Von der Firewall bis zur Fachanwendung schreibt jeder Server und jeder Cloud-Dienst eigene Protokolle. Verteilt über hunderte Systeme sind diese Daten im Ernstfall wertlos, weil niemand sie rechtzeitig zusammenführt.
Genau hier setzt ein SIEM an: Es sammelt Logdaten zentral, verknüpft Einzelereignisse zu Mustern und schlägt Alarm, wenn sich ein Angriff abzeichnet. Es ist damit Gedächtnis und Frühwarnsystem der IT-Sicherheit zugleich – allerdings eines, das laufende Pflege verlangt.
Was ist ein SIEM?
SIEM steht für Security Information and Event Management. Der Begriff vereint zwei ältere Disziplinen: das Sammeln von Sicherheitsinformationen und das Auswerten von Ereignissen in nahezu Echtzeit. Die Plattform nimmt sicherheitsrelevante Logdaten aus Systemen, Anwendungen und Netzwerkkomponenten auf, überführt sie in ein einheitliches Format und wertet sie fortlaufend aus. Korrelationsregeln und Analytik verbinden dabei Ereignisse, die einzeln betrachtet harmlos wirken: eine Anmeldung zu ungewöhnlicher Zeit, kurz darauf neue Administratorrechte, anschließend große Datenmengen Richtung Internet.
Zusätzlich bewahrt ein SIEM die Daten revisionssicher auf und unterstützt damit forensische Untersuchungen und Nachweispflichten. Es ist das führende Arbeitswerkzeug eines Security Operations Center, das die Alarme bewertet und darauf reagiert.
Funktionsweise
Vom Rohdatum zum belastbaren Alarm führt eine feste Verarbeitungskette:
- Sammlung: Agenten und Schnittstellen liefern Logs aus Servern, Firewalls, Identitätsdiensten, Cloud-Plattformen und Endpunkten an die zentrale Instanz.
- Normalisierung: Unterschiedliche Formate werden in ein einheitliches Schema übersetzt, damit sich Ereignisse quellenübergreifend vergleichen lassen.
- Korrelation: Regeln, Schwellenwerte und Verhaltensanalytik verknüpfen Einzelereignisse zu Verdachtsmustern.
- Alarmierung: Trifft ein Muster zu, entsteht ein priorisierter Alarm mit Kontext, den Analysten bewerten und weiterbearbeiten.
- Aufbewahrung und Suche: Historische Daten bleiben durchsuchbar, etwa um nach Bekanntwerden einer Schwachstelle rückwirkend nach Spuren zu fahnden. Auch Aufbewahrungsfristen aus Verträgen und Regularien werden hier umgesetzt.
- Use-Case-Pflege: Erkennungsregeln sind kein fertiges Produkt. Neue Systeme, veränderte Abläufe und neue Angriffstechniken verlangen laufende Anpassung, Fehlalarme müssen kontinuierlich austariert werden. Diese Daueraufgabe entscheidet über den Wert des gesamten Systems.
Warum ein SIEM wichtig ist
- Viele Angriffe zeigen sich erst in der Verknüpfung mehrerer Quellen; ein einzelnes Log bleibt unauffällig.
- Im Vorfall beantwortet die zentrale Datenbasis schnell, wer wann worauf zugegriffen hat.
- Aufbewahrte Logdaten stützen forensische Untersuchungen und Berichte an Behörden oder Versicherer.
- Regelwerke wie ISO 27001 und NIS-2 verlangen Protokollierung und die Erkennung von Vorfällen.
- Ein SOC kann ohne zentrale Logsicht kaum ernsthaft arbeiten.
- Rückwirkende Suchen zeigen, ob eine neu bekannt gewordene Angriffstechnik bereits zum Einsatz kam.
Typische Praxisfälle
- Ein Unternehmen baut zentrales Logmanagement auf und ergänzt schrittweise Erkennungsregeln für kritische Systeme, beginnend mit Identitäts- und Fernzugriffs-Logs.
- Ein Audit verlangt Nachweise über Protokollierung und Auswertung; das SIEM liefert Berichte und Aufbewahrung.
- Die Korrelation von Identitäts-Logs deckt eine Kontoübernahme auf, bevor größerer Schaden entsteht.
- Flow-Daten und Segmentierungs-Logs aus dem Netzwerk fließen als Quelle ein und machen laterale Bewegungen zwischen Servern sichtbar.
- Ein Managed-SIEM-Anbieter übernimmt Betrieb und Regelpflege; das interne Team konzentriert sich auf die Reaktion.
Abgrenzung: SIEM, SOAR und XDR
Die Grenzen des SIEM erklären die Nachbarbegriffe. Erste Grenze: Schlecht gepflegte Regeln erzeugen eine Alarmflut, in der echte Vorfälle untergehen – die berüchtigte Alert Fatigue. Hier setzt SOAR an (Security Orchestration, Automation and Response): Playbooks reichern Alarme automatisch an und erledigen Standardreaktionen wie das Sperren eines Kontos. Zweite Grenze: Lizenzmodelle nach Datenvolumen machen das Sammeln aller Quellen teuer, weshalb priorisiert werden muss. XDR (Extended Detection and Response) verspricht hier einen einfacheren Weg: eng integrierte Erkennung über Endpunkte, Netzwerk und Cloud eines Anbieters, mit fertiger Analytik, dafür weniger offen für beliebige Fremdquellen.
In der Praxis ergänzen sich die Ansätze: XDR für schnelle Erkennung im Kernbestand, das SIEM als übergreifende Datenplattform, SOAR für die Automatisierung. Welche Kombination trägt, hängt von den Datenquellen und den eigenen Nachweispflichten ab.
Netzwerk-Telemetrie als Datenbasis
Ein SIEM ist nur so aussagekräftig wie die Daten, die es erhält. Zu den wertvollsten Quellen zählt strukturierte Netzwerk-Telemetrie: Segmentierungsplattformen protokollieren, welche Systeme miteinander kommunizieren und welche Verbindungen gegen Richtlinien verstoßen – genau die Datenbasis, mit der ein SIEM laterale Bewegungen erkennt. Meldet das SIEM einen Vorfall, lässt sich die Eindämmung über Segmentierungsrichtlinien im Netz durchsetzen. Gut strukturierte Telemetrie entlastet zugleich das Datenbudget, weil sie das ungefilterte Sammeln ganzer Paketmitschnitte ersetzt. Beim Aufbau dieser Datengrundlage unterstützen spezialisierte Managed-Service-Provider, etwa mit gemanagter Zero-Trust-Mikrosegmentierung.
Häufige Fragen
Worin unterscheiden sich SIEM und Logmanagement?
Logmanagement sammelt, speichert und durchsucht Protokolldaten, vor allem für Betrieb und Fehlersuche. Ein SIEM baut darauf auf und ergänzt die Sicherheitsperspektive: Korrelationsregeln verknüpfen Ereignisse aus mehreren Quellen, Alarme werden priorisiert und an Analysten übergeben. Wer bereits zentrales Logmanagement betreibt, besitzt die Vorstufe – aber noch keine Angriffserkennung.
Warum erzeugt ein SIEM so viele Fehlalarme?
Meist liegt es an Regeln, die nie an die eigene Umgebung angepasst wurden. Standardregeln kennen weder die Wartungsfenster noch die Dienstkonten einer Organisation und schlagen deshalb bei normalem Verhalten an. Abhilfe schafft konsequente Use-Case-Pflege: Fehlalarme systematisch auswerten und Regeln nachschärfen. Unterbleibt das, entsteht Alert Fatigue, und echte Vorfälle gehen unter.
Wovon hängen die Kosten eines SIEM ab?
Der größte Hebel ist das Datenvolumen: Viele Lizenzmodelle rechnen nach aufgenommenen Gigabyte pro Tag oder nach Ereignissen pro Sekunde, hinzu kommen Speicherkosten für die Aufbewahrung. Den zweiten großen Block bildet der Betrieb, also Regelpflege und Alarmbearbeitung. Es lohnt sich deshalb, Quellen nach Sicherheitswert zu priorisieren, statt alles ungefiltert einzusammeln.
Welche Datenquellen gehören zuerst in ein SIEM?
Den Anfang machen die Quellen, die Angriffe am zuverlässigsten zeigen: Identitätsdienste und Anmeldungen, Fernzugriffe, Endpunkt-Erkennung sowie Firewalls und weitere Netzwerk-Telemetrie. Gerade Segmentierungs-Logs machen Bewegungen zwischen Servern sichtbar, die klassische Perimeter-Logs nie erfassen. Fachanwendungen und weniger kritische Systeme folgen, sobald Regeln und Prozesse eingespielt sind.
Braucht es neben XDR noch ein SIEM?
XDR erkennt Angriffe im integrierten Bestand des jeweiligen Anbieters sehr gut, deckt aber Fremdsysteme, Eigenentwicklungen und viele Compliance-Anforderungen an die Aufbewahrung kaum ab. Ein SIEM bleibt sinnvoll, wenn Quellen über einen Herstellerbestand hinaus ausgewertet oder Nachweispflichten erfüllt werden müssen. Viele Unternehmen kombinieren beides und leiten XDR-Alarme in das SIEM als führende Plattform.