Was ist ein SIEM — in einem Satz?
Ein SIEM (Security Information and Event Management) sammelt die Sicherheits-Protokolle aller wichtigen Systeme — Firewall, Server, Microsoft 365, Netzwerk — an einem Ort, bewahrt sie revisionssicher auf und wertet sie im Zusammenhang aus: rund um die Uhr, durch ein Analysten-Team, nicht durch eine Inbox voller Warnmails.
Warum einzelne Alarme nicht genügen
Jedes Ihrer Systeme protokolliert bereits — die Firewall, der Server, die Cloud. Aber jedes sieht nur seinen Ausschnitt. Ein echter Angriff hinterlässt Spuren quer über mehrere Systeme: eine abgewiesene Anmeldung an der Firewall, zehn Minuten später eine erfolgreiche am Server, dann ein ungewöhnlicher Datenabfluss. Drei Systeme, drei unauffällige Einzelmeldungen — ein Muster, das nur sieht, wer alle drei nebeneinander legt.
Der zweite Grund ist unbequemer: Nachweispflicht. NIS-2, ISO 27001 und zunehmend auch Cyber-Versicherer verlangen nicht nur, dass protokolliert wird — sondern dass jemand auswertet und dass sich Vorfälle rekonstruieren lassen. Ein Log, das nach 30 Tagen überschrieben wird und das nie jemand gelesen hat, erfüllt das nicht.
Wer braucht das — und wer (noch) nicht?
Ehrliche Einordnung, weil dieser Baustein der ist, der am häufigsten zu früh verkauft wird:
- Braucht es: Unternehmen unter NIS-2 oder mit ISO-27001-/Kundenaudit-Pflichten. Unternehmen mit mehreren Standorten oder erhöhtem Schutzbedarf (Konstruktionsdaten, Patente, kritische Lieferketten-Rolle).
- Profitiert davon: Wer nach einem Vorfall je vor der Frage stand „was ist hier eigentlich passiert?” — und keine Antwort hatte.
- Braucht es meist noch nicht: Der 15-Personen-Betrieb ohne Regulierung. Dort liefern Endpoint-Schutz und Identitätsschutz den größten Schutz fürs Geld. Wir verkaufen die Reihenfolge, nicht das Maximum.
Was wir übernehmen
- Anbindung der relevanten Datenquellen — Firewall, Server, Microsoft 365, Netzwerk — an die zentrale Auswertung
- 24/7-Analyse durch das Analysten-Team; echte Vorfälle erreichen uns als qualifizierte Meldung, nicht als Rohdaten-Flut
- Aufbewahrung, mit der sich Vorfälle auch Monate später rekonstruieren lassen
- Die Audit-Antwort: Auf „Wie werten Sie Sicherheitsereignisse aus?” antworten Sie mit einem Verfahren, nicht mit einem Achselzucken
Abrechnung
Je angebundener Datenquelle und Monat, als eigene Position — wie jeder Baustein. Welche Quellen sich für Ihre Größe lohnen, legen wir in der Bestandsaufnahme fest — anfangen lässt sich klein, etwa mit Firewall und Microsoft 365.
Häufige Fragen
Ist das nicht Konzern-Technik? Das war es lange — als SIEM bedeutete: eigene Plattform, eigenes Personal, sechsstellig. Als Managed-Baustein je Datenquelle ist es heute auch für den Mittelstand bezahlbar. Ob es nötig ist, ist die bessere Frage — siehe oben.
Wir haben doch schon EDR — wozu noch SIEM? EDR sieht Geräte, ITDR sieht Konten. Das SIEM sieht, was dazwischen und drumherum passiert — Firewall, Server-Dienste, Netzwerk — und verbindet alles zu einem Bild. Es ist die dritte Schicht, nicht der Ersatz der ersten beiden.
Wie lange werden Protokolle aufbewahrt? Nach Vereinbarung, ausgerichtet an Ihren Pflichten (NIS-2, Versicherung, Audit). Die Aufbewahrungsdauer steht im Angebot — nicht im Kleingedruckten.