Ein durchschnittliches Sicherheitsteam bearbeitet laut einer Studie des Ponemon Institute mit dem SIEM-Anbieter Exabeam rund 4.000 Sicherheitsalarme pro Woche. Die meisten davon sind keine echten Bedrohungen.
Dieselbe Studie, 596 befragte IT-Sicherheitsfachleute in den USA, hat erstmals beziffert, was viele IT-Teams längst spüren: Analysten verbringen im Schnitt 25 Prozent ihrer Arbeitszeit mit der Prüfung von Fehlalarmen. Das sind 15 von 60 Minuten jede Stunde, in denen niemand nach echten Angriffen sucht.
Wer ständig Lärm von Signal unterscheiden muss, wird irgendwann müde. Genau das beschreibt der Begriff Fehlalarm-Burnout: ein Team, das so viele falsche Warnungen abarbeitet, dass es bei der echten Warnung nicht mehr genau hinschaut.
Erkennungspflicht ist nur so gut wie die Aufmerksamkeit dahinter
NIS2 Art. 21(2) verlangt wirksame Mechanismen zur Angriffserkennung. Ein System, das hundert Fehlalarme produziert, bevor der echte Vorfall kommt, erfüllt diese Pflicht nur auf dem Papier, nicht in der Praxis.
Mehr Tools lösen das Problem selten, oft verschärfen sie es
Jede zusätzliche Sicherheitssoftware bringt eigene Schwellenwerte und eigene Fehlalarme mit. Ohne zentrale Korrelation wächst die Lärmkulisse schneller als die Erkennungsqualität.
Die Lösung liegt in der Präzision, nicht im Volumen
Systeme, die Anomalien im Kontext mehrerer Quellen bewerten, statt jedes Einzelereignis isoliert zu melden, senken die Fehlalarmquote spürbar, ohne dass echte Bedrohungen untergehen.
Was bedeutet das für Sie?
Bevor Sie weitere Sicherheitssoftware anschaffen, lohnt sich eine ehrliche Frage an Ihr Team: Wie viele der Alarme dieser Woche waren am Ende echt?
KyberGuard korreliert Bedrohungsdaten automatisch, statt jede Einzelmeldung unsortiert weiterzugeben. In 20 Minuten zeigen wir Ihnen, wie viel echtes Signal in Ihrer aktuellen Überwachung steckt.
Quelle: Ponemon Institute / Exabeam, "SIEM Productivity Study" (2019).