Was macht ein SOC Tier 1 Analyst wirklich den ganzen Tag?

Stellenausschreibungen für SOC Tier 1 Analyst sind absichtlich vage, weil die Rolle größtenteils repetitive Triage ist, und Unternehmen wissen, dass "Alerts überwachen und Incidents untersuchen" besser klingt als die Realität. So sieht der Job von innen aus — Ticket für Ticket.

Die Queue wird niemals wirklich leer

Du fängst eine Schicht an und es gibt eine Ticket-Queue, normalerweise generiert von einem SIEM wie Splunk, Microsoft Sentinel oder QRadar. Jedes Ticket ist ein Alert: ein Login aus einem ungewöhnlichen Land, ein Spike im ausgehenden Traffic, eine Datei, die eine YARA-Rule matched, ein User-Account fünfmal in zehn Minuten gesperrt. Ein beschäftigtes SOC generiert hunderte davon täglich, und die meisten sind zunächst Tier 1s Problem.

Du öffnest ein Ticket. Es zeigt dir einen Timestamp, eine Source IP, möglicherweise einen Username und die Rule, die ausgelöst wurde. Deine Aufgabe ist, eine Frage zu beantworten: ist das etwas oder nichts? Punkt. Du reparierst noch nichts — du entscheidest, ob das mehr Aufmerksamkeit verdient.

Triage ist zu 90% Kontext sammeln

Sagen wir, der Alert ist "impossible travel": ein User hat sich in Chicago angemeldet und dann 20 Minuten später in Frankfurt. Bevor du etwas entscheidest, holst du dir Kontext:

• Überprüfe das normale Login-Muster des Users in dem SIEM — reisen sie für die Arbeit, nutzen ein VPN, haben einen Laptop, der Geolocation falsch meldet?
• Überprüfe, ob MFA bei beiden Logins erfüllt wurde oder ob der zweite ein gecachtes Token nutzte.
• Schlage die Source IP in etwas wie VirusTotal oder AbuseIPDB nach — ist es ein bekannter Tor-Exit-Node, ein VPN-Provider, ein Residential ISP?
• Frag den User direkt, wenn dein SOC-Prozess das erlaubt — eine Slack-Nachricht wie "hey, hast du dich um 2pm von Deutschland aus angemeldet?" löst die Hälfte dieser Tickets mit einer Antwort.

Meistens ist es ein VPN-Client, der Server wechselt, oder ein Telefon, das sich über LTE an einem komischen Ort synchronisiert. Du schreibst auf, was du gefunden hast, markierst es als False Positive und schließt das Ticket. Das ist der Job, 30–60 Mal pro Schicht wiederholt, je nach Volume deines SOC und deiner Geschwindigkeit.

Zu wissen, wann man eskaliert — und es so aufzuschreiben, dass Tier 2 deine Arbeit nicht nochmal machen muss

Die echte Fähigkeit ist nicht, Malware zu erkennen. Es ist zu wissen, wann etwas nicht genug aufgeht, um zu eskalieren, und die Eskalation so zu schreiben, dass Tier 2 sie aufgreifen kann, ohne deine Triage nochmal von vorne zu machen. Eine schlechte Eskalation sagt "verdächtiger Login, bitte untersuchen." Eine gute sagt:

User: jsmith@company.com
Alert: Impossible travel (Chicago -> Frankfurt, 22 Min auseinander)
MFA: Bei beiden Logins erfüllt über Push-Benachrichtigung
Source IP (Frankfurt): 185.220.101.x — stimmt mit bekannter Tor-Exit-Node-Liste überein (AbuseIPDB Score 94)
User-Antwort: Verneint Reisen oder VPN-Nutzung; meldet keine MFA-Abfrage für zweiten Login (mögliche Push-Fatigue?)
Empfehlung: Eskalieren — mögliche Account-Kompromittierung über MFA-Push-Spam. Password-Reset und Session-Sperrung empfohlen.

Diese Dokumentation brauchte vielleicht acht Minuten, aber spart Tier 2 zwanzig. Tickets wie dieses — wo der User die Aktivität verneint und die IP flagged ist — sind die, die wirklich wichtig sind, und das sind vielleicht 5% deiner Queue.

Die Tools, die du jede Schicht anfasst

Jenseits des SIEM erwarte, täglich in einer Handvoll Tools zu leben: eine EDR-Konsole (CrowdStrike Falcon, SentinelOne, Defender for Endpoint) um Process Trees zu überprüfen und Hosts isolieren zu können, wenn befohlen, ein Ticketing-System (ServiceNow, Jira) um deine Arbeit zu verfolgen, Threat-Intel-Lookups (VirusTotal, AbuseIPDB, urlscan.io) für schnelle IOC-Checks, und oft ein Runbook oder Playbook-Dokument, das dir genau sagt, welche Schritte du für jeden Alert-Typ folgen sollst. Tier 1 Arbeit ist absichtlich stark Playbook-getrieben — Konsistenz zählt auf dieser Ebene mehr als Improvisation.

Warum die Wiederholung tatsächlich das Training ist

Der Grund, warum es Tier 1 als eigene Rolle gibt, statt jeden Alert direkt an Senior Analyst zu werfen, ist Pattern Recognition durch Volume. Nach ein paar hundert Impossible-Travel-Tickets erkennst du die Form eines echten gegenüber eines routinemäßigen VPN-Wechsels, bevor du überhaupt fertig bist, Kontext zu ziehen. Diesen Instinkt bekommst du nicht aus einem Kurs — er kommt davon, die langweilige Version des Jobs lange genug zu machen, dass der seltene echte Incident tatsächlich auffällt.

Wenn du einen Weg ins Blue-Team-Arbeit cartest, hat Korra Studio Segmente zu SIEM-Query-Grundlagen, Phishing-Triage-Workflows und was Tier 1 von Tier 2 Verantwortungen in der Praxis unterscheidet.