Was hinter dem Begriff steckt
Ein Angebot mit dem Wort Monitoring beantwortet noch nicht, was beobachtet wird. Eine regelmäßige Kontrolle öffentlich erreichbarer Konfigurationen unterscheidet sich grundlegend von der fortlaufenden Auswertung sicherheitsrelevanter Ereignisse. Für die Auswahl eines Angebots müssen Datenbasis, Zeitbezug und Verantwortlichkeiten sichtbar sein.
Konfigurationsänderung oder laufendes Ereignis?
Eine wiederholte Außenprüfung kann zeigen, dass ein Dienst beim aktuellen Lauf anders erreichbar ist als zuvor. Sie rekonstruiert damit nicht automatisch alle Ereignisse seit der letzten Prüfung. Security Monitoring im Sinne der NCSC-Anleitung bezieht die aktive Analyse von Protokollen ein, um Angriffszeichen oder ungewöhnliches Verhalten zu erkennen.
Eine Meldung ist noch keine Bearbeitung
Unsere Empfehlung für die Leistungsbeschreibung: Benennen Sie getrennt, wann geprüft wird, wann eine Meldung erzeugt wird und wer sie bearbeitet. Ein quartalsweiser Bericht und eine rund um die Uhr besetzte Leitstelle lösen unterschiedliche Aufgaben. Ebenso ist ein zugesagter Versandzeitpunkt keine garantierte Behebungszeit.
Der Prüfplan sollte fünf Antworten geben
Welche Systeme sind erfasst? Welche Merkmale oder Ereignisse werden ausgewertet? Wie oft und mit welchem zeitlichen Abstand geschieht das? Welche Meldung erhält welche verantwortliche Person? Was passiert, wenn eine Prüfung ausfällt oder ein Befund bestätigt wird? Diese Fragen lassen sich schriftlich klären, bevor über ein vermeintlich vollständiges Monitoring gesprochen wird.
Beispiel: eine geänderte Web-Konfiguration
Eine wöchentliche Prüfung zeigt eine neue Konfiguration am Freitag. Aus diesem Vergleich allein lässt sich nicht ableiten, dass die Änderung exakt am Freitag entstanden ist. Im Bericht sollten daher der vorherige erfolgreiche Stand, der aktuelle Prüfzeitpunkt und die belegte Änderung unterschieden werden. Das Beispiel ist eine methodische Einordnung, kein realer Kundenbefund.
Eine sinnvolle Ergänzung
Wiederkehrende Sicherheitsprüfungen und ereignisbasiertes Monitoring können sich ergänzen. Das eine hält die vereinbarte technische Ausgangslage und ihre Veränderungen fest; das andere wertet geeignete Ereignisdaten aus. Ein sauber beschriebenes Angebot sagt, welchen Teil es übernimmt, anstatt beides unter einem unbestimmten Versprechen zusammenzufassen.
Passende Prüftiefe
Weiterlesen
Primärquellen abgeglichen am 26.09.2026.
Quellen und Geltungsgrenzen sind im Beitrag angegeben.