Was versteht man unter Threat Intelligence and Response? Die vielfältige Welt von TDR

Unternehmen wenden viel Zeit und Geld auf, um Bedrohungen abzuwehren. Sie setzen Sicherheitsmaßnahmen ein, installieren Patches und schulen ihre Mitarbeiter – im Allgemeinen mit dem Ziel, Angreifern das Leben schwer zu machen. Und dennoch sind viele Vorfälle nach wie vor auf eine unzureichende Sicherheitsüberwachung zurückzuführen.

Moment mal, was? Ja, diese überraschende Tatsache geht aus dem ESET Cyberresilienz-Studie 2026 für KMU  hervor. Darüber hinaus erlebte fast die Hälfte aller befragten KMU im Erhebungsjahr mindestens einen Vorfall, der auf Phishing oder die Ausnutzung von Sicherheitslücken zurückzuführen war. Man kann über die beste Sicherheitsausrüstung der Welt verfügen und trotzdem scheitern. Das ist einfach die Wahrheit. Angreifer haben Zeit, den wie Schweizer Käse durchlöcherten Perimeter eines Unternehmens auszuloten. Und unabhängig von der Unternehmensgröße schrecken grundlegende Kontrollmaßnahmen allein motivierte Angreifer selten ab oder stoppen hochentwickelte Malware.

Es gibt jedoch einen Ausweg: eine fortschrittliche Form der Erkennung, die mehr menschliche Kontrolle ermöglicht. Dabei handelt es sich um „Threat Detection and Response“ (TDR) – die Fähigkeit eines Unternehmens, verdächtige Aktivitäten zu identifizieren, zu verstehen, was passiert ist, und angemessene Maßnahmen zu ergreifen.

Kernpunkte dieses Artikels:

• Threat Detection and Response ist eine Cybersicherheitsfähigkeit, die Signale mit Entscheidungen verknüpft – und kein einzelnes Tool.
• EDR, XDR, SIEM, SOAR und MDR unterstützen verschiedene Aspekte von TDR, von der Transparenz bis hin zur verwalteten Reaktion.
• Warnmeldungen sind nur dann von Bedeutung, wenn Teams sie validieren, untersuchen und darauf reagieren können.
• Das richtige TDR-Modell hängt von Transparenzlücken, personellen Kapazitäten, Abdeckungsanforderungen und Reaktionsbefugnissen ab.
• Gute TDR-Programme messen die effektive Abdeckung und bessere Entscheidungen, nicht das Alarmvolumen.

Was ist Threat Detection and Response?

Threat Detection and Response (TDR) ist die Fähigkeit einer Organisation, verdächtige oder böswillige Aktivitäten zu identifizieren, den Vorfall zu untersuchen und geeignete Maßnahmen zu ergreifen, um Bedrohungen einzudämmen und zu beheben. Dabei werden Telemetrie, Analysen, Workflows und Mitarbeiter kombiniert, um Sicherheitssignale in untersuchte Vorfälle und sinnvolle Reaktionen umzuwandeln.

Ist TDR ein Tool, ein Prozess oder eine Fähigkeit?

Beachten Sie das Wort „Fähigkeit“ im vorigen Abschnitt.

Diese Wortwahl ist wichtig, da sich Anbieter von Cybersicherheitslösungen nicht immer darüber einig sind, was „Threat Detection and Response“ eigentlich ist. Manche beschreiben es als Prozess, während andere es als Lösung, Vorgehensweise, Plattform, Disziplin oder was auch immer bezeichnen. Ehrlich gesagt ändert sich die Terminologie je nachdem, wer darüber spricht.

Für Unternehmen, die versuchen, ihre Sicherheit zu verbessern, ist es jedoch in der Regel am sinnvollsten, die Erkennung und Reaktion auf Bedrohungen als „Fähigkeit“ zu betrachten. Warum? Das wirft vier Fragen auf: Welche Anhaltspunkte sind erkennbar? Wie entscheidet man, dass eine Aktivität böswillig ist? Wer untersucht sie? Und wer ist befugt, Maßnahmen zu ergreifen? Sicher, Tools können Telemetriedaten, Analysen und Reaktionsmaßnahmen liefern, und ein Prozess kann die Arbeit organisieren. Aber ohne Verantwortlichkeiten, Abdeckung und Entscheidungsbefugnisse führt beides nicht zu einem verlässlichen Ergebnis.

Warnmeldungen sind einfach, Entscheidungen sind schwer

Eines der am wenigsten beachteten Probleme der Cybersicherheit ist, dass die meisten Sicherheitsprodukte recht gut darin sind, Ihnen mitzuteilen, dass etwas passiert ist – etwa wenn Ihr Endpoint-Sicherheitsprodukt ein kleines Pop-up anzeigt, um Sie darüber zu informieren, dass es einen verdächtigen Download blockiert hat. In einem Unternehmensumfeld muss die Sicherheit jedoch weit mehr als nur einen Rechner schützen, und heimliche Aktivitäten können sich hinter scheinbar harmlosen Vorgängen verbergen.

Stellen Sie sich zum Beispiel vor, dass sich ein Konto plötzlich zu einer ungewöhnlichen Uhrzeit anmeldet. Das könnte auf einen Eindringling hindeuten. Es könnte sich aber auch um einen Mitarbeiter handeln, der länger arbeitet, um einen Auftragnehmer, der sich von einem anderen geografischen Standort und einer anderen Zeitzone aus verbindet, oder um einen legitimen Systemprozess, der sich nach einem Software-Update anders verhält. Zu diesem Zeitpunkt liegt noch kein erkannter oder vermuteter Vorfall vor, sondern lediglich eine Frage: Ist diese Aktivität legitim oder nicht? Um diese Frage zu beantworten, benötigen Sicherheitsteams Belege, um zu verstehen, was vor dem Erscheinen der Warnmeldung geschah, was danach geschah und ob die Aktivität mit anderen Vorgängen in der Umgebung in Zusammenhang steht.

Genau hier geraten viele Unternehmen, insbesondere kleinere, in Schwierigkeiten.

Mangelnde Überwachung als Problem

Welche Art von Schwierigkeiten, fragen Sie? In einer idealen Welt verfügt ein Unternehmen vielleicht über alle richtigen Sicherheitstools, die Warnmeldungen mit benutzerfreundlichen Reaktionsfunktionen generieren können, doch in der Realität fehlt es beispielsweise vielen KMU nach wie vor an dem erforderlichen Betriebsmodell für eine ordnungsgemäße Sicherheitsüberwachung; sie verlassen sich viel zu sehr auf präventive Schutzebenen, anstatt einen kombinierten Ansatz zu verfolgen, der auch Cyber-Resilienz einbezieht.

Wenn wir also sagen, dass der Mangel an Sicherheitsüberwachung die Ursache eines^Vorfalls1 war, meinen wir damit, dass der Vorfall aufgrund des Fehlens eines geeigneten Erkennungs- und Reaktions-Tools oder -Dienstes passiert ist.

Der Grund für die Einbeziehung sowohl von Prävention als auch von Resilienz liegt darin, dass sie grundlegend unterschiedliche Dimensionen desselben Problems angehen. Prävention versucht, Bedrohungen zu stoppen, bevor sie Schaden anrichten, während Cyber-Resilienz davon ausgeht, dass bestimmte Aktivitäten die grundlegenden Kontrollen umgehen werden. Weder Prävention noch Resilienz stellen für sich genommen eine vollständige Lösung dar. Die Erkennung und Reaktion auf Bedrohungen ist ihrerseits viel stärker auf die Resilienz-Seite des Problems ausgerichtet, weshalb sie so nützlich ist, um den Perimeter bei einem Angriff „zu biegen“ – ganzheitlich und zügig zu reagieren.

Business Email Compromise (BEC) ist hier ein anschauliches Beispiel: Eine glaubwürdige Anfrage aus einem kompromittierten E-Mail-Postfach enthält möglicherweise nichts Bösartiges, das präventiv blockiert werden müsste, doch ungewöhnliche Anmeldungen, Änderungen am Postfach und das Zahlungsverhalten können dennoch untersuchungswürdige Signale liefern, auf die reagiert werden muss.

Bevor wir uns jedoch eingehend mit der Funktionsweise von TDR befassen, wollen wir einen Blick auf die verschiedenen Arten werfen, da diese von separaten Tools, die von einem SOC verwendet werden, bis hin zum SOC selbst als dem betreffenden TDR-Dienst reichen.

Die vielen Gesichter von TDR: Von Tools bis hin zu Diensten

Wenn Sie die Möglichkeit haben möchten, selbst auf Erkennungen zu reagieren, ist es an der Zeit, über die grundlegende Automatisierung hinauszugehen und sich TDR zuzuwenden. Es gibt jedoch mehrere Wege, dies zu tun – von Endpoint Detection and Response (EDR) bis hin zu dienstbasierten Optionen wie Managed Detection and Response (MDR), mit vielen weiteren Varianten dazwischen. Die folgende Tabelle bietet einen kurzen Überblick:

Diese Kategorien hängen zwar zusammen, sind aber nicht austauschbar. Einige beschreiben Technologien im Datenbereich, andere Plattformen und eine beschreibt ein Managed-Service-Modell. Wenn man sie alle einfach als „Arten“ von TDR betrachtet, wird die Akronym-Suppe kalt serviert.

Finden Sie die fehlende Funktion, bevor Sie dem Akronym hinterherjagen

Ein besserer Ansatz, um in diesem Wortsalat den Durchblick zu behalten, besteht darin, bei der operativen Lücke anzusetzen und nicht bei der Marktbezeichnung. Ein Team, das die Aktivitäten an Endgeräten nicht sehen kann, hat ein anderes Problem als ein Team, das Identitäts-, E-Mail-, Cloud- und Endgeräte-Hinweise nicht miteinander in Zusammenhang bringen kann. Ebenso hat ein Team, das zwar Warnmeldungen sieht, aber außerhalb der Geschäftszeiten nicht reagieren kann, eher ein Abdeckungsproblem als ein Sichtbarkeitsproblem:

Welche TDR-Datenquellen sind wichtig?

Nun könnte man fragen, welche der oben genannten Lösungen/Dienste und Ansätze am wichtigsten wären … und die Antwort lautet: Es kommt darauf an.

Die Datenabdeckung sollte in erster Linie den Angriffspfaden folgen, die für das Unternehmen von Bedeutung sind, doch mehr Protokolle sind nicht automatisch besser, da auch „Rauschen“ technisch gesehen als Hinweis zählt. Sammeln Sie also Daten, die die Erkennung oder Untersuchung unterstützen oder die für die Aufbewahrung von Unterlagen erforderlich sind, und wissen Sie, wer sie nutzen wird. Erst dann werden Sie herausfinden, welche Datenquellen für Ihren Anwendungsfall am besten geeignet sind.

Wie funktionieren also die Erkennung und Reaktion auf Bedrohungen?

Anknüpfend an das oben Gesagte gibt es kein allgemeingültiges Rezept oder eine Regel für TDR. Wenn wir jedoch all diese Erkenntnisse zusammenfassen, fügt TDR relevante Datenpunkte aus bestimmten Telemetriequellen hinzu und unterstützt Sicherheitsmaßnahmen dabei,

Beweismaterial zu sammeln und aufzubewahren

Bevor überhaupt etwas untersucht werden kann, müssen Informationen vorliegen. Unternehmen erfassen Telemetriedaten aus relevanten Bereichen der Umgebung: Endgeräte, Identitäten, Netzwerk, Cloud, E-Mail, Anwendungen und Geschäftssysteme. Diese Daten können dazu beitragen, Sicherheitsentscheidungen zu verbessern, oder beispielsweise als Beweismittel in Vorfallberichten dienen, die zur Einhaltung von Vorschriften erforderlich sind.

Erkennen und priorisieren

Eine fortgeschrittenere Nutzung von TDR beruht auf seiner Fähigkeit, komplexe Regeln, Verhaltensanalysen, Bedrohungsinformationen und Korrelationen zu erstellen und darauf zu reagieren, um Aktivitäten zu identifizieren, die einer Überprüfung bedürfen. Während Ihre Endpunktsicherheitslösung verdächtige Aktivitäten beispielsweise möglicherweise nicht automatisch blockiert, könnte eine empfindlichere Erkennungsregel in einer EDR/XDR-Lösung eine Reaktion auslösen. Ist dies nicht der Fall, kann ein erfahrener Analyst durch rechtzeitiges Eingreifen eine weitere Ebene hinzufügen. Denken Sie daran: Nicht jeder Alarm signalisiert eine Bedrohung, aber jede Bedrohung beginnt in der Regel mit einem Signal.

KI-gestützte Analysen können hier ebenfalls helfen, indem sie Muster in großen Mengen von Telemetriedaten erkennen und Aktivitäten aufzeigen, die sofortige Aufmerksamkeit erfordern. KI sollte jedoch weiterhin als Unterstützung für die Untersuchung betrachtet werden und nicht als Ersatz für die Validierung, da TDR davon abhängt, zu wissen, ob ein Signal im Kontext der Organisation aussagekräftig ist.

Validieren und priorisieren

An dieser Stelle trennen Analysten wahrscheinliche Vorfälle von erwarteten Aktivitäten. Ist das Ereignis tatsächlich verdächtig? Wie dringend ist es? Erfordert es sofortige Aufmerksamkeit oder kann es warten? Die Fähigkeit von TDR, die Spreu vom Weizen zu trennen, macht den Unterschied zwischen der Abwehr eines raffinierten Angriffs und dem Überrumpeltwerden durch diesen aus.

Untersuchen und Umfang ermitteln

Sobald eine Aktivität validiert ist, müssen die Teams deren Auswirkungen verstehen. Welche Systeme sind betroffen? Welche Konten waren beteiligt? Welche Daten wurden berührt? Wie weit hat sich die Aktivität ausgebreitet? Dank TDR können Sicherheitsteams „mehr“ erkennen und den Umfang sowie die Auswirkungen eines Vorfalls über verschiedene Geräte, Apps, Netzwerke usw. hinweg besser verstehen (abhängig von den verwendeten TDR-Funktionen).

Eindämmung und Behebung

Dies ist die Reaktionsphase. Je nach Vorfall können die Maßnahmen die Isolierung eines Endpunkts, die Deaktivierung eines Kontos, das Zurücksetzen von Anmeldedaten, das Blockieren bösartiger Kommunikation oder die Beseitigung von Persistenz umfassen.

Wiederherstellung und Verbesserung

Schließlich betrachten effektive Sicherheitsteams den Abschluss eines Vorfalls nicht als Ziellinie. Sie betrachten ihn als Feedback. Erkennungsmechanismen werden verfeinert, Playbooks angepasst und alles, was durch die Maschen gerutscht ist, wieder in den Blickpunkt gerückt. Hier spielt TDR seine Stärke aus: Es liefert den Teams den Kontext, um nicht nur zu verstehen, dass etwas passiert ist, sondern auch, warum es passiert ist, wie weit es sich ausgebreitet hat und was sich ändern sollte, bevor das nächste verdächtige Signal auftritt.

Eine Endpoint-Sicherheitslösung mag zwar eine Bedrohung blockieren oder verdächtige Aktivitäten auf einem Gerät melden, aber TDR hilft dabei, diesen Moment mit der gesamten Umgebung in Verbindung zu bringen und so aus einem eingedämmten Vorfall eine nützliche Lektion zu machen, anstatt ihn nur als ein weiteres abgeschlossenes Ticket abzuhaken.

Um einen besseren Einblick in die Funktionsweise des TDR-Lebenszyklus und Anleitungen zu dessen Umsetzung zu erhalten, empfehlen wir die Lektüre von NIST SP 800-61 Rev. 3.

Internes, verwaltetes oder hybrides TDR?

Angenommen, Sie möchten diese Funktionen nutzen. Die Frage ist nun nicht nur, welche Tools oder Datenquellen Sie wählen sollten, sondern auch, wer sie einsetzen wird. Wie aus den vorangegangenen Abschnitten hervorgeht, ist TDR nur so effizient wie die Person oder die Personen, die es bedienen. Zwar bietet die Automatisierung eine gewisse Unterstützung, doch entscheidend ist nach wie vor der menschliche Einfallsreichtum dahinter.

Daher können EDR-, XDR-, SIEM- und MDR-nahe Tools zwar die Transparenz erhöhen, aber auch zu mehr Warnmeldungen und Optimierungsaufwand führen sowie mehr Entscheidungen erfordern. Ohne die richtigen Kompetenzen und die Übernahme von Verantwortung kann „mehr Erkennung“ schnell zu mehr Lärm werden.

Die Vorteile eines internen TDR

In vielerlei Hinsicht bietet ein internes TDR Unternehmen die klarste Kontrolle darüber, wie Erkennung und Reaktion tatsächlich funktionieren. Interne Teams sind am nächsten am Geschäftsgeschehen: Sie wissen, welche Systeme am wichtigsten sind, wann mit ungewöhnlichen Aktivitäten zu rechnen ist und wann eine Reaktionsmaßnahme den Betrieb stören könnte. Dieser Kontext lässt sich nur schwer vollständig auf einen externen Anbieter übertragen.

Die Herausforderung besteht darin, dass die Eigenverantwortung in der Praxis aufrechterhalten werden muss und nicht nur auf dem Papier zugewiesen wird. Es muss jemand verfügbar sein, der die Erkennungsregeln optimiert, Signale überprüft, verdächtige Aktivitäten untersucht und innerhalb der vom Unternehmen erwarteten Zeitrahmen handelt. Aus diesem Grund eignet sich ein internes Modell eher für Unternehmen, die bereits über eine ausgereifte Sicherheitsfunktion und genügend Analystenkapazitäten verfügen, um die Zuverlässigkeit der Lösung zu gewährleisten.

Wo verwaltete und hybride TDR-Modelle erfolgreich sind

Allerdings verfügt nicht jedes Unternehmen über die Ressourcen, um eine voll besetzte Security-Operations-Abteilung aufzubauen. Im „ESET SMB Cyber Readiness Index 2026“ wurden Budgetbeschränkungen als größtes Hindernis (mit 24 %) für eine schnellere Verbesserung der Cybersicherheit genannt, gefolgt von Komplexität und Integrationsherausforderungen mit 21 % sowie Fachkräftemangel oder Qualifikationslücken mit 20 %.

Daher sind Managed Services sinnvoll, wenn es schwierig ist, diese internen Kapazitäten aufrechtzuerhalten. MDR kann hochspezialisierte Analysten einbinden, die Überwachung über die Geschäftszeiten hinaus ausweiten und Erkennungstools in ein zuverlässigeres Betriebsmodell für Unternehmen verwandeln, die Schwierigkeiten hätten, diese allein aufzubauen und aufrechtzuerhalten.

In vielen Fällen handelt es sich jedoch nicht um eine klare Entscheidung zwischen einer vollständigen internen Abwicklung und einer vollständigen Auslagerung. In solchen Fällen ermöglicht ein Hybridmodell dem Unternehmen, die Kontrolle und den geschäftlichen Kontext zu behalten, während externe Spezialisten die Bereiche verstärken, in denen das interne Team Unterstützung benötigt. Dieser Ansatz eignet sich oft am besten für Teams, die bereits über gewisse Sicherheitskapazitäten verfügen, aber mehr Tiefe, eine beständigere Abdeckung oder Hilfe bei der Durchführung von Untersuchungen benötigen, ohne die Kontrolle über das Programm zu verlieren.

Wie man die Erkennung und Reaktion auf Bedrohungen misst

Eine häufige Falle bei Sicherheitsmaßnahmen besteht darin, das Alarmvolumen selbst als aussagekräftigen Erfolgsindikator zu betrachten. Eine höhere Anzahl von Alarmen deutet oft eher auf mehr „Rauschen“ als auf besseren Schutz hin. Daher konzentriert sich eine effektive TDR-Messung auf vier Bereiche: Transparenz bei aussagekräftigen Bedrohungen, die Effizienz von Untersuchungen, die Qualität von Reaktionsentscheidungen und langfristige Verbesserungen.

Abdeckung und Transparenz

• Abdeckung von prioritären Ressourcen, Identitäten und Angriffspfaden
• Erkennungslogik, die auf relevante Verhaltensweisen von Angreifern abgestimmt ist, unter Verwendung von Frameworks wie MITRE ATT&CK, um zu verstehen, welche Taktiken und Techniken abgedeckt sind.

Effizienz der Untersuchungen

• Zeit vom Signal bis zur Validierung
• Anteil der Warnmeldungen, die zu untersuchten Vorfällen werden
• Trends bei Fehlalarmen und wiederkehrenden Störsignalen

Effektivität der Reaktion

• Zeit vom bestätigten Vorfall bis zur Entscheidung über die Eindämmung und den entsprechenden Maßnahmen
• Durch interne Kontrollen gegenüber externen Meldungen erkannte Vorfälle
• Erfolgreiche Umsetzung und Überprüfung von Reaktionsszenarien

Kontinuierliche Verbesserung

• Aus den gewonnenen Erkenntnissen abgeleitete neue oder verbesserte Erkennungsmechanismen
• Bei Vorfallanalysen, Übungen oder der Bedrohungssuche identifizierte Erkennungslücken

Letztendlich geht es darum, bessere Entscheidungen zu treffen – denn genau darum geht es bei TDR.

Fazit: Erst erkennen, dann reagieren

Sicherheitstools sind bemerkenswert gut darin, ungewöhnliche Aktivitäten zu erkennen. Der schwierige Teil kommt danach. Die Erkennung und Reaktion auf Bedrohungen schließt die Lücke zwischen dem Alarm und der Entscheidung. Sie bietet die Transparenz, die Untersuchungsmöglichkeiten, den Kontext und die Reaktionsfähigkeit, die erforderlich sind, um festzustellen, ob etwas Verdächtiges tatsächlich gefährlich ist, und um die geeignete Sofortmaßnahme zu bestimmen – basierend sowohl auf Automatisierung als auch auf menschlicher Logik.

Ob Unternehmen diese Fähigkeit intern aufbauen, sie mit XDR stärken, durch SIEM unterstützen oder mittels MDR erweitern, hängt von ihren Ressourcen und betrieblichen Anforderungen ab. Das Ziel bleibt dasselbe. Wenn Unsicherheit auftritt, muss jemand diese in Klarheit umwandeln, bevor sie zu einem Problem wird. Darum geht es letztendlich bei der Erkennung und Reaktion auf Bedrohungen.

FAQ: Bedrohungserkennung und -reaktion erklärt

Ist die Erkennung und Reaktion auf Bedrohungen ein Produkt oder eine Dienstleistung?

Beide Verwendungsweisen sind auf dem Markt anzutreffen. Einige Anbieter beschreiben die Erkennung und Reaktion auf Bedrohungen als Prozess, während andere sie als Technologie oder Lösung positionieren. In der Regel ist es hilfreicher, TDR als eine Fähigkeit zu betrachten, die Telemetrie, Analysen, Workflows, Mitarbeiter und Reaktionsbefugnisse miteinander verbindet.

Was ist der Unterschied zwischen Bedrohungserkennung und -reaktion und EDR?

Endpoint Detection and Response (EDR) ist eine auf Endgeräte ausgerichtete Technologie, die dabei hilft, verdächtige Aktivitäten auf Geräten wie Laptops, Servern und Workstations zu erkennen, zu untersuchen und darauf zu reagieren.

Was ist der Unterschied zwischen Bedrohungserkennung und -reaktion und MDR?

Managed Detection and Response (MDR) ist ein Servicemodell, bei dem ein externer Anbieter im Auftrag des Kunden definierte Überwachungs-, Untersuchungs- und Reaktionsmaßnahmen durchführt.

Benötige ich ein SIEM für die Erkennung und Reaktion auf Bedrohungen?

Nicht unbedingt. Eine SIEM-Plattform (Security Information and Event Management) kann umfassende Funktionen zur Protokollerfassung, -suche, -aufbewahrung und -korrelation bieten. Für TDR sind jedoch weiterhin Erkennungsinhalte, Untersuchungsprozesse, Personal und autorisierte Reaktionsmaßnahmen erforderlich. Ein SIEM allein stellt diese nicht automatisch bereit.

Was ist TDIR?

„Threat Detection, Investigation and Response“ (TDIR) macht die Untersuchungsphase bereits im Namen deutlich. Der Begriff überschneidet sich weitgehend mit TDR, obwohl die Verwendung je nach Organisation und Anbieter variiert.

Kann ein kleines Unternehmen Bedrohungserkennung und -reaktion durchführen?

Ja. Die Herausforderung hängt weniger von der Unternehmensgröße als vielmehr von der Zuständigkeit und der operativen Abdeckung ab. Kleinere Unternehmen nutzen häufig Managed- oder Hybrid-Modelle, wenn sie Warnmeldungen nicht kontinuierlich überwachen oder keine internen Untersuchungskapazitäten unterhalten können.

Welche Lösung zur Bedrohungserkennung und -reaktion ist die beste?

Darauf gibt es keine allgemeingültige Antwort. Beginnen Sie damit, zunächst die betrieblichen Lücken zu identifizieren. Einigen Organisationen fehlt die Transparenz über Endgeräte. Andere haben Schwierigkeiten mit domänenübergreifenden Untersuchungen, der Aufbewahrung von Protokollen, der Überwachung außerhalb der Geschäftszeiten oder der Befugnis zur Reaktion. Die richtige Lösung hängt davon ab, welche Fähigkeit derzeit fehlt.