Experten für IT-Sicherheit im Rheingau - Hindricks Systems GmbH

Hindricks Systems

Kontakt aufnehmen

Security-Monitoring: Ihre Bedrohungslage auf einen Blick

Firewall, Virenschutz, Microsoft 365, Server, Netzwerk – jedes System meldet für sich, in seiner eigenen Sprache, in sein eigenes Postfach. Wir führen alle sicherheitsrelevanten Signale Ihrer IT an einem Ort zusammen und lassen sie rund um die Uhr automatisiert auswerten – anonymisiert, auf KI-Modellen, die auf unserer eigenen Hardware in Deutschland laufen. Angriffserkennung ohne eigenes Security Operations Center; über Maßnahmen entscheidet ein Mensch innerhalb der vereinbarten Servicezeiten.
Kostenlose Erstberatung anfragen

Das Problem sind nicht zu wenige Alarme, sondern zu viele einzelne

Die meisten Unternehmen, die wir kennenlernen, haben durchaus Sicherheitstechnik im Einsatz: einen Virenschutz hier, eine Firewall dort, Microsoft 365 mit seinen eigenen Meldungen, eine Datensicherung mit Statusmails. Jedes System meldet sich — jedes für sich.

Ein ernsthafter Angriff sieht in diesen Einzelmeldungen fast immer harmlos aus. Eine Anmeldung zu ungewöhnlicher Zeit: kann vorkommen. Eine neue Weiterleitungsregel im Postfach: hat vielleicht der Kollege eingerichtet. Ein Virenfund auf einem PC: wurde ja blockiert. Erst die Kombination dieser Ereignisse — über Systeme hinweg, in kurzer Zeit — ergibt das Bild eines laufenden Angriffs.

Diese Verknüpfungsarbeit leistet in einem typischen mittelständischen Unternehmen: niemand. Nicht aus Nachlässigkeit — sondern weil sie mit menschlicher Aufmerksamkeit allein nicht leistbar ist, schon gar nicht um drei Uhr nachts.

SIEM, XDR, Meta-SIEM — was ist was?

Ein SIEM (Security Information and Event Management) sammelt Protokolldaten aus allen Systemen, wertet sie zentral aus und schlägt Alarm, wenn Ereignisse zusammen ein Angriffsmuster ergeben. EDR und XDR tun Ähnliches, aber innerhalb einer Produktwelt. Am Markt heißt dieselbe Leistung je nach Zuschnitt auch Log-Management, Security Monitoring, Managed SIEM oder Managed Detection and Response (MDR) — gemeint ist immer die Frage, wer die Signale Ihrer Systeme zusammenführt und bewertet.

Unsere Plattform nennen wir Meta-SIEM, weil sie nicht neben die vorhandenen Systeme tritt, sondern über sie: Bitdefender bringt eine eigene Auswertung mit, Microsoft 365 ebenfalls, Wazuh ohnehin. Jedes ist in seiner Welt gut — und blind für alles daneben. Wir holen die Befunde aus all diesen Systemen ab und werten sie gemeinsam aus.
 Was es siehtWer schaut hinWomit wir das machen
Virenschutz (AV)eine Datei auf einem Gerätdie Software selbst, sonst niemandBasisschutz, überall enthalten
EDRdas Verhalten eines Endgeräts über die ZeitSie oder wir, wenn eine Meldung kommtBitdefender GravityZone
XDREndgeräte, Postfächer und Netz im ZusammenhangSie oder wirBitdefender GravityZone, Microsoft 365 Defender
Managed XDRwie XDRein 24/7-Security-Operations-Center beim HerstellerSecurepoint Managed XDR (neu im Portfolio)
Unser Meta-SIEMalles davon plus Firewall, Server, UniFi, Backup und Soll-Ist-Abgleich — herstellerübergreifendKI-Agenten rund um die Uhr, Entscheidung beim Menscheneigene Plattform auf eigener Hardware in Deutschland

Ein Adapter je System — weil keine zwei Umgebungen gleich sind

Kein Betrieb gleicht dem anderen: Der eine hat eine Securepoint-Firewall und Microsoft 365, der andere OPNsense und einen eigenen Mailserver, der dritte TrueNAS statt Proxmox Backup Server. Deshalb ist die Plattform als Baukasten aus Adaptern gebaut — je Quelle ein eigener Übersetzer, der ihre Sprache spricht. Angebunden wird, was bei Ihnen tatsächlich läuft. Was Sie nicht einsetzen, wird auch nicht angebunden — und Sie bauen Ihre Umgebung nicht für unser Werkzeug um, sondern das Werkzeug passt sich Ihrer Umgebung an.
QuelleWas von dort einläuft
Endgeräte und Server (Windows, Linux)Anmeldungen, Rechteänderungen, Dienste, Patch-Stand
Virenschutz / EDR (Bitdefender, Securepoint)Funde, blockierte Vorgänge, Verhaltensauffälligkeiten
WazuhSystemnahe Ereignisse, Integritätsprüfung, Regelverstöße
Firewall (Securepoint, OPNsense)Verbindungsversuche, Portfreigaben, VPN-Anmeldungen
Netzwerk (UniFi)neue Geräte im Netz, Segmentwechsel, WLAN-Anmeldungen
Microsoft 365Anmeldungen, Weiterleitungsregeln, Rechtevergaben, Freigaben
Virtualisierung (Proxmox)Host- und VM-Ereignisse, Snapshots, Änderungen
DatensicherungErfolg, Fehlschlag, Abweichungen vom Plan
Netzwerkmessung (eigener Agent)Latenz, Paketverlust, DNS- und TLS-Antwortzeiten je Arbeitsplatz — im Sekundentakt
Websites (WordPress)Schutzstatus, Abweichungen von der Sicherheits-Grundlinie, Sicherheitsereignisse — über unser eigenes Plugin
Übersetzt wird all das in ein einheitliches Bild — anonymisiert ab der ersten Sekunde und nahezu in Echtzeit. Die Liste wächst weiter: Die Plattform ist bewusst so gebaut, dass eine neue Quelle einen neuen Adapter bekommt, ohne dass sich am Bestehenden etwas ändert.

Wenn „das Netz spinnt“: messen statt raten

„Das Internet ist langsam“ ist eine der häufigsten Meldungen — und eine der undankbarsten. Firewall und Switches zeigen ihre eigene Sicht, aber nicht die Strecke, die ein Arbeitsplatz tatsächlich erlebt. Deshalb haben wir einen eigenen Messagenten gebaut: ein kleines Programm, das auf Windows- und macOS-Arbeitsplätzen ohne Administratorrechte läuft und die Verbindung von dort aus misst — über das lokale Netz, über die Firewall, bis zu den Diensten draußen, auf die es im Alltag ankommt.
  • Ping im Sekundentakt — zum lokalen Gateway und zu externen Zielen
  • Routenverfolgung jede Minute: auf welchem Teilstück geht Zeit verloren?
  • DNS-Prüfung auf zwei Wegen — direkt befragt und über den System-Resolver
  • HTTPS-Messung: Antwortzeit, TLS-Handshake, ablaufende Zertifikate
  • Signierte Übertragung alle zehn Sekunden — nahezu in Echtzeit im Lagebild
Der Unterschied zu den Bordmitteln von Firewall und Netzwerk: Die sehen ihren eigenen Standpunkt. Der Agent sieht die Strecke aus der Perspektive des Arbeitsplatzes — und weil er auf der ganzen Flotte eines Kunden läuft, zeigt der Vergleich sofort, ob ein Problem einen einzelnen Rechner betrifft, einen Standort oder alle. Aus „das Netz spinnt“ wird damit in Minuten eine Antwort: WLAN, Firewall-Übergang, Provider oder der Dienst am anderen Ende. Gemessen werden ausschließlich technische Laufzeiten — keine Inhalte, keine personenbezogenen Daten.

Der Agent ist fester Bestandteil unserer Überwachung — kein Zusatzprodukt, das Sie kaufen oder pflegen müssten. Wo wir betreuen, misst er mit, und seine Werte fließen in dasselbe Lagebild wie alle anderen Quellen.

Zwei Mechanismen, die rund um die Uhr arbeiten

01

Abgleich mit dem Soll-Zustand

Für jede betreute Umgebung ist hinterlegt, wie sie aussehen soll — welche Sicherheitseinstellungen aktiv sind, welche Regeln existieren dürfen. Jede Abweichung wird gemeldet. Taucht in einem Postfach eine Weiterleitungsregel auf, die dort nie definiert wurde, ist das kein Rauschen. Das ist ein Befund.
02

KI-Agenten, die sichten und verknüpfen

Spezialisierte Systeme gehen die Ereignisse laufend durch, ordnen sie bekannten Angriffsmustern zu und erkennen Zusammenhänge zwischen Meldungen aus völlig verschiedenen Quellen. Sie werden beim hundertsten Fehlalarm nicht müde und übersehen nichts aus Routine — und melden nicht 200 Einzelereignisse, sondern eine priorisierte Einschätzung.

Was die KI von Ihren Daten sieht: so wenig wie möglich. Und Personen: keine.

Die berechtigtste Frage an jede KI-Lösung ist die nach den Daten. Unsere Antwort besteht aus zwei Zusagen, die unabhängig voneinander gelten: Ihre Daten sind anonymisiert, bevor irgendeine KI sie sieht — und die KI-Modelle laufen lokal auf unserer eigenen Hardware in Deutschland, nicht in einer fremden Cloud. Fällt eine Ebene aus, trägt die andere. Anonymität ist dabei keine Einstellung, die man aktivieren kann — sie ist das Fundament, auf dem die Plattform gebaut ist.
  • Personenbezogene Angaben werden beim Einsammeln entfernt, bevor ein KI-System sie sieht
  • Bewertet werden technische Vorgänge, keine Personen und keine Profile
  • Die Zuordnung zu Gerät oder Konto stellt ein Techniker her — erst bei bestätigtem Befund
  • Die KI-Modelle laufen auf eigener Hardware in einem deutschen Rechenzentrum
  • Kein amerikanischer Cloud-Dienst, keine Datenweitergabe an Dritte
Das Bemerkenswerte daran: Wir anonymisieren auch dort, wo wir es nicht müssten. Die Auswertung läuft ohnehin auf unseren eigenen Servern. Trotzdem gilt die Anonymisierung ausnahmslos auch für diese hauseigenen Systeme. Der Gedanke dahinter ist einfach: Eine KI, die keine personenbezogenen Daten kennt, kann auch keine verlieren, verwechseln oder preisgeben — ganz gleich, was passiert.

Anonymisierte Daten und eigene Infrastruktur — doppelter Boden statt Vertrauensvorschuss.

Die Plattform schlägt Alarm — entscheiden tut ein Mensch

So leistungsfähig die Automatisierung ist: Eingriffe in Ihre Systeme nimmt kein Algorithmus eigenmächtig vor. Die Plattform erkennt, bewertet und alarmiert; über Gegenmaßnahmen entscheidet ein Mensch, der dank der vorbereiteten Einschätzung in Minuten handlungsfähig ist statt in Stunden.

Woran wir arbeiten, sind automatische Sofortmaßnahmen für eindeutige Fälle — etwa ein befallenes Gerät sofort vom Netz zu isolieren, bevor sich ein Verschlüsselungstrojaner ausbreitet. Genau dort entscheiden Minuten über den Schaden, wie unsere Reihe über Unternehmen, die einen Ransomware-Angriff nicht überlebt haben, zeigt. Solche Automatik führen wir bewusst schrittweise ein: Die Plattform darf eindämmen, was zweifelsfrei bösartig ist — alles Weitere bleibt Menschensache.

Wenn es ein menschliches Team rund um die Uhr sein soll

Ein eigenes Security Operations Center rechnet sich für einen Mittelständler nicht: Rund-um-die-Uhr-Besetzung bedeutet mindestens fünf Vollzeitstellen. Wer trotzdem ein menschliches 24/7-Team hinter der Technik haben will, bekommt es über den Hersteller:
A

Bitdefender GravityZone

EDR und XDR aus einer Konsole — Endgeräte, Postfächer und Netz im Zusammenhang. Läuft bei unseren Kunden bereits als Endpoint-Schutz; die Auswertung dockt an eine gepflegte Umgebung an.
B

Securepoint Managed XDR

Neu im Securepoint-Portfolio: Angriffserkennung kombiniert mit einem 24/7 Security Operations Center beim Hersteller. Für Betriebe, die menschliche Rufbereitschaft rund um die Uhr brauchen, ohne selbst eines aufzubauen. Als Securepoint Professional Partner können wir das mit einbinden.
C

Unser Meta-SIEM darüber

Beide Wege liefern Befunde in ihrer eigenen Welt. Unsere Plattform holt sie ab und setzt sie mit Firewall, Servern, Netzwerk und Datensicherung in Beziehung — das Bild, das keine einzelne Konsole zeigt.

Angriffserkennung ist zunehmend Pflicht, nicht Kür

Die IT-Sicherheitsrichtlinie der KBV/KZBV verlangt ab mittlerer Praxisgröße Protokollierung und Alarmierung wichtiger Ereignisse, ebenso beim Einsatz medizinischer Großgeräte. NIS2 verlangt angemessene Maßnahmen und deren Nachweis. Im BSIG heißt das Ganze Systeme zur Angriffserkennung.

Der gemeinsame Nenner: Es genügt nicht mehr, Sicherheitstechnik zu besitzen. Man muss zeigen können, dass ihre Meldungen ausgewertet werden. Genau das leistet ein zentrales Lagebild — und genau das lässt sich mit einem Ordner voller Statusmails nicht belegen. Wie das für Praxen konkret aussieht, steht auf IT für Arzt- und Zahnarztpraxen; die Einordnung von Cert+, Grundschutz und ISO 27001 auf IT-Grundschutz für KMU.

Sie müssen dafür keine KI kaufen

Diese Überwachung ist kein Projekt und kein eigenes Produkt, sondern Teil der laufenden Betreuung. Wer seine Systeme bei uns in der Endgeräteverwaltung und Serververwaltung hat, dessen Umgebung wächst in dieses Lagebild hinein – vom Patch-Stand über den Virenschutz bis zur Datensicherung, eingebettet in einen Servicevertrag mit klar definiertem Leistungsumfang.

Am Anfang steht deshalb eine Übersicht der vereinbarten Systeme und Datenquellen: welche Meldungen verfügbar sind, wie aktuell sie sind und wo Überwachung fehlt – ein System ohne Daten ist nicht automatisch unauffällig. Wir klären, welche Daten verarbeitet werden und wo sie verbleiben, wie Meldungen priorisiert und dokumentiert werden, wer Entscheidungen und Eingriffe freigibt und wann zusätzliche Spezialisten nötig sind. Eine konkrete Zusage zur Abdeckung erfolgt erst nach Prüfung Ihrer Umgebung – für KMU in Geisenheim, Rüdesheim und der Region. Die ehrliche Frage an jedes Unternehmen lautet nicht mehr „Haben wir einen Virenschutz?“, sondern: Wer – oder was – schaut bei Ihnen um drei Uhr nachts auf die Signale Ihrer Systeme?

Häufige Fragen zu SIEM, XDR und Angriffserkennung

EDR beobachtet das Verhalten eines Endgeräts. XDR nimmt weitere Quellen dazu — typischerweise Postfächer und Netzwerk — und setzt sie in Beziehung. Ein SIEM sammelt Protokolldaten aus allen Systemen, wertet sie zentral aus und schlägt Alarm. Der Unterschied ist weniger die Technik als die Reichweite: EDR sieht ein Gerät, XDR eine Produktwelt, ein SIEM das ganze Haus.
Weil sie nicht neben die vorhandenen Systeme tritt, sondern über sie. Bitdefender bringt seine eigene Auswertung mit, Microsoft 365 ebenfalls, Wazuh ohnehin. Jedes dieser Systeme ist in seiner Welt gut und blind für alles daneben. Unsere Plattform holt die Befunde aus all diesen Systemen ab und wertet sie gemeinsam aus — ein SIEM über SIEMs.
Nein, und das ist der Punkt. Ein eigenes SOC rechnet sich für einen Mittelständler nicht — Rund-um-die-Uhr-Besetzung heißt mindestens fünf Vollzeitstellen. Bei uns übernimmt die laufende Sichtung die Plattform, und wo ein menschliches 24/7-Team gefragt ist, lässt sich Securepoint Managed XDR mit dem SOC des Herstellers dazuschalten.
Keine Personen. Personenbezogene Angaben werden schon beim Einsammeln entfernt oder durch neutrale Kennzeichen ersetzt, bevor ein KI-System die Ereignisse überhaupt sieht. Bewertet werden technische Vorgänge — „auf einem Gerät wurde um 03:12 Uhr eine Weiterleitungsregel angelegt“ —, keine Profile. Die Zuordnung zu Gerät oder Konto stellt erst ein Techniker her, wenn ein Befund bestätigt ist.
Auf unserer eigenen Hardware in einem deutschen Rechenzentrum. Die Daten gehen an keinen amerikanischen Cloud-Dienst und verlassen unsere Infrastruktur nicht. Die Anonymisierung gilt trotzdem — auch gegenüber den eigenen Systemen. Eine KI, die keine personenbezogenen Daten kennt, kann auch keine verlieren.
Heute nicht. Die Plattform erkennt, bewertet und alarmiert; über Gegenmaßnahmen entscheidet ein Mensch, der dank der vorbereiteten Einschätzung in Minuten handlungsfähig ist. Automatische Sofortmaßnahmen für eindeutige Fälle — etwa ein befallenes Gerät sofort zu isolieren — führen wir schrittweise und mit klaren Leitplanken ein.
Ja. Die Plattform ist Teil unseres täglichen Monitorings: Die Quellen liefern, die Auswertung läuft, die Alarmierung ist scharf. Wir bauen laufend aus — weitere Adapter, feinere Korrelation, schrittweise Automatik für eindeutige Fälle. Aber die Regel für diese Seite ist einfach: Was hier steht, arbeitet bereits im Betrieb — was erst geplant ist, steht hier nicht.
Die IT-Sicherheitsrichtlinie der KBV/KZBV verlangt ab mittlerer Praxisgröße Protokollierung und Alarmierung wichtiger Ereignisse (Anlage 2), ebenso bei medizinischen Großgeräten (Anlage 4). NIS2 verlangt angemessene Maßnahmen und deren Nachweis. Genau dafür ist ein zentrales Lagebild da: Es protokolliert nicht nur, es wertet aus und belegt, dass ausgewertet wurde.

Was braucht Ihre IT als Nächstes?

Beschreiben Sie uns Ihr Anliegen. Im kostenlosen Erstgespräch klären wir die nächsten sinnvollen Schritte.
Kostenlose Erstberatung anfragen

Sprechen wir über Ihre IT

Schreiben Sie uns über die Kontaktseite oder rufen Sie an: +49 6722 919 224 0.

Zur Kontaktseite