Was ist ein SIEM?

SIEM einfach erklärt

SIEM steht für Security Information and Event Management. Dahinter steckt eine einfache Idee: Fast jedes IT-System führt ein Protokoll – ein digitales Logbuch, das festhält, wer sich wann angemeldet hat, welche Datei geöffnet wurde oder welche Verbindung die Firewall blockiert hat. Diese Einträge heißen Logs. Jedes System erzeugt davon große Mengen. Ein SIEM führt sie zusammen und wertet sie gemeinsam aus.

Ein Vergleich aus dem Alltag: Stellen Sie sich die Leitstelle eines Sicherheitsdienstes vor, bei der die Signale aller Kameras, Türkontakte und Bewegungsmelder eines Gebäudes zusammenlaufen. Ein geöffnetes Fenster allein ist unauffällig. Ein geöffnetes Fenster nachts um drei, gefolgt von Bewegung im Serverraum, ist es nicht. Genau solche Zusammenhänge erkennt ein SIEM – nur eben in Ihrer IT.

So funktioniert ein SIEM

1. Sammeln: Das SIEM empfängt Logs aus vielen Quellen – von Firewalls, Servern, Anmeldediensten wie dem Active Directory, VPN-Zugängen für das mobile Arbeiten, Cloud-Diensten und Schutzlösungen für Laptops und Server, etwa EDR.
2. Vereinheitlichen: Jedes System schreibt seine Logs in einem eigenen Format. Das SIEM bringt sie in eine einheitliche Form, damit sie vergleichbar werden.
3. Verknüpfen: Regeln und Analysen setzen Ereignisse aus verschiedenen Quellen zueinander in Beziehung. Ein Beispiel: viele fehlgeschlagene Anmeldungen, dann eine erfolgreiche – und kurz darauf ein neues Administratorkonto.
4. Alarmieren: Erkennt das SIEM ein verdächtiges Muster, erzeugt es einen Alarm, den Fachleute bewerten – oft in einem Security Operations Center (SOC), einem auf Überwachung spezialisierten Team.
5. Speichern: Die Daten werden über einen festgelegten Zeitraum aufbewahrt, damit sich auch Wochen später noch nachvollziehen lässt, was geschehen ist.

Entscheidend ist: Ein SIEM ist nur so gut wie die angebundenen Datenquellen, die hinterlegten Regeln und die Menschen, die die Alarme bearbeiten. Ein SIEM, dessen Alarme niemand auswertet, gleicht einer Leitstelle, in der niemand sitzt.

Ein Beispiel aus der Praxis

Ein Personaldienstleister mit mehreren Niederlassungen hat Firewall, VPN, Anmeldedienste und Dateiserver an ein SIEM angebunden. An einem Samstagmorgen meldet sich das Benutzerkonto einer Sachbearbeiterin per VPN an. Für sich genommen ist das unauffällig – Beschäftigte arbeiten auch mal am Wochenende.

Kurz darauf werden über dieses Konto jedoch in wenigen Minuten Tausende Bewerbungsunterlagen vom Dateiserver kopiert. Das SIEM verknüpft beide Ereignisse und alarmiert den Bereitschaftsdienst des IT-Dienstleisters. Das Konto wird gesperrt, die Verbindung getrennt. Die Untersuchung zeigt: Das Passwort stammte aus einer Phishing-Mail, und das Konto war nicht mit Multi-Faktor-Authentifizierung geschützt. Weil die Logs vollständig vorliegen, lässt sich genau bestimmen, welche Daten betroffen sind – wichtig für die Meldung an die Datenschutzaufsicht.

Warum ist das für Unternehmen wichtig?

Angreifer bleiben oft lange unentdeckt, weil einzelne Ereignisse harmlos wirken. Erst die Zusammenschau macht sie sichtbar. Je früher ein Angriff auffällt, desto eher lässt er sich stoppen, bevor Daten abfließen oder Systeme verschlüsselt werden.

Hinzu kommen Meldepflichten. Nach der DSGVO müssen Datenschutzverletzungen in vielen Fällen möglichst binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde gemeldet werden. Unternehmen, die unter NIS2 fallen, müssen erhebliche Sicherheitsvorfälle sogar binnen 24 Stunden mit einer frühen Erstmeldung an die gemeinsame Meldestelle von BSI und BBK melden. Melden kann aber nur, wer einen Vorfall erkennt. Betreiber kritischer Anlagen verpflichtet das BSI-Gesetz zudem ausdrücklich, Systeme zur Angriffserkennung einzusetzen – ein SIEM ist dafür ein typischer Baustein.

Weil Logs personenbezogene Daten enthalten, gehören Datenschutz und – falls vorhanden – der Betriebsrat von Anfang an zum Projekt.

Worauf Sie achten sollten

• Mit den wichtigsten Quellen beginnen: Binden Sie zuerst Anmeldedienste, Firewalls, VPN, E-Mail- und Cloud-Dienste sowie Ihren Endgeräteschutz an.
• Passende Regeln definieren: Legen Sie fest, welche Angriffsszenarien erkannt werden sollen, und passen Sie die Regeln an Ihre Umgebung an.
• Alarme bearbeiten: Klären Sie, wer Alarme bewertet – auch nachts und am Wochenende. Ohne eigenes Team bietet sich ein externer SOC-Dienst an.
• Fehlalarme reduzieren: Zu viele unwichtige Meldungen führen dazu, dass echte Alarme untergehen.
• Uhrzeiten synchronisieren: Alle Systeme sollten dieselbe, exakte Uhrzeit verwenden, sonst lassen sich Ereignisse nicht sauber verknüpfen.
• Aufbewahrung regeln: Legen Sie fest, wie lange Logs gespeichert werden – lang genug für die Aufklärung und im Einklang mit dem Datenschutz.

Wie Rootsektor unterstützt

Als Rapid7-Partner beraten wir Sie zu Incident Command (vormals InsightIDR), dem Next-Gen SIEM von Rapid7, und begleiten Auswahl, Einführung und Betrieb – von der Anbindung der Logquellen bis zum Nachschärfen der Erkennung. Ob Ihr SIEM einen realistischen Angriff überhaupt erkennt, prüfen wir mit Red Teaming & APT-Simulation. Kommt es zu einem Sicherheitsvorfall, werten wir im Rahmen der IT-Forensik Ereignisprotokolle sowie Daten aus SIEM- und EDR-Systemen aus und rekonstruieren, wie der Angreifer vorgegangen ist; ob Ihre Protokollierung dafür ausreicht, klären wir vorab im Rahmen von Forensic Readiness. Bei einem akuten Vorfall erreichen Sie uns unter +49 2932 465265-0 – außerhalb der Geschäftszeiten (Mo–Fr 08:00–17:00 Uhr) ist das unsere 24/7-Notfall-Hotline.