Brauche ich ein 24/7-SOC? Die Frage taucht selten aus reiner Neugier auf. Meistens liegt ein Angebot auf dem Tisch, das ein "Security Operations Center, rund um die Uhr" verspricht, und daneben eine Zahl, die für einen Betrieb mit 40 oder 80 Leuten schwer zu rechtfertigen ist. Oder die Cyberversicherung hat im Fragebogen nach Monitoring gefragt, und jetzt sitzt die Sorge im Raum: Reicht das, was wir haben, oder brauchen wir jemanden, der auch nachts um drei auf den Bildschirm schaut?
Der Reflex ist verständlich. Mehr Überwachung klingt nach mehr Sicherheit. Aber ein 24/7-SOC ist kein Sicherheitsniveau, das man einkauft, sondern eine Betriebsform mit einem bestimmten Preis. Die ehrliche Antwort hängt nicht davon ab, wie wichtig dir Sicherheit ist, sondern davon, wie dein Betrieb tatsächlich läuft.
Ein 24/7-SOC bezahlt vor allem eine menschliche Nachtschicht. Die lohnt sich für Betriebe, bei denen jede Minute Ausfall Geld kostet oder die regulatorisch echte Rund-um-die-Uhr-Reaktion brauchen. Für ein normales Büro-KMU, das zu Bürozeiten arbeitet, reicht in aller Regel eine andere Grösse: Microsoft-Automatisierung, die rund um die Uhr sofort eindämmt, plus menschliche Analyse und Reaktion zu Bürozeiten mit klaren Reaktionszeiten. Die Frage ist nicht mehr oder weniger Sicherheit, sondern die richtige Dimensionierung.
Was heisst 24/7-SOC überhaupt, ohne Marketing?
Ein SOC ist die Stelle, die Sicherheitswarnungen liest, bewertet und darauf reagiert. "24/7" heisst, dass dafür rund um die Uhr Menschen bereitstehen, auch nachts und am Wochenende. Diese durchgehende Personalbesetzung ist der teure Teil, nicht die Technik.
Das ist der Punkt, den die meisten Angebote verschweigen: Die Erkennungswerkzeuge in Microsoft 365 laufen ohnehin permanent, ob du eine Nachtschicht bezahlst oder nicht. Defender wertet Anmeldungen, Mails und Geräteverhalten auch um 03:00 aus. Was ein 24/7-SOC zusätzlich kauft, sind wache Menschen in diesen Stunden. Die Frage ist also nicht "läuft nachts etwas", sondern "muss nachts ein Mensch entscheiden".
Volle 24/7-SOCs sind für Umgebungen gebaut, in denen ein Vorfall zwischen 03:00 und 08:00 echten Schaden anrichtet: Spitäler, Produktionsstrassen im Schichtbetrieb, Banken. In einem Büro-KMU, das um 18:00 das Licht löscht, entsteht in denselben Stunden meist kein Schaden, der eine bezahlte Nachtschicht rechtfertigt. Das ist kein Sparargument, sondern eine Frage der Passung.
Brauche ich ein 24/7-SOC für mein KMU?
Für die meisten Schweizer KMU mit 20 bis 150 Mitarbeitenden, die auf Microsoft 365 arbeiten und zu Bürozeiten tätig sind, lautet die ehrliche Antwort: nein. Was du brauchst, ist jemand, der die Defender-Warnungen tatsächlich liest und übernimmt, plus Automatisierung, die den ersten Schaden auch nachts begrenzt. Eine bezahlte menschliche Nachtschicht gehört selten dazu.
Der Denkfehler steckt im Vergleich. Viele stellen ein 24/7-SOC gegen "nichts" und schliessen daraus, mehr sei besser. Die realistische Alternative ist aber nicht null Überwachung, sondern eine richtig dimensionierte: automatische Sofortmassnahmen rund um die Uhr, menschliche Triage und Reaktion zu Bürozeiten. Der Unterschied zwischen dieser Grösse und einem vollen 24/7-Betrieb ist für ein Büro-KMU meist nur eine Handvoll Minuten in der Nacht, bezahlt mit dem Jahrespreis einer Dauerschicht. Wer heute schon nicht weiss, wer die Defender-Warnungen im eigenen Tenant liest, löst dieses Problem nicht dadurch, dass er die teuerste Variante kauft.
Was passiert dann nachts, wenn niemand hinschaut?
Es schaut jemand hin, nur kein Mensch. Microsoft Defender korreliert laufend Signale aus E-Mail, Identitäten und Geräten und dämmt aktive Angriffe automatisch ein, auch um drei Uhr morgens. Konten werden gesperrt, Geräte vom Netz isoliert, Sitzungen widerrufen, ohne dass jemand wach sein muss.
Diese Funktion heisst bei Microsoft "automatische Angriffsunterbrechung". Sie erkennt laufende Angriffe über korrelierte Signale und ergreift in Echtzeit Massnahmen, etwa ein kompromittiertes Konto deaktivieren oder ein auffälliges Gerät isolieren. Microsoft gibt für diese Eindämmungen laut der Dokumentation zur automatischen Angriffsunterbrechung ein Konfidenzniveau von über 99 Prozent an, bevor eine automatische Aktion ausgelöst wird. Das ist der Grund, warum die Nacht für ein Büro-KMU beherrschbar bleibt: Der erste, schadensbegrenzende Schritt passiert sofort und automatisch. Die menschliche Bewertung, ob es ein echter Vorfall war und was daraus folgt, kommt am nächsten Arbeitsmorgen mit vollem Kontext.
Das ist bewusst so aufgeteilt. Automatisierung ist schnell und unermüdlich, aber sie versteht deinen Betrieb nicht. Ein Mensch versteht den Kontext, braucht aber nicht um 03:00 wach zu sein, um am Morgen die richtige Entscheidung zu treffen, wenn die Automatisierung den Schaden über Nacht ohnehin eingegrenzt hat.
Wann brauchst du wirklich rund um die Uhr Menschen?
In manchen Fällen ist ein 24/7-SOC richtig, und dann sagen wir das auch offen. Ausschlaggebend ist, ob nachts überhaupt etwas passiert, das ein Mensch in dem Moment entscheiden muss. Deine Firmengrösse allein sagt darüber wenig. Diese Konstellationen sprechen für echte Rund-um-die-Uhr-Besetzung:
- Schichtbetrieb oder Produktion. Wenn nachts Maschinen laufen oder Aufträge verarbeitet werden, kostet ein Ausfall um 03:00 dasselbe wie am Mittag.
- Nachtumsatz. Ein Onlineshop oder eine Plattform, die auch nachts Geld verdient, hat in denselben Stunden ein echtes Ausfallrisiko.
- Regulatorische oder vertragliche Pflicht. Manche Branchen oder Grosskunden verlangen ausdrücklich eine 24/7-Reaktion durch Menschen. Dann ist es keine Frage der Wirtschaftlichkeit, sondern der Vorgabe.
Trifft nichts davon auf dich zu, bezahlst du mit einem 24/7-SOC für ein Risiko, das dein Betrieb in diesen Stunden gar nicht trägt. Phishing- und Betrugsversuche sind laut dem Bundesamt für Cybersicherheit (BACS) in der Schweiz weit verbreitet, aber verbreitet heisst nicht, dass jeder Vorfall eine sofortige menschliche Nachtreaktion braucht. Er braucht eine schnelle automatische Eindämmung und eine saubere Übernahme am Morgen.
So sieht das in einem 60-Personen-Betrieb aus
Ein Ingenieurbüro mit rund 60 Mitarbeitenden, vollständig auf Microsoft 365 Business Premium, ein IT-Verantwortlicher in Teilzeit-Doppelrolle. An einem Freitag um 22:30 meldet sich ein Mitarbeiterkonto aus einem Land an, in dem die Firma nie tätig ist, und beginnt, Postfachregeln anzulegen. Ein klassisches Muster nach einem Phishing-Klick.
Die automatische Angriffsunterbrechung widerruft die aktiven Sitzungen und deaktiviert das Konto innerhalb von Sekunden. Der Angreifer ist draussen, bevor er das Postfach nach Rechnungen durchsuchen kann. Niemand aus der Firma musste um 22:30 wach sein. Am Montagmorgen um 08:00 sieht unser Analyst den Vorfall mit vollem Kontext, prüft, welche Regeln angelegt wurden, setzt das Konto sauber zurück, informiert den IT-Verantwortlichen und dokumentiert den Fall für die Versicherung.
Ein 24/7-Team hätte hier vielleicht drei Minuten früher einen Menschen an den Fall gesetzt. Am Ergebnis hätte das nichts geändert, denn die schadensbegrenzende Massnahme lief automatisch. Für diese drei Minuten das ganze Jahr eine Nachtschicht zu bezahlen, ist genau die Überdimensionierung, die wir für ein solches KMU nicht empfehlen.
Wie findest du die richtige Grösse?
Die Entscheidung wird einfacher, wenn du nicht mit dem Produkt anfängst, sondern mit deinem Betrieb. Vier Fragen bringen dich weiter als jeder Anbietervergleich:
- Läuft dein Geschäft nachts wirklich? Nicht "könnte theoretisch", sondern: Wird zwischen 22:00 und 06:00 produziert, verkauft oder verarbeitet?
- Was kostet eine Stunde Ausfall um 03:00? Wenn die ehrliche Antwort "nichts, es merkt bis 08:00 niemand" lautet, hast du deine Antwort auf die 24/7-Frage schon.
- Gibt es eine harte Vorgabe? Ein Vertrag, ein Auditor oder eine Regulierung, die 24/7-Reaktion durch Menschen ausdrücklich verlangt.
- Wird das, was du heute hast, überhaupt genutzt? Die meisten KMU haben ungenutzte Defender-Funktionen in ihrer Lizenz. Erst hinschauen, dann aufrüsten.
Wenn drei dieser vier Fragen in Richtung "kein Nachtbetrieb, keine harte Vorgabe" zeigen, ist ein rund dimensioniertes SOC die passende Grösse, nicht der 24/7-Vollausbau. Unsere ehrliche Passt- und Passt-nicht-Einordnung macht genau diese Trennung, und wenn ein Fragebogen der Cyberversicherung der Auslöser war, hilft dir unser Beitrag dazu, welche Monitoring-Anforderungen wirklich zählen.
Was kostet die richtige Grösse statt 24/7?
Ein richtig dimensioniertes SOC für ein Microsoft-365-KMU beginnt bei CHF 1'850 im Monat, abhängig vom Risikolevel deines Tenants. Das ist ein Bruchteil dessen, was ein voller 24/7-Betrieb mit Nachtschichten kostet, und liegt auch deutlich unter dem Jahreslohn eines eigenen Security-Spezialisten, der trotzdem nur zu Bürozeiten arbeitet und Ferien hat.
Bevor ein Vertrag Sinn ergibt, kommt die Standortbestimmung. Ein M365 Tenant Review für CHF 990 zeigt, wie deine Microsoft-365-Konfiguration heute wirklich aussieht, welche Defender-Funktionen du schon bezahlst und ungenutzt lässt und welches Risikolevel dein Betrieb tatsächlich hat. Häufig senkt schon eine sauberere Konfiguration das Risikolevel und damit den späteren Monatspreis, ohne dass du eine einzige zusätzliche Lizenz kaufst. Das ist die unromantische Wahrheit hinter der 24/7-Frage: Bevor du über Nachtschichten nachdenkst, lohnt sich der Blick darauf, was in deinem Tenant schon eingebaut ist und nur niemand nutzt.
Häufige Fragen
Ist ein 24/7-SOC nicht einfach sicherer?
Sicherer im Sinn von "ein Mensch reagiert nachts ein paar Minuten früher", ja. Aber die automatische Eindämmung passiert ohnehin sofort, rund um die Uhr. Der menschliche Nachtdienst verkürzt nur die Zeit bis zur Bewertung, nicht die Zeit bis zur ersten Massnahme. Für ein Büro-KMU ist dieser Unterschied den Jahrespreis einer Nachtschicht selten wert.
Können wir später auf 24/7 hochstufen?
Ja. Die richtige Dimensionierung ist keine Einbahnstrasse. Wächst dein Betrieb in einen Schichtbetrieb oder eine regulatorische Pflicht hinein, lässt sich die Abdeckung erweitern. Der teure Fehler wäre, heute für einen Bedarf zu bezahlen, den du vielleicht erst in Jahren hast, wenn überhaupt.
Woran erkenne ich, dass ein Anbieter überdimensioniert verkauft?
Am Gespräch über deinen Betrieb. Wer 24/7 anbietet, ohne zu fragen, ob du nachts überhaupt tätig bist, verkauft ein Paket, keine Passung. Ein ehrlicher Anbieter fragt zuerst nach deinen Betriebszeiten und deinem tatsächlichen Ausfallrisiko und sagt dir auch, wenn du weniger brauchst, als im Angebot steht.