{"id":29827,"date":"2025-08-22T06:00:00","date_gmt":"2025-08-22T04:00:00","guid":{"rendered":"https:\/\/www.sysbus.eu\/?p=29827"},"modified":"2025-09-19T10:57:25","modified_gmt":"2025-09-19T08:57:25","slug":"mdr-von-watchguard-gewaehrleistet-alarmbereitschaft-rund-um-die-uhr","status":"publish","type":"post","link":"https:\/\/www.sysbus.eu\/?p=29827","title":{"rendered":"MDR von WatchGuard gew\u00e4hrleistet Alarmbereitschaft rund um die Uhr"},"content":{"rendered":"\n

\u201eEs ist nicht die Frage, ob es ein Unternehmen trifft, sondern nur wann und wie schnell man dann reagieren kann.\u201c Mit diesem Bewusstsein f\u00fcr die gegenw\u00e4rtige Cyberbedrohungslage hat die TERTIA Berufsf\u00f6rderung GmbH & Co. KG bei der Absicherung der Endger\u00e4te konsequent nachger\u00fcstet. Seit M\u00e4rz 2024 greift das Unternehmen auf das professionelle Security Operations Center von WatchGuard Technologies zur\u00fcck. \u00dcber das Managed-Services-Konzept WatchGuard MDR profitiert der Bildungstr\u00e4ger von einer Rund-um-die-Uhr-\u00dcberwachung aller Endpunkte, was im Fall der F\u00e4lle ein schnelles Eingreifen erm\u00f6glicht.<\/em><\/p>\n\n\n\n

Autorin: Rebecca Horn, Press\u2019n\u2019Relations GmbH (www.press-n-relations.de)\/dcg<\/p>\n\n\n\n

Das Thema IT-Security genie\u00dft bei der TERTIA Berufsf\u00f6rderung GmbH & Co. KG seit jeher hohe Priorit\u00e4t. Neben der Absicherung der Zentrale in Alfter bei Bonn sowie den rund 150 deutschlandweiten Niederlassungen nimmt auch der Schutz von Homeoffice-Umgebungen eine entscheidende Rolle ein. Entsprechend hat das IT-seitig zentral organisierte Unternehmen in den letzten Jahren einen umfassenden Ma\u00dfnahmenkatalog entwickelt, um so wenig Angriffsfl\u00e4che wie m\u00f6glich zu bieten. Neben Netzwerkschutz und dem Wirken einer feingliedrigen Zugriffsverwaltung wird dem Bereich Endpoint Security besondere Aufmerksamkeit entgegengebracht. Hier wurde in der Vergangenheit verst\u00e4rkt investiert, wie Marcel M\u00f6rchen, einer der beiden IT-Leiter bei TERTIA, berichtet: \u201eMan ist immer ein potenzielles Opfer. Inzwischen werden Hacker \u2013 wie es UN-Erkenntnisse beispielsweise im Fall Nordkorea belegen \u2013 schon von Regierungsseite angeheuert, um mit ihren kriminellen Machenschaften den Staatshaushalt aufzup\u00e4ppeln. Vor solchen Entwicklungen d\u00fcrfen wir nicht die Augen verschlie\u00dfen.\u201c Bei TERTIA haben die IT-Verantwortlichen vor allem die von Ransomware ausgehende Bedrohung im Blick. Im Gegensatz zu anderen Organisationen sei das Unternehmen laut M\u00f6rchen f\u00fcr Angreifer wahrscheinlich weniger interessant, wenn es um den Diebstahl geistigen Eigentums geht. Aber allein das Verschl\u00fcsseln von Daten und Arbeitsumgebungen birgt in seinen Augen ein kaum zu untersch\u00e4tzendes Verlustrisiko.<\/p>\n\n\n\n

\"\"
Screentshot: Watchguard<\/figcaption><\/figure>\n\n\n\n

Einschl\u00e4ge im direkten Umfeld nehmen zu<\/strong><\/p>\n\n\n\n

Etliche Firmen, mit denen TERTIA zusammenarbeitet, haben damit bereits einschl\u00e4gige Erfahrungen gemacht und zus\u00e4tzliches Wasser auf die M\u00fchlen des Bildungstr\u00e4gers gegossen, der insgesamt rund 1.200 Mitarbeiterinnen und Mitarbeiter besch\u00e4ftigt \u2013 davon fast die H\u00e4lfte mit Homeoffice-Option. \u201eAus den pers\u00f6nlichen Erz\u00e4hlungen wissen wir bestens, wie gro\u00df der Schaden sein kann: Ein mehrw\u00f6chiger Totalausfall des IT-Systems und damit einhergehende, aufwendige Wiederherstellungsarbeiten sind wohl ein Horrorszenario f\u00fcr jede IT-Abteilung.\u201c Die Gegenrechnung schafft dann ganz schnell ein konkretes Bewusstsein, wie Frederic Nowak, der von 2008 bis 2021 die IT-Strukturen im Team von TERTIA mitgestaltet hat und nun als externer IT-Dienstleister zur Seite steht, unterstreicht: \u201eWenn nur die H\u00e4lfte der Server verschl\u00fcsselt wird, k\u00f6nnen tausend Leute nicht arbeiten. Da braucht man kein Genie sein, um zu wissen, wieviel Geld durch die T\u00fcr wandert.\u201c Entsprechend treffen die Hinweise des IT-Profis, der bereits viele Jahre auf die Zusammenarbeit mit Panda Security \u2013 jetzt WatchGuard \u2013 setzt, schon immer auf offene Ohren bei TERTIA \u2013 gerade, wenn es um nachhaltige Absicherung geht.<\/p>\n\n\n\n

Endpoint Security als Paradedisziplin<\/strong><\/p>\n\n\n\n

Der Schutz der Endger\u00e4te \u2013 von den Linux- und Windowsservern \u00fcber Desktop-PC und Notebooks \u2013 wird bei TERTIA besonders hoch gehandelt. Die Notwendigkeit professioneller Endpoint Security wurde fr\u00fch erkannt, bereits seit den 90er-Jahren kommen einschl\u00e4gige L\u00f6sungen zum Einsatz. Seit vierzehn Jahren vertraut das Unternehmen auf das Angebot von Panda Security\/Cytomic, welches im Zuge der 2020 erfolgten Akquise von Panda Security heute unter dem Dach von WatchGuard Technologies angesiedelt ist. Insbesondere das Cloud-Fundament der Panda-Produkte stie\u00df beim Anbieter von Bildungsleistungen, der mittlerweile immer mehr Cloud-Anwendungen neben den physischen IT-Komponenten in seiner eigenen IT-Landschaft kombiniert, von Anfang an auf Anklang. \u201e\u00dcber das Zusammenspiel aus Cloud-Konsole und die auf jedem Endger\u00e4t installierten Software-Agents haben wir nicht nur umfassende Sicherheit gewonnen. Wir k\u00f6nnen alle relevanten Prozesse \u00fcber eine zentrale \u00dcbersicht monitoren und einfach verwalten, ohne daf\u00fcr selbst irgendwelche Kapazit\u00e4ten f\u00fcr die dahinterstehende Technologie bereithalten zu m\u00fcssen. In Sachen Preis-Leistung ist das Konzept f\u00fcr uns schon immer \u00fcberzeugend gewesen\u201c, so M\u00f6rchen.<\/p>\n\n\n\n

Mit der Gefahr mitgewachsen<\/strong><\/p>\n\n\n\n

Der Funktionsumfang wurde \u00fcber die Jahre sukzessive ausgebaut. Von den intuitiven M\u00f6glichkeiten des Ger\u00e4temonitorings profitierte das IT-Team insbesondere nach Einf\u00fchrung des Patchmanagements. \u201eWir waren schon immer im Bilde, wenn es irgendwo einen Vorfall gab und konnten unternehmens\u00fcbergreifend genau nachvollziehen, welche Ger\u00e4te mit einem PC verbunden sind und wie sich der Webtraffic konkret gestaltet. Mit dem Leistungsbaustein des Patchmanagements sehen wir zudem, wo es Aktualisierungsbedarf gibt. Notwendige Updates k\u00f6nnen zeitnah und zielgerichtet erfolgen\u201c, erkl\u00e4rt M\u00f6rchen. Die Einstellungen k\u00f6nnen jederzeit bedarfsgerecht verfeinert werden, um die Sicherheit weiter zu erh\u00f6hen. So gilt beispielsweise in der Regel der sogenannte Hardening-Mode, der ein Ausf\u00fchren unbekannter oder nicht erlaubter Skripte auf den Endger\u00e4ten automatisch verhindert. Auf diese Weise konnten in der Vergangenheit einschl\u00e4gige Verschl\u00fcsselungsversuche bereits mehrfach abgewendet werden.<\/p>\n\n\n\n

Wachsende Feinf\u00fchligkeit gegen\u00fcber Bedrohungslandschaft<\/strong><\/p>\n\n\n\n

Anhand der Auswertungen der Logdateien verfolgte das IT-Team nicht zuletzt die konsequente Zunahme der Angriffsversuche, gerade in den letzten Jahren. Daher wurde seit 2023 \u00fcber weitere m\u00f6gliche Ausbaustufen bei der Endpoint Security nachgedacht \u2013 obwohl die bestehenden Sicherheitsmechanismen bisher stets ohne gr\u00f6\u00dfere Vorf\u00e4lle gegriffen hatten. M\u00f6rchen: \u201eNachdem unser System nachweislich immer h\u00e4ufiger attackiert wird, war uns schnell klar, dass wir uns nicht auf dem Status quo ausruhen d\u00fcrfen und die Nase vorn behalten m\u00fcssen.\u201c Es reifte der Plan zur Einf\u00fchrung eines Security Operations Centers (SOC), welches die Bedrohungslage rund um die Uhr \u00fcberwacht. Mit dem frisch aus der Taufe gehobenen MDR-Angebot von WatchGuard er\u00f6ffnete sich TERTIA eine neue attraktive Umsetzungsoption, wie der IT-Leiter verr\u00e4t: \u201eDie Notwendigkeit eines SOC lag f\u00fcr uns auf der Hand. Anfangs haben wir durchaus \u00fcberlegt, ein solches selbst aufzubauen. Von der Idee sind wir angesichts der hohen Initialkosten f\u00fcr eine entsprechend leistungsf\u00e4hige L\u00f6sungslandschaft inklusive n\u00f6tigem Personalaufwand jedoch schnell abgekommen. Zumal es allein damit ja nicht getan ist. Bei der Abwehr ausgefeilter Bedrohungen ist Expertise ein entscheidendes Kriterium. Das WatchGuard-MDR-Modell fanden wir daher bereits bei der ersten Vorstellung spannend. Mit wenig Aufwand in den eigenen Reihen profitieren wir von einer ausgefeilten SOC-Infrastruktur und einem Expertenteam, das sich seit Jahren auf die Anomalie-Erkennung und Angriffsabwehr spezialisiert hat und den ganzen Tag nichts anderes tut.\u201c<\/p>\n\n\n\n

Entscheidung mit gutem Gef\u00fchl im Bauch<\/strong><\/p>\n\n\n\n

Bevor WatchGuard MDR den Zuschlag erhielt, wurden einige Angebote f\u00fcr alternative L\u00f6sungen gepr\u00fcft, wie M\u00f6rchen erg\u00e4nzt: \u201eDie Entscheidung f\u00fcr ein SOC-Konstrukt ist mit einem nicht unerheblichen finanziellen Aufwand verbunden, auch in der Managed-Service-Variante. Allein deshalb haben wir genau verglichen und die Auswahl mit Bedacht getroffen\u201c. Seiner Erfahrung nach fallen die Preise, die Umsetzungspartner aufrufen, sehr unterschiedlich aus. Auch hinsichtlich der M\u00f6glichkeiten im t\u00e4glichen Betrieb macht eine Abw\u00e4gung Sinn. F\u00fcr WatchGuard sprach laut M\u00f6rchen dabei nicht nur die einfache Implementierung, da auf allen Endger\u00e4ten bei TERTIA bereits die n\u00f6tigen Software-Agents vorhanden waren. Am Ende z\u00e4hlte vor allem die gute Erfahrung der letzten vierzehn Jahre: \u201eDer Faktor Vertrauen nimmt bei der Umsetzung von Security-Themen einen hohen Stellenwert ein, gerade wenn es um die n\u00f6tige Rechtevergabe zum Zugriff auf das IT-System geht. Wenn man einen Anbieter so lange kennt, wie es bei uns mit Panda bzw. WatchGuard der Fall ist, ist das Grundgef\u00fchl schon ein ganz anderes. Mit dem Team stehen wir seit Jahren pers\u00f6nlich in Kontakt. Die Zusammenarbeit haben wir immer als positiv und konstruktiv erlebt, auch wenn es mal Probleme zu l\u00f6sen gab\u201c. Darin sind sich M\u00f6rchen und Nowak einig.<\/p>\n\n\n\n

Reaktionsst\u00e4rke von WatchGuard-SOC \u00fcberzeugt<\/strong><\/p>\n\n\n\n

Der offizielle Startschuss f\u00fcr den MDR-Service von WatchGuard fiel im M\u00e4rz 2024, seitdem laufen die Prozesse reibungslos. Einen ersten Eindruck von der Reaktionsst\u00e4rke des WatchGuard SOC konnte sich das Team bei TERTIA aber bereits in der Testphase verschaffen. M\u00f6rchen erinnert sich: \u201eEines Tages kam die Nachricht aus dem SOC, dass es im Hinblick auf IT-Bewegungen Auff\u00e4lligkeiten gab. Die Ursache konnte z\u00fcgig gefunden und behoben werden. Jedoch war es f\u00fcr uns absolut beachtlich, wie schnell der Hinweis uns erreichte und in welcher Detailtiefe die Scans erfolgen. Es beruhigt schon ungemein, wenn man wei\u00df, dass Profis alles im Blick haben und es im Fall der F\u00e4lle keine unn\u00f6tigen Verz\u00f6gerungen gibt.\u201c Die Logdaten der insgesamt 4.300 Endger\u00e4te von TERTIA, die das SOC konsequent \u00fcberwacht, sind \u00fcber das eigene Managementsystem von Marcel M\u00f6rchen und seiner Mannschaft einsehbar: \u201eAber von uns sitzt eben keiner rund um die Uhr davor, um diese Daten auf eventuelle Anomalien zu durchleuchten, von den fehlenden technischen M\u00f6glichkeiten zur Auswertung ganz abgesehen. Da hat ein professionelles Security Operations Center ganz andere Schlagkraft und erkennt selbst Kleinigkeiten, die uns m\u00f6glicherweise nie aufgefallen w\u00e4ren.\u201c<\/p>\n\n\n\n

Sofortige Aktion bei akuter Bedrohung<\/strong><\/p>\n\n\n\n

Um im absoluten Notfallszenario keine Zeit zu verlieren, sind die WatchGuard-Security-Experten von TERTIA bevollm\u00e4chtigt, verd\u00e4chtige Clients direkt vom Netz zu nehmen und zu isolieren, um einer m\u00f6glichen Ausweitung des Angriffs im Netzwerk vorzubeugen. Parallel dazu erfolgt die R\u00fccksprache mit Frederic Nowak im Hinblick auf weitere Schritte. \u201eF\u00fcr mich und TERTIA hat das sofortige Abschalten infizierter Ger\u00e4te oberste Priorit\u00e4t. Abwarten und damit gegebenenfalls in Kauf nehmen, dass die Verseuchung weiter voranschreitet, ist keine Option. Von einem isolierten, einzelnen Endger\u00e4t geht keine Gefahr aus und wir gewinnen wertvolle Zeit, um uns ein Bild von der Lage zu machen. Wenn ein Mitarbeiter kurzfristig nicht arbeiten kann, ist das was ganz anderes, als wenn die gesamte Firma zum Erliegen kommt, weil man zu lange gez\u00f6gert hat\u201c, so die klare Einsch\u00e4tzung von Frederic Nowak. Von Vorteil ist, dass man die Endger\u00e4te, die besonderer Aufmerksamkeit bed\u00fcrfen, gezielt priorisieren kann. Nowak wei\u00df: \u201eVon 4.300 Endger\u00e4ten sind 4.000 f\u00fcr das Funktionieren des unternehmensweiten Gesch\u00e4fts wohl komplett irrelevant. Ein einzelnes Notebook ist schnell vom Netz genommen, deutlich prek\u00e4rer ist die Lage bei Servern.\u201c Auf diesen liegt daher ein gesonderter Fokus. Auf Basis der granularen Informationen des SOC lassen sich Abwehrma\u00dfnahmen passgenau, verl\u00e4sslich und minimal invasiv steuern \u2013 im Einklang mit der IT-Security-Gesamtstrategie.<\/p>\n\n\n\n