MTTD / MTTR Mean Time to Detect / Recover.

Zwei Kennzahlen, eine Zeitleiste

MTTD und MTTR beschreiben zwei aufeinanderfolgende Abschnitte derselben Vorfallzeitleiste. MTTD umfasst die stille Phase zwischen dem Moment, in dem ein Angreifer erstmals handelt, und dem Moment, in dem Ihr Team erkennt, dass etwas nicht stimmt. MTTR umfasst alles nach diesem Punkt, von der Triage über die Eindämmung und Wiederherstellung bis zu einer bestätigten Rückkehr zum Normalzustand.

Sie gemeinsam zu lesen ist genau der Sinn: ein niedriger MTTD bei hohem MTTR bedeutet, dass Sie Bedrohungen schnell erkennen, aber Schwierigkeiten haben, darauf zu reagieren, während ein hoher MTTD bei niedrigem MTTR bedeutet, dass Sie schnell reagieren, aber erst, wenn der Schaden bereits entstanden ist. Keine der Zahlen ist für sich genommen nützlich, und die eine auf Kosten der anderen zu verbessern hilft selten.

In der Praxis sind dies die Spitzenkennzahlen, die ein SOC an die Geschäftsleitung meldet, weil sie technische Aktivität in eine Sprache übersetzen, die das Geschäft versteht: Wie lange waren wir exponiert, und wie lange haben wir gebraucht, um die Tür zu schließen. Es sind auch die Kennzahlen, um die Aufsichtsbehörden und Rahmenwerke kreisen, selbst wenn sie andere Worte verwenden. Eine Frist zur Meldung einer Verletzung ist im Wesentlichen eine gesetzliche Obergrenze für einen Teil Ihres MTTR, und die Pflicht, Vorfälle zeitnah zu erkennen, ist die Pflicht, den MTTD niedrig zu halten.

Was diese Zahlen tatsächlich bewegt

MTTD wird durch Sichtbarkeit und Feinabstimmung bestimmt. Sie können nicht erkennen, was Sie nicht erfassen, daher ist die Protokollabdeckung über Endpunkte, Netzwerk, Identität und Cloud die Grundlage. Darüber hinaus muss der Erkennungsinhalt abgestimmt werden: zu locker und die Analysten ertrinken in Fehlalarmen und übersehen das echte Signal, zu streng und echte Eindringversuche rutschen durch. Deshalb fließen ein SIEM, eine gute Detection Engineering und Threat Intelligence direkt in den MTTD ein.

MTTR wird durch Prozess und Befugnis bestimmt: dokumentierte Playbooks, die Befugnis, einen Host zu isolieren oder ein Konto zu deaktivieren, ohne auf ein Gremium zu warten, getestete Backups und eingeübte Kommunikation. Die klassische Verbesserung ist hier die Automatisierung über ein SOAR, das die durch manuelle Übergaben verlorenen Minuten beseitigt.

Wie die Kennzahlen in Standards und Benchmarks auftauchen

Rahmenwerke schreiben in der Regel keinen bestimmten MTTD- oder MTTR-Zielwert vor, weil die richtige Zahl von der Organisation und der Bedrohung abhängt. Was sie verlangen, ist die Fähigkeit und die Messung. Die ISO/IEC 27035 legt den Lebenszyklus des Vorfallmanagements fest, den diese Kennzahlen quantifizieren. Die NIST-Leitlinien zur Vorfallbehandlung gliedern Erkennung, Analyse, Eindämmung, Beseitigung und Wiederherstellung in eigenständige Phasen, was genau die Struktur ist, auf der MTTD und MTTR aufsetzen.

Die ENISA und nationale Behörden wie die ANSSI vermitteln dieselbe operative Botschaft: früh erkennen, schnell reagieren und in der Lage sein, dies nachzuweisen. Regulatorische Regime fügen harte externe Fristen hinzu, etwa die Meldefenster für Verletzungen nach der DSGVO und die Meldepflichten für Vorfälle nach NIS2 und DORA, die einen Teil Ihrer Reaktionszeit von einem Leistungsziel in eine Compliance-Anforderung verwandeln.

Benchmarks für beide Kennzahlen liegen branchenweit tendenziell unangenehm hoch, oft im Bereich von Tagen oder Wochen für die Erkennung, während reife Programme Stunden anstreben. Einem veröffentlichten Benchmark hinterherzujagen ist jedoch der falsche Instinkt. Der Wert von MTTD und MTTR liegt in den Trendlinien, die Ihnen gehören: messen Sie sie konsequent, beobachten Sie die Richtung über Quartale hinweg und verknüpfen Sie die Bewegung mit konkreten Investitionen in Sichtbarkeit, Feinabstimmung und Automatisierung. Eine ehrlich definierte und stetig sinkende Zahl ist weit mehr wert als ein schmeichelhafter Einzelwert.