Wie funktioniert ein SIEM?
Server, Clients, Firewalls, Cloud-Dienste und Anwendungen liefern Protokolle. Ein SIEM normalisiert und korreliert ausgewählte Ereignisse. Regeln oder Verhaltensmodelle können ungewöhnliche Abfolgen markieren. Ob ein Alarm tatsächlich einen Angriff zeigt, muss im Kontext bewertet werden.
Was ist eine realistische Erwartung?
Ein SIEM ist kein selbsttätiger Schutzschild. Datenquellen, Aufbewahrung, Regeln, Berechtigungen und Alarmwege benötigen Pflege. Fehlende Telemetrie kann Angriffe unsichtbar machen; unpassende Regeln können zu vielen Fehlalarmen führen.
Selbst betreiben oder als Service?
Die Entscheidung hängt von Umfang, Fachwissen, Betriebszeiten und Reaktionsbedarf ab. Ein betreuter Dienst kann Analyse und Erstreaktion übernehmen, muss aber klar mit dem eigenen Incident-Response-Plan verbunden sein. Leistungsumfang und Reaktionsrechte sind vertraglich zu prüfen. Mehr dazu im Beitrag zu Managed Services.
Zuletzt aktualisiert: 22. August 2026