Breakout Time 29 Minuten: Was das für Ihr SOC bedeutet

Ein SOC, das jeden Alarm innerhalb von vier Stunden bearbeitet, galt vor wenigen Jahren als gut aufgestellt. Heute ist es zu langsam, und zwar nicht um Minuten, sondern um Größenordnungen. Laut CrowdStrike Global Threat Report 2026 benötigen kriminelle Angreifer im Durchschnitt 29 Minuten, um sich von dem ersten kompromittierten System aus auf ein weiteres im Netz zu bewegen. Der schnellste beobachtete Fall lag bei 27 Sekunden. Wer in vier Stunden reagiert, reagiert auf einen Angreifer, der längst auf einem anderen System sitzt.

Diese Zeitspanne heißt Breakout Time. Sie markiert den Moment, ab dem ein Vorfall von einem isolierten Problem zu einem Netzwerkproblem wird. Vor dem Breakout genügt es, einen Rechner zu isolieren. Danach muss das SOC den Angreifer über mehrere Systeme hinweg verfolgen, während er weitere Zugangsdaten sammelt und sich festsetzt. Jede Minute Vorsprung des Verteidigers vor diesem Punkt ist mehr wert als Stunden danach.

Dieser Beitrag erklärt, was die 29 Minuten für Ihr SOC bedeuten, wie sie mit der medianen Dwell Time von 14 Tagen zusammenpassen, wie Sie Ihre eigene Erkennungszeit messen und wie Purple Teaming sie systematisch verkürzt. Eine Tabelle mit Reifestufen hilft bei der Einordnung.

Breakout Time verstehen

Die Breakout Time misst die Zeit zwischen dem ersten Zugriff eines Angreifers auf ein System und seinem ersten Lateral Movement, also der Ausbreitung auf ein zweites System. Sie ist eine Eigenschaft des Angreifers, nicht des Verteidigers: Sie beschreibt, wie schnell die Gegenseite arbeitet. Die 29 Minuten sind ein Durchschnitt über eCrime-Akteure, also finanziell motivierte Gruppen. Staatsnahe Akteure arbeiten oft langsamer und leiser, weil Unauffälligkeit für sie wichtiger ist als Tempo.

Zwei weitere Zahlen aus demselben Report erklären, warum die Breakout Time so kurz geworden ist. Erstens: 82 Prozent der Erkennungen im Jahr 2025 waren malware-frei. Angreifer nutzen gültige Zugangsdaten, legitime Fernwartungswerkzeuge und Bordmittel des Betriebssystems, eine Vorgehensweise, die als Living off the Land bekannt ist. Ein Virenscanner, der nach Schadsoftware sucht, sieht nichts, weil keine da ist. Zweitens: KI-gestützte Angriffe nahmen um 89 Prozent zu. Aufklärung, Skripterstellung und Auswertung gestohlener Daten laufen automatisiert, der menschliche Angreifer trifft nur noch die Entscheidungen.

Die Breakout Time ist für ein SOC deshalb die relevante Bezugsgröße: Sie definiert das Zeitfenster, in dem Erkennung und Eindämmung einen Vorfall noch auf ein System begrenzen können.

Die 1-10-60-Regel und was sie verlangt

Aus der Breakout Time leitet sich eine Faustregel ab, die CrowdStrike seit Jahren propagiert: ein Vorfall soll in einer Minute erkannt, in zehn Minuten bewertet und in sechzig Minuten eingedämmt sein. Die Regel ist bewusst anspruchsvoll. Sie beschreibt nicht den Ist-Zustand der meisten Organisationen, sondern das Ziel, das nötig ist, um einem durchschnittlichen Angreifer zuvorzukommen.

• 1 Minute erkennen: Zwischen dem verdächtigen Ereignis auf dem Endpunkt und dem Alarm im SOC darf praktisch keine Zeit vergehen. Das verlangt EDR auf allen Systemen, Echtzeit-Weiterleitung statt stündlicher Log-Sammlung und Erkennungsregeln, die verhaltensbasiert arbeiten statt auf Signaturen zu warten.
• 10 Minuten bewerten: Ein Analyst muss den Alarm öffnen, den Kontext verstehen und entscheiden, ob es ein echter Vorfall ist. Das scheitert in der Praxis an zu vielen Alarmen mit zu wenig Kontext. Ein SOC mit 2.000 Alarmen pro Tag und drei Analysten kann diese Vorgabe strukturell nicht halten.
• 60 Minuten eindämmen: Das betroffene System wird isoliert, kompromittierte Konten werden gesperrt, Sitzungen beendet. Das verlangt vorbereitete Playbooks, Rechte des SOC zum Eingreifen ohne Freigabeschleife und technische Möglichkeiten zur Netzwerkisolation aus der Konsole.

Die Regel macht eine unbequeme Wahrheit sichtbar: Erkennung ist nicht das Hauptproblem. Die meisten Organisationen, die wir prüfen, erzeugen Alarme. Das Problem ist die Zeit zwischen Alarm und Handlung.

Dwell Time: Warum 14 Tage und 29 Minuten zusammenpassen

Mandiant nennt in M-Trends 2026 eine mediane Dwell Time von 14 Tagen, nach 11 Tagen im Vorjahr. Die Dwell Time misst, wie lange ein Angreifer im Netz ist, bevor er entdeckt wird. Auf den ersten Blick widersprechen sich die Zahlen: Wie kann ein Angreifer in 29 Minuten ausbrechen und trotzdem zwei Wochen unentdeckt bleiben?

Die Auflösung: Beide Zahlen beschreiben dieselbe Realität aus zwei Perspektiven. Der Angreifer braucht 29 Minuten für den entscheidenden ersten Schritt. Die Organisation braucht zwei Wochen, um zu bemerken, dass er da ist, und zwar nach dem Breakout, wenn er sich bereits über mehrere Systeme verteilt hat. Der leichte Anstieg der Dwell Time wird im Report unter anderem damit erklärt, dass mehr Vorfälle von Spionagegruppen und weniger von lauten Ransomware-Angriffen entdeckt wurden; Ransomware verrät sich spätestens bei der Verschlüsselung selbst. Nur 52 Prozent der Vorfälle wurden intern erkannt, der Rest durch externe Hinweise, etwa von Strafverfolgungsbehörden oder weil Daten im Netz auftauchten.

Für die Bewertung eines SOC folgt daraus: Die relevante Frage ist nicht, ob Angriffe irgendwann bemerkt werden, sondern ob sie innerhalb der Breakout Time bemerkt werden. Alles danach ist Schadensbegrenzung.

Wie Sie Ihre Erkennungszeit messen

Die eigenen Zeiten zu kennen ist Voraussetzung für jede Verbesserung. Die Kennzahlen MTTD und MTTR, also mittlere Zeit bis zur Erkennung und bis zur Reaktion, sind Standard, werden aber oft falsch erhoben: aus Ticket-Zeitstempeln, die erst beginnen, wenn ein Analyst den Fall anlegt. Die Zeit davor, zwischen dem Ereignis und dem Ticket, fehlt. Genau sie ist die entscheidende.

Belastbar messen lässt sich die Erkennungszeit nur mit bekannten Ereignissen: Jemand führt zu einem dokumentierten Zeitpunkt eine Angriffstechnik aus, und Sie messen, wann der Alarm entsteht, wann er geöffnet wird und wann die Eindämmung greift. Drei Ansätze unterschiedlicher Reife:

1. Einzeltests aus dem eigenen Team: Ein Administrator führt eine verdächtige Aktion aus, etwa die Abfrage aller Domänenadministratoren von einem Arbeitsplatz. Das SOC weiß nicht Bescheid. Günstig, aber punktuell und ohne Angreiferperspektive.
2. Purple Teaming: Ein Red Team führt eine abgestimmte Liste von Techniken aus, das Blue Team beobachtet in Echtzeit. Jede Technik erhält einen Status: blockiert, erkannt, protokolliert ohne Alarm oder unsichtbar. Die Erkennungszeit wird je Technik gemessen. Systematisch und direkt umsetzbar.
3. Red Teaming mit Zeitstempeln: Das Red Team arbeitet verdeckt und dokumentiert jeden Schritt mit Uhrzeit. Nach dem Einsatz werden die Zeitstempel mit den SOC-Alarmen abgeglichen. Das ergibt die realistischste Messung der gesamten Kette, inklusive der Frage, ob jemand überhaupt reagiert hat.

Reifestufen der Erkennung

Die meisten mittelständischen Organisationen, die wir prüfen, befinden sich auf Stufe 2 und glauben, auf Stufe 3 zu sein. Der Unterschied liegt nicht im Werkzeug, sondern in der Validierung: Niemand hat je geprüft, ob die Regeln bei einem echten Angriff auslösen.

Purple Teaming als Beschleuniger

Purple Teaming ist der direkteste Weg von Stufe 2 oder 3 zu Stufe 4. Red Team und Blue Team arbeiten offen zusammen: Wir führen eine Technik aus, etwa das Auslesen von Zugangsdaten aus dem Arbeitsspeicher oder eine ungewöhnliche Kerberos-Ticketanfrage, und Ihr Team prüft im selben Moment, was im SIEM und in der EDR-Konsole erscheint. Fehlt der Alarm, entsteht die Regel noch im Workshop und wird sofort erneut getestet. Dieses Vorgehen, Technik für Technik entlang von MITRE ATT&CK, heißt Detection Engineering.

Der Effekt auf die Erkennungszeit ist unmittelbar messbar. Nach einem typischen dreitägigen Purple-Team-Workshop mit 30 bis 40 Techniken wissen Sie für jede davon, ob sie blockiert, erkannt oder unsichtbar ist, und wie lange die Erkennung dauert. Die Ergebnisse fließen in eine ATT&CK-Heatmap, die der Geschäftsführung ohne technisches Vorwissen zeigt, wo das SOC steht. Beim nächsten Workshop wird gemessen, ob sich die Heatmap verändert hat. So entsteht ein Verbesserungszyklus, der die Erkennungszeit systematisch in Richtung der Breakout Time drückt. Wie wir ihn mit Ihrem Team aufsetzen, beschreibt unsere Leistung Purple Teaming; den Zusammenhang mit der Entwicklung eigener Regeln vertieft der Beitrag Purple Teaming und Detection Engineering.

Fazit

29 Minuten Breakout Time und 14 Tage Dwell Time beschreiben dieselbe Lücke: Angreifer sind schnell, Verteidiger bemerken sie spät. Die 1-10-60-Regel ist anspruchsvoll, aber sie benennt das richtige Ziel, und sie scheitert in der Praxis seltener an der Technik als am Prozess zwischen Alarm und Handlung. Messen Sie Ihre Erkennungszeit mit bekannten Ereignissen, nicht mit Ticket-Zeitstempeln. Und validieren Sie Ihre Regeln gegen echte Techniken, bevor ein Angreifer es tut. Purple Teaming ist dafür der schnellste und kosteneffizienteste Weg; ein Gespräch über den Einstieg beginnt bei Kontakt.

Quellen

• CrowdStrike, Global Threat Report 2026: durchschnittliche eCrime-Breakout-Time 29 Minuten, schnellste 27 Sekunden; 82 % malware-freie Erkennungen; KI-gestützte Angriffe +89 %.
• CrowdStrike, Faustregel 1-10-60: 1 Minute erkennen, 10 Minuten bewerten, 60 Minuten eindämmen.
• Mandiant, M-Trends 2026: mediane Dwell Time 14 Tage (Vorjahr 11); 52 % der Vorfälle intern erkannt.
• MITRE ATT&CK Enterprise, attack.mitre.org.

Häufige Fragen zum Thema