SOC Analyst finden: Aufgaben und Schichtmodell klären
7
Morten Laufer
Gründer
Wer einen SOC Analyst finden will, muss zuerst Alarmvolumen, Verantwortungsgrenzen und Schichtmodell klären. Nova Search zeigt, wie Hiring-Entscheider:innen in vier Schritten zu einem besetzbaren Suchprofil kommen.
§ 30 BSIG macht Bewältigung von Sicherheitsvorfällen zur Pflichtmaßnahme: Das SOC-Suchprofil muss die regulatorische Abdeckung abbilden.
51 Prozent der SOC-Teams fühlen sich vom Alarmvolumen überwältigt, 27 Prozent der Zeit geht in False Positives: Einsatzfenster und Eskalation vorher klären.
Eine Arbeitsprobe mit einem anonymisierten Alarm mit widersprüchlichen Indizien prüft Triage-Qualität verlässlicher als Lebensläufe.
ECSF (12 Rollenprofile) und NIST SP 800-61r3 liefern den Rahmen, um Triage, Detection Engineering und Incident Response sauber zu trennen.
Nova Search übersetzt dein SOC-Suchprofil in eine Shortlist in 5 Werktagen, mit 90-Tage-Garantie.
KI Dieser Artikel wurde mit Hilfe von KI erstellt.
Welche Alarme muss das SOC intern bearbeiten?
Bevor du eine SOC-Analyst:in suchst, nimm deine Alarmlage auf. Welche Quellen speisen das SIEM, wie viele Alarme landen täglich in der Queue und wie viele davon bearbeitet dein Team tatsächlich? Ohne diese Zahlen diskutierst du über eine Stelle, die es so nicht gibt. Die Größenordnung ist bekannt: Organisationen erhalten im Schnitt rund 2.992 Sicherheitsalarme pro Tag, und 63 Prozent davon bleiben unbearbeitet. Genau diese Lücke zwischen Alarm und Bearbeitung entscheidet, ob dein Suchprofil realistisch ist oder jemand einstellt, der ab Tag eins überfordert ist.
SIEM: Korrelationsregeln, angeschlossene Log-Quellen und eigene Use Cases erfassen
EDR: Endpunkt-Alarme inklusive Häufigkeit und bisheriger Bearbeitungsquote
Netzwerk: Sensorik, Firewall- und NDR-Alarme mit ihrem Anteil am Gesamtvolumen
Cloud und Identity: Fehlkonfigurations- und Anmeldealarme aus Cloud-Plattformen und IAM
Aufgabenbereich | Typische Aufgaben | Gehört zur Rolle, wenn |
|---|---|---|
Triage | Alarme prüfen, mit Kontext anreichern, priorisieren, False Positives dokumentieren | Das Tagesgeschäft im Queue-Volumen deiner Umgebung bewältigt werden muss |
Detection Engineering | Regeln schreiben und tunen, Feedback aus der Triage in die Detection zurückspielen | Regelpflege explizit im Team vorgesehen ist, nicht beim Tool-Anbieter liegt |
Incident Response | Eindämmen, forensisch aufklären, Wiederherstellung und Meldepflichten koordinieren | Die Teamaufstellung tatsächlich Übergaben an Responder oder externe Dienste vorsieht |
Wo endet die Verantwortung des Analysts?
Die Verantwortungsgrenze ist keine Formalie, sondern regulatorisch belegt: § 30 BSIG nennt die Bewältigung von Sicherheitsvorfällen und die Aufrechterhaltung des Betriebs als verpflichtende Risikomanagementmaßnahmen, deren Einhaltung zu dokumentieren ist. NIST hat mit SP 800-61r3 Incident Response fest ins Risikomanagement integriert und verknüpft Erkennung, Reaktion und Wiederherstellung über die CSF-2.0-Funktionen. Für die Rollenbildung liefert der europäische Referenzrahmen ECSF zwölf Rollenprofile mit Aufgaben, Skills und Kompetenzen. Nutze diese drei Referenzen, um im Mandat sauber zu trennen, was Triage leistet und was darüber hinausgeht. Wo der Fachkräftemangel dich zusätzlich unter Druck setzt, zeigt der Recruiting-Guide für DACH 2026.
Welche Arbeitsprobe zeigt sichere Alarmbewertung?
Ein Lebenslauf sagt nichts darüber aus, ob jemand einen mehrdeutigen Alarm sauber bewertet. Baue deshalb eine Arbeitsprobe in den Prozess ein: einen realen, anonymisierten Alarm aus deinem eigenen SIEM, mit Indizien, die in zwei Richtungen deuten. Denkbar ist etwa eine Kette fehlgeschlagener Anmeldungen, gefolgt von einem erfolgreichen Login aus ungewöhnlicher Zeitzone, während parallel ein Wartungsfenster im Ticket-System dokumentiert ist. Beides ist vereinbar, die Bewertung entscheidet.
Realer Alarmfall aus dem eigenen SIEM, anonymisiert auf Nutzer:innen und Systeme
Mindestens zwei Indizien, die gegeneinander sprechen, keine Vorgabe eines Musterlösungspfads
Offene Fragestellung: Bewerten, priorisieren, eskalieren oder schließen
45 bis 60 Minuten Bearbeitungszeit, anschließend Nachfrage zur Begründung
Bewerte anhand von drei Kriterien. Erstens strukturierte Triage: Arbeitet die Person die Indizien in einer nachvollziehbaren Reihenfolge ab und reichert Kontext an, statt bei der ersten plausiblen Erklärung stehen zu bleiben? Zweitens begründete Priorisierung: Lässt sich die Einstufung kritisch oder unkritisch an den Logdaten festmachen? Drittens klare Eskalation: Wird benannt, ab wann die Übergabe an Incident Response erfolgt, und wird die Entscheidung dokumentiert? Bauchgefühl erkennst du daran, dass Behauptungen ohne Bezug zu den konkreten Daten bleiben.
Den Abgleich liefert der Rahmen: Das ECSF beschreibt je Rollenprofil die zugehörigen Aufgaben und Kompetenzen und schafft damit eine gemeinsame Sprache zwischen Nachfrage und Qualifikation. NIST rückt Incident Response mit SP 800-61r3 als Teil des Risikomanagements in den Fokus. Eine Kandidatin oder ein Kandidat, der die Eskalation in der Arbeitsprobe begründet, zeigt genau diese Kompetenz unter realen Bedingungen.
Wie passen Schichtmodell und Eskalation zusammen?
Das Schichtmodell ist der Teil des Mandats, der am häufigsten vage bleibt und am häufigsten für Fehlbewerbungen sorgt. Definiere das Einsatzfenster explizit, lege fest, wie Schichten übergeben werden, und kläre die Rufbereitschaft. Ein Übergabeprotokoll mit offenen Fällen, getroffenen Annahmen und offenen Fragen gehört für dich als Hiring-Entscheider:in genauso zum Mandat wie die Frage, wer nachts gerufen wird.
Modell | Abdeckung | Passt, wenn |
|---|---|---|
Business Hours | Bearbeitung während der Geschäftszeiten, außerhalb davon nur kritische Eskalation | Das Alarmvolumen liegt überwiegend tagsüber an und die Nachtabdeckung ist extern gesichert |
Extended Hours | Verlängertes Fenster über die Kernzeiten hinaus, zum Beispiel Früh- und Spätdienst | Kritische Systeme abends aktiv bleiben, aber keine durchgehende Nachtbesetzung nötig ist |
24/7 | Durchgehende Besetzung im Schichtdienst inklusive Wochenenden | Vorfälle rund um die Uhr selbst bearbeitet werden müssen und Meldefristen das verlangen |
Zu jedem Modell gehören Eskalationsstufen mit Reaktionszeiten und Vertretungsregelungen. Benenne die Lücken ehrlich: Alert Fatigue ist ein dokumentiertes Branchenproblem. Laut der SANS Detection and Response Survey 2025 nennen 73 Prozent der Teams False Positives als ihre größte Detection-Herausforderung, und nach Microsoft/Omdia sind 46 Prozent aller Alarme False Positives. Prüfe deshalb, ob externe Dienste wie MDR die Nachtabdeckung übernehmen, statt eine Stelle gegen die reale Alarmflut zu bauen. Ein Mandat, das Nachtbereitschaft verschweigt, kostet dich die Besetzung und danach die Person.
Wie wird daraus ein besetzbares SOC-Suchprofil?
Aus den drei vorherigen Schritten wird ein Mandat, das eine spezialisierte Vermittlung direkt umsetzen kann. Diese Angaben gehören zwingend hinein:
Alarmvolumen pro Tag und die Quellen dahinter, konkret benannt: SIEM, EDR, Netzwerk, Cloud
Aufgabenanteile zwischen Triage, Detection Engineering und Incident Response gemäß eurer Teamaufstellung
Schichtmodell mit Einsatzfenster, Übergabeprotokoll, Rufbereitschaft und Eskalationswegen
Tech-Stack mit konkreten Produkten statt Gattungsbegriffen
Die Arbeitsprobe als fester Bestandteil des Interviewprozesses
Mache das Erfahrungsniveau an der Arbeitsprobe fest, nicht an Jahren in der Rolle. Wer einen mehrdeutigen Alarm strukturiert abarbeitet, begründet priorisiert und die Eskalation sauber zieht, hat das Niveau gezeigt, das du brauchst. Der Europäische Referenzrahmen geht mit der laufenden Revision in dieselbe Richtung und führt Proficiency Levels für die Skills-Definition ein. Jahre zählen weiterhin für Gehaltseinstufung und Seniorität, aber die Bewerbungsentscheidung fällt an der Probe.
Wenn das Suchprofil steht, ist die Übergabe der nächste Schritt: SOC-Suchprofil und Einsatzmodell mit Nova Search abstimmen. Über die Festanstellung (Permanent Recruitment) bekommst du nach einem rund 60-minütigen Briefing eine Shortlist von drei Kandidat:innen innerhalb von 5 Werktagen, erstellt über ein zweistufiges Screening aus technischer Tiefenprüfung und Culture-Interview, mit 90-Tage-Garantie. Im Cybersecurity-Bereich greift dabei ein Netzwerk von mehr als 1.500 vorqualifizierten Profilen, darunter SOC-Analyst:innen, Threat Hunter und Incident Responder. Wie das in der Praxis aussieht, zeigt die Besetzung einer Cybersecurity-Leitungsrolle in 8 Wochen Case Study avodaq AG. Das Ergebnis ist dasselbe Prinzip wie im gesamten Prozess: Kein Lebenslauf-Rauschen, sondern Passgenauigkeit anhand deiner tatsächlichen Alarmlage Cybersecurity Recruiting.
Sources
FAQ
Welche Aufgaben hat ein SOC Analyst im Alltag?
Ein SOC Analyst überwacht Datenquellen wie SIEM und EDR, bewertet Alarme in der Triage und eskaliert bestätigte Vorfälle an Incident Response. Die genaue Abgrenzung zu Detection Engineering und Incident Response hängt von deiner Teamaufstellung ab und sollte im Suchprofil stehen. Der ECSF von ENISA beschreibt dafür 12 Rollenprofile mit Aufgaben und Kompetenzen.
Wie viele SOC Analysten brauche ich für ein 24/7-Schichtmodell?
Eine pauschale Personalzahl gibt es nicht: Sie hängt von Alarmvolumen, False-Positive-Quote und Eskalationsstruktur ab. In einer Trend-Micro-Umfrage sagten 51 Prozent der Teams, dass sie vom Alarmvolumen überwältigt sind, und 27 Prozent der Zeit geht in False Positives. Kläre zuerst Einsatzfenster, Übergaben und Rufbereitschaft, dann ergibt sich der Personalbedarf aus der tatsächlichen Alarmlage.
Wie prüfe ich im Bewerbungsprozess, ob ein SOC Analyst Alarme sicher bewertet?
Lass Kandidat:innen einen anonymisierten Alarm mit widersprüchlichen Indizien aus deinem eigenen SIEM auswerten. Bewertet werden strukturierte Triage, begründete Priorisierung und die Eskalationsentscheidung. NIST SP 800-61r3 (finalisiert im April 2025) empfiehlt, Erkennung, Reaktion und Wiederherstellung als Teil des Risikomanagements zu prüfen.
Welche regulatorischen Pflichten betreffen das SOC in Deutschland?
§ 30 BSIG verpflichtet einschlägige Einrichtungen zu Risikomanagementmaßnahmen, darunter ausdrücklich die Bewältigung von Sicherheitsvorfällen und die Aufrechterhaltung des Betriebs inklusive Backup-Management und Krisenmanagement. Für NIS2-betroffene Unternehmen sollte das SOC-Suchprofil dokumentieren, wie der Analyst diese Abdeckung mitträgt.
Was gehört in ein SOC-Suchprofil für eine Personalberatung?
Alarmvolumen und Datenquellen, Tech-Stack (SIEM, EDR), Verantwortungsgrenze zu Detection Engineering und Incident Response, Schichtmodell mit Übergaben und Rufbereitschaft, Eskalationswege sowie das Erfahrungsniveau, festgemacht an der Arbeitsprobe. Mit diesen Angaben kann eine spezialisierte Vermittlung wie Nova Search direkt eine Shortlist in 5 Werktagen erstellen.
Warum ist Alert Fatigue ein Argument beim SOC-Hiring?
Alert Fatigue ist ein dokumentiertes Problem in Security Operations Centres: Überwältigendes Alarmvolumen führt zu langsameren Reaktionszeiten, übersehenen Bedrohungen und Burnout. Ein Review in ACM Computing Surveys (April 2025) identifiziert vier Hauptursachen. Ein realistisches Schichtmodell und klare Eskalationsstufen im Suchprofil senken das Risiko, dass neue Analyst:innen schnell wieder aussteigen.
