IT-Security - Erkennung von und Reaktion auf Bedrohungen in der IT-Security

Ein Sicherheitsvorfall lässt sich selten rückgängig machen – aber er lässt sich vorbereiten, erkennen und kontrollieren. Dieser Kurs setzt genau dort an: Malware wird identifiziert, bevor sie Systeme lahmlegt. Netzwerkangriffe werden in der Entstehungsphase sichtbar. Und wenn ein Vorfall eintritt, weiß das Team, welche Schritte in welcher Reihenfolge zu gehen sind. Die Teilnehmenden erwerben praxisnahes Handwerkszeug für Cybersecurity-Monitoring und Incident Response – von der Konfiguration eines Intrusion-Detection-Systems bis zur Durchführung einer forensischen Untersuchung und der Nutzung von Threat-Intelligence-Plattformen.

Das erste Modul schafft das Bedrohungsbewusstsein als Fundament. Ohne ein klares Bild der Angriffslandschaft – wer greift an, mit welchen Mitteln, auf welche Ziele – lassen sich weder präventive noch reaktive Maßnahmen sinnvoll planen. Teilnehmende lernen, Bedrohungstypen zu klassifizieren und in Zusammenhänge zu stellen.

• Malware-Kategorien: Trojaner, Ransomware, Rootkits, Spyware und ihre Erkennungsmerkmale
• Phishing und Spear-Phishing: Anatomie eines Social-Engineering-Angriffs
• Insider-Bedrohungen: absichtliche und unbeabsichtigte Risiken durch eigene Mitarbeitende
• Angriffsvektoren: E-Mail, Web, USB, Supply-Chain, Remote-Access-Schwachstellen
• MITRE ATT&CK-Framework: Taktiken und Techniken von Angreifern einordnen
• Bewährte Verfahren zur Cyberrisiko-Minderung: Patch-Management, Least-Privilege-Prinzip

Im zweiten Modul steht Netzwerksicherheit und Angriffserkennung im Mittelpunkt. Angriffe hinterlassen Spuren im Netzwerkverkehr – wer diese Spuren lesen kann, hat einen entscheidenden Zeitvorteil bei der Reaktion. IDS- und IPS-Systeme sind dabei das technische Rückgrat, ergänzt durch Firewalls und VPN-Architekturen.

• IDS vs. IPS: Unterschiede, Einsatzszenarien und typische Fehlalarme reduzieren
• Firewall-Regelwerke und Zugriffskontrolllisten (ACLs) konfigurieren und reviewen
• VPN-Architekturen und sichere Remote-Access-Konzepte bewerten
• Netzwerkverkehrsanalyse mit Paket-Capture-Tools: Wireshark-Grundlagen anwenden
• Anomalie-Erkennung: Baselines definieren und Abweichungen als Signale lesen
• Segmentierung und Mikrosegmentierung als präventive Netzwerkschutzmaßnahmen

Das dritte Modul behandelt Incident Response als strukturierten Prozess. Ein Sicherheitsvorfall ist kein Sonderereignis – er ist eine vorhersagbare Situation, die einen vorbereiteten Plan braucht. Dieser Block erarbeitet den Incident Response Lifecycle und vermittelt forensische Techniken, die Beweise sichern und Ursachen aufklären.

• Incident-Response-Lifecycle: Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung
• Incident-Response-Plan (IRP) strukturieren: Rollen, Eskalationswege, Kommunikationsregeln
• Log-Analyse: Systemlogs, Eventlogs und Netzwerklogs auf Anzeichen von Kompromittierung prüfen
• Forensische Sicherung: Beweise korrekt dokumentieren und chain of custody wahren
• Post-Incident-Review: Root-Cause-Analyse und Maßnahmenableitung
• Tabletop-Übungen: Incident-Response-Pläne im Planspiel testen

Im vierten Modul werden Sicherheitsautomatisierung und Threat Intelligence vertieft. Moderne Security-Operations-Center arbeiten mit SIEM-Systemen, die Millionen von Ereignissen pro Tag verarbeiten – Automatisierung ist keine Option, sondern eine Notwendigkeit. Threat-Intelligence-Plattformen liefern zusätzlich externe Informationen über aktuelle Angriffsgruppen und Kampagnen.

• SIEM-Architektur: Log-Collector, Korrelations-Engine, Dashboard und Alert-Management
• SIEM-Regeln schreiben: Wann wird ein Ereignis zum Alert?
• SOAR-Konzepte: Security Orchestration, Automation and Response für schnellere Reaktionszeiten
• Threat-Intelligence-Feeds: Indicators of Compromise (IOCs) in Schutzmaßnahmen umsetzen
• Threat-Hunting: proaktiv nach versteckten Angreifern in der Infrastruktur suchen
• Automatisierte Playbooks: typische Incident-Typen als standardisierten Reaktionsworkflow definieren

Das fünfte Modul schließt mit Compliance und sicherer Systemhärtung. Technische Schutzmaßnahmen und regulatorische Anforderungen gehen Hand in Hand: DSGVO, ISO 27001 und branchenspezifische Vorgaben prägen, welche Maßnahmen dokumentiert und nachgewiesen werden müssen.

• Datenschutzgesetze im Security-Kontext: DSGVO-Anforderungen für Datenpannen und Meldepflichten
• CIS-Benchmarks und Hardening-Guides für Betriebssysteme und Server
• Zugriffskontrollen: Role-Based Access Control (RBAC) und Least-Privilege-Implementierung
• Vulnerability Management: Schwachstellen-Scanning, Patch-Priorisierung, Remediation-Tracking
• Continuous Monitoring: Security-Metriken definieren und in Reports aufbereiten
• Nachweis von Sicherheitsmaßnahmen in Audits: Dokumentation und Evidence Collection

Praxisblock – Detection and Response in simulierten Angriffsszenarien Übungen in diesem Block arbeiten mit realistischen Angriffsszenarien. Die Teilnehmenden übernehmen die Rolle des Analysten, der einen aktiven Vorfall erkennt und bearbeitet.

• SIEM-Analyse: einen lateral movement-Angriff anhand von Log-Korrelation identifizieren
• IDS-Alert bewerten: false positive oder echter Angriff?
• Incident-Response-Plan für einen Ransomware-Vorfall schritthaft ausführen
• Forensische Untersuchung: kompromittiertes System sichern und Beweise dokumentieren
• Netzwerkverkehr-Analyse: C2-Kommunikation (Command and Control) im Capture identifizieren
• Threat-Intelligence-Feed auswerten: IOCs gegen eigene Systeme prüfen
• SOAR-Playbook entwickeln: automatisierte Reaktion auf Phishing-Alert definieren
• Hardening-Checkliste für einen Windows-Server nach CIS-Benchmark umsetzen
• Tabletop-Übung: Datenleck-Szenario mit Eskalation an das Management durchspielen
• Compliance-Checkliste: DSGVO-Meldepflicht nach Datenpanne erfüllen
• Schwachstellen-Scan-Report interpretieren und Patch-Reihenfolge priorisieren
• Abschluss-Report: Incident-Dokumentation auf Standard für Security-Audit erstellen

Dieser Kurs richtet sich an Fachkräfte aus IT und IT-Sicherheit, die ihr Wissen über Angriffserkennung und Incident Response praxisnah vertiefen wollen.

• IT-Fachkräfte mit Grundkenntnissen in Netzwerken und Betriebssystemen, die in Security-Rollen wechseln
• Systemadministratorinnen und -administratoren, die Schutzmaßnahmen selbst einrichten und überwachen
• Angehende Security-Analysten und SOC-Mitarbeitende
• IT-Betriebsteams, die mit SIEM-Tools arbeiten oder dies planen
• Personen, die sich auf Security-Zertifizierungen vorbereiten und praktisches Wissen aufbauen wollen

Praktische Laborübungen sind das zentrale Lernformat: Teilnehmende konfigurieren reale Security-Tools, analysieren echte Log-Dateien und spielen Incident-Response-Szenarien durch. Theoretische Input-Phasen werden bewusst kurz gehalten und sofort durch Anwendungsaufgaben ergänzt. Das Combined-Learning-Format erlaubt sowohl Vollzeit- als auch Teilzeitvarianten.

Typischerweise erstreckt sich dieser Kurs über mehrere Wochen. Vollzeitvarianten ermöglichen einen schnelleren Abschluss; Teilzeitoptionen sind für Berufstätige verfügbar. Aktuelle Durchführungsdaten sind beim Anbieter zu erfragen.

Die Teilnehmenden erhalten ein trägerausgestelltes Lehrgangszertifikat, das den Kursinhalt und die vermittelten Kompetenzen in Cybersecurity-Monitoring und Incident Response dokumentiert. Der Kurs bereitet auf branchenübliche Sicherheitszertifizierungen vor, ist selbst jedoch keine externe Prüfungsvorbereitung für einen spezifischen Herstellerabschluss.

Die Fähigkeit, einen Angriff zu erkennen, bevor er eskaliert, ist das Kernversprechen dieses Kurses – und zugleich die Fähigkeit, die den Unterschied zwischen einem handhabten Vorfall und einem medienwirksamen Datenleck ausmacht. Teilnehmende verlassen den Kurs mit konkretem Handwerkszeug: Sie wissen, wie ein SIEM eingerichtet und ausgewertet wird, wie ein Incident-Response-Plan aussieht und wie forensische Beweissicherung funktioniert. Das ist kein abstraktes Konzeptwissen, sondern direkt einsatzfähige Kompetenz. SOC-Analysten, Security-Ingenieure und IT-Administratoren mit diesen Kenntnissen sind auf dem Arbeitsmarkt stark gefragt. Der Fachkräftemangel im Cybersecurity-Bereich ist in Deutschland und europaweit dokumentiert; wer nachweislich SIEM-Erfahrung, Incident-Response-Training und Threat-Intelligence-Kenntnisse mitbringt, ist in Stellenausschreibungen explizit gesucht. Dieses Kurszertifikat schafft eine nachprüfbare Grundlage. Darüber hinaus schließt der Kurs eine Lücke, die viele IT-Fachkräfte haben: technisches Systemwissen ist vorhanden, aber die strukturierte Security-Perspektive fehlt. Wer Netzwerke administriert hat, ohne je einen IDS-Alert ausgewertet oder einen Incident-Response-Plan angewendet zu haben, füllt nach diesem Kurs genau diese Lücke. Der Einstieg in spezialisierte Security-Rollen – SOC Analyst Level 1/2, Incident Responder, Security Engineer – wird damit realistischer und nachweisbarer.