SIEM-Beratung — Security Information & Event Management

SIEM steht für Security Information and Event Management. Sicherheitsrelevante Ereignisse aus unterschiedlichen IT-Systemen werden zentral gesammelt, normalisiert und korreliert. Im Ergebnis entsteht ein konsolidiertes Lagebild, das Angriffe sichtbar macht, die in isolierten Log-Dateien unerkannt geblieben wären. Ein SIEM ist kein Sicherheitsprodukt im klassischen Sinn, sondern ein Erkennungswerkzeug — es macht sichtbar, ob die vorhandenen Schutzmaßnahmen tatsächlich greifen.

SIEM (Security Information and Event Management) sammelt, korreliert und bewertet Sicherheitsereignisse — es ist das Erkennungswerkzeug. SOAR (Security Orchestration, Automation and Response) automatisiert die Reaktion auf erkannte Ereignisse anhand vordefinierter Playbooks. SIEM erkennt, SOAR reagiert. In modernen SOC-Architekturen ergänzen sich beide: SIEM liefert den Alert, SOAR isoliert ein kompromittiertes Endgerät automatisch und spart Reaktionszeit.

Als Minimum gelten: Firewall-Logs, Active-Directory- und Entra-ID-Ereignisse, VPN-Authentifizierungen, Endpoint-Detection-Daten (EDR), E-Mail-Gateway-Logs und DNS-Anfragen. Je nach Branche kommen Cloud-Audit-Logs (AWS CloudTrail, Azure Activity Log) und Anwendungslogs hinzu. Entscheidend ist nicht die Menge der Quellen, sondern die Qualität der Use Cases: Welche Angriffsszenarien soll das SIEM erkennen? Daraus leitet sich ab, welche Logs benötigt werden.

Das SIEM ist ein Werkzeug: Es sammelt Daten, korreliert Ereignisse und erzeugt Alarme. Das SOC (Security Operations Center) ist die organisatorische Einheit, die diese Alarme bewertet, priorisiert und darauf reagiert. Ein SIEM ohne SOC erzeugt Alarme, die niemand bearbeitet. Wer ein SIEM einführt, sollte gleichzeitig den SOC-Betrieb planen — intern, als Managed Service oder hybrid.

Eine produktive SIEM-Einführung dauert erfahrungsgemäß zwischen drei und sechs Monaten. In den ersten Wochen stehen Architektur, Log-Quellenanalyse und Use-Case-Priorisierung im Vordergrund. Danach folgen Anbindung, Regelwerk-Entwicklung und Tuning. Der Aufwand hängt von der IT-Landschaft, der Anzahl kritischer Systeme und dem Reifegrad des bestehenden Loggings ab. Cloud-native SIEM-Plattformen können die Anlaufzeit verkürzen.

Mehrere Regulierungen setzen funktionierendes Security Monitoring voraus: NIS-2 (Art. 21 Abs. 2 lit. b und g) verlangt Erkennung und Behandlung von Sicherheitsvorfällen. ISO 27001 fordert in A.8.15 (Logging) und A.8.16 (Überwachung) zentrale Protokollierung. DORA schreibt IKT-bezogene Vorfallserkennung vor. Ein SIEM ist nicht in jedem Fall gesetzlich vorgeschrieben — ohne zentrales Monitoring lassen sich die geforderten Erkennungs- und Meldepflichten in der Praxis jedoch kaum erfüllen.

SECURAM betreibt kein Reselling und erhält keine Provisionen von SIEM-Herstellern. Die Beratung verbindet Anforderungsanalyse, Toolbewertung und Betriebskonzept — verankert im ISMS und mit MITRE-ATT&CK-orientierter Use-Case-Bibliothek. In unseren Projekten zeigt sich: Die Toolauswahl ist nicht das eigentliche Problem. Wirksamkeit entsteht durch klare Use Cases, qualifizierte Alert-Bearbeitung und kontinuierliches Tuning. SECURAM begleitet auch die Auswahl von Managed-SIEM-Partnern.