SIEM — Security Information and Event Management
Ein SIEM (Security Information and Event Management) ist eine zentrale Plattform, die Sicherheitsereignisse und Protokolleinträge aus vielen Quellen sammelt, speichert und analysiert. Es korreliert Ereignisse, um Muster zu erkennen, die auf Vorfälle hindeuten, und warnt die SOC-Analysten. Ein SIEM ist das Nervensystem eines modernen Überwachungsbetriebs.
Aktualisiert am: 25.08.2026
Was ein SIEM leistet
- Log-Daten von Servern, Firewalls, Anwendungen zentral sammeln
- Rohdaten normalisieren und indexieren
- Anomalien und verdächtige Muster automatisch erkennen
- Alarme mit vordefinierten Regeln oder Machine Learning auslösen
- Forensische Suche und Audittrails über längere Zeiträume bereitstellen
SIEM und verwandte Technologien
Ein SIEM konzentriert sich auf zentrale Ereignisse und Protokolle; EDR-Tools überwachen dagegen Endpoints tiefer (Prozesse, Dateisystem, Netzwerkverbindungen). XDR versucht, beide zu verbinden. Ein funktionstüchtiges SIEM setzt voraus, dass alle relevanten Quellen ihre Logs senden und dass die Regeln regelmäßig aktualisiert werden — sonst erstickt man in Alerts oder verpasst echte Vorfälle.
SIEM-Implementierung: Häufige Fallstricke und Best Practices
Ein SIEM anzuschalten ist einfach, es gut zu nutzen ist schwer. Die Hauptprobleme: ungefilterte Logs führen zu riesigen Datenmengen und Kosten, schlechte Korrelationsregeln erzeugen Lärm, veraltete oder angepasste Regeln verfehlen echte Angriffe. Best Practice ist Iterieren — mit kleinen Regel-Sets anfangen, basierend auf tatsächlichen Vorfällen tunen, Vendor-Templates nutzen und regelmäßig überprüfen. Eine halbjährliche Regel-Review ist Standard.
Wo das im Mandat vorkommt
Ich helfe Unternehmen, ein SIEM aufzubauen und die richtige Balance zwischen Genauigkeit und Rauschpegel zu finden. Das Start-up ist oft anspruchsvoll — ich wähle mit Kunden die Datenquellen, dimensioniere Speicher und kalibriere Erkennungsregeln nach ihrem ISO-27001-Aufbau.
Häufige Frage
Reicht nicht ein EDR-Tool für Sicherheitsmonitoring?
EDR überwacht Endpoints intensiv, aber nicht Netzwerk, Server oder Cloud-Anwendungen. Ein SIEM sieht das Gesamtbild: Netzwerkverkehr, Firewall-Blocks, Anmeldeversuche, Datenbankzugriffe. Ein Vorfall erkennt man oft erst durch Korrelation mehrerer Signale — dafür braucht man ein SIEM. Für Unternehmen mit vielen Datenquellen ist SIEM unverzichtbar.