SIEMWerkzeuge.
Ein SIEM sammelt Sicherheitsdaten, normalisiert sie und macht daraus untersuchbare Signale. Der Wert entsteht nicht durch die Menge der Logs, sondern durch saubere Quellen, relevante Detection Use Cases, verantwortete Triage und eine belastbare Aufbewahrungsstrategie.
Logs sind noch keine Detection.
Ein SIEM ist die Analyse- und Nachweisplattform für Sicherheitsereignisse. Ohne priorisierte Datenquellen, gepflegte Regeln und einen klaren Bearbeitungsprozess entsteht allerdings ein teures Archiv mit zu vielen Alarmen.
EDR beobachtet primär Endpunkte. SIEM verbindet Endpunkte mit Identität, Cloud, Netzwerk und Anwendungen. SOAR automatisiert anschliessende Schritte; es ersetzt nicht die fachliche Erkennung und Bewertung.
Acht SIEM-Betriebsmodelle.
| Plattform | Typischer Schwerpunkt | Stärke | Im Pilot klären |
|---|---|---|---|
| Microsoft Sentinel | Cloud-SIEM im Microsoft-Ökosystem | Nahe an Azure, Microsoft 365 und Defender. | Datenvolumen, Kostenmodell und Nicht-Microsoft-Quellen. |
| Splunk Enterprise Security | Enterprise-SIEM | Flexible Suche, Korrelation und breites Ökosystem. | Lizenzierung, Datenmodell und Spezialwissen im Betrieb. |
| Google Security Operations | Cloud-native Security Operations | Skalierbare Suche und Einbindung von Threat Intelligence. | Datenresidenz, bestehende Cloud-Architektur und Detection-Sprache. |
| Elastic Security | Offene Datenplattform und Security Analytics | Flexible Datenaufnahme und technische Erweiterbarkeit. | Ressourcen für Parsing, Content Engineering und Betrieb. |
| Wazuh | Open Source und Self-Hosted | Eigene Kontrolle über Plattform und Daten. | Skalierung, regelmässige Pflege und SOC-Kapazität. |
| IBM QRadar SIEM | Enterprise SIEM für hybride Umgebungen | Bewährte Korrelation und Untersuchung für heterogene Quellen und etablierte SOCs. | Architektur, Datenquellen, Lizenzierung und Migrationspfad. |
| Logpoint SIEM | Europäisches SIEM und Compliance | Normalisierung, MITRE-Zuordnung und vorkonfigurierte Compliance-Nachweise. | Datenvolumen, Integrationsbreite und passendes Betriebsmodell. |
| Securonix Unified Defense SIEM | Cloud-native SIEM mit UEBA | Verbindet SIEM, Verhaltensanalyse und automatisierte Security Operations. | Datenresidenz, Kostenmodell, Inhaltstiefe und Abgrenzung zu bestehendem SOAR. |
Use Cases
vor Datenmenge.
- Use Cases aus dem Bedrohungsprofil ableiten und je Use Case festhalten: Datenquelle, benötigte Felder, Schwelle, Triage-Anleitung und Owner.
- Zeitsynchronisation und Parsing je Quelle prüfen, bevor Regeln aktiv werden; fehlende oder umbenannte Felder lassen Regeln still ausfallen.
- Den Ausfall einer Logquelle selbst alarmieren: Eine verstummte Quelle ist oft Fehlkonfiguration, manchmal ein Angriff.
- Regeln versionieren und mit Testdaten prüfen (Detection as Code); nie auslösende und dauernd unterdrückte Regeln jährlich überprüfen.
- Anteil kritischer Logquellen mit Ausfallüberwachung und Daten der letzten 24 Stunden
- Anteil Alarme je Regel, die nach Triage als berechtigt eingestuft werden
- Anteil priorisierter ATT&CK-Techniken mit getesteter Erkennungsregel
Das SOC verantwortet Triage und Use-Case-Pflege, der Plattformbetrieb Verfügbarkeit, Parsing und Kosten. System-Owner liefern ihre Logquellen an und melden Änderungen am Logformat vorab.
ISO/IEC 27001:2022 Annex A 8.15 (Protokollierung), 8.16 (Überwachung von Aktivitäten) und 8.17 (Uhrensynchronisation); im BSI IT-Grundschutz behandeln OPS.1.1.5 (Protokollierung) und DER.1 (Detektion von sicherheitsrelevanten Ereignissen) dieselben Themen.
Meldefristen setzen Erkennung voraus: NIS2 Art. 23 verlangt eine Frühwarnung innert 24 Stunden; in der Schweiz müssen die in ISG Art. 74b genannten Betreiber kritischer Infrastrukturen meldepflichtige Cyberangriffe seit 1. April 2025 innert 24 Stunden nach Entdeckung dem BACS melden (ISG Art. 74a ff.).
Vorkonfigurierte Herstellerregeln sind keine Detection-Strategie. Sie passen selten zu eigenen Feldnamen, Ausnahmen und Kronjuwelen und erzeugen ohne Anpassung entweder Lärm oder Lücken.
Mit echten Erkennungen testen.
- Datenquellen: Identität, Endpunkte und kritische Cloud- oder Geschäftssysteme zuerst anbinden.
- Use Cases: Ein reales Szenario muss von Quelle über Alert bis zur Triage funktionieren.
- Tuning: Fehlalarme, Aufwände und Ownership werden im Pilot gemessen, nicht geschätzt.
- Aufbewahrung: Zugriff, Export, Kosten und Nachweisbedarf müssen zusammenpassen.
Die angrenzenden Klassen.
SIEM erhält Signale aus Endpunkt- und Identitätsdiensten. SOAR kann Wiederholbares automatisieren; Incident Response bleibt eine fachliche Aufgabe.
Security Tool Navigator · Gebiet 09
Im Gebiet Security Operations einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Operations. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.