Letzte Überprüfung am 4. November 2026 anhand der in diesem Beitrag verlinkten Quellen.
Es ist 2:10 Uhr morgens, und das SIEM-System zeigt einen Login aus einem unbekannten Land an, gefolgt von einer E-Mail-Regel, die Rechnungen an ein externes Unternehmen weiterleitet. Der diensthabende Analyst hat die nötigen Tools, um dies zu sehen. Entscheidend für die nächste Stunde ist, ob er die Vorgehensweise kennt: Wen er alarmieren, welche Daten eindämmen und welche sichern muss. Genau dafür ist die Schulung in der Reaktion auf Sicherheitsvorfälle zuständig. Fehler können teuer werden: Der IBM-Bericht „Cost of a Data Breach Report 2026“ beziffert die Kosten für Datenpannen auf … Die durchschnittlichen globalen Kosten eines Datenlecks belaufen sich auf 4.99 Millionen US-Dollar., ein Rekordhoch.
Zertifizierungen vermitteln die notwendigen Werkzeuge. Diese Liste beschreibt den Prozess und die Richtlinien rund um die Warnmeldung. Sie erhalten neun vorgefertigte Kurse in drei Gruppen, die jeweils die behobenen Probleme und deren Implementierung erläutern. Jede Gruppe schließt mit einer Unsere WahlDie beiden rechtlichen Punkte beschreiben US-Bundesvorschriften; verwenden Sie dies daher als Leitfaden, nicht als Urteil.
Alle 9 Kurse im Überblick
| Kurse | Was es abdeckt | Länge | Das Gesetz dahinter? |
|---|---|---|---|
| Fähigkeiten von IT-Sicherheitsexperten | Triage, SIEM- und XDR-Workflows, Härtung und Prüfungspraxis | 45 Minuten | Nein |
| Reaktion auf Cybervorfälle und Meldung von Datenschutzverletzungen | Die ersten zehn Minuten: Berichterstattung und eine Planspielübung | 35 Minuten | Nein |
| ISO/IEC 27001 und das ISMS | Richtlinien in die Praxis umsetzen, Ausnahmen und das Gespräch mit einem Auditor | 40 Minuten | Nein |
| Bewusstsein für Insiderbedrohungen | Risikoindikatoren, Rekrutierungsmethoden und Berichterstattung | 30 Minuten | Ja (US-zugelassene Auftragnehmer) |
| Phishing und Social Engineering | Warnsignale, Überprüfung und Meldung | 30 Minuten | Nein |
| Social Engineering, Betrug und Deepfakes | Telefon-, Zahlungs- und Identitätsbetrug | 35 Minuten | Nein |
| Grundlagen des Sicherheitsbewusstseins | Die Phasen eines Angriffs und grundlegende Gewohnheiten | 35 Minuten | Ja (US-amerikanische Finanzinstitute) |
| Passwörter, Passkeys und Multi-Faktor-Authentifizierung | Sichere Anmeldungen, MFA, Passkeys und gefälschte Anmeldeseiten | 30 Minuten | Nein |
| KI-Sicherheit für alle | Schatten-KI, Prompt-Injektion und manipulierte Ausgaben | 30 Minuten | Nein |
Zwei Kurse basieren auf einer US-Bundesverordnung und gelten nur für bestimmte Organisationen. Gemäß der NISPOM-Regel müssen sicherheitsüberprüfte Rüstungsunternehmen neu sicherheitsüberprüfte Mitarbeiter Schulung zur Sensibilisierung für Insiderbedrohungen vor der Gewährung des Zugangs zu Verschlusssachen und die erstmalige und jährliche Fertigstellung zu bestätigen. Die FTC-Schutzregel besagt, dass betroffene Finanzinstitute Folgendes gewährleisten müssen: Sicherheitsschulungen für ihre MitarbeiterKeiner von beiden gibt einen Kurs für alle anderen vor.
Sicherheitsoperationen und Reaktion auf Vorfälle
Fähigkeiten von IT-Sicherheitsexperten: Zertifizierungsvorbereitung und Sicherheitsbetrieb
Dieser 45-minütige Kurs beginnt mit dem Szenario „Die unbeantwortete Warnung“ und behandelt anschließend Bedrohungen und Angriffsphasen, Identitäts-, Zugriffs- und Zertifikatsmanagement, Erkennung und Reaktion in SIEM- und XDR-Workflows, Cloud-Härtung und DevSecOps sowie Prüfungsvorbereitung anhand von Vorfallberichten. Er vermittelt angehenden Analysten die Grundlagen für die tägliche Arbeit und das Vokabular der gängigen Zertifizierungen. Das Szenario „Triage it“, in dem die Teilnehmer die Schwere eines Vorfalls einschätzen und den nächsten Schritt auswählen, eignet sich hervorragend als Übungsrunde.
Reaktion auf Cybervorfälle und Meldung von Datenschutzverletzungen für Nicht-Spezialisten
Analysten folgen diesem Ablauf und geben ihn an alle anderen weiter. Dieser 35-minütige Kurs behandelt die ersten zehn Minuten, die zu erkennenden Anzeichen und die Vorgehensweise bei der Meldung, das weitere Vorgehen des Reaktionsteams und die Gründe für das Schweigen unter Druck. Er schließt mit einer Planspielübung ab, in der jeder Teilnehmer seine Rolle verdeutlicht. Führen Sie die Übung mit den Geschäftsbereichen durch, deren verspätete Meldungen Ihrem SOC die meiste Zeit kosten, und legen Sie anhand der Übung fest, wer wen kontaktiert.
ISO/IEC 27001 und das Informationssicherheitsmanagementsystem
Dieser 40-minütige Kurs erklärt, was ein ISMS ist, wie Richtlinien in die Praxis umgesetzt werden, wie man mit Ausnahmen und Schwachstellen umgeht und wie man mit einem Auditor kommuniziert. Analysten, die die Kontrollen kennen, können eine Warnung der getesteten Kontrolle zuordnen und die vom Auditor angeforderten Aufzeichnungen führen. Die Einstiegsfrage „Überraschungsfrage im Audit“ eignet sich gut als offene Folie: Fragen Sie das Team, welche Nachweise es vorlegen würde.
Unsere Wahl: Kompetenzen von IT-Sicherheitsexperten. Es ist der einzige Kurs hier, der speziell für den Analystenplatz konzipiert wurde, und die Triage-Lektion verwandelt einen Stapel Alarme in eine Routine mit einem Verantwortlichen.
Insiderbedrohung und Social Engineering
Bewusstsein für Insiderbedrohungen
Indikatoren für Insiderbedrohungen gehören zu den Signalen, auf die ein SOC achtet. Analysten müssen wissen, wie sich Verhaltenssignale neben technischen Signalen verhalten. Dieser 30-minütige Kurs behandelt die Bedeutung der Erkennung, Verhaltens-, technische und finanzielle Indikatoren, wie Angreifer vertrauenswürdige Insider rekrutieren, was zu tun und zu unterlassen ist und wo man Meldungen erstatten sollte. Zum Abschluss gibt es einen Test mit 10 Fragen, bei dem 80 % der Punkte zum Bestehen erforderlich sind. Ein Szenario wie „Kollege kopiert spät abends Ordner“ eignet sich gut als Beispiel für eine Auswahlfrage.
Phishing und Social Engineering
Phishing-Meldungen füllen die Warteschlange des Security Operations Centers (SOC). Analysten sichten diese und schulen die Nutzer, um aussagekräftigere Meldungen zu verfassen. Dieser 30-minütige Kurs erklärt, wie Angriffe aufgebaut sind, welche Warnsignale es gibt, wie man sich schützt und wie man reagiert und Meldungen erstellt. Zum Abschluss gibt es einen Test mit 12 Fragen, bei dem 80 % der Punkte zum Bestehen erforderlich sind. Eine Runde zum Erkennen von Warnsignalen funktioniert wie ein Multiple-Choice-Quiz. Weitere Informationen zu Angriffsarten finden Sie in unserem Leitfaden. Beispiele für Social Engineering.
Social Engineering, Betrug und Deepfakes: Telefon-, Zahlungs- und Identitätsdiebstahlbetrug
Zahlungsbetrug und gefälschte Stimmen erreichen das Security Operations Center (SOC) nun als Vorfallsmeldungen. Dieser 35-minütige Kurs behandelt eine überzeugende Anfrage, die Taktiken, die Überprüfung von Zahlungsänderungen, gefälschte Stimmen und Videos sowie die Gründe, warum Dienstalter, Höflichkeit und Verschwiegenheit Druckmittel, aber keine Beweise darstellen. Eine Wortwolke zum Thema „Warum sollte jemand die Rechnung ignorieren?“ zeigt, gegen welchen Druck man vorgehen sollte. Helpdesks sind mit denselben Anrufen konfrontiert: siehe unsere IT-Helpdesk-Schulungsliste.
Unsere Empfehlung: Sensibilisierung für Insiderbedrohungen. Es ist die einzige Bedrohung, die hier von innerhalb des Perimeters ausgeht, sodass Analysten, die die menschlichen Indikatoren kennen, das erkennen, was die Protokolle allein nicht erfassen.
Konto- und KI-Sicherheit
Grundlagen des Sicherheitsbewusstseins
Dieser 35-minütige Kurs vermittelt die Grundlagen, die Ihre Analysten im gesamten Unternehmen festigen: Warum Menschen ins Visier geraten, wie ein Angriff abläuft, Warnsignale, wie man sich schützt und wie man reagiert und Meldungen erstattet. Zum Abschluss gibt es einen Test mit 12 Fragen, bei dem 80 % der Punkte zum Bestehen erforderlich sind. Für betroffene Finanzinstitute entspricht dieser Kurs den oben genannten FTC-Schutzrichtlinien. Analysten können den Kurs gemeinsam mit anderen durchführen und eine anonymisierte Warnmeldung aus ihrer eigenen Warteschlange in die Live-Präsentation einbinden.
Passwörter, Zugangsschlüssel und Multi-Faktor-Authentifizierung für Mitarbeiter
Kompromittierte Zugangsdaten sind eine häufige Ursache für die von Security Operations Centern (SOCs) untersuchten Warnmeldungen. Dieser 30-minütige Kurs behandelt die Gründe für die hohe Anfälligkeit von Konten, sichere und eindeutige Anmeldedaten, Multi-Faktor-Authentifizierung und Passwörter, gefälschte Anmeldeseiten sowie die Grauzonen beim Teilen, bei Verknüpfungen und der Wiederherstellung. Eine Bewertungsskala zur Einschätzung Ihrer Fähigkeit, gefälschte Anmeldeseiten zu erkennen, ermöglicht einen direkten Vergleich vor und nach dem Kurs.
KI-Sicherheit für alle: Schatten-KI, Prompt-Injection und manipulierte Ausgaben
Neue Warnmeldungen betreffen Prompt-Injection und nicht genehmigte KI-Tools. Dieser 30-minütige Kurs behandelt Schatten-KI und kompromittierte Chatbots, Prompt-Injection und manipulierte Inhalte, versteckte Anweisungen in PDFs und E-Mails, kostenlose KI-Erweiterungen und unbekannte Code-Pakete sowie die Meldung von Vorfällen und die Anforderung genehmigter Tools. Analysten benötigen dieses Wissen, um Muster zu erkennen, wenn ein Nutzer einen Chatbot meldet, der sich „ungewöhnlich verhalten“ hat.
Unsere Empfehlung: KI-Sicherheit für alle. Die Sofortinjektion ist noch so neu, dass sie in vielen Playbooks noch nicht behandelt wird. Dieser Kurs vermittelt dem SOC und dem Unternehmen die gleichen Begriffe für eine neue Art von Vorfall.
Wie man den Plan umsetzt
Ordnen Sie die Systeme danach, was im Fehlerfall am teuersten ist. Bei einem durchschnittlichen Sicherheitsverstoß von USD 4.99 Mio. Im IBM-Bericht von 2026 sollten Sie mit den Maßnahmen beginnen, die die Zeit von der Alarmierung bis zur Eindämmung verkürzen.
- Im ersten Monat eines neuen Analysten: Kenntnisse von IT-Sicherheitsexperten, Reaktion auf Sicherheitsvorfälle und Meldung von Datenschutzverletzungen sowie ISO 27001.
- Innerhalb des ersten Quartals: Sensibilisierung für Insiderbedrohungen, Phishing, Betrug und Deepfakes, damit Analysten die in diesen Kursen erstellten Berichte priorisieren können.
- Jedes Jahr: Ein Auffrischungsquiz zu jedem Kurs sowie der Kurs zur KI-Sicherheit immer dann, wenn ein neues KI-Tool eingeführt wird.
- Wann es zutrifft: Wenn Sie ein zugelassener US-amerikanischer Rüstungsunternehmer sind, müssen Sie vor dem Zugriff auf Verschlusssachen und danach jährlich Schulungen zum Umgang mit Insiderbedrohungen durchführen. Wenn Sie ein betroffenes Finanzinstitut sind, müssen Sie die Schulungen zur Sensibilisierung für Sicherheitsfragen gemäß der FTC-Schutzregel regelmäßig aktualisieren. Fragen Sie Ihren Rechtsbeistand, welche weiteren Bestimmungen in Ihrem Land oder Bundesstaat gelten.
Möglichkeiten, diese Kurse durchzuführen auf AhaSlides
Sie können jeden dieser Kurse als Selbstlernkurs mit dem AhaSlides Der Kursentwickler kann die Präsentationen als Live-Frage-und-Antwort-Sitzung oder beides durchführen, ergänzt durch eine Umfrage nach Kursende und ein 30-Tage-Check-in, um festzustellen, welche Veränderungen stattgefunden haben.
- Antwort auswählen: eine Warnung und vier mögliche nächste Schritte anzeigen oder fragen, welches Signal auf einen Insider hinweist.
- Wortwolke: Fragen Sie: „Was bremst unsere ersten zehn Minuten aus?“ Die wichtigsten Wörter zeigen, wo der Spielplan überarbeitet werden muss.
- Bewertungsskala: Vorher und nachher fragen Sie: „Wie sicher sind Sie sich, dass Sie einen Ransomware-Eindämmungsschritt alleine durchführen können?“ (Skala von 1 bis 5).
- Offenes Ende: Anonyme Beinahe-Unfälle und Fehlalarme werden am Ende einer Live-Sitzung erfasst.
FAQ
Welche Ausbildung benötigt ein SOC-Analyst?
Ein SOC-Analyst benötigt Kenntnisse in SIEM und Erkennung, im Umgang mit Sicherheitsvorfällen sowie in den Grundlagen der IT-Sicherheit. Die oben genannten Kurse behandeln die Prozesse und Richtlinien; Anbieter- und Zertifizierungskurse vermitteln die notwendigen Tools.
Welche Zertifizierungen sind für SOC-Analysten hilfreich?
Gängige Zertifizierungen sind beispielsweise CompTIA Security+ und CySA+, sowie Hersteller- und SANS-Zertifizierungen. Der oben genannte Kurs zu praktischen Fertigkeiten hilft Analysten bei der Vorbereitung, stellt aber keine Zertifizierung dar.
Wie lernen SOC-Analysten im Berufsalltag?
Hauptsächlich durch Hospitationen, Fallstudien und Planspiele, nicht nur durch Präsenzveranstaltungen. Ein kurzer Kurs vor einem Planspiel schafft für alle die gleichen Voraussetzungen.
Was ist eine Bedrohung durch Insider?
Eine Insiderbedrohung stellt ein Risiko dar, das von Mitarbeitern oder Auftragnehmern ausgeht, die ihre Zugangsdaten absichtlich oder versehentlich missbrauchen. Dazu gehören auch unwissentliche Insider, die durch Täuschung dazu verleitet werden, jemand anderem zu helfen.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine Entscheidung bezüglich Ihres Arbeitsplatzes wenden Sie sich bitte an einen qualifizierten Rechtsanwalt oder die zuständige Aufsichtsbehörde.
