Database ActivityMonitoring.
Database Activity Monitoring erfasst und analysiert Datenbankzugriffe unabhängig von der Geschäftsapplikation. Es macht privilegierte Aktionen, ungewöhnliche Abfragen und Richtlinienverstösse sichtbar. Der schwierige Teil ist die Zuordnung eines technischen Datenbankkontos zur tatsächlichen Person oder Anwendung.
Marktbild: hohe Priorität für regulierte und besonders schützenswerte Daten. Elf Werkzeuge reichen von eigenständigen DAM-Suiten über native Cloud-Datenbankdienste bis zu datenbanknaher Detection.
Audit, Agent, Netzwerk oder Proxy.
Native Auditquellen sind nah an der Datenbank, benötigen aber Konfiguration und Speicher. Agenten sehen verschlüsselten Verkehr und lokalen Kontext. Netzwerküberwachung bleibt getrennt vom System, verliert jedoch bei Verschlüsselung und Cloud-Diensten an Sicht.
Prüfe Datenbanktypen, DBaaS, Verschlüsselung, Sammelverfahren, Performance, Shared Accounts, SQL- und Result-Set-Kontext, unveränderbare Logs, SoD, Echtzeitblockierung, SIEM-Export und Aufbewahrungskosten.
Elf Werkzeuge im Vergleich.
Klassische DAM-Suiten mit Agenten oder Datenbank-Firewall stammen von IBM (Guardium), Imperva (seit 04.12.2023 Teil von Thales), Oracle und Trellix; sie ergänzen das Monitoring um Schwachstellenprüfung und vorgefertigte Compliance-Berichte. Daneben entstehen agentenlose, Cloud-native Ansätze, oft als Teil von Datensicherheitsplattformen: Varonis übernahm 2025 Cyral (Ankündigung 17.03.2025), Commvault schloss die Übernahme von Satori Cyber am 28.08.2025 ab. Die Hyperscaler bieten native Bausteine wie Aktivitätsstreams (AWS) oder Bedrohungserkennung für Datenbanken (Microsoft Defender), die eine DAM-Suite teilweise ersetzen, aber keine Blockierung oder Berichte liefern. Trustwave, Anbieter von DbProtect, gehört seit 19.08.2025 zu LevelBlue.
Relational: relationale Datenbanken · NoSQL: NoSQL/Big Data · Cloud-DB: Cloud-Datenbankdienste · Blockieren: Blockieren/Terminieren · Agentenlos: Betrieb ohne Agent auf dem Datenbank-Host ausdrücklich beschrieben · Schwachstellen: DB-Schwachstellenprüfung · Compliance: Compliance-Berichte. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
IBM Guardium Data Protection (mit Guardium Vulnerability Assessment)
IBM Corporation
Überwacht in Echtzeit, wer auf Daten zugreift, was Benutzer tun und wann Richtlinien geändert werden; genannt sind u. a. Amazon RDS, Aurora, DynamoDB und Redshift.
Echtzeit-Alarme mit Handlungshinweisen zur schnellen Reaktion; Sitzungen lassen sich laut IBM über S-GATE steuern und mit der Regelaktion S-GATE TERMINATE blockieren (IBM-Support-Dokumente).
Datenquellen über Agenten oder agentenlose Universal Connector Plug-ins; Guardium Vulnerability Assessment prüft Datenbanken, Data Warehouses und Big-Data-Umgebungen nach STIG, CIS und CVE.
Vorgefertigte Vorlagen und Berichte für PCI, SOX, GDPR und CPRA; langfristige Datenhaltung der Aktivitätsdaten.
Breite Datenquellenabdeckung mit Schwachstellenprüfung und Compliance-Berichten aus einer Produktfamilie.
Vulnerability Assessment ist Teil von Guardium Data Protection und auch eigenständig erhältlich; Blockieren ist in IBM-Support-Dokumenten beschrieben, auf der Produktseite nicht genannt.
Imperva Data Security Fabric
Thales Group (Imperva)
Kontinuierliches Monitoring, Audit und Analyse über Datenspeicher und strukturierte, semistrukturierte und unstrukturierte Daten.
Erkennung von Bedrohungen und Entzug übermässiger Zugriffsrechte; gezielte Massnahmen gegen verdächtige Aktivitäten und Richtliniendurchsetzung laut Datenblatt.
Agentenlose und agentenbasierte Datensammlung; Schwachstellenprüfungen und Risikobewertung als Teil der Plattform.
Vorkonfigurierte Vorlagen, Berichte und richtliniengesteuerte Aufbewahrung für Compliance; genannte Clouds AWS, Azure, Google Cloud und Oracle Cloud.
Monitoring über heterogene, hybride Datenlandschaften mit agentenloser Option und Compliance-Berichten.
Konkrete Datenbanktypen, DBaaS-Dienste und Blockierung sind auf den abgerufenen Seiten nicht ausdrücklich genannt (daher caps False); Kundenaussage zu Blockierung nicht als Beleg gewertet.
Oracle Audit Vault and Database Firewall (AVDF)
Oracle Corporation
Sammelt Auditdaten von Oracle- und Nicht-Oracle-Datenbanken; für SQL Server sind Vorher-/Nachher-Werte genannt.
Mehrstufige Database Firewall kann unautorisierte SQL-Anweisungen einschliesslich SQL-Injection erkennen und optional blockieren.
Zentrale Verwaltung von Oracle Unified Auditing gegen STIG- und CIS-Auditrichtlinien; flottenweite Sicherheitsbewertungen mit Baselines.
Vorgefertigte Berichte für GDPR, PCI DSS, HIPAA und SOX; Verwaltung von Benutzerberechtigungen und deren Änderungen.
Auditkonsolidierung und SQL-Firewall mit tiefer Oracle-Integration, ergänzt um Fremddatenbanken.
Unterstützte Fremddatenbanken und Cloud-Datenbankdienste auf der Produktseite nicht einzeln genannt; Oracle empfiehlt dringend das Release Update 20.18 mit Sicherheitskorrekturen.
Trellix Database Security
Trellix
Findet und schützt sensible Informationen in Datenbanken; überwacht, protokolliert und steuert Datenbankzugriffe.
Activity Monitoring mit Blockieren potenzieller Bedrohungen; Virtual Patching gegen bekannte und unbekannte Schwachstellen ohne Ausfallzeit.
Vulnerability Manager mit automatischen Scans und Priorisierung bekannter Schwachstellen.
Unterstützt laut Seite die Einhaltung regulatorischer Anforderungen; Berichtsumfang nicht beschrieben.
Blockieren und Virtual Patching kombiniert mit Schwachstellenscans.
Unterstützte Datenbanken, Cloud-Dienste und Berichte auf der Produktseite nicht konkret genannt.
Oracle Data Safe
Oracle Corporation
Aktivitätsaudit zur Erkennung anomaler Vorgänge mit Aufbewahrung bis 7 Jahre; Autonomous AI Database, Exadata Cloud Service, Oracle Database@Azure/@Google Cloud/@AWS, Amazon RDS for Oracle und On-Premises-Datenbanken.
SQL Firewall lernt normales Anwendungsverhalten und meldet Verstösse per Alarm; Blockieren auf der Seite nicht ausdrücklich beschrieben.
Benutzerbewertung markiert hochprivilegierte Konten mit Risikobewertung; Sicherheitsbewertung gegen GDPR, DISA STIG und CIS.
Fertige Berichte für GDPR, CCPA, DPDPA, PCI DSS und HIPAA; Automatisierung über CLI und SDKs.
Assessment, Aktivitätsaudit und Berichte als verwalteter Dienst für Oracle-Datenbanken über mehrere Clouds.
Auf Oracle-Datenbanken beschränkt; Blockierung auf der Produktseite nicht belegt.
Varonis Database Activity Monitoring
Varonis Systems, Inc.
SQL Server, Oracle, MySQL, PostgreSQL, MongoDB und Snowflake sowie Cloud-Datenbanken bei AWS, Azure und Google Cloud.
Erkennt und blockiert verdächtige Abfragen und Datenabfluss in Echtzeit.
Ordnet Datenbankidentitäten Unternehmensbenutzern zu; erkennt riskante Konten und Fehlkonfigurationen, die SQL-Injection und Rechteausweitung ermöglichen.
Keine Agenten oder Appliances; Abgleich mit Frameworks wie NIST, HIPAA und GDPR.
Agentenloses DAM mit Echtzeit-Blockierung, eingebettet in eine Datensicherheitsplattform mit Klassifizierung und Identitätskontext.
Modul der Varonis-Plattform; Datenhaltung im Varonis-SaaS, konkrete Berichtstypen auf der Seite nicht beschrieben.
Commvault Satori (Satori Cyber)
Commvault Systems, Inc.
Data Activity Monitoring für Untersuchungen und Compliance; genannt sind Snowflake und Databricks.
Jede Abfrage wird zur Laufzeit bewertet und kann in Echtzeit erlaubt, eingeschränkt oder verändert werden.
Proxy-basierte Durchsetzung in Cloud- und Hybridumgebungen, native Policy-Pushdown bei Cloud-Datenplattformen; keine Agenten.
Teil der Daten- und KI-Sicherheitsplattform von Commvault, mit Discovery, Klassifizierung und Zugriffssteuerung.
Zugriffssteuerung und Aktivitätsmonitoring für Cloud-Datenplattformen ohne Agenten.
Schwerpunkt Zugriffssteuerung statt klassischem DAM; klassische relationale Datenbanken, Schwachstellenprüfung und Berichte auf der Produktseite nicht genannt.
Microsoft Defender for Open-Source Relational Databases (Plan in Defender for Databases)
Microsoft Corporation
Plan für Open-Source-Relationaldatenbanken: Azure Database for PostgreSQL und MySQL (Flexible Server) sowie Amazon RDS (Aurora PostgreSQL/MySQL, PostgreSQL, MySQL, MariaDB).
Erkennt anomale Zugriffe und Abfragemuster sowie verdächtige Aktivitäten und erzeugt Alarme mit MITRE-ATT&CK-Zuordnung.
Weiterbearbeitung von Alarmen in Microsoft Sentinel; für Amazon RDS zusätzlich Erkennung sensibler Daten.
Teil von Microsoft Defender for Cloud; nicht unterstützt auf Azure-Arc-fähigen Maschinen.
Bedrohungserkennung für Cloud-Datenbanken in Azure und AWS ohne eigene Infrastruktur.
Erkennung statt vollständigem Audit; kein Blockieren, keine Schwachstellenprüfung und keine Compliance-Berichte auf der abgerufenen Seite.
Amazon RDS / Aurora Database Activity Streams
Amazon Web Services
Aktivitätsstreams nahezu in Echtzeit für RDS for Oracle, RDS for SQL Server und Amazon Aurora.
RDS-DBAs haben keinen Zugriff auf Erfassung, Übertragung, Speicherung und Verarbeitung der Streams; bei Oracle und gesperrten SQL-Server-Richtlinien können DBAs Auditrichtlinien nicht ändern oder Logs löschen.
Ausgabe an Amazon Kinesis, Data Firehose und AWS Lambda; Anwendungen für Compliance-Management können die Streams konsumieren.
Im asynchronen Modus haben Performance Vorrang, Lücken im Stream sind möglich und werden per Ereignis gemeldet.
Native, manipulationsgeschützte Aktivitätsquelle mit Trennung von DBA-Rechten.
Nur Rohdatenstrom: Analyse, Blockieren und Berichte erfordern nachgelagerte Werkzeuge; auf ausgewählte Engines beschränkt.
DataSunrise Database Security (Activity Monitoring, Database Firewall)
DataSunrise, Inc.
Relationale Datenbanken (u. a. Oracle, SQL Server, PostgreSQL, Db2, SAP HANA), NoSQL (MongoDB, DynamoDB, Cassandra, Elasticsearch), Data Warehouses (Snowflake, Redshift, BigQuery) und Cloud-Dienste wie RDS, Azure SQL Database und Cloud SQL.
Database Firewall mit «Attack Prevention» gegen SQL-Injection und unberechtigte Zugriffe; dynamische und statische Maskierung.
Datenbank-Proxy ohne Änderungen an der Datenbank; Berichte und SIEM-Integration.
Anzeige bekannter Schwachstellen und Fehlkonfigurationen; Compliance-Automatisierung für HIPAA, GDPR, PCI DSS, SOX und CCPA.
Breite Datenbankabdeckung inklusive NoSQL und Cloud-Diensten mit Firewall und Maskierung in einem Produkt.
Proxy-Architektur beeinflusst Latenz und Verfügbarkeit; Überwachung privilegierter Nutzer nicht ausdrücklich beschrieben.
Trustwave DbProtect
LevelBlue (Trustwave)
Database Activity Monitoring meldet ungewöhnliches oder verdächtiges Verhalten, Eindringversuche und Richtlinienverstösse.
Findet übermässig privilegierte Konten und führt forensische Audit-Trails privilegierter Aktivitäten.
Prüft Datenspeicher auf Schwachstellen, Konfigurations- und Berechtigungsprobleme mit eigenen und mitgelieferten Richtlinien.
Für On-Premises- und Cloud-Datenbanken; unterstützte Plattformen in einer separaten Kompatibilitätsliste.
Schwachstellen- und Berechtigungsprüfung mit Aktivitätsmonitoring und Fokus auf privilegierte Konten.
Blockieren und konkrete Datenbanktypen auf der Produktseite nicht genannt; Produktstrategie nach Übernahme durch LevelBlue offen.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Google Cloud Security Command Center (Database Threat Detection): Bedrohungserkennung für Google-Cloud-Datenbanken
- Datadog Database Monitoring: Observability und Query-Analyse; kein Security-DAM mit Blockierung oder Compliance-Berichten
- SolarWinds Database Performance Analyzer: Performance-Monitoring für DBA-Teams; ausserhalb des Security-Zuschnitts
- pgAudit (Open Source, PostgreSQL): Audit-Erweiterung für PostgreSQL; liefert Protokolle, aber keine Überwachung, Analyse oder Blockierung
- Fortinet FortiDB: DAM-Produkt von Fortinet; auf der heutigen Produktseite sind keine DAM-Funktionen beschrieben
- Imperva Database Risk & Compliance (früher jSonar): in Imperva Data Security Fabric aufgegangen; nicht separat geführt
- Alle Zugriffe erscheinen unter einem technischen Poolkonto.
- Verschlüsselter Verkehr umgeht einen netzwerkbasierten Sensor.
- Auditvolumen wird aus Kostengründen reduziert, ohne die Kontrolllücke zu dokumentieren.
Teste DBA-Zugriff, Anwendungspool, Servicekonto, Massenexport und eine legitime Ausnahme. Prüfe Endnutzerzuordnung, Vollständigkeit, Alarmqualität, Manipulationsschutz, Performance und die Übergabe an Incident Response.
Security Tool Navigator · Gebiet 08
Im Gebiet Data Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Data Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.