Glossar
Sicherheitsbegriffe, klar erklärt
Die Begriffe, die in Prüfberichten, Auditfeststellungen und Anbieterangeboten auftauchen — einmal ausgeschrieben, ohne Marketing. Jeder Begriff verweist auf die Leistung, bei der wir diese Arbeit tun.
Autonomous SOC
auch KI-gesteuerter Sicherheitsbetrieb
- Ein Betriebsmodell, bei dem KI die erste Sichtung und Untersuchung von Meldungen übernimmt und Analystinnen und Analysten das Ergebnis prüfen und entscheiden. Der Begriff wird von Anbietern weit ausgelegt: In nahezu jedem realen Einsatz gibt weiterhin ein Mensch die Eindämmung frei. Die sinnvolle Frage ist deshalb, welche Entscheidungen tatsächlich abgegeben wurden, nicht ob die Bezeichnung passt.
Cloud misconfiguration
Fehlkonfiguration in der Cloud
- Eine Cloud-Ressource, die in einem exponierten Zustand verblieben ist: ein für alle lesbarer Speicher, eine Rolle mit weit mehr Rechten als nötig, ein zum Internet offener Verwaltungsport. Das ist ein Konfigurationsfehler und kein Softwarefehler — deshalb gibt es dafür weder eine CVE-Kennung noch einen Patch: Man findet ihn durch Prüfung der Einstellungen, nicht durch die Suche nach Versionen.
Configuration management plan
Konfigurationsmanagement-Plan
- Das Dokument, das festhält, wie die Konfiguration eines Systems definiert, geändert und überprüft wird: was die freigegebene Ausgangslage ist, wer davon abweichen darf und wie Abweichungen erkannt werden. Prüferinnen und Prüfer verlangen ihn, weil die meisten Maßnahmen, die sie anschließend testen, Einstellungen sind, die jemand ändern kann.
CVE
Common Vulnerabilities and Exposures — öffentliche Schwachstellenkennung
- Eine öffentliche Kennung für genau eine Schwachstelle in genau einem Produkt, in der Form CVE-2026-12345. Sie existiert, damit zwei Parteien sicher sein können, dieselbe Schwachstelle zu meinen. Über den Schweregrad sagt die Kennung selbst nichts aus — dafür ist CVSS da.
CVSS
Common Vulnerability Scoring System — Bewertungssystem für Schwachstellen
- Ein Verfahren, den Schweregrad einer Schwachstelle auf einer Skala bis zehn auszudrücken, abgeleitet daraus, wie sie erreichbar ist und was sie einbringt. Der Basiswert beschreibt die Schwachstelle für sich und weiß bewusst nichts über Ihre Umgebung. Ein hoher Wert ist deshalb ein Anlass zur Bewertung, keine Aussage über Ihr Risiko.
DSPM
Data Security Posture Management — Verwaltung der Datensicherheitslage
- Werkzeuge, die ermitteln, wo Daten in Cloud-Diensten tatsächlich liegen, sie klassifizieren und zeigen, wer sie erreichen kann. Sie beantworten die Frage, die eine Bestandsaufnahme der Systeme auslässt: nicht welche Systeme es gibt, sondern in welchen davon etwas liegt, dessen Abfluss Folgen hätte.
ISMS
Information Security Management System — Informationssicherheits-Managementsystem
- Die dokumentierte Gesamtheit aus Richtlinien, Rollen, Risikoentscheidungen und Überprüfungszyklen, mit der eine Organisation Sicherheit steuert. ISO/IEC 27001 zertifiziert das Managementsystem und nicht die Technik — deshalb besteht ein ISMS überwiegend aus festgehaltenen Entscheidungen und dem Nachweis, dass sie überprüft wurden.
MDR
Managed Detection and Response — verwaltete Erkennung und Reaktion
- Ein Dienst, der die Erkennungs- und Reaktionsfähigkeit eines SOC bereitstellt, ohne dass die Kundenorganisation eines aufbauen muss. Der Anbieter überwacht die Telemetrie, untersucht, was die Technik meldet, und dämmt die Bedrohung entweder selbst ein oder übergibt einen bestätigten Vorfall samt bereits zusammengestellter Beweise.
MSSP
Managed Security Service Provider — Anbieter verwalteter Sicherheitsdienste
- Das ältere Auslagerungsmodell, bei dem ein Anbieter Sicherheitskomponenten betreibt — Firewalls, Gateways, teils ein SIEM — und weiterleitet, was diese melden. Der praktische Unterschied zu MDR liegt darin, wo die Arbeit endet: Ein MSSP reicht die Meldung in der Regel weiter, von MDR wird erwartet, dass untersucht und gehandelt wird.
MTTD
Mean Time to Detect — mittlere Zeit bis zur Erkennung
- Die durchschnittliche Zeit zwischen dem Beginn einer Kompromittierung und dem Moment, in dem die Verteidigung sie bemerkt. Gemessen werden sollte ab der frühesten nachträglich auffindbaren Spur und nicht ab der ersten Meldung, denn auch ein Einbruch, der gar keine Meldung ausgelöst hat, muss in die Zahl eingehen.
MTTR
Mean Time to Respond — mittlere Zeit bis zur Reaktion
- Die durchschnittliche Zeit zwischen dem Erkennen einer Bedrohung und ihrer Eindämmung. Dieselbe Abkürzung wird auch für die mittlere Zeit bis zur Wiederherstellung verwendet, die etwas anderes misst — die Rückkehr zum Normalbetrieb. Eine genannte Kennzahl ist deshalb erst aussagekräftig, wenn dabeisteht, welche der beiden gemeint ist.
OSINT
Open Source Intelligence — Aufklärung aus offenen Quellen
- Erkenntnisse aus Quellen, die allen offenstehen: öffentliche Register, abgeflossene Zugangsdaten, Code-Repositorien, soziale Plattformen und kriminelle Foren. Defensiv eingesetzt zeigt sie, was eine angreifende Seite über eine Organisation erfahren kann, bevor sie irgendetwas berührt, das dieser Organisation gehört.
OT security
Operational Technology security — Sicherheit industrieller Steuerungssysteme
- Die Sicherheit jener Systeme, die physische Prozesse steuern — Fertigungslinien, Gebäudetechnik, Energie- und Wasserversorgung. Von der IT-Sicherheit unterscheidet sie sich vor allem durch ihre Randbedingungen: Anlagen haben Lebensdauern von Jahrzehnten, Patchen bedeutet oft Produktionsstillstand, und Verfügbarkeit geht meist der Vertraulichkeit vor.
OWASP Top 10 for LLM Applications
die zehn wichtigsten Risiken für Anwendungen mit großen Sprachmodellen
- Eine von der Fachgemeinschaft gepflegte Liste der wichtigsten Sicherheitsrisiken speziell für Anwendungen auf Basis großer Sprachmodelle: Prompt Injection, unsicherer Umgang mit Modellausgaben, Vergiftung der Trainingsdaten und Verwandtes. Sie ist eine Prüfliste, an der sich ein Entwurf messen lässt, und kein Standard, gegen den zertifiziert wird.
Purple team
Purple Teaming
- Eine Übung, bei der angreifende und verteidigende Seite nicht gegeneinander, sondern gemeinsam in einem Raum arbeiten. Die Angreifenden erläutern jede Technik, während sie sie ausführen, und die Verteidigenden prüfen, ob ihre Technik sie gesehen hat. Ergebnis ist eine Liste von Erkennungslücken und kein Sieg oder Verlust.
SIEM
Security Information and Event Management — Sicherheitsinformations- und Ereignismanagement
- Eine Plattform, die Protokoll- und Ereignisdaten aus der gesamten Umgebung sammelt, in eine gemeinsame Form bringt und Erkennungsregeln darauf anwendet. Im SIEM liegt die Erkennungslogik, und dort lässt sich eine Untersuchung rekonstruieren; von sich aus entscheidet und handelt es nicht.
SOAR
Security Orchestration, Automation and Response — Orchestrierung und Automatisierung der Reaktion
- Werkzeuge, welche die wiederkehrenden Schritte einer Reaktion ausführen — eine Meldung mit Kontext anreichern, ein System isolieren, ein Ticket eröffnen —, damit Analystenzeit in die Beurteilung fließt und nicht in die Schritte. Eingesetzt wird SOAR in der Regel neben einem SIEM, nicht an dessen Stelle.
SOC
Security Operations Centre — Sicherheitsleitstand
- Menschen, Abläufe und Technik, die die Systeme einer Organisation auf Anzeichen eines Angriffs beobachten und reagieren, sobald sie eines finden. Ein SOC kann intern besetzt, als Dienst eingekauft oder gemischt betrieben werden, wobei ein externes Team Nächte und Wochenenden abdeckt. Zum SOC wird es nicht durch das Überwachungsprodukt, sondern durch den Eskalationsweg hinter den Meldungen.
VAPT
Vulnerability Assessment and Penetration Testing — Schwachstellenanalyse und Penetrationstest
- Zwei Leistungen, die meist zusammen beauftragt werden. Die Analyse erfasst bekannte Schwächen in einem vereinbarten Umfang, überwiegend durch automatisiertes Scannen; im Penetrationstest versucht eine Person, sie auszunutzen und zu etwas Größerem zu verketten. Die Analyse sagt, was exponiert ist, der Test sagt, was eine angreifende Seite damit anfangen könnte.
Zero trust
Zero Trust
- Ein Architekturprinzip: Keiner Anfrage wird vertraut, nur weil sie von einem bestimmten Ort kommt. Jede Zugriffsentscheidung fällt am Ort der Nutzung anhand von Identität, Gerätezustand und Kontext, statt daraus abgeleitet zu werden, dass etwas bereits ins Innere eines Netzes gelangt ist.
Wo wir daran arbeiten: Managed Detection and Response
Wo wir daran arbeiten: Cybersicherheitsberatung
Wo wir daran arbeiten: Implementierungsleistungen
Wo wir daran arbeiten: Schwachstellen-Warnungen
Wo wir daran arbeiten: Schwachstellen-Warnungen
Wo wir daran arbeiten: Cybersicherheitsberatung
Wo wir daran arbeiten: Compliance-Rahmenwerke
Wo wir daran arbeiten: Managed Detection and Response
Wo wir daran arbeiten: Managed Detection and Response
Wo wir daran arbeiten: Managed Detection and Response
Wo wir daran arbeiten: Managed Detection and Response
Wo wir daran arbeiten: Digital Risk Protection
Wo wir daran arbeiten: Incident Response
Wo wir daran arbeiten: Implementierungsleistungen
Wo wir daran arbeiten: Implementierungsleistungen
Wo wir daran arbeiten: Managed Detection and Response
Wo wir daran arbeiten: Implementierungsleistungen
Unklar, was davon auf Sie zutrifft?
Sagen Sie uns, was von Ihnen verlangt wird — von einer Prüfinstanz, einem Kunden oder Ihrer eigenen Geschäftsführung — und wir sagen Ihnen, welcher dieser Begriffe für Ihre Lage zählt und welcher nicht.