So verfolgen und berichten Sie Sicherheitsverbesserungen ohne SIEM-Tools

Nachzuweisen, dass sich die Sicherheit verbessert, ist genauso wichtig wie die Verbesserungen selbst. Für viele MSPs und IT-Teams ist es jedoch weder praktikabel noch notwendig, dafür in eine vollwertige Plattform für Security Information and Event Management (SIEM) zu investieren. Lesen Sie weiter und erfahren Sie, mit welchen praxistauglichen Methoden Sie das Tracking der IT-Sicherheitsrisikoanalyse umsetzen und Kund:innen Einblick in Sicherheitsverbesserungen geben, ganz ohne den Aufwand von SIEM-Tools.

Sie bevorzugen eine visuelle Anleitung? Dann sehen Sie sich unser Video an: So verfolgen und berichten Sie Sicherheitsverbesserungen ohne SIEM-Tools.

So messen Sie Sicherheitsverbesserungen ohne SIEM-Tools

Den Sicherheitsfortschritt zu messen ist entscheidend, muss aber nicht zwangsläufig teuer sein, gerade für kleine und mittelgroße MSPs und IT-Teams. SIEM-Tools sind zwar die naheliegende Lösung, um Logs zu zentralisieren, Bedrohungen zu überwachen und Compliance-Berichte zu erzeugen, doch sie bringen meist hohe Kosten und eine steile Lernkurve mit sich. MSPs können stattdessen auf schlankere, wiederholbare Methoden setzen, um Cybersicherheitskennzahlen über die Zeit zu bewerten.

📌 Voraussetzungen:

• Administrative Berechtigungen, um Daten von Endpunkten zu sammeln, Skripte auszuführen, Gruppenrichtlinien zu exportieren und Ticketing-Systeme auszuwerten
• Grundlegende Skripting-Tools (zum Beispiel PowerShell)
• Werkzeuge zur Schwachstellen- und Sicherheitsbewertung (etwa Microsoft Secure Score, Nessus Essentials und Microsoft Defender Security Center)
• Eine Plattform für Berichterstattung und Visualisierung (wie Excel, Power BI, Google Data Studio oder Azure Workbooks)
• Ein Ticketing- und Dokumentationssystem (zum Beispiel NinjaOne, ConnectWise)
• Aktuelle Aufzeichnungen zu Geräten, Benutzer:innen und angewendeten Richtlinien

Schritt 1: Eine Sicherheits-Baseline festlegen

Die Bewertung Ihrer Sicherheits-Baseline sollte der Ausgangspunkt sein. Sie deckt nicht nur unmittelbare Sicherheitslücken auf, sondern hilft Ihnen auch, den aktuellen Stand der Sicherheitslage Ihres Unternehmens zu verstehen, und liefert einen Maßstab für künftige Fortschritte.

Konzentrieren Sie sich beim Aufbau Ihrer Baseline auf diese Kernelemente:

• Patch- und Update-Status: Dokumentieren Sie, auf welchen Systemen kritische Patches oder Updates fehlen, denn veraltete Endpunkte sind leichte Einfallstore für Angreifer:innen.
• Aktive Sicherheitskontrollen: Halten Sie den aktuellen Stand wesentlicher Schutzmaßnahmen fest, etwa Virenschutz, Endpunkt-Erkennung und Reaktion (EDR), Firewalls, Festplattenverschlüsselung (wie BitLocker) und MFA.
• Durchsetzung von Passwort- und Richtlinienvorgaben: Erfassen Sie Einstellungen von Gruppenrichtlinienobjekten (GPO) oder Vergleichbares (etwa Passwortlänge, Komplexität, Ablauf, Schwellenwerte für Kontosperrungen).
• Ergebnisse von Schwachstellen-Scans: Führen Sie Scans mit Tools wie Microsoft Secure Score, Nessus oder Defender ATP durch. Notieren Sie die Bewertungen und die gefundenen Schwachstellen.
• Benutzer- und Geräteinventar: Prüfen Sie, welche Geräte und Konten existieren, ob sie aktiv sind und ob verwaiste Konten oder nicht autorisierte Geräte ein Risiko darstellen.

Diese Baseline-Bewertung sollte eine standardisierte Aufgabe sein, die mit einheitlichen Tools und in regelmäßigen Abständen (quartalsweise oder monatlich) durchgeführt wird. Klare Ergebnisse wie anfängliche Sicherheitsbewertungen und identifizierte Probleme mit hoher Priorität sollten enthalten sein, damit die Resultate für Kund:innen aussagekräftig sind.

Schritt 2: Konfigurations- und Richtlinienabweichungen über die Zeit verfolgen

Selbst bei starken Richtlinien kann es zu Konfigurationsabweichungen kommen: Kleine Änderungen über Wochen oder Monate schwächen den Schutz, ohne dass es jemandem auffällt. Es ist entscheidend, diese Verschiebungen zu verfolgen und zu dokumentieren, um nachzuweisen, dass die Kontrollen durchgehend wirksam sind, und um bewusste Änderungen gegenüber Kund:innen zu begründen.

Sie können Skripte oder integrierte Reporting-Werkzeuge nutzen, um Konfigurationen regelmäßig zu exportieren und zu vergleichen. Denken Sie dabei an folgende Aufgaben:

• Exportieren Sie quartalsweise Berichte zu Gruppenrichtlinienobjekten (GPO) mit diesem PowerShell-Befehl:

Get-GPOReport -Name "Default Domain Policy" -ReportType XML -Path ".\GPO-Q1.xml"

💡 Hinweis: Ersetzen Sie „Default Domain Policy“ durch den Namen eines beliebigen GPO.

Dieser Befehl erzeugt eine detaillierte XML-Datei eines bestimmten GPO (in diesem Beispiel der Default Domain Policy) in einer versionierten Ordnerstruktur. Sie erhalten damit im Grunde einen vollständigen Snapshot der Richtlinienkonfiguration zu diesem Zeitpunkt.

• Vergleichen Sie Einstellungen (zum Beispiel Passwortkomplexität, Richtlinien für Kontosperrungen) zwischen den Quartalen, und zwar mit einer dieser Methoden:
  • Manueller Vergleich mit einem Diff-Tool, das Änderungen hervorhebt
  • Automatisierte PowerShell-Skripte oder Drittanbieter-Tools, die Unterschiede zwischen Snapshots markieren
  • Visuelle Zusammenfassungen der wichtigsten Änderungen in einer einfachen Tabelle oder Grafik
• Halten Sie fest, was geändert wurde, warum, und welches Risiko oder welche Compliance-Anforderung die Änderung adressiert hat.
• Nehmen Sie diese IT-Sicherheitsdokumentation in Ihre Berichte für Kund:innen auf.

Schritt 3: Incident-Kennzahlen messen und ihre Entwicklung verfolgen

Sie müssen außerdem Vorfälle verfolgen und analysieren, um zu beurteilen, wie gut Ihre etablierten Schutzmaßnahmen und Reaktionsprozesse funktionieren. Diese Trends zeichnen ein wichtiges Bild von kontinuierlicher Verbesserung und operativer Reife.

Konzentrieren Sie sich immer auf Kennzahlen, die technische Tiefe und Verständlichkeit für Kund:innen in Einklang bringen, zum Beispiel:

• Anzahl sicherheitsbezogener Tickets: Das gesamte Vorfallsaufkommen, segmentiert nach Typ (etwa Phishing, Malware, Zurücksetzen von Zugangsdaten)
• Time to Detect (TTD) und Time to Resolve (TTR): Durchschnittliche Zeit von der Alarmierung bis zur Bestätigung und von der Bestätigung bis zur Lösung
• Von Benutzer:innen gemeldete Vorfälle: Verfolgen von Phishing-Mails, verdächtigen Aktivitäten oder Richtlinienverstößen, die Beschäftigte melden
• Maßnahmen zur Behebung auf Endpunkten: Neuaufsetzen von Geräten, Malware-Bereinigungen oder erzwungenes Zurücksetzen von Zugangsdaten
• Wiederkehrende vs. erstmalige Vorfälle: Zeigt, ob Probleme dauerhaft gelöst werden

Es lohnt sich zudem, Verbesserungen hervorzuheben und Effizienzgewinne zu verfolgen, auch wenn die reinen Zahlen auf Risiken hindeuten. Eine höhere Zahl gemeldeter Phishing-Versuche kann zum Beispiel positiv sein, weil sie zeigt, dass die Schulungen zur Endpunkt-Sicherheit wirken.

Schritt 4: Schlanke Risiko- oder Reifegradmodelle nutzen

Schauen Sie nicht nur auf Zahlen, sondern zeigen Sie, wie Ihr Unternehmen insgesamt an Reife gewonnen oder seine Risiko-Exposition reduziert hat. Schlanke Risiko- und Reifegradmodelle bieten einfache und zugleich strukturierte Rahmenwerke, die technische Veränderungen in strategische Aussagen übersetzen. So verstehen Kund:innen, wo sie stehen und wohin die Reise geht.

Einige mögliche Ansätze:

• Reifegradbewertung nach CIS Controls
  • Bewerten Sie die Implementierung jeder Kontrolle auf einer Skala (zum Beispiel 0 = nicht implementiert, 1 = teilweise implementiert, 2 = vollständig implementiert).
  • Verfolgen Sie quartalsweise Verbesserungswerte für Kontrollen wie Patching, Asset-Inventar oder Zugriffsverwaltung.
• Eigene interne Modelle
  • Definieren Sie einfache Stufen, etwa:
    • Stufe 1: Grundlegende Kontrollen (Virenschutz aktiviert, Betriebssystem gepatcht, Firewall aktiv)
    • Stufe 2: Durchgesetzte Kontrollen (starke Passwörter, Verschlüsselung, MFA im Einsatz)
    • Stufe 3: Optimierte Kontrollen (regelmäßige Audits, proaktive Überwachung, automatisierte Behebung)
  • Ordnen Sie Kund:innen zu Beginn einer Stufe zu und dokumentieren Sie dann den Aufstieg über die Zeit.
• Risiko-Scoring-Modelle
  • Vergeben Sie Risikopunkte für Schwachstellen, fehlende Patches oder deaktivierte Schutzmaßnahmen.
  • Verfolgen Sie, wie stark der Gesamt-Risikowert sinkt, während Probleme behoben werden.
  • Beispiel: „Der Risikowert ist nach dem Patchen kritischer Schwachstellen von 75 auf 42 gesunken.“

Wählen Sie ein Modell, das zu Ihren verwalteten Umgebungen und Ihrem Kundenstamm passt, aber machen Sie es nicht zu kompliziert. Legen Sie in jedem Bewertungszyklus dieselben Kriterien an und halten Sie Baseline-Werte fest, um Veränderungen über die Zeit zu zeigen. Übersetzen Sie Fachjargon in verständliche Sprache, wenn Sie einen IT-Sicherheitsbericht präsentieren.

Schritt 5: Mit Dashboards oder einfachen Diagrammen visualisieren

Schließlich wollen Sie Vertrauen bei Kund:innen aufbauen, indem Sie Fortschritte klar und anschaulich darstellen. Nutzen Sie Dashboards und einfache Diagramme, um Rohdaten in eine verständliche Geschichte zu verwandeln. Diese Visualisierungen machen aus technischen Kennzahlen aussagekräftige Erkenntnisse für Kund:innen.

Einige Tools, mit denen Sie Daten organisieren und visualisieren können:

• Excel oder Google Sheets: Erstellen Sie Liniendiagramme oder Balkendiagramme für Quartalsvergleiche.
• Power BI oder Google Data Studio: Bauen Sie interaktive Dashboards für wiederkehrende Kundengespräche.
• Azure Workbooks: Ideal für alle, die ohnehin Microsoft-365-Umgebungen nutzen.

Präsentieren Sie Kund:innen keine rohen, technischen Daten. Betonen Sie stattdessen Trends und Ergebnisse, zum Beispiel:

• Entwicklung der Sicherheitslage über die Zeit
• Durchsetzungsquoten von Richtlinien
• Trends bei Vorfällen
• Vorher-Nachher-Ansichten

Ideen für die Integration mit NinjaOne

Auch ohne SIEM-Plattformen hilft NinjaOne dabei, Sicherheitsverbesserungen zu verfolgen und zu berichten, dank seiner Funktionen für Endpunkt-Sicherheit und seiner Lösung für Schwachstellen-Management.

Fortschritte ohne SIEM belegen

Eine SIEM-Plattform ist nicht immer nötig, um nachzuweisen, dass sich die Sicherheit verbessert. MSPs können mit schlanken Methoden, von der Baseline-Bewertung bis zu einfachen Visualisierungen, Kund:innen Belege für Sicherheitsfortschritte liefern. Achten Sie nur darauf, das große Ganze statt kleinster Details in den Blick zu nehmen, um langfristige Reife, geringeres Risiko und den greifbaren Wert Ihrer Sicherheitsdienstleistungen klar zu zeigen.

Verwandte Themen:

• Endpunkt-Sicherheit: 8 Best Practices
• Welche Schritte sollten MSPs unternehmen, um die Compliance ihrer Kund:innen zu unterstützen?
• IT-Sicherheits-Checkliste zum Schutz Ihres Unternehmens
• Was ist ein Honeypot? So verbessern Sie Ihre IT-Sicherheit