IT-Infrastruktur unter Druck: Monitoring als Basis für Resilienz und Compliance.
Cloud-Dienste, Container und verteilte Standorte machen IT-Infrastrukturen leistungsfähiger, aber zugleich komplexer. NIS-2, DORA und etablierte Sicherheitsstandards erhöhen zudem den Druck, Risiken frühzeitig zu erkennen, Auswirkungen fundiert zu bewerten und Vorfälle nachvollziehbar zu dokumentieren. Kontinuierliches Monitoring entwickelt sich damit vom klassischen Administrationswerkzeug zu einer Grundlage für stabile Geschäftsprozesse und digitale Resilienz.
Zusammenfassung (TL; DR):
- IT-Infrastrukturen erfordern ein ganzheitliches Monitoring, das über die technische Verfügbarkeit von Komponenten hinausgeht, um Geschäftsprozesse und digitale Resilienz zu gewährleisten.
- Angesichts von NIS-2 und DORA verwandelt sich Überwachung in eine Säule für Risikosteuerung, Compliance und die Vermeidung von Alarmmüdigkeit durch die Abbildung von Systemabhängigkeiten.
- Erfasst man neue Systeme nicht, entstehen blinde Flecken, während in der Konfiguration verbleibende ausgemusterte Komponenten zu Fehlalarmen und unnötigem Analyseaufwand führen.
Der Server ist erreichbar, die Datenbank antwortet und das Netzwerk meldet keine Überlastung. Trotzdem können Kunden keine Bestellungen abschließen. Solche Fälle zeigen die Grenzen eines Monitorings, das nur einzelne Komponenten betrachtet. Technische Verfügbarkeit bedeutet nicht automatisch, dass ein Geschäftsprozess funktioniert.
Unternehmens-IT befindet sich heute selten an einem Ort
Anwendungen im eigenen Rechenzentrum greifen auf Cloud-Dienste, externe Identitätsanbieter und Schnittstellen zu Dienstleistern zu. Virtuelle Maschinen und Container entstehen dynamisch, Beschäftigte arbeiten von unterschiedlichen Standorten. Fällt ein Glied dieser Kette aus, kann die Ursache weit entfernt von dem System liegen, an dem die Störung sichtbar wird.
Für CISOs und IT-Leiter reicht es deshalb nicht, den Zustand einzelner Hosts zu kennen. Sie müssen erkennen, welche Systeme voneinander abhängen, welche Dienste geschäftskritisch sind und welche Warnung sofortiges Handeln verlangt. Monitoring wird damit zu einem Instrument der Risikosteuerung.
Aus Messwerten muss ein Lagebild werden
IT-Infrastruktur-Monitoring erfasst den Zustand von Servern, Netzwerken, Anwendungen, Datenbanken, Zertifikaten und Cloud-Ressourcen. Auch verteilte Installationen, virtuelle Umgebungen und Kubernetes-Cluster lassen sich einbeziehen. Technisch ist heute eine sehr breite Überwachung möglich – von einzelnen Netzwerkdiensten bis zu hierarchisch abgebildeten Geschäftsprozessen.
Monitoring und Observability sind dabei nicht vollständig gleichzusetzen. Monitoring prüft typischerweise vorab definierte Zustände, Kennzahlen und Schwellenwerte. Observability zielt darüber hinaus darauf, anhand von Metriken, Logs und Traces auch bislang unbekannte Fehlerbilder untersuchen zu können. In der Praxis ergänzen sich beide Ansätze.
Die Zahl der Messwerte ist jedoch nicht entscheidend. Ein ausgefallener DNS-Dienst, ein abgelaufenes Zertifikat oder eine gestörte Authentifizierung kann zahlreiche Anwendungen gleichzeitig beeinträchtigen. Bleiben diese Abhängigkeiten unsichtbar, erhalten Betriebsteams zwar viele Warnungen, aber kein verlässliches Bild der Lage. Im ungünstigsten Fall erzeugt eine einzige Ursache Dutzende Folgealarme, die alle gleich dringlich erscheinen.
Eine zeitgemäße Überwachung der IT-Infrastruktur muss technische Zustände deshalb in ihren betrieblichen Zusammenhang einordnen. Ein Fehler im Testsystem hat eine andere Bedeutung als eine Störung in der Produktion. Ebenso muss erkennbar sein, ob nur ein einzelner Dienst betroffen ist oder ein zentraler Geschäftsprozess auszufallen droht.
Fehlt diese Priorisierung, entsteht Alarmmüdigkeit. Teams bearbeiten Symptome, während die eigentliche Ursache unentdeckt bleibt. Gutes Monitoring alarmiert nicht möglichst häufig. Es liefert die richtige Information zum richtigen Zeitpunkt an die zuständige Stelle.
NIS-2 und DORA erhöhen den Nachweisdruck
Am 6. Dezember 2025 ist das deutsche Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie in Kraft getreten. Es erweitert den Kreis regulierter Organisationen erheblich und verschärft unter anderem die Anforderungen an Risikomanagementmaßnahmen, Sicherheitsorganisation, Verantwortung der Geschäftsleitung und Meldeprozesse. Das BSI geht von rund 29.500 „besonders wichtigen“ und „wichtigen“ Einrichtungen aus, die unter die neuen Regelungen fallen.
NIS-2 schreibt kein bestimmtes Monitoring-Produkt vor. Betroffene Organisationen müssen aber erhebliche Sicherheitsvorfälle der IT-Infrastruktur erkennen, bewerten, bearbeiten und fristgerecht melden können. Das gestufte Meldeverfahren beginnt grundsätzlich mit einer Frühwarnung innerhalb von 24 Stunden, nachdem eine Einrichtung Kenntnis von einem erheblichen Sicherheitsvorfall erlangt hat. Innerhalb von 72 Stunden folgt eine ausführlichere Vorfallmeldung; später ist grundsätzlich ein Abschlussbericht vorgesehen. Nicht jeder technische Ausfall ist automatisch meldepflichtig. Ohne belastbare Betriebsdaten lässt sich jedoch kaum beurteilen, wann eine Störung begann, welche Dienste betroffen sind und wie schwer ihre Auswirkungen wiegen.
Monitoring der IT-Infrastruktur schafft dabei nicht automatisch Rechtskonformität. Es kann jedoch wesentliche Tatsachengrundlagen liefern: Zeitpunkte, Dauer, Reichweite, betroffene Komponenten, Wiederherstellungsverlauf und mögliche Auswirkungen auf die Verfügbarkeit von Diensten. Erst in Verbindung mit festgelegten Bewertungs-, Eskalations- und Meldeprozessen werden daraus regulatorisch nutzbare Informationen.
Für den Finanzsektor erhöht DORA den Handlungsdruck zusätzlich. Die EU-Verordnung gilt seit dem 17. Januar 2025 und verlangt unter anderem ein systematisches IKT-Risikomanagement, Verfahren für den Umgang mit und die Meldung schwerwiegender IKT-bezogener Vorfälle, Resilienztests und eine stärkere Kontrolle externer IKT-Dienstleister. Ein zentraler Gedanke ist, digitale operationale Resilienz nicht nur punktuell zu prüfen, sondern als fortlaufende Managementaufgabe zu behandeln.
ISO/IEC 27001 definiert Anforderungen an ein Informationssicherheitsmanagementsystem
Auch ISO/IEC 27001 folgt dem Prinzip der kontinuierlichen Bewertung und Verbesserung. Die Norm definiert Anforderungen an ein Informationssicherheitsmanagementsystem, das Risiken strukturiert erfasst und die Wirksamkeit getroffener Maßnahmen regelmäßig überprüft. Sie schreibt kein konkretes Infrastrukturmonitoring vor. Organisationen müssen jedoch festlegen, was überwacht und gemessen wird, mit welchen Methoden dies geschieht und wie die Ergebnisse analysiert und bewertet werden. Monitoring-Daten können einen Teil dieser Nachweise liefern.
Damit verbindet die Regelwerke ein gemeinsamer Anspruch: Unternehmen müssen den Zustand ihrer kritischen Systeme kennen und Vorfälle nachvollziehbar bearbeiten können. Wer erst durch Kundenbeschwerden oder den Stillstand eines Geschäftsprozesses von einer Störung erfährt, verliert Zeit und wichtige Informationen.
Was modernes IT-Infrastruktur-Monitoring leisten muss
Monitoring der IT-Infrastruktur allein erkennt nicht automatisch einen Cyberangriff. Es ersetzt weder ein Security Information and Event Management (SIEM) noch Endpoint Detection and Response (EDR), Schwachstellenmanagement oder spezialisierte Netzwerküberwachung. Sein Schwerpunkt liegt zunächst auf Zustand, Leistung und Verfügbarkeit von Systemen und Diensten.
Für die Cyberresilienz ist es dennoch ein wichtiger Baustein. Plötzliche Lastspitzen, ausfallende Schnittstellen, fehlgeschlagene Prüfungen oder Zertifikatsprobleme können erste Hinweise auf einen Sicherheitsvorfall liefern. Auch unerwartete Neustarts, ungewöhnliche Antwortzeiten oder das gleichzeitige Ausfallen voneinander abhängiger Dienste können Anomalien sichtbar machen. Sie sind jedoch zunächst Indikatoren und noch kein Beleg für einen Angriff. Ob tatsächlich ein Sicherheitsvorfall vorliegt, zeigt sich häufig erst im Zusammenhang mit Logdaten, Sicherheitsmeldungen und Informationen über die betroffenen Assets.
Betriebs- und Sicherheitsteams brauchen eine gemeinsame Sicht
Betriebs- und Sicherheitsteams brauchen deshalb eine gemeinsame Sicht: Was ist passiert? Welche Dienste sind betroffen? Welche Folgen drohen für Kunden, Produktion oder Lieferfähigkeit? Monitoring-Daten entfalten ihren Wert erst, wenn sie in Incident-Management- und Security-Prozesse einfließen.
Dazu gehört auch Automatisierung. Cloud-Ressourcen, virtuelle Maschinen und Container werden häufig innerhalb weniger Minuten bereitgestellt und wieder entfernt. Eine manuell gepflegte Überwachung kann mit dieser Dynamik kaum Schritt halten. Werden neue Systeme nicht erfasst, entstehen blinde Flecken. Bleiben ausgemusterte Komponenten in der Konfiguration, verursachen sie Fehlalarme.
Monitoring sollte daher an verlässliche Datenquellen wie Asset-Management, Cloud-Plattformen oder Infrastructure-as-Code-Prozesse angebunden werden. Vorlagen und Schnittstellen sorgen dafür, dass neue Systeme nach einheitlichen Regeln überwacht werden. Wiederkehrende Ereignisse können standardisierte Abläufe auslösen – etwa das Eröffnen eines Tickets, das Anreichern eines Vorfalls mit Diagnosedaten oder die Benachrichtigung des Bereitschaftsdienstes.
Automatisierte Eingriffe in produktive Systeme brauchen klare Grenzen. Schwellenwerte, Freigaben und Protokollierung müssen bereits vor dem ersten Vorfall feststehen. Ebenso ist festzulegen, unter welchen Bedingungen eine Automatisierung abbricht und an einen Menschen eskaliert.
Nachweisfähigkeit entsteht im laufenden Betrieb
Regulatorische Anforderungen werden häufig auf Richtlinien, Berichte und Auditunterlagen reduziert. Ob ein Unternehmen tatsächlich vorbereitet ist, zeigt sich aber erst im Störungsfall. Dokumentierte Prozesse sind notwendig. Belastbar werden sie erst, wenn sie im Betrieb erprobt sind.
Dafür muss vorab geklärt sein, welche Systeme geschäftskritisch sind, welche Ereignisse erfasst werden und wer bei welchem Schweregrad reagiert. Ebenso wichtig sind angemessene Aufbewahrungsfristen, Eskalationswege und regelmäßige Tests: Kommen Warnungen an? Funktioniert die Bereitschaftskette auch nachts? Lassen sich Beginn, Verlauf und Auswirkungen eines Vorfalls rekonstruieren?
Ein großes Datenarchiv reicht dafür nicht aus. Messwerte benötigen eindeutige Zeitstempel, nachvollziehbare Zuständigkeiten und einen Bezug zu betroffenen Services. Die Zeitsynchronisation der beteiligten Systeme ist dabei eine oft unterschätzte Voraussetzung: Weichen Zeitstempel voneinander ab, lässt sich die Reihenfolge von Ereignissen nur schwer rekonstruieren. Weniger, aber sauber eingeordnete Daten sind im Ernstfall oft wertvoller als eine unüberschaubare Menge isolierter Signale.
Auch Integrität und Zugriffsschutz sind relevant. Monitoring-Daten, Alarmhistorien und Konfigurationsänderungen sollten gegen unbemerkte Manipulation geschützt und nur für berechtigte Personen zugänglich sein. Zugleich müssen Organisationen datenschutzrechtlich prüfen, ob die erfassten Daten Personenbezug enthalten und wie lange ihre Speicherung erforderlich ist.
Fazit: Monitoring wird zur Resilienz-IT-Infrastruktur
Unternehmen können Störungen nur dann gezielt bearbeiten, wenn sie den Zustand und die Abhängigkeiten ihrer geschäftskritischen Systeme kennen. NIS-2, DORA und Sicherheitsstandards erhöhen den regulatorischen und organisatorischen Druck. Der eigentliche Treiber bleibt jedoch die wachsende Abhängigkeit des Geschäfts von komplexen, verteilten IT-Landschaften.
Monitoring gehört deshalb nicht als isoliertes Administrationswerkzeug an den Rand der IT. Es muss mit Incident Management, Asset-Daten, Automatisierung und Sicherheitsprozessen verzahnt sein. Erst daraus entsteht ein Lagebild, das technische Teams bei der Ursachenanalyse unterstützt, dem Management eine Risikoeinschätzung ermöglicht und regulatorische Nachweise erleichtert. Entscheidend ist nicht die größtmögliche Zahl erfasster Signale, sondern deren Qualität, Kontext und Verwertbarkeit im Störungsfall.
Open-Source-Plattformen wie Icinga zeigen, wie sich Infrastrukturmonitoring, Automatisierbarkeit und Kontrolle über die eingesetzte Technologie verbinden lassen. Icinga kann unter anderem technische Abhängigkeiten abbilden, Ergebnisse mehrerer Systeme zu Geschäftsprozessansichten zusammenführen und Monitoring-Konfigurationen automatisiert aus externen Datenquellen erzeugen.
Solche Plattformen ersetzen keine spezialisierten Sicherheitswerkzeuge und schaffen keine Compliance auf Knopfdruck. Richtig eingebunden liefern sie jedoch die Transparenz, ohne die schnelle Incident Response und belastbare Cyberresilienz kaum möglich sind.
