MTTD (Mean Time to Detect) und MTTR (Mean Time to Respond) messen, wie lange ein SOC im Durchschnitt braucht, um einen Angriff zu erkennen und ihn einzudämmen oder zu beheben.
MTTD und MTTR sind die beiden zentralen Leistungskennzahlen eines SOC. Die Mean Time to Detect (MTTD) misst die durchschnittliche Zeit zwischen dem Beginn einer Angriffsaktivität und dem Moment, in dem sie als Vorfall erkannt wird. Die Mean Time to Respond (MTTR) misst die Zeit von der Erkennung bis zur wirksamen Eindämmung oder Behebung. Je nach Organisation steht das R auch für Repair oder Recover, was die Vergleichbarkeit erschwert; wichtig ist, dass die eigene Definition schriftlich festgelegt ist.
Beide Kennzahlen stammen aus dem IT-Betrieb und wurden auf die Sicherheit übertragen. Sie machen eine abstrakte Fähigkeit, Angriffserkennung, in Zahlen messbar und über die Zeit vergleichbar.
So werden MTTD und MTTR gemessen
- Startpunkt der MTTD: der erste Zeitstempel der Angreiferaktivität, nicht der Zeitstempel des Alarms. Das ist nur bestimmbar, wenn Logs die Rekonstruktion erlauben.
- Endpunkt der MTTD: der Moment, in dem ein Analyst den Alarm als echten Vorfall einstuft. Ein unbearbeiteter Alarm zählt nicht als Erkennung.
- MTTR: von der Einstufung bis zur bestätigten Eindämmung, etwa Isolation des Hosts und Sperrung der betroffenen Konten.
- Aufschlüsselung: Sinnvoll ist die Messung je Alarmklasse und Schweregrad; ein Mittelwert über alle Vorfälle verdeckt, dass kritische Alarme nachts liegen bleiben.
Die Faustregel 1-10-60 (eine Minute erkennen, zehn Minuten bewerten, 60 Minuten eindämmen) ist ein verbreiteter Zielkorridor. Verwandt ist die Dwell Time, die dieselbe Frage aus Sicht der Vorfallsforensik stellt.
Bedeutung für Unternehmen
MTTD und MTTR übersetzen Sicherheitsinvestitionen in Geschäftssprache. Statt zu berichten, dass ein neues EDR ausgerollt ist, kann die Sicherheitsleitung zeigen, dass die Erkennungszeit für Kontokompromittierungen von Tagen auf Stunden gesunken ist. Umgekehrt entlarven die Zahlen Lücken: Laut CrowdStrike Global Threat Report 2026 beträgt die durchschnittliche Breakout Time 29 Minuten; eine MTTD von mehreren Stunden bedeutet, dass der Angreifer zum Zeitpunkt der Erkennung bereits auf weiteren Systemen ist.
Was wir in Einsätzen sehen: Viele SOCs kennen ihre Zahlen nicht oder messen nur die Zeit vom Alarm bis zum Ticketabschluss. Das misst die Bearbeitungsgeschwindigkeit, nicht die Erkennungsfähigkeit. Angriffsschritte, die gar keinen Alarm erzeugen, tauchen in dieser Statistik nicht auf und verfälschen die MTTD nach unten. Ein Red Teaming schließt diese Lücke, weil unsere Zeitstempel den tatsächlichen Beginn jeder Aktivität liefern.
Praxis: Messen, verbessern, überprüfen
- Definitionen festschreiben: Wann beginnt die Uhr, wann stoppt sie, wer dokumentiert? Ohne gemeinsame Definition sind Zahlen zwischen Teams und Dienstleistern nicht vergleichbar.
- In SOC-Verträge aufnehmen: Vereinbaren Sie mit MDR-Anbietern Reaktionszeiten je Schweregrad und ein Berichtsformat, das die Einhaltung belegt.
- Zeitabgleich mit dem Red Team: Unser Bericht enthält für jede Aktion einen Zeitstempel. Im Replay-Workshop legen wir diese neben Ihre Alarme und Tickets und erhalten so reale MTTD- und MTTR-Werte je Technik, inklusive der Schritte, die niemals erkannt wurden.
- Nicht nur den Durchschnitt betrachten: Der Median und die langsamsten zehn Prozent sagen mehr über das Risiko als der Mittelwert.
- Engpässe gezielt beheben: Lange MTTD deutet auf fehlende Regeln oder Telemetrie (Detection Engineering), lange MTTR auf fehlende Befugnisse, Playbooks oder Automatisierung im Incident-Response-Prozess.