Bedrohungsüberwachung rund um die Uhr und Reaktion durch Experten

Microsoft liefert den Motor; wir liefern die Menschen und die Inhalte, die ihn betreiben. Konkret: Erkennungsregeln, die wir in Ihr eigenes Sentinel schreiben und laufend aktualisieren, auf Ihre Umgebung abgestimmtes Alarm-Tuning und eine Ersteinschätzung, die klärt, ob überhaupt ein echter Fund vorliegt, bevor er Sie erreicht — dazu Anreicherung mit Bedrohungsdaten, aktive Suche nach dem, was den Werkzeugen entgangen ist, und eine regelmäßige Bewertung, wie Ihre Defender-Umgebung tatsächlich konfiguriert ist. Lizenzen, Datenaufnahme und Rohdaten bleiben Ihre: Ihre Protokolle werden in Ihrem eigenen Azure-Mandanten gesammelt und gespeichert, nicht bei uns. Sie kaufen den Betrieb einer Plattform rund um die Uhr, die Ihnen bereits gehört.

Genau genommen keines von beiden — und Präzision lohnt hier, weil die Branche sie nicht aufbringt.

Vertraglich zugesagt ist eine einzige Time to Respond: 15 Minuten, für jeden Schweregrad gleich, von kritisch bis niedrig. Gemessen wird maschinell — vom Systemzeitstempel, an dem ein Vorfall in der Plattform angelegt wird, bis zum Systemzeitstempel, an dem Ersttriage und Klassifizierung abgeschlossen sind —, und der gemessene Ablauf schließt ausdrücklich die automatisierten Schritte ein, die diese Triage unterstützen.

Garantiert ist also, wie schnell aus einer Warnung ein klassifizierter Vorfall wird. Nicht, wann Sie informiert werden, und nicht, wann etwas eingedämmt ist.

Bestätigungszeit, Untersuchungszeit, Eindämmungsaktivität und Kommunikationsqualität werden erfasst und an Sie berichtet — als operative Kennzahlen, nicht als vertragliche Service Levels. Das ist die ehrliche Gestalt des Vertrags, und genau deshalb gehört der Eskalationsweg in die Bestellung und nicht in eine Annahme: Legen Sie vorab fest, wer angerufen wird, unter welcher Nummer, ab welchem Schweregrad.

Worauf sich kein MDR-Vertrag verpflichtet, unserer eingeschlossen, ist eine Frist für die Eindämmung. Die hängt davon ab, was im Umfang liegt, welche Berechtigungen bestehen und was der Vorfall am Ende ist. Und wenn Sie unsere fünfzehn Minuten mit denen eines anderen vergleichen, macht nur eine Frage die beiden Zahlen vergleichbar: wo die jeweilige Uhr startet und stoppt. Unsere startet, wenn der Vorfall angelegt wird, und stoppt bei seiner Klassifizierung.

Sie entscheiden — einmal, zu Beginn, und nicht um drei Uhr morgens. Bei der Inbetriebnahme vereinbaren wir ein Reaktionsprofil: was wir in eigener Verantwortung tun dürfen und wofür wir auf Sie zukommen müssen. Getragen wird das von delegierter Microsoft-Administration, die Sie erteilen und jederzeit widerrufen können. Was möglich ist, hängt vom Umfang ab: Wo Defender XDR dazugehört, zählen dazu das Isolieren eines Endpunkts, das Entfernen einer bestätigt schädlichen Datei, Freigabe- und Sperrlisten sowie Benutzeraktionen — Sitzungen widerrufen, ein Konto deaktivieren, ein Kennwort zurücksetzen —, sofern uns die entsprechende Rolle erteilt wurde. Wo der Umfang allein Sentinel ist, erkennt und meldet der Service: Es gibt dann nichts, womit eingedämmt werden könnte, und das sagen wir lieber am Anfang, als es Sie während eines Vorfalls herausfinden zu lassen.

Ein tatsächlich besetztes Security Operations Center, 24 Stunden am Tag, sieben Tage die Woche, an jedem Tag des Jahres — erreichbar über eine eigene Leitung, für Personen, die Sie vorab benannt haben, damit ein Vorfallanruf nie damit beginnt zu klären, wer da eigentlich spricht. Während Ersteinschätzung und Bearbeitung eines größeren Vorfalls stehen Sie in direktem Kontakt mit den Analystinnen und Analysten, die daran arbeiten — statt ein Ticket zu eröffnen und zu warten, dass sich etwas bewegt.

Die strukturelle Antwort: Sie werden nach der Klassifizierung informiert, nicht davor. Ein Alarm wird zuerst eingeschätzt und als echter Vorfall, gutartige Aktivität oder Fehlalarm eingeordnet — und nur das Erste wird zu Ihnen eskaliert. Aus demselben Grund werden Alarme laufend auf Ihre Umgebung abgestimmt. Was wir nicht tun: Ihnen eine wöchentliche Ticketzahl nennen. Die hängt vollständig von Ihrer Landschaft, Ihren Protokollquellen und davon ab, was in Ihrem Netz tatsächlich geschieht — wer Ihnen diese Zahl nennt, ohne Ihre Umgebung gesehen zu haben, rät.

Ihre — und das gehört deutlich gesagt, weil es die Rechnung verändert: Sentinel-Aufnahme, Azure-Verbrauch, Log Analytics sowie Microsoft-365- und Defender-Lizenzen stellt Microsoft Ihnen direkt in Rechnung. Wir verkaufen Ihre Lizenzen nicht weiter, und an Ihrer Datenaufnahme verdienen wir nichts. Was wir übernehmen, ist die andere Seite davon: Protokollquellen werden gegen die Aufnahmekosten geprüft und abgestimmt, nicht auf Menge um ihrer selbst willen, und die Reduktionsanalyse steht über die gesamte Laufzeit zur Verfügung. Das ist der Punkt, an dem unser Interesse und Ihres in dieselbe Richtung zeigen — prüfen Sie das in jedem konkurrierenden Angebot.

Auf Ihrer Seite: Protokollierung auf den Systemen im Umfang aktivieren, diese Protokolle nach Sentinel leiten, die Sammelagenten installieren und die delegierte Microsoft-Administration erteilen, auf der der Service läuft. Protokollquellen müssen binnen 30 Tagen nach Go-live angebunden sein — eine echte Frist, keine Empfehlung, denn ein Service, der die halbe Landschaft überwacht, vermittelt ein falsches Gefühl von Abdeckung. Was wir nicht aus einem Dokument zitieren: die Dauer bis zum Go-live. Sie hängt davon ab, wie viele Quellen Sie haben und wie schnell Zugänge erteilt werden — das schneiden wir lieber gemeinsam zu, als eine Zahl zu nennen, die wir danach verteidigen müssten.

Teilweise — und diese Grenze ist wichtiger als fast alles andere auf dieser Seite. Ferngestützte Untersuchung und Analystenzeit während des Vorfalls sind enthalten, ohne Begrenzung der Zahl der Vorfälle: Ein schlechter Monat wird Ihnen nicht in Rechnung gestellt. Nicht enthalten sind digitale Forensik, die Ursachenanalyse nach dem Vorfall, Unterstützung vor Ort sowie Behebung und Wiederherstellung selbst — wir liefern die Anleitung und die Maßnahmen, ausgeführt werden sie in Ihrer Umgebung von Ihnen. Forensik und vollständige Incident Response sind ein eigenes Mandat, weshalb wir Incident-Response-Bereitschaft als eigenen Service anbieten. Der richtige Zeitpunkt dafür ist, bevor Sie ihn brauchen.

In Ihrem eigenen Microsoft-Mandanten. Die Protokolle werden in Ihrer Azure-Umgebung gesammelt und gespeichert, und der Service greift hinein, statt sie herauszukopieren — die Daten verlassen also keine Infrastruktur, die Sie kontrollieren, und Sie sehen genau, was dort liegt. Unser Zugang ist delegierte Microsoft-Administration, die Sie beim Onboarding erteilen und ohne unser Zutun widerrufen können. Eine Verantwortung bleibt bei Ihnen, und darauf weisen wir lieber hin, als Sie damit zu überraschen: Das Maskieren personenbezogener und anderer geschützter Daten in den weitergeleiteten Protokollen ist Sache des Kunden — es lohnt sich also, früh zu entscheiden, was gar nicht erst aufgenommen werden soll.

Die Größe der überwachten Landschaft und wie viel davon im Umfang liegt — wie viele Endpunkte, Server und Identitäten, und ob wir Sentinel, Defender oder beides zusammen abdecken. Ihr Microsoft-Verbrauch steht daneben und wird von Microsoft abgerechnet, nicht von uns: Beides bewegt sich unabhängig voneinander — eine zusätzliche Protokollquelle erhöht, was Microsoft Ihnen für die Aufnahme berechnet, und sie wieder herunterzustimmen gehört zu unserer Arbeit.