Kurzdefinition: Ein SIEM (Security Information and Event Management) sammelt Protokoll- und Ereignisdaten aus vielen Systemen an einer Stelle, korreliert sie und erkennt daraus verdächtige Muster. Es ist das technische Herzstück der Angriffserkennung: Aus einzelnen Ereignissen wird ein Gesamtbild.
Was ist ein SIEM?
Eine Plattform, die Logs aus Servern, Netzwerken, Anwendungen und Sicherheitssystemen zusammenführt, normalisiert und nach Angriffsmustern durchsucht — in Echtzeit oder nahezu.
Warum reicht Logging allein nicht?
Weil einzelne Logs ein verteiltes Angriffsmuster nicht zeigen. Erst die Korrelation vieler Quellen macht sichtbar, dass zusammenhängende Ereignisse ein Angriff sind.
Wie hängt ein SIEM mit dem SOC zusammen?
Das SIEM liefert die Alarme, das SOC (Security Operations Center) bearbeitet sie. Ohne Menschen, die auf die Alarme reagieren, bleibt auch das beste SIEM wirkungslos.
Was ist die Herausforderung beim SIEM?
Die Balance. Zu viele Alarme führen zur Alarmmüdigkeit, zu wenige zu blinden Flecken. Gute Regeln, Pflege und Feinabstimmung sind entscheidend.
Wie hängt es mit NIS-2 zusammen?
Angriffserkennung ist Teil der Risikomanagementmaßnahmen. Ein SIEM unterstützt die Erkennung und die Fähigkeit, Vorfälle fristgerecht zu bewerten und zu melden.
Häufige Fehlannahmen
- „Ein SIEM erkennt Angriffe von allein.“ Nein. Es braucht Regeln, Pflege und Menschen.
- „Logging und SIEM sind dasselbe.“ Nein. Das SIEM wertet die Logs aus.
- „Ein SIEM ohne SOC genügt.“ Nein. Alarme müssen bearbeitet werden.
- „Mehr Alarme sind besser.“ Nein. Alarmmüdigkeit macht blind.
- „Ein SIEM ist nur für Konzerne.“ Nein — auch als ausgelagerter Dienst (MSSP) nutzbar.
Was die Geschäftsleitung tun sollte
- Quellen anbinden. Relevante Logs zusammenführen.
- Regeln pflegen. Erkennung feinabstimmen.
- Reaktion sichern. SIEM mit einem SOC oder MSSP verbinden.
- Verbessern. Erkennung fortlaufend anpassen.
Für die Geschäftsleitung
Ein SIEM verwandelt einzelne Protokolle in ein Gesamtbild und macht Angriffe früh sichtbar. Seinen Wert entfaltet es aber erst mit gepflegten Regeln und einem Team, das auf die Alarme reagiert — Technik und Betrieb gehören zusammen.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
