IT-Sicherheit
SIEM
Ein SIEM (Security Information and Event Management) sammelt, korreliert und wertet sicherheitsrelevante Logdaten zentral aus.
- Zentrale Sicht & Korrelation
- Audit-Nachweis (NIS2/ISO)
- Alerting & Dashboards
- Open Source möglich (Wazuh)
Ein SIEM (Security Information and Event Management) führt sicherheitsrelevante Logs aus dem ganzen Haus zusammen, erkennt auffällige Muster und macht Vorfälle nachweisbar. Mit NIS2 wird es für viele Unternehmen zum Pflichtbaustein.
Dieser Artikel erklärt, wie ein SIEM arbeitet, wie es sich von SOAR und XDR abgrenzt, welche Lösungen es gibt und warum ein SIEM ohne gepflegten Betrieb nur Daten statt Sicherheit erzeugt.
1. Was ein SIEM ist
Ein SIEM sammelt Ereignis- und Logdaten aus vielen Quellen, bringt sie in ein einheitliches Format, korreliert sie über Regeln und Verhaltensmuster und schlägt Alarm, wenn etwas auffällig ist. Gleichzeitig bewahrt es die Daten auf, damit Vorfälle später nachvollziehbar und auditierbar sind.
Der Begriff verbindet zwei ältere Kategorien: SIM (Sammeln, Aufbewahren, Auswerten von Logs) und SEM (Echtzeit-Korrelation und Alarmierung). Zusammen entsteht eine zentrale Sicht auf die Sicherheitslage.
2. Wie ein SIEM arbeitet
Ein SIEM ist im Kern eine Pipeline: Logs aus Servern, Netzwerk, Firewalls, Endpoints und Anwendungen werden erfasst und normalisiert, dann korreliert (per Regeln und zunehmend per Verhaltensanalyse/UEBA), woraus priorisierte Alerts und Dashboards entstehen. Die Aufbewahrung liefert die Nachweise für Forensik und Compliance.
3. SIEM, SOAR, XDR und das SOC
Diese Begriffe werden oft verwechselt, meinen aber Unterschiedliches:
- SIEM sammelt, korreliert und bewahrt auf. Es erkennt und meldet, reagiert aber nicht selbst.
- SOAR ergänzt das SIEM um automatisierte Reaktions-Playbooks (z. B. Sperren, Tickets, Quarantäne).
- XDR ist endpoint-/herstellerzentriert und bringt eigene Sensoren mit; ein SIEM nimmt herstellerunabhängig beliebige Quellen auf.
- SOC ist kein Produkt, sondern das Team, das die Alerts bewertet und reagiert. Ohne SOC-Funktion bleibt ein SIEM ein Alarm-Generator.
4. Lösungen
SIEM gibt es quelloffen und kommerziell. Im Open-Source-Umfeld ist Wazuh verbreitet (oft als SIEM und XDR positioniert, mit File Integrity Monitoring und Compliance-Reporting); der zugehörige Indexer basiert auf OpenSearch. Bekannte kommerzielle Plattformen sind Splunk, Microsoft Sentinel und IBM QRadar.
Entscheidend ist nicht das Produktlabel, sondern dass die Logquellen passen, die Aufbewahrung zur Nachweispflicht passt und das Werkzeug zum Betriebsmodell passt. Die eigentliche Arbeit liegt ohnehin in den Use Cases und im laufenden Betrieb.
5. Datenquellen, Detection Engineering und Aufbewahrung
Der Wert eines SIEM steht und fällt mit den angebundenen Datenquellen und ihrer Normalisierung: Erst wenn Syslog, Windows-Event-Logs, Firewall-, Cloud- und EDR-Daten in ein einheitliches Feldschema geparst sind, lassen sich Quellen übergreifend korrelieren. Detection Engineering ist laufende Arbeit, keine Einmal-Einrichtung: Erkennungsregeln werden an MITRE ATT&CK ausgerichtet, auf die eigene Bedrohungslage zugeschnitten und fortlaufend nachgezogen; sinnvoll ist eine Priorisierung relevanter Techniken statt des Anspruchs auf Vollständigkeit.
Die Aufbewahrung ist der größte Kostenhebel. Üblich ist ein Tiering in Hot/Warm/Cold (im Wazuh-/OpenSearch-Stack über Index State Management), das aktuelle Daten schnell durchsuchbar hält und ältere günstiger ablegt. Das Speichern aller Rohereignisse statt nur der Alarme treibt den Bedarf stark, weshalb es eine bewusste Entscheidung sein sollte.
6. SIEM, NIS2 und ISO 27001
Mit NIS2 wird zentrales Logging und Monitoring für viele Unternehmen verpflichtend: Es ist eine Risikomanagement-Maßnahme nach Artikel 21 NIS2 bzw. § 30 BSIG und die technische Grundlage, um die gestuften Meldepflichten (geregelt in Artikel 23 NIS2 bzw. § 32 BSIG: Frühwarnung 24 Stunden, Meldung 72 Stunden, Abschlussbericht ein Monat) überhaupt erfüllen zu können.
Auch ISO 27001:2022 fordert in A.8.15 (Logging) und A.8.16 (Überwachung) genau die Funktionen, die ein SIEM liefert. Ein SIEM erfüllt NIS2 nicht allein, ist aber ein zentraler Baustein für Nachweis und Erkennung. Mehr dazu auf unserer Seite zu NIS2 & Zertifizierung.
7. Was ein SIEM im Betrieb verlangt
Ein SIEM aus dem Karton trifft jede Umgebung falsch. Ohne Tuning (Whitelisting legitimer Prozesse, Schwellenwerte, Asset-Klassifizierung) erzeugt es eine Flut von Fehlalarmen, in der echte Vorfälle untergehen. Wert entsteht durch gepflegte Use Cases und jemanden, der die Meldungen bewertet.
Ein SIEM ohne gepflegte Regeln und ohne SOC-Funktion erzeugt nur Daten statt Sicherheit. Der eigentliche Aufwand liegt im Betrieb, nicht in der Installation.
Häufige Fragen zu SIEM
Ja. Managed- oder Co-Managed-Modelle sind gerade im Mittelstand verbreitet: Das SIEM bleibt im eigenen Haus, Aufbau, Tuning und Schichtbetrieb übernimmt ein Partner.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
SIEM im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.