# Was ist Security Orchestration, Automation and Response (SOAR)?

> Security Orchestration, Automation and Response (SOAR) ist eine Fähigkeit zur Koordination von Sicherheitswerkzeugen, Fall-Daten und wiederholbaren Workflows.

- Kanonische URL: https://yellowcube.eu/de/glossary/security-orchestration-automation-and-response/
- Herausgeber: Yellow Cube
- Sprache: de
- Kontakt: hello@yellowcube.eu

## Inhalt

Sie erlaubt einem Security-Team, einen Prozess als Playbook abzubilden, geeignete Schritte zu automatisieren und menschliche Freigabe für Entscheidungen vorzubehalten, die Urteilsvermögen erfordern oder den Geschäftsbetrieb stören könnten.

Ein SOAR-Workflow kann einen Alarm mit Asset- und Identitätskontext anreichern, Indikatoren gegen Intelligenzquellen prüfen, einen Fall öffnen, eine Freigabe anfordern und dann eine Adresse blockieren oder einen Host isolieren. Automatisierung ist am wertvollsten bei gut verstandenen, hochvolumigen Aktionen mit zuverlässigen Eingaben.

Der übliche Reifeweg ist Anreicherung zuerst, Eindämmung später: Vollautomatisiertes Blockieren gewinnt erst Vertrauen, nachdem dasselbe Playbook unter menschlicher Freigabe sicher gelaufen ist. Reversibilität ist die Designgrenze — automatisierte Schritte sollten entweder leicht rückgängig zu machen oder hinter expliziter Freigabe liegen, weil eine schnelle falsche Aktion mit Maschinengeschwindigkeit einen eigenen Vorfall erzeugt.

### Wichtigste Punkte

- **Primärer Zweck:** Security Operations schneller, konsistenter und besser auditierbar machen.
- **Gute Kandidaten:** Anreicherung, Beweissammlung, Benachrichtigungen, Ticket-Updates und reversible Eindämmungsmaßnahmen.
- **Governance-Bedarf:** Playbooks benötigen Eigentümer, Tests, Zugriffskontrollen, Fehlerbehandlung, Änderungsmanagement und Ergebnismessung.
- **Wichtige Einschränkung:** Automatisierung verstärkt fehlerhafte Logik ebenso effizient wie stichhaltige; unsichere Playbooks können legitime Aktivität blockieren oder Beweise vernichten.

### Verwandte Begriffe

[Security Information and Event Management (SIEM)](<https://yellowcube.eu/de/glossary/security-information-and-event-management/>) · [Security Operations Center (SOC)](<https://yellowcube.eu/de/glossary/security-operations-center/>) · [Reaktion auf Vorfälle (IR)](<https://yellowcube.eu/de/glossary/incident-response/>) · [Security Playbook](<https://yellowcube.eu/de/glossary/security-playbook/>) · [Erweiterte Erkennung und Reaktion (XDR)](<https://yellowcube.eu/de/glossary/extended-detection-and-response/>)

### Quellen

[NIST SP 800-61r3: Incident Response Recommendations](https://csrc.nist.gov/pubs/sp/800/61/r3/final) · [NIST SP 800-215: Guide to a Secure Enterprise Network Landscape](https://csrc.nist.gov/pubs/sp/800/215/final)

## Quellenangabe und Geltungsbereich

Diese Markdown-Darstellung wird aus denselben freigegebenen Inhalten wie die kanonische HTML-Seite erzeugt. Verwenden Sie beim Zitieren die kanonische URL.