Die Bedrohungslage verschärft sich, doch viele Sicherheitsbudgets wachsen nicht im gleichen Tempo. Angriffe laufen automatisiert und rund um die Uhr, während gerade kleinere und mittlere Organisationen vor einer unbequemen Rechnung stehen: Eine professionelle Erkennungs- und Reaktionsfähigkeit gilt als unverzichtbar - und zugleich als zu teuer. Lizenzkosten, die pro Event oder pro Datenmenge abgerechnet werden, machen ausgerechnet die gründliche Auswertung zum Kostentreiber: Wer mehr protokolliert, zahlt mehr. Sicherheit gerät so in einen Zielkonflikt mit dem Budget.
Diesen Zielkonflikt löst ZephSense von inducio auf. Die Plattform folgt einer einfachen Leitidee: Sicherheit muss nicht teuer sein. Die Plattform ist quelloffen und fair lizenziert: pro Bediener (Seat) und pro Mandant (Tenant), der erste Seat ist gratis. Der Einstieg beginnt bei 8 € im Monat - und Service buchen Sie genau dann hinzu, wenn Sie ihn brauchen. Das Leitmotiv bleibt dabei durchgängig: Erkennen - Reagieren - Steuern - Nachweisen (Detect - Respond - Govern - Prove).
Was CTEM ist - und warum das mehr als ein SIEM bedeutet
ZephSense ist eine Continuous-Threat-Exposure-Management- (CTEM) und Security-Operations-/SOC-Plattform. CTEM beschreibt einen fortlaufenden Prozess, der nicht punktuell, sondern kontinuierlich beantwortet: Wo sind wir angreifbar, was tun wir dagegen, und können wir das belegen?
Ein klassisches SIEM sammelt und korreliert Logs - das ist wertvoll, aber nur ein Ausschnitt. ZephSense führt mehrere Disziplinen in einer einzigen Oberfläche zusammen, die in vielen Organisationen historisch getrennt betrieben werden:
- EDR/HIDS - host-basierte Erkennung und Forensik auf Servern und Endpoints.
- NDR und NIDS - netzwerk- und signaturbasierte Angriffserkennung.
- SIEM-Korrelation - zentrale Auswertung sicherheitsrelevanter Ereignisse.
- SOAR und IR - automatisierte Reaktion und strukturierte Incident-Response-Workflows.
- GRC und Risk - Compliance-Mapping, Risikosteuerung und prüffähige Nachweisführung.
Statt drei bis fünf Einzelwerkzeuge über manuelle Übergaben zu verbinden, entsteht ein durchgängiger Arbeitsablauf. BSI-SzA und NIS2 sind dabei ein wichtiger Compliance-Aspekt - aber eben einer von mehreren. Genauso lassen sich ISO 27001, NIST, PCI DSS, HIPAA und die DSGVO abbilden.
Fair lizenziert: pro Seat und Tenant statt pro Event
ZephSense wird wie COD by extocode lizenziert: pro Seat (benannter Bediener, 47,50 € im Monat, der erste Seat gratis) und pro Tenant (Mandant, Self Hosted ab 8 € im Monat). Damit bleibt der Preis planbar und folgt Ihrer Organisation, nicht Ihrem Datenvolumen. Es gibt kein per-Event-Licensing: Die Kosten steigen nicht mit jedem zusätzlichen Log-Ereignis, sodass gründliche Auswertung nicht bestraft wird. Der kleinste Einstieg liegt bei 8 € im Monat.
Ehrlich bleibt dabei der Vorbehalt: Einzelne Premium-Erweiterungen und Drittlizenzen sind optional kostenpflichtig - etwa Premium-Regelsätze, sehr hohe Threat-Intelligence-API-Volumina oder kommerzielle Upgrade- und Support-Pfade einzelner Komponenten. Der Kern der Plattform bleibt quelloffen, ohne Vendor-Lock-in.
Wer nicht selbst aufsetzen möchte, bekommt den Einstieg schlüsselfertig. Optional liefert inducio die Appliance AIMSTRONG inklusive Installation, Hardening und Inbetriebnahme - ein lauffähiges SOC bzw. CTEM-System „out of the box". Die Leistungsabstufung erfolgt über CPU, RAM und Netzwerk-Ports, je nach Größe der Umgebung. Ein Hinweis aus Gründen der Korrektheit: AIMSTRONG ist ein Markenname - die Hardware enthält keine GPU- oder AI-Beschleuniger, und wir versprechen keine. Für größere Installationen stehen die Serverplattformen AIMcompute auf Anfrage bereit.
Als Orientierung - ausschließlich als „ab"-Richtwerte, netto, final nach technischem Scoping:
- Einstieg/Standard: AIMSTRONG-Appliance mit 64 GB RAM und 1 TB NVMe ab ca. 3.200 €
- Höhere und HA-Stufen darüber, High-End/KRITIS bis ca. 11.370 €
- Onboarding und Installation: 290 €/Stunde, typisch ab ca. 6.960 € (24 Stunden)
Konkrete Modell-Listpreise nennen wir nicht öffentlich, sondern im individuellen Angebot. Alle aktuellen Richtwerte finden Sie auf der Preisseite.
Wie ZephSense erkennt
Die Erkennung folgt einer dreischichtigen Methodik aus statischem Wissen, Verhaltensanalyse und Korrelation.
Signals: priorisierter Alarm-Feed über Perimeter, NDR und EDR (Beispielansicht, vertrauliche Daten verschleiert).
Statische Intelligence. In Echtzeit wertet die Plattform 3.106 Detection-Regeln und 48.764 netzwerkbasierte Signaturen (inline) aus. Hinzu kommen über 160.000 Threat-Intelligence-IOCs - rund 110.969 Domains, rund 52.769 IPs sowie Datei-Hashes - gespeist aus mehr als 30 kuratierten Threat-Feeds. Diese werden stündlich synchronisiert und lokal gecacht, der Lookup erfolgt in unter einer Millisekunde und damit auch im abgeschotteten Betrieb, ohne API-Aufrufe zur Laufzeit.
Behavioral Analysis. Statt nur bekannte Muster abzugleichen, lernt die Plattform pro Host und pro Prozess, was normal ist, und alarmiert erst bei signifikanter Abweichung. Ein fünfstufiges Prozess-Trust-Modell bewertet Prozessname und LOLBAS-Status, Signatur, Signer, Hash-Baseline und Ausführungspfad und mündet in vier abgestufte Aktionen: ALLOW, WATCH, KILL oder CONTAIN. Für den Missbrauch legitimer Systemwerkzeuge werden 232 LOLBAS-Binaries, 8 Parent-Child-Regeln und 21 Command-Line-Angriffsmuster überwacht.
Correlation Engine. Erst die Verbindung mehrerer Evidenzquellen macht aus einem Verdacht eine bestätigte Bedrohung - etwa wenn DNS-Anfrage, passender Netzwerk-Flow und ein IOC-Treffer zusammen einen Command-and-Control-Kanal ergeben. Die DNS-Intelligence läuft in sechs Phasen, pro Endpoint stehen acht forensische Artefakttypen bereit. Das Ergebnis ist kein größerer Alarmberg, sondern ein präziserer.
Wie ZephSense reagiert
Erkennung ohne Reaktion bleibt folgenlos. ZephSense automatisiert die zeitkritischen ersten Schritte direkt am Ort des Geschehens: ein On-Endpoint-Kill in unter 100 Millisekunden, Host-Quarantäne in unter 5 Sekunden, ein Firewall-Block in unter 30 Sekunden, die forensische Sammlung in unter 60 Sekunden und ein Fleet-Scan in unter 5 Minuten.
Aus vier Triggern erzeugt die Plattform automatisch einen Incident - inklusive betroffener Assets, MITRE-ATT&CK-Mapping und gesicherter Evidenz. Für die häufigsten Szenarien stehen fünf IR-Playbooks bereit (Ransomware, Credential-Theft, Malware, Lateral Movement, Data-Exfiltration), und jeder Vorfall durchläuft einen achtphasigen IR-Lebenszyklus. Als operative Zielwerte gelten eine MTTD unter 5 Minuten, eine MTTC unter 15 Minuten und eine MTTR unter 4 Stunden - als Zielgrößen, nicht als Garantien. Für die Meldepflicht lassen sich BSI-24h- und 72h-Meldeberichte auf Anforderung erzeugen.
Wie ZephSense nachweist
Hier liegt eine der größten Stärken der Plattform. ZephSense bildet rund 274 Compliance-Controls über sechs Frameworks ab; die Counts sind als indikative Richtwerte zu verstehen:
- BSI OH SzA - 45 Controls
- ISO 27001:2022 - 93 Controls
- NIS2 - 21 Artikel
- NIST 800-53 - 84 Controls
- PCI DSS 4.0 - 12 Controls
- HIPAA - 19 Controls
Ergänzend lässt sich die DSGVO abbilden. Jede Detection-Regel ist mit den zugehörigen Control-IDs getaggt - daraus entstehen ein Live-Coverage-Report und ein exportierbares Evidence-Pack. Das integrierte GRC-Modul liefert ein Gap-Assessment per Radar-Chart, das Risk-Register arbeitet mit einer 5×5-Matrix, 15 Templates und Multi-Framework-Mapping. Über allem steht ein Security-Maturity-Score auf einer Skala von 0 bis 100 - eine einzige Kennzahl für Vorstand und Auditoren. Hinzu kommen 85 automatisierte Tests sowie ein Hardening-Modul mit 12 Policies und rund 18.000 Checks.
Service in zwei Bausteinen: Plattform-Support und SOC
Den passenden Betriebsgrad wählen Sie nach Bedarf. Der Plattform-Service deckt Wartung, Updates und Support mit garantierten Reaktionszeiten ab - in vier Paketen von Basic (9×5, ab 190 €/Monat) bis Elite (24/7, ab 2.490 €/Monat), jeweils pro Account. Den SOC-Service wählen Sie über die Reaktionszeit: vom Co-Managed-Einstieg mit Reaktion am nächsten Werktag (8×5, ab 990 €/Monat) bis zum MDR-Betrieb mit 15 Minuten Reaktionszeit (24×7, ab 6.950 €/Monat). Ab 4 Stunden Reaktionszeit ist die Abdeckung immer 24×7. Im Co-Managed-Modell reagiert Ihr Team, im MDR-Modell reagiert inducio - rechtebeschränkt, nach abgestimmten Runbooks und mit SLA.
Die monatliche Grundgebühr deckt bis zu 50 Endpoints, darüber gilt eine Staffelung ab 8 €/Endpoint/Monat. Alle Stufen und Richtwerte stehen auf der Preisseite; die finale Einordnung erfolgt nach technischem Scoping im Angebot.
Betrieb: souverän, skalierbar, DACH-nativ
ZephSense lässt sich on-premises, in einer Private Cloud oder vollständig managed durch inducio betreiben. Die Plattform ist Air-Gap-fähig, EU- und DACH-nativ und auf Datensouveränität ausgelegt - die Daten bleiben beim Kunden. Sie skaliert von rund 50 bis über 5.000 Endpoints, ohne per-Event-Licensing. Das Onboarding ist auf Tempo ausgelegt: an Tag 1 die Agents, an Tag 3 die ersten Detections live, in Woche 1 der erste Report.
Aus produktiven Referenzumgebungen werden Verbesserungen berichtet - als Erfahrungswerte, nicht als zugesicherte Eigenschaften: eine Reduktion von False-Positive-Alarmen um über 90 Prozent binnen 30 Tagen, um 60 bis 80 Prozent kürzere Reaktionszeiten, eine True-Positive-Rate von rund 83 Prozent sowie eine Audit-Vorbereitung, die von Wochen auf Stunden schrumpft. Die tatsächlichen Werte hängen von Umgebung, Konfiguration und Reifegrad ab.
Abgrenzung: mehr als SIEM, EDR oder ein reines CTEM-Tool
Ein klassisches SIEM sammelt und korreliert Logs, kennt aber weder das Normalverhalten einzelner Hosts noch reagiert es selbstständig, und Compliance bleibt eine getrennte Welt. Eine reine EDR-Lösung sichert Endpoints, sieht den Netzwerkkontext aber nur eingeschränkt. Typische CTEM-Werkzeuge bewerten Exposure, vereinen aber Reaktion und Audit-Nachweis selten in derselben Oberfläche. ZephSense verbindet all das - gelernte Baselines, native Threat Intelligence, On-Endpoint-Schutz, automatische Incidents mit Playbooks, integriertes Compliance-Mapping und einen Maturity-Score - in einer Plattform, ohne Vendor-Lock-in.
Fazit
Sicherheit scheitert zu oft am Budget, nicht am Wissen. ZephSense dreht diese Logik um: Die Plattform ist quelloffen und wird fair pro Seat und Tenant lizenziert, der Einstieg beginnt bei 8 € im Monat, und es gibt kein per-Event-Licensing. Optional ergänzen Hardware, Onboarding, Plattform-Service und der SOC-Service nach Reaktionszeit den Betrieb - Sie buchen Service genau dann, wenn Sie ihn brauchen. Erkennen, Reagieren, Steuern und Nachweisen laufen in einer Oberfläche zusammen, und der Sicherheitsreifegrad wird zu einer Zahl, die sich gegenüber Vorstand und Auditoren vertreten lässt.
Jetzt starten: Nehmen Sie die Plattform selbst in Betrieb - oder lassen Sie sich von inducio einen schlüsselfertigen Einstieg einrichten. Schreiben Sie an vertrieb@inducio.de oder nutzen Sie das Kontaktformular.