4 Was ist SIEM? SIEM steht für Security Information and Event Management. Gemeint sind Plattformen, die sicherheitsrelevante Logs und Ereignisse aus der gesamten Umgebung eines Unternehmens erfassen, zentralisieren und analysieren, um Bedrohungen zu erkennen, Vorfälle zu untersuchen und die Compliance zu unterstützen. Die meisten Unternehmen betreiben Sicherheitstools und Infrastruktur, die einen ständigen Strom von Signalen erzeugen: Authentifizierungsereignisse, Endpunktaktivitäten, Firewall-Entscheidungen, Cloud-Audit-Logs, Zugriffsprotokolle von Anwendungen und mehr. SIEM führt diese Signale an einem Ort zusammen und wendet Analysen an, damit Sicherheitsteams zentrale Fragen beantworten können: Was passiert gerade in unseren Systemen? Welche Ereignisse sind verdächtig, und welche sind normal? Bewegen sich Angreifer durch die Umgebung? Welche Beweise haben wir, wenn wir untersuchen und belegen müssen, was passiert ist? Bewahren und überwachen wir Logs so, dass die Compliance unterstützt wird? Die Kurzdefinition ist nützlich, doch SIEM lässt sich am besten als Bündel von Fähigkeiten verstehen, die Security Operations durchgängig unterstützen: Erfassung, Normalisierung, Korrelation, Alarmierung, Untersuchung und Reporting. Wofür steht SIEM? Der Begriff SIEM vereint zwei ältere Kategorien: Security Information Management (SIM): Log-Erfassung, -Speicherung, Reporting und Compliance-Workflows Security Event Management (SEM): Echtzeit-Monitoring, Korrelation und Alarmierung Moderne SIEM-Plattformen vereinen SIM und SEM und bieten einen zentralen Ort, um Ereignisse aus On-Premises-Systemen, Cloud-Diensten und hybriden Infrastrukturen aufzunehmen und zu analysieren. Warum SIEM wichtig ist Sicherheitsvorfälle zeigen sich selten als einzelner, offensichtlicher Alarm. Sie erscheinen vielmehr als Muster: eine Anmeldung von einem neuen Standort, gefolgt vom Zugriff auf ungewöhnliche Systeme, gefolgt von Änderungen an Berechtigungen, gefolgt von auffälligen Datenbewegungen. Diese Schritte verteilen sich oft auf verschiedene Tools und Teams. SIEM ist wichtig, weil es Unternehmen hilft: Bedrohungen früher zu erkennen, indem Signale systemübergreifend korreliert werden Die Untersuchungszeit zu verkürzen – mit zentraler Log-Suche und Zeitleisten Die Sicherheitstransparenz zu verbessern – über hybride und Multi-Cloud-Umgebungen hinweg Die Compliance zu unterstützen, indem Logs aufbewahrt und Audit-Nachweise erstellt werden Die Reaktion zu vereinheitlichen, indem standardisiert wird, wie Ereignisse analysiert und eskaliert werden Für Teams, die im großen Maßstab arbeiten, geht es bei SIEM weniger um einzelne Alarme als darum, dass das Unternehmen über ein zuverlässiges System verfügt, das rohe Ereignisdaten in Sicherheitsentscheidungen übersetzt. So funktioniert SIEM Die Anbieter setzen SIEM unterschiedlich um, doch der Ablauf ist plattformübergreifend ähnlich. Datenerfassung Ein SIEM nimmt Logs und Ereignisse aus vielen Quellen auf, darunter: Betriebssysteme und Server (Windows, Linux) Netzwerkinfrastruktur (Firewalls, Router, VPNs, Proxys) Identitätssysteme (Active Directory, SSO, IAM-Plattformen) Tools für Endpunktsicherheit (EDR, Antivirus) Anwendungen und Datenbanken Cloud-Plattformen und SaaS-Dienste (Cloud-Audit-Logs, API-Aktivität) Die Erfassung erfolgt über Agenten, Syslog, APIs und zunehmend über Streaming-Pipelines. Normalisierung Logs kommen in unterschiedlichen Formaten an. Die Normalisierung wandelt Roheingaben in strukturierte Ereignisdatensätze um. Das ist unerlässlich für Abfragen im großen Maßstab und für Korrelationsregeln, die konsistente Felder benötigen (Benutzer, IP-Adresse, Hostname, Aktion, Ergebnis). Anreicherung Die Anreicherung fügt Kontext hinzu, der Ereignisse aussagekräftiger macht: Benutzeridentität und Gruppenzugehörigkeit Kritikalität von Assets oder Zuständigkeit von Geschäftsbereichen Bekannte schädliche IPs oder Domains aus Threat-Intelligence-Feeds Geolokalisierung und ASN-Informationen Informationen zum Gerätestatus aus Endpunkt-Tools Die Anreicherung verringert Rätselraten und hilft Analysten, den Schweregrad einzuschätzen. Korrelation und Analysen Die Korrelation sucht nach Mustern über Ereignisse, Zeiträume und Systeme hinweg. Beispiele sind: Password Spraying, gefolgt von einer erfolgreichen Anmeldung Rechteausweitung, gefolgt vom Zugriff auf sensible Freigaben Ein Dienstkonto, das sich von einem ungewöhnlichen Host aus authentifiziert Ein Workload, der sich mit verdächtiger externer Infrastruktur verbindet Je nach Plattform und Reifegrad des Sicherheitsprogramms kann die Korrelation regelbasiert, statistisch oder verhaltensbasiert sein. Alarmierung und Triage Schlagen Erkennungen an, erzeugt das SIEM Alarme. Triage-Workflows helfen Analysten bei folgenden Fragen: Ist das echt oder nur Rauschen? Wie dringend ist es? Welche Systeme und Identitäten sind beteiligt? Was ist der nächste Untersuchungsschritt? Dashboards, Risikobewertungen und die Gruppierung von Alarmen verringern das Volumen und verbessern die Priorisierung. Untersuchung und Reporting Zu den Untersuchungsfunktionen gehören typischerweise: Schnelle Suche in aktuellen und historischen Logs Zeitleistenansichten und Wechsel zwischen zusammenhängenden Ereignissen Fallmanagement oder Integration mit Ticketing-Tools Berichte für Compliance und Sicherheitsverantwortliche Hier wird das SIEM zum maßgeblichen System für Sicherheitsereignisse. Welche Daten analysiert ein SIEM? SIEM funktioniert am besten, wenn es die Daten aufnimmt, die eine starke Sicherheitsabdeckung bieten, ohne das Team in wertlosem Rauschen zu ertränken. Gängige Kategorien sind: Identitäts- und Authentifizierungslogs: Anmeldeversuche, MFA-Abfragen, Änderungen an Berechtigungen Netzwerktelemetrie: zugelassene/abgelehnte Firewall-Verbindungen, VPN-Aktivität, DNS-Logs, Proxy-Logs Endpunktereignisse: Prozessausführung, Persistenzversuche, Dateiänderungen Cloud-Audit-Logs: Konsolen-Anmeldungen, API-Aufrufe, Änderungen an IAM-Richtlinien Anwendungslogs: Zugriffsprotokolle, Administratoraktionen, auffällige Fehlermuster Alarme von Sicherheitstools: EDR-Erkennungen, IDS/IPS-Alarme, Ereignisse aus Schwachstellenscans Ziel ist nicht einfach „mehr Daten“. Ziel ist es, die richtigen Quellen zu erfassen und aussagekräftige Erkennungen aufzubauen. Anwendungsfälle für SIEM SIEM-Plattformen unterstützen eine Reihe von Funktionen der Security Operations. Bedrohungserkennung und Monitoring SIEM hilft, Angriffe zu erkennen, die sich über mehrere Systeme und Tools erstrecken. Das ist in hybriden Umgebungen unerlässlich, in denen die Transparenz sonst fragmentiert ist. Untersuchung von Vorfällen und Forensik Tritt ein Vorfall ein, wird das SIEM zum Ausgangspunkt, um zu rekonstruieren, was passiert ist: welche Identitäten genutzt wurden, welche Systeme betroffen waren, welche Datenpfade beteiligt waren und wie lange der Angreifer präsent war. Compliance- und Audit-Berichte SIEM unterstützt die Compliance, indem es Logs aufbewahrt, Überwachungskontrollen nachweist und Berichte erstellt, die auf Standards und Vorschriften abgestimmt sind. Insider-Bedrohungen und Überwachung von Richtlinien Durch die Analyse ungewöhnlicher Aktivitätsmuster kann SIEM helfen, Richtlinienverstöße oder verdächtiges Verhalten legitimer Benutzer zu erkennen. Betriebliche Fehlersuche Sicherheitslogs können auch bei der Diagnose von Ausfällen und Konfigurationsproblemen helfen, insbesondere wenn Anwendungslogs und Infrastrukturtelemetrie zentral vorliegen. SIEM vs. Log-Management Log-Management-Systeme erfassen und speichern Logs für Suche, Fehlersuche und Aufbewahrung. SIEM baut auf dem Log-Management auf und ergänzt sicherheitsorientierte Fähigkeiten: Normalisierung und Anreicherung für den Sicherheitskontext Korrelations- und Erkennungslogik Alarmierungs-Workflows und Unterstützung bei der Triage Untersuchungswerkzeuge und Sicherheitsberichte Manche Plattformen verwischen die Grenze, doch SIEM definiert sich über seine Rolle in den Security Operations, nicht nur über die Speicherung. SIEM vs. SOAR SIEM und SOAR ergänzen sich: SIEM konzentriert sich auf die Erfassung und Analyse von Ereignissen, um Vorfälle zu erkennen SOAR automatisiert Reaktionsmaßnahmen und Workflows, etwa das Isolieren von Endpunkten, das Deaktivieren von Konten oder das Anreichern von Alarmen mit zusätzlichem Kontext In ausgereiften Umgebungen erkennt und umreißt SIEM Vorfälle, während SOAR hilft, Reaktions-Playbooks konsistent auszuführen. Warum SIEM im großen Maßstab schwierig wird Im großen Maßstab wird der Betrieb eines SIEM deutlich komplexer – wegen des anhaltenden Wachstums der Log-Volumina und der Notwendigkeit, gezielte, mehrstufige Angriffe zu untersuchen. Log-Volumina wachsen schneller als Budgets Cloud- und Container-Ökosysteme erzeugen mehr Telemetrie als klassische Infrastruktur. Identitätssysteme protokollieren jeden Authentifizierungsschritt. APIs erzeugen Audit-Ereignisse. Anwendungen erzeugen detaillierte Zugriffsprotokolle. Mit wachsenden Umgebungen steigen die Kosten und der Betriebsaufwand für die Aufnahme und Analyse all dieser Daten schnell. Ingestion-basierte Preise erzwingen Kompromisse Viele SIEM-Plattformen rechnen nach Aufnahme- oder Verarbeitungsvolumen ab. Das führt zu einem schwierigen Zielkonflikt: alles aufnehmen und mehr bezahlen – oder weniger aufnehmen und Lücken in der Transparenz in Kauf nehmen. Unternehmen reagieren darauf häufig, indem sie: Aufbewahrungsfenster in den Analyseebenen verkürzen Quellen mit hohem Volumen nur stichprobenartig erfassen oder weglassen Bestimmte Systeme ausschließen, bis sie benötigt werden Diese Entscheidungen können aus Kostensicht vernünftig sein, beeinträchtigen aber die Erkennungsabdeckung und die Vollständigkeit von Untersuchungen. Alarmmüdigkeit wird zum strukturellen Problem Mit wachsenden Datenmengen können verrauschte Erkennungen Analysten überfordern. Ohne konsequentes Tuning und Governance erzeugt das SIEM zu viele Alarme mit geringer Aussagekraft, was die Reaktion verlangsamt und das Risiko erhöht. Untersuchungen brauchen mehr als „aktuelle Daten“ Angreifer bleiben oft länger in Umgebungen, als Teams erwarten. Untersuchungen können erfordern, Wochen oder Monate zurückzugehen, um Fragen zu beantworten wie: Wann hat sich der Angreifer erstmals Zugang verschafft? Welche Anmeldedaten wurden verwendet? Welche Wege für laterale Bewegungen wurden genutzt? Auf welche Daten wurde zugegriffen oder welche wurden exfiltriert? Das steigert den Bedarf an längerer Aufbewahrung und besserem Zugriff auf historische Logs. Vertrauen wird so wichtig wie Erkennung Bei echten Vorfällen brauchen Teams nicht einfach nur Logs – sie brauchen Logs, denen sie vertrauen können. In einem realen Forensikszenario, das ein Serviceteam aus der Zusammenarbeit mit einem Industriehersteller schilderte, bemerkte das Unternehmen zunächst ein kleines Exfiltrationssignal von einem einzelnen Server. Innerhalb einer Stunde änderten sich unerwartet Firewall-Regeln, und die Exfiltration setzte wieder ein – ein Hinweis auf eine umfassendere Kompromittierung. Als die Reaktion ausgeweitet wurde, mussten die Ermittler klären, was im gesamten Netzwerk geschehen war, einschließlich der Identitätssysteme und der Infrastruktur. Sofort stellte sich eine zentrale Frage: Auf welche Datenquellen konnte man sich als wahrheitsgetreue Beweise verlassen? In kompromittierten Umgebungen lassen sich Repositorys auf universellen Systemen nur schwer validieren. Das Response-Team behandelte unveränderlichen Objektspeicher als belastbare Quelle der Wahrheit für Backups und Log-Beweise, weil er isoliert und gegen Veränderung geschützt war. Diese Klarheit half, den forensischen Ausgangspunkt einzugrenzen, und unterstützte die Untersuchung. Das ist eine praktische Erinnerung: Die Wirksamkeit eines SIEM hängt nicht nur von Analysen ab, sondern auch davon, ob Unternehmen während und nach einem Angriff vertrauenswürdige Beweise sichern können. Warum die Log-Aufbewahrung für SIEM und Forensik wichtig ist Aufbewahrung wird oft als Compliance-Pflichtpunkt behandelt, ist aber auch eine betriebliche Sicherheitsanforderung. Erkennung und Untersuchung folgen unterschiedlichen Zeitrahmen Echtzeit-Monitoring konzentriert sich auf Minuten und Stunden. Untersuchungen können Wochen oder Monate an Historie erfordern. Ein SIEM-Programm muss beides unterstützen, ohne das Unternehmen zu zwingen, alle Daten in der teuersten Ebene vorzuhalten. Forensik erfordert Integrität, nicht Bequemlichkeit Bei forensischer Arbeit lautet die Frage nicht, ob die Daten „sauber“ sind, sondern ob sie genau das widerspiegeln, was zum jeweiligen Zeitpunkt existierte. Ermittler müssen sicher sein, dass die Beweise nicht verändert, überschrieben oder gelöscht wurden. Deshalb ist Unveränderlichkeit wichtig: Sie unterstützt die Beweismittelkette für Sicherheitsbeweise und trägt dazu bei, dass Angreifer genau die Logs nicht entfernen können, die zum Verständnis ihres Vorgehens nötig sind. Ransomware verändert die Anforderungen an den Speicher Bei Ransomware- und Erpressungsvorfällen versuchen Angreifer oft, das Monitoring zu deaktivieren und Backups zu löschen. Sie entfernen womöglich auch Logs, um die Untersuchung zu verlangsamen. Eine Aufbewahrung auf veränderbaren Systemen wird unter feindlichen Bedingungen fragil. Eine wirksame SIEM-Strategie geht davon aus, dass Teile der Umgebung kompromittiert sein können, und plant, wie Logs trotzdem gesichert und zugänglich bleiben. Skalierung erzwingt eine architektonische Trennung Bei hohem Volumen trennen viele Unternehmen: Hot Analytics für aktuelle Daten, die schnelle Suche und Korrelation erfordern Dauerhafte Aufbewahrung für historische Daten, die für Forensik, Audits und langwierige Untersuchungen benötigt werden Bei dieser Trennung geht es nicht nur um Kosten. Es geht darum, dass das Unternehmen Beweise über lange Zeiträume aufbewahren kann, ohne die Analyseinfrastruktur untragbar zu belasten. Zugriffsmuster sind bei Untersuchungen entscheidend Bei Vorfällen benötigen Ermittler oft Tausende kleiner Log-Dateien aus vielen Systemen und Zeitfenstern. Ein Speicher, der auf sequenziellen Zugriff optimiert ist, kann zum Engpass werden. Aufbewahrungsstrategien müssen die Zugriffsmuster von Untersuchungen berücksichtigen, nicht nur die Anforderungen an Archive. Bereitstellungsmodelle: On-Premises, Cloud und hybrid SIEM-Bereitstellungen lassen sich im Allgemeinen drei Modellen zuordnen. On-Premises-SIEM Ein On-Premises-SIEM bietet direkte Kontrolle und kann strenge Anforderungen an die Datenresidenz erfüllen, erfordert aber in der Regel erheblichen Betriebsaufwand, um Speicher, Rechenleistung und Pipelines zu skalieren. Cloud-natives SIEM Cloud-SIEM-Dienste verringern den Aufwand für das Infrastrukturmanagement und können schnell skalieren, insbesondere in Umgebungen, die bereits stark auf Cloud-Plattformen und Cloud-Log-Quellen setzen. Hybrides SIEM Viele Unternehmen arbeiten hybrid und nehmen Logs aus On-Premises-Systemen und Cloud-Diensten auf. In diesen Umgebungen werden Integration und eine konsistente Data Governance entscheidend. Best Practices für den wirksamen Einsatz von SIEM Unternehmen, die dauerhaft Nutzen aus SIEM ziehen, behandeln es meist als fortlaufendes Programm. Praxisnahe Best Practices sind: Mit priorisierten Anwendungsfällen beginnen, die an reale Risiken geknüpft sind Zuerst hochwertige Datenquellen aufnehmen (Identität, Netzwerkrand, Endpunkte, Cloud-Audit) Ereignisse früh normalisieren und anreichern, um die Qualität der Korrelation zu verbessern Erkennungen kontinuierlich abstimmen, um Rauschen zu verringern Aufbewahrungsanforderungen sowohl an der Compliance als auch an der forensischen Realität ausrichten Sicherstellen, dass Log-Beweise vor Manipulation und Löschung geschützt sind Die Abdeckung von Monitoring und Backups prüfen, damit kritische Daten nicht unbemerkt ausgeschlossen werden SIEM in die Prozesse der Incident Response einbinden, damit Untersuchungen einheitlichen Workflows folgen Die Zukunft von SIEM SIEM entwickelt sich weiter, da Umgebungen verteilter werden und die Telemetrie-Volumina steigen. Gängige Entwicklungen sind: Mehr identitätszentrierte Erkennungen und Zugriffsanalysen Stärkere Nutzung von Verhaltensmodellen neben Regeln Größere Abhängigkeit von Streaming-Pipelines und flexiblen Speicherebenen Stärkerer Fokus auf Datenökonomie und betriebliche Einfachheit Eine explizitere Integration von Erkennung, Reaktion und Aufbewahrung von Beweisen Über all diese Trends hinweg bleibt ein Thema konstant: SIEM ist letztlich ein Datenproblem. Die Fähigkeit, zu erkennen, zu untersuchen und nachzuweisen, was geschehen ist, hängt davon ab, die richtigen Daten zu erfassen, sie angemessen aufzubewahren und ihre Integrität zu sichern. Fazit SIEM, also Security Information and Event Management, zentralisiert und analysiert Logs und Ereignisse, damit Unternehmen Bedrohungen erkennen, Vorfälle untersuchen und die Compliance unterstützen können. Dazu erfasst es Daten aus der gesamten Umgebung, normalisiert und reichert sie an und wendet Korrelation und Analysen an, um verdächtiges Verhalten zu identifizieren. Im großen Maßstab hängt der Erfolg von SIEM von mehr ab als von Erkennungen und Dashboards. Log-Volumina, Aufbewahrungsanforderungen und feindliche Bedingungen während Vorfällen bringen praktische Einschränkungen mit sich, die eingeplant werden müssen. Unternehmen, die SIEM sowohl als Analysefähigkeit als auch als Strategie zur Sicherung von Beweisen verstehen, sind besser aufgestellt, um bei Vorfällen wirksam zu reagieren.
