ein Unternehmen kauft moderne SIEM/SOAR-Lösungen, zieht alte Appliances ab, führt neue SaaS-Tools ein – und nennt das „SOC-Transformation". Tatsächlich ist es nur ein Produkt-Upgrade ohne operative Neuausrichtung. Die Workflows bleiben identisch, die Entscheidungsfindung gleich, die Spezialisierung unverändert. Selbst wenn die neue Technologie sub-sekündige Suchen ermöglicht (statt früher 2–5 Stunden), führt dies zu keinen neuen Fähigkeiten, weil Teams nicht gelernt haben, diese Geschwindigkeit zu nutzen.

EDR-Obsession: Der silberne Kugel, der nicht existiert

Ein besonders drängender Punkt: Viele Sicherheitsführer betrachten Enterprise Detection and Response (EDR) als universale Lösung und sind überrascht, wenn sie hören, dass ein „kompromittierter Router" oder ein gehacktes Sicherheitsgerät nicht von EDR überwacht wird. Anton Zhivakin bricht diesen Mythos explizit auf: EDR ist wertvoll, aber es ist nicht das Einzige. Noch problematischer: Einige Führungskräfte sagen öffentlich, dass sie die SIEM „verlassen können", weil EDR „alles entdeckt". Das ist faktisch falsch. Angriffe durchqueren alle sieben OSI-Schichten. Ein EDR-only-Ansatz verlässt sich auf Endpunktsichtbarkeit – und ignoriert damit Netzwerk-basierte Angriffe, Identitäts-Angriffe, Applikations-Logs und kritische Infrastruktur-Logs.

Die Gründe für diese Obsession sind wirtschaftlich: Organisationen haben erhebliche EDR-Investitionen getätigt, müssen diese rechtfertigen und können nicht sagen, dass die Investition unzureichend ist. Das ist ein klassisches Sunk-Cost-Fallacy-Problem, das sich durch starke Marketing-Botschaften verschärft.

Föderierte SOC-Modelle und das Koordinationsproblem

Lyman führt dann ein subtileres Konzept ein: Föderierte SOCs. Das bedeutet nicht zentrale vs. dezentrale Technologie, sondern spezialisierte Teams, die jeweils in EDR, NDR (Network Detection and Response) und IAM-Tools arbeiten – mit zentraler Koordination. Das Kritische: Wenn ein IAM-Anomalie mit einem Netzwerk-Ereignis korreliert werden muss, wird diese Verbindung oft übersehen, weil die Teams isoliert arbeiten. Diese Koordinationslücken sind häufig Angriffsrouten, die zwischen den Spezialisierungen durchschlüpfen.

AI und das Datenproblem

Zum Thema KI-gestützte Detektion geben die Hosts klare Warnung aus: KI kann nur sehen, was ihr zugänglich ist. Wenn kritische Logs (Applikations-Logs, alte Systeme, isolierte Dateninseln) nicht zentral verfügbar sind, kann keine KI-Regel diese blind spots adressieren. Ein klassisches Beispiel: Java-Applikations-Logs enthalten Gold-Standard-Intelligenz über Angriffsabsichten, sind aber notorisch schwierig zu normalisieren. Viele SOCs geben auf und erfassen diese Logs nicht – damit verlieren sie wertvolle Angriffssignale.

Die Metriken-Verwirrung: MTTR statt Obsession mit MTTD

Lyman bringt eine wichtige Klarstellung: Mean Time to Respond (MTTR) ist die universale Metrik. Detection Time (MTTD), Containment Time (MTTC) und andere sind Subsets davon. Viele Organisationen obsidieren aber über Detection Speed und unterschätzen Response Speed – obwohl die schnellste Reaktion auf einen undetektierten Angriff null Wert hat. Der praktische Nutzen liegt in schneller Reaktion, nicht nur schneller Detektion.

Kernaussagen

  • Prozess schlägt Technologie: Moderne Tools ohne Prozessoptimierung sind nur schnellere alte Prozesse – keine Transformation.
  • EDR ist notwendig, nicht ausreichend: Multistack-Sicherheit (Netzwerk, Identität, Applikation, Endpunkt) ist erforderlich; EDR-only-Ansätze missingen kritische Angriffsschichten.
  • Koordination ist der Hebel: Föderierte Teams mit zentraler Koordination schliessen Blind Spots, die spezialisierte Teams schaffen.
  • Daten sind die KI-Grenze: Keine KI kann sehen, was nicht erfasst wird; isolierte Datensilos sabotieren moderne Technologie.
  • MTTR schlägt MTTD: Response-Geschwindigkeit ist kritischer als Detection-Geschwindigkeit.

Kritische Fragen

  1. [Evidenz/Quellenvalidität] Lyman behauptet, dass die meisten Organisationen ihre Prozesse bei Tool-Upgrades nicht ändern – gibt es verfügbare Branchenstudien (Gartner, Forrester) oder ISACs, die diese Quote quantifizieren können?

  2. [Interessenkonflikte] Warum behaupten Sicherheitsführer öffentlich, dass EDR ausreicht, wenn sie im privaten Gespräch zugeben, dass es nicht alles deckt? Ist das Reputation-Management oder Budgetschutz?

  3. [Kausalität] Werden Teams mit besseren Prozessen automatisch effizienter, oder gibt es Kontrollvariablen (Teamgrösse, Budget, Vendor-Lock-in), die den Effekt überlagern?

  4. [Umsetzbarkeit/Nebenwirkungen] Welche konkreten Prozess-Änderungen sollte ein SOC durchführen, wenn es von EDR-only zu Multi-Stack migriert? Welche Trainingskosten entstehen?

  5. [Datenqualität] Applikations-Logs sind schwer zu normalisieren – gibt es etablierte Standards (CEF, OCSF) oder muss jedes SOC dieses Problem selbst lösen?

  6. [Kausalität] Kann AI wirklich all diese isolierten Datenquellen zusammenbringen, oder ist das Wunschdenken, solange Legacy-Systeme keine APIs haben?

  7. [Interessenkonflikte] Sind SIEM-Vendor-Empfehlungen für „föderierte SOCs" wirklich technisch neutral, oder liegt darin ein geschäftliches Interesse (mehr Tools, höhere Lizenzkosten)?

  8. [Umsetzbarkeit] Sebastian Jungers „In My Time of Dying" zieht Parallele zu Intrusion Response – aber sind medizinische Diagnostik-Prozesse auf Cybersecurity übertragbar, oder ist die Analogie zu vereinfacht?

Weitere Meldungen

  • Cloud-Datenzentren-Boom: Tech-Konzerne (Amazon, Google, Meta, Microsoft) investieren massiv in Datenzentren für KI; 2025 waren es 400 Mrd. USD – mit massiven Auswirkungen auf ländliche Gemeinden.
  • BAKOM-Newsletter 486: Bundesamt für Kommunikation veröffentlicht aktuelle Medienpolitik-Updates; regulatorische Entwicklungen in der Schweiz im Fokus.

Quellenverzeichnis

Primärquelle: [Cloud Security Podcast Episode 263: Detection and Response with Danny Lyman (FISERV)] – https://traffic.libsyn.com/secure/cloudsecuritypodcast/EP263_not259_CloudSecPodcast.mp3

Ergänzende Quellen:

  1. Danny Lyman, VP Threat Detection and Response, FISERV
  2. Tim Peacock, Senior PM Google Cloud SecOps
  3. Anton Zhivakin, Senior Staff Google Cloud CISO Office
  4. Sebastian Junger, In My Time of Dying (2023) – medizinisch-philosophische Perspektive auf Diagnostik und Entscheidungsfindung unter Unsicherheit

Verifizierungsstatus: ✓ 2026-02-17

Dieser Text wurde mit Unterstützung eines KI-Modells erstellt. Redaktionelle Verantwortung: clarus.news | Faktenprüfung: 2026-02-17