Häufig gestellte Fragen
Was macht ein SIEM-System konkret?
Ein SIEM (Security Information and Event Management) sammelt sicherheitsrelevante Log- und Ereignisdaten aus Servern, Netzwerkkomponenten, Firewalls, Identitätsdiensten und Anwendungen wie dem ERP an einer zentralen Stelle. Es überführt diese unterschiedlichen Rohdaten in ein einheitliches Format, reichert sie mit Kontext an und korreliert sie weitgehend in Echtzeit gegen definierte Regeln und Verhaltensmuster. So werden einzelne, für sich harmlose Ereignisse erst im Zusammenhang als verdächtig erkannt und priorisiert an die Sicherheitsverantwortlichen gemeldet. Der eigentliche Mehrwert liegt damit weniger in der reinen Speicherung als in dieser Korrelation und der frühzeitigen, priorisierten Alarmierung.
Lohnt sich ein SIEM für mittelständische ERP-Landschaften?
Mit zunehmender Mitarbeiterzahl und sensiblen Geschäfts-, Finanz- und Personaldaten im ERP steigt der Nutzen einer zentralen Sicherheitsüberwachung deutlich, da Angriffsspuren sonst über viele einzelne Systemprotokolle verstreut bleiben. Cloud-basierte SIEM-Dienste lassen sich heute nutzungsabhängig und ohne eigene Server-Infrastruktur betreiben, was den Einstieg gegenüber klassischen On-Premise-Installationen erleichtert. Entscheidend ist jedoch weniger das Werkzeug selbst als die Frage, ob die ausgelösten Alarme auch tatsächlich ausgewertet und bearbeitet werden können, sei es durch ein eigenes Team oder einen externen Dienstleister. Ein SIEM ohne ausreichende Auswertungskapazität bindet vor allem Budget und kann Fehlalarme erzeugen, ohne die Sicherheit messbar zu erhöhen, weshalb die sinnvolle Ausgestaltung je nach Branche, Größenklasse und Regulierungsdruck variiert.
Was kostet ein SIEM und wie setzt sich der Preis zusammen?
Die meisten SIEM-Lösungen rechnen nach dem täglich oder jährlich eingespeisten Datenvolumen ab, üblicherweise gemessen in Gigabyte pro Tag (GB/Tag), teils ergänzt um workload- oder kapazitätsbasierte Modelle. Cloud-Dienste wie Microsoft Sentinel werden häufig pro eingespeistem Gigabyte abgerechnet, mit spürbar günstigeren Stufen bei reservierten Tageskontingenten (Commitment Tiers), während etablierte Plattformen wie Splunk traditionell als preislich höherwertig gelten und konkrete Beträge meist nur über den Vertrieb nennen. Open-Source-Werkzeuge wie Wazuh oder Elastic verursachen keine Lizenzkosten pro Datenvolumen, verlagern den Aufwand aber auf Hardware, Betrieb und Pflege. Da Preise stark von Region, Datenmenge und Aufbewahrungsdauer abhängen, sind belastbare Aussagen nur auf Basis eines konkreten Angebots und des realistisch erwarteten Log-Volumens möglich.
Ist ein SIEM durch NIS-2 vorgeschrieben?
Die NIS-2-Richtlinie und das deutsche Umsetzungsgesetz schreiben ein SIEM nicht namentlich vor, verlangen aber von betroffenen Unternehmen ausdrücklich Maßnahmen zur Überwachung und Protokollierung sowie zur Erkennung von Sicherheitsvorfällen. In der Praxis gilt ein SIEM daher als naheliegender Baustein, um diese Anforderungen automatisiert und nachweisbar zu erfüllen, zumal NIS-2 ein gestuftes Meldewesen mit kurzen Fristen vorsieht (Frühwarnung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht nach rund einem Monat). Durch die erweiterten Schwellenwerte fallen erstmals viele mittelständische Unternehmen und IT-Dienstleister unter verbindliche Sicherheitsauflagen, die zuvor in diesem Umfang nicht reguliert waren. Ob und in welchem Umfang ein SIEM erforderlich ist, sollte stets im Rahmen einer individuellen rechtlichen und sicherheitstechnischen Bewertung geklärt werden.
Worin unterscheidet sich ein SIEM von SOC, SOAR, EDR und XDR?
Ein SIEM ist die Sammel-, Korrelations- und Analyseebene, die Ereignisse aus vielen Quellen zusammenführt und Alarme erzeugt, während ein SOC (Security Operations Center) kein Werkzeug, sondern das Team und der Prozess ist, das diese Alarme auswertet und bearbeitet. SOAR (Security Orchestration, Automation and Response) ergänzt das SIEM um automatisierte Reaktionsabläufe, etwa das Sperren eines Kontos, und wird in modernen Plattformen häufig direkt integriert. EDR und das übergreifende XDR (Extended Detection and Response) konzentrieren sich auf die Erkennung und Reaktion auf Endgeräten beziehungsweise über den gesamten Sicherheits-Stack hinweg und liefern dem SIEM teils auch Daten. Kleinere Organisationen lagern Betrieb und Auswertung zunehmend an externe Dienstleister aus, etwa als Managed SIEM oder Managed Detection and Response (MDR), die sich vor allem darin unterscheiden, wie weit die Reaktion auf einen Alarm reicht.
Welche ERP-Daten überwacht ein SIEM typischerweise?
Im ERP-Umfeld bindet ein SIEM vor allem die Protokolle zu Anmelde- und Authentifizierungsvorgängen ein, häufig über die Anbindung an Verzeichnisdienste wie Active Directory oder an Single-Sign-On-Lösungen, um ungewöhnliche Anmeldemuster zu erkennen. Daneben dienen der Audit Trail des ERP und Änderungen am hinterlegten Rollen- und Berechtigungskonzept als Datenquelle, sodass etwa stille Rechteerweiterungen oder Zugriffe außerhalb des üblichen Aufgabenbereichs sichtbar werden. Auch auffällige Massen-Exporte von Stammdaten oder ungewöhnlich hohe Datenbankabfragen über Servicekonten lassen sich so im Kontext anderer Systeme bewerten. Entscheidend für die Wirksamkeit ist dabei weniger die Menge der angebundenen Quellen als die Qualität der Daten und der darauf abgestimmten Korrelationsregeln.