Defense in Depth ist keine Einkaufsliste Mehr Security-Tools bedeuten nicht immer mehr Sicherheit

Anbieter zum Thema

Fastly GmbH

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Viele Unternehmen investieren massiv in zusätzliche Si­cher­heits­maß­nah­men und erleben dennoch instabilere Systeme, mehr Incidents und längere Reaktionszeiten. Der Grund liegt selten im Mangel an Tools, sondern in fehlender Integration. Resilienz entsteht nur durch integrierte Sicher­heits­schich­ten, nicht durch Produktkäufe.

Wenn zusätzliche Schutzmaßnahmen Instabilität erzeugen

In vielen Organisationen wächst der Security-Stack kontinuierlich. Neue Bedrohungen führen zu neuen Schutzmechanismen, neue regulatorische Anforderungen zu weiteren Kontrollen. Paradoxerweise nimmt mit jeder zusätzlichen Sicherheitsschicht nicht automatisch die Stabilität zu. Stattdessen steigen Komplexität, Abstimmungsaufwand und Fehlerrisiken im laufenden Betrieb.

Dieses Phänomen ist kein Einzelfall, sondern ein strukturelles Problem moderner IT- und Security-Architekturen. Sicherheit wird häufig als additive Aufgabe verstanden. Bestehende Maßnahmen werden ergänzt, ohne das Gesamtsystem neu zu betrachten. Das Resultat sind fragmentierte Architekturen, die im Ernstfall schwer steuerbar sind.

Umfrage von OTRS

Security Tools sind zu komplex und schlecht integrierbar

Ein etabliertes Prinzip in einem neuen Kontext

Das Prinzip von Layered Security oder Defense in Depth ist seit Jahrzehnten etabliert. Die Grundidee besteht darin, Angriffe nicht an einer einzigen Stelle abzuwehren, sondern über mehrere Schutzebenen hinweg zu verteilen. Dieses Vorgehen gilt seit Langem als Best Practice in der IT-Sicherheit, unter anderem beschrieben durch das Open Web Application Security Project OWASP.

Was sich jedoch grundlegend verändert hat, ist der Kontext, in dem dieses Prinzip heute umgesetzt werden muss. Anwendungen sind komplexer, stärker verteilt und enger mit externen Systemen verzahnt als je zuvor. Gleichzeitig agieren Angreifer zunehmend automatisiert und skalierbar.

Automatisierte Angriffe treffen auf verteilte Anwendungen

Die Angriffslandschaft hat sich in den vergangenen Jahren deutlich verschoben. Automatisierte Angriffe, Bot-Netze und mehrstufige Angriffsketten spielen eine immer größere Rolle. Klassische volumetrische Angriffe werden zunehmend durch gezielte, adaptive Methoden ergänzt.

Darauf weist auch die EU-Agentur für Cybersicherheit (ENISA) in ihrem aktuellen Threat Landscape Report 2025 hin. Der Bericht zeigt, dass Angriffe auf Verfügbarkeit, komplexe DDoS-Kampagnen sowie das Ausnutzen technischer Abhängigkeiten weiter an Bedeutung gewinnen.

Parallel dazu werden Anwendungen selbst immer komplexer. Microservices, Multi-Cloud-Architekturen, Third-Party-Abhängigkeiten und kurze Release-Zyklen gehören heute zum Standard. APIs sind nicht mehr nur interne Schnittstellen, sondern das Rückgrat vieler digitaler Geschäftsmodelle und damit ein zentrales Angriffsziel.

ENISA Threat Landscape 2025

Hacktivismus wird zur Gefahr für Europas Infrastruktur

Sicherheitsarchitekturen ohne gemeinsamen Kontext

In dieser Gemengelage entstehen Sicherheitsarchitekturen häufig historisch und funktional getrennt. DDoS-Schutz, Web Application Firewalls, API-Security, Bot-Abwehr oder Client-Side-Schutz werden eingeführt, um konkrete Einzelprobleme zu lösen. Was dabei häufig fehlt, ist ein gemeinsamer Kontext über alle Schutzschichten hinweg.

In der Praxis arbeiten viele dieser Mechanismen isoliert. Sie verfügen über eigene Regelwerke, eigene Dashboards und eigene Alarmierungen. Signale werden nicht oder nur unzureichend geteilt. Die Folge sind inkonsistente Policies, steigende Alarmflut und Verzögerungen in der Incident Response, weil Zusammenhänge erst manuell hergestellt werden müssen.

Im schlimmsten Fall entsteht eine trügerische Sicherheit. Formal sind alle notwendigen Komponenten vorhanden, operativ fehlt jedoch die Fähigkeit, Angriffe sauber einzuordnen und kontrolliert zu reagieren.

Warum Resilienz kein Produktmerkmal ist

Der zentrale Denkfehler vieler Security-Strategien liegt darin, Defense in Depth als Einkaufsliste zu betrachten. Tatsächlich handelt es sich um eine Systemfrage. Entscheidend ist nicht die Anzahl der Schutzschichten, sondern ihr Zusammenspiel.

Resilienz entsteht erst dann, wenn Sicherheitsmechanismen Informationen austauschen, auf konsistente Regeln zurückgreifen und nahtlos in bestehende Deployment-, Monitoring- und Incident-Response-Prozesse eingebunden sind. Erst wenn Ereignisse auf einer Ebene automatisch Auswirkungen auf andere Ebenen haben, entsteht ein lernfähiges Gesamtsystem. Fachanalysen zu geschichteter Sicherheit betonen, dass Schutzmechanismen nur dann wirksam sind, wenn sie integriert betrieben werden und sich in bestehende Abläufe einfügen.

Cybersecurity Report 2026: KI beschleunigt Angriffe und Abwehr

Warum Resilienz 2026 wichtiger wird als reine Prävention

Operative Realität statt reiner Präventionslogik

Auffällig ist, dass viele Sicherheitskonzepte stark auf Prävention ausgerichtet sind, den laufenden Betrieb jedoch nur unzureichend berücksichtigen. Fragen nach Zuständigkeiten, Regeländerungen, Tests vor dem Rollout oder dem Verhalten unter Last werden häufig erst im Incident gestellt und damit zu spät.

Zugleich zeigt sich, dass Sicherheitsmaßnahmen ihre Wirkung nur dann entfalten, wenn sie als Teil des laufenden Betriebs gedacht sind. Schutzmechanismen müssen aufeinander abgestimmt sein, Informationen teilen und sich konsistent in bestehende Workflows integrieren, statt isoliert nebeneinander zu stehen.

Incident Response unter fragmentierten Bedingungen

Ein besonders kritischer Effekt fragmentierter Sicherheitsarchitekturen zeigt sich im Incident Response. Wenn einzelne Schutzmechanismen unabhängig voneinander arbeiten und keinen gemeinsamen Kontext teilen, wird die Reaktion auf Sicherheitsvorfälle unnötig verkompliziert. Hinweise auf einen Angriff liegen dann verteilt über mehrere Systeme vor und müssen erst zeitaufwendig korreliert werden, bevor fundierte Entscheidungen getroffen werden können.

Gerade unter Zeitdruck führt diese fehlende Integration dazu, dass Maßnahmen verzögert oder auf unvollständiger Informationsbasis ergriffen werden. Statt klarer Priorisierung entsteht Unsicherheit darüber, welche Signale tatsächlich relevant sind und welche lediglich Begleitrauschen darstellen. Analysen zu geschichteter Sicherheit zeigen, dass Incident Response nur dann effektiv funktioniert, wenn Sicherheitsmechanismen Informationen austauschen und in bestehende operative Abläufe integriert sind.

SolarWinds IT-Trends-Report 2025

So erkennen IT-Teams ihre wahren Resilienz-Lücken

Resilienz als Architektur- und Betriebsaufgabe

Layered Security bleibt ein sinnvolles Prinzip, scheitert in der Praxis jedoch häufig an der operativen Umsetzung. Zusätzliche Schutzschichten erhöhen nicht automatisch die Sicherheit, sondern können neue Abhängigkeiten und Risiken schaffen, wenn sie nicht als Teil eines gemeinsamen Systems betrieben werden.

Mit weiter zunehmender Automatisierung auf Angreiferseite und immer komplexeren Anwendungslandschaften wird diese Systemperspektive unverzichtbar. Künftige Security-Strategien werden sich daran messen lassen müssen, wie konsistent, transparent und reaktionsfähig sie im Betrieb sind. Resilienz wird damit weniger zur Frage einzelner Technologien als zu einer Frage von Architektur, Prozessen und Verantwortung.

Über den Autor: Armin Recha ist Regional Vice President DACH bei Fastly.

Tool-Overload überfordert SOC-Analysten

Zeitfaktor entscheidet über Schadens­begrenzung bei Cyberangriffen

(ID:50803128)