Was ist ein SIEM? Erklärung, Nutzen und Einsatz

Ratgeber für Unternehmen mit 3-200 Mitarbeitern

Ein SIEM (Security Information and Event Management) sammelt Protokolldaten aus allen IT-Systemen - Servern, Firewalls, Clients, Cloud-Diensten - an einer zentralen Stelle, wertet sie in Echtzeit aus und schlägt Alarm, wenn Muster auf einen Angriff hindeuten. Es ist das Frühwarnsystem der IT: Einzelne Log-Einträge sind harmlos, ein SIEM erkennt die verdächtige Kette dahinter. Ein SIEM liefert die Technik; ein SOC sind die Menschen, die auf die Alarme reagieren.

Das Problem, das ein SIEM löst

Jedes System schreibt Protokolle: Wer hat sich wann angemeldet, welche Verbindung wurde aufgebaut, welche Datei geöffnet. Einzeln sind diese Einträge bedeutungslos - und sie liegen verstreut auf Dutzenden Geräten. Ein Angreifer nutzt genau das: Sein Einbruch besteht aus vielen kleinen, für sich unauffälligen Schritten auf verschiedenen Systemen.

Ein SIEM führt all diese Logs zusammen und sucht nach Zusammenhängen. Ein fehlgeschlagener Login ist normal - hunderte in einer Minute, gefolgt von einem erfolgreichen und einem Datenabfluss, sind es nicht.

Wie ein SIEM funktioniert

1. Sammeln: Logs aus allen Quellen werden zentral eingesammelt (Server, Firewall, VPN, Microsoft 365, Endgeräte).
2. Normalisieren: Unterschiedliche Formate werden vereinheitlicht, damit sie vergleichbar sind.
3. Korrelieren: Regeln und Muster suchen nach verdächtigen Zusammenhängen über Systeme hinweg.
4. Alarmieren: Bei einem Treffer wird ein priorisierter Alarm ausgelöst - im Idealfall, bevor Schaden entsteht.
5. Nachweisen: Alle Daten liegen revisionssicher vor - wichtig für die Aufarbeitung und für Compliance.

SIEM, SOC, EDR - was ist der Unterschied?

Diese Begriffe werden oft verwechselt:

• SIEM = die Plattform, die Logs sammelt und auswertet (die Technik).
• SOC (Security Operations Center) = das Team, das die Alarme rund um die Uhr bewertet und reagiert (die Menschen).
• EDR/XDR = überwacht speziell die Endgeräte und stoppt Angriffe dort aktiv.

In der Praxis gehören sie zusammen: Ein SIEM ohne jemanden, der auf die Alarme schaut, ist nur ein teures Log-Archiv.

Wann lohnt sich ein SIEM?

Für kleine Betriebe ist ein eigenes SIEM oft überdimensioniert - Betrieb und Auswertung brauchen Fachwissen. Sinnvoll wird es, wenn:

• Compliance es verlangt (NIS2, ISO 27001, KRITIS fordern zentrale Protokollierung und Auswertung),
• die IT-Landschaft komplex genug ist, dass Angriffe sonst untergehen,
• oder es als Managed Service bezogen wird - dann bekommt man Technik und Auswertung, ohne ein eigenes SOC aufzubauen.

Häufige Fragen

Was ist der Unterschied zwischen SIEM und SOC? Das SIEM ist die Technik, die Logs sammelt und Alarme erzeugt. Das SOC sind die Menschen, die diese Alarme bewerten und darauf reagieren. Beides zusammen ergibt eine funktionierende Erkennung.

Brauchen kleine Unternehmen ein SIEM? Nicht zwingend als eigene Installation. Wird es aber von Compliance verlangt oder als Managed Service bezogen, ist es auch für kleinere Betriebe machbar und sinnvoll.

Ist ein SIEM DSGVO-konform? Ja, wenn richtig aufgesetzt: klare Zweckbindung, Zugriffskontrolle, Aufbewahrungsfristen und EU-Hosting oder On-Premise. Genau das gehört zur Einrichtung dazu.

SIEM oder EDR - was zuerst? Sie ergänzen sich. EDR schützt die Endgeräte direkt, das SIEM gibt den Überblick über alle Systeme. Wer klein anfängt, startet oft bei EDR und ergänzt das SIEM, sobald die Umgebung komplexer wird.

Wofür steht die Abkürzung SIEM? SIEM steht für Security Information and Event Management. Der Begriff verbindet zwei ältere Ideen: das Sammeln und revisionssichere Aufbewahren von Protokolldaten und das Auswerten von Ereignissen in Echtzeit. Gemeint ist heute die zentrale Plattform, die Logs aus allen Systemen zusammenführt, vereinheitlicht, korreliert und Alarme erzeugt.

Worin unterscheidet sich ein SIEM von XDR? Ein SIEM ist herstellerneutral: Es nimmt Protokolle aus beliebigen Quellen auf, auch aus Firewall, Fachanwendung oder Cloud-Dienst. XDR ist die Erweiterung einer Endpoint-Lösung auf weitere Datenquellen desselben Herstellers und dafür deutlich einfacher zu betreiben. Wer eine homogene Umgebung hat, kommt mit XDR oft weit; wer heterogen unterwegs ist oder Nachweise über alle Systeme braucht, landet beim SIEM.

Welche Datenquellen gehören mindestens in ein SIEM? Als Minimum: Anmeldungen aus dem Verzeichnisdienst und aus Microsoft 365, Firewall- und VPN-Protokolle, Server-Ereignisse und Meldungen der Endpoint-Lösung. Das deckt die üblichen Angriffswege ab - gestohlene Zugangsdaten, Fernzugriff und Bewegung im Netz. Weitere Quellen kommen dazu, wenn sie eine konkrete Frage beantworten, nicht weil sie technisch anschließbar sind.

Wie viele Daten fallen bei einem SIEM an? Genug, dass die Menge die Kosten treibt - deshalb lohnt eine ehrliche Schätzung vorab. Server, Firewalls und Proxys erzeugen die mit Abstand meisten Ereignisse, Arbeitsplätze und Cloud-Anmeldungen sind sparsamer. Weil viele SIEM-Lizenzen nach Datenvolumen pro Tag abrechnen, ist die Auswahl der Quellen die wichtigste Kostenentscheidung im Projekt, nicht der Produktpreis.

Wie lange müssen Logs aufbewahrt werden? Eine pauschale gesetzliche Frist gibt es nicht. Üblich ist eine zweistufige Aufbewahrung: einige Monate schnell durchsuchbar, danach eine längere und günstigere Archivstufe, weil Angriffe oft erst Wochen später auffallen. Maßgeblich sind die Vorgaben Deines Rahmenwerks, Anforderungen von Versicherern und die DSGVO, die eine begründete Höchstfrist und die Löschung danach verlangt.

Was ist ein Use Case im SIEM? Ein Use Case ist eine konkrete Frage, die das SIEM beantworten soll - etwa, ob sich ein Konto in kurzer Zeit aus zwei weit entfernten Ländern anmeldet. Dazu gehören die passenden Datenquellen, eine Erkennungsregel und ein festgelegter Ablauf für den Trefferfall. SIEM-Projekte scheitern selten an der Technik, sondern daran, dass niemand die Use Cases definiert und pflegt.

Was ist ein Managed SIEM oder SOC as a Service? Dabei betreibt ein Dienstleister Plattform und Auswertung, statt dass Du beides selbst aufbaust. Für die meisten Mittelständler ist das der einzige realistische Weg zu einer Erkennung rund um die Uhr, weil ein eigenes Schichtteam personell nicht darstellbar ist. Wichtig ist die Absprache, wer bei einem Alarm tatsächlich handelt - Erkennen allein stoppt keinen Angriff. Bei Seraph IT läuft Managed SOC über einen spezialisierten Partner; ein eigenes SOC betreiben wir nicht.

Wie viele Fehlalarme muss man erwarten? Am Anfang viele. Ein frisch aufgesetztes SIEM kennt Deine Umgebung nicht und meldet reguläre Wartungsjobs, Backup-Läufe oder Fernwartungszugriffe als verdächtig. Die ersten Wochen bestehen deshalb aus Nachjustieren. Wenn danach niemand die Regeln pflegt, gewöhnt sich das Team an Alarme - und übersieht den einen, der zählt.

Kann ein SIEM Angriffe automatisch stoppen? Von sich aus nicht. Ein SIEM erkennt und alarmiert; blockieren müssen andere Systeme wie die Endpoint-Lösung oder die Firewall. Über eine Automatisierungsschicht lassen sich einfache Reaktionen anstoßen, etwa ein Konto sperren oder ein Gerät isolieren. Wer solche Automatik scharf schaltet, sollte vorher genau wissen, was ein Fehlalarm im Produktionsbetrieb anrichtet.

Was kostet ein SIEM? Der Preis setzt sich aus Lizenz oder Datenvolumen, Infrastruktur und vor allem Betriebsaufwand zusammen - Regeln pflegen, Fehlalarme aussortieren, Alarme bewerten. Der Betrieb ist regelmäßig der größte Posten und wird bei der Kalkulation am häufigsten unterschätzt. Ein günstig lizenziertes SIEM, das niemand betreut, ist am Ende teurer als keines, weil es Sicherheit nur vortäuscht.

Wann lohnt sich ein SIEM noch nicht? Wenn die Grundlagen fehlen. Ohne MFA, getestete Backups, aktuelles Patch-Management und eine Endpoint-Lösung zeigt Dir ein SIEM vor allem in Echtzeit, wie ein vermeidbarer Angriff verläuft. Erst wenn die Basis steht, ist die zentrale Auswertung der nächste sinnvolle Schritt. In solchen Fällen raten wir offen ab, statt ein Projekt zu verkaufen, das keinen Nutzen bringt.

Verwandt

SIEM (Leistung) · Managed SOC 24/7 · EDR & XDR · NIS2-Umsetzung · Security-Übersicht