SIEM — Sicherheitsinformations- und Ereignis-Management

Ein SIEM sammelt, normalisiert und korreliert sicherheitsrelevante Logdaten aus dem gesamten Technologie-Stack zentral und löst daraus Alarme aus. Es ist die gemeinsame Datendrehscheibe für Detektion, Untersuchung und Nachweisführung — von Servern und Endpunkten über Netzwerk und Cloud bis zu Anwendungen. Ohne diese zentrale Sicht bleibt Sicherheitsüberwachung punktuell und blind für zusammenhängende Angriffsmuster.

Historie. Der Begriff SIEM wurde 2005 von Gartner geprägt und verschmolz zwei ältere Disziplinen: Security Information Management (langfristige Speicherung und Auswertung) und Security Event Management (Echtzeit-Korrelation und Alarmierung). Frühe Systeme waren teure, schwer zu betreibende Sammelpunkte; spätere Generationen ergänzten Verhaltensanalyse (UEBA), Cloud-Quellen und enge Kopplung an Automatisierung. Fakten. Die Kernfunktionen sind Datensammlung über Agenten und Schnittstellen, Normalisierung in ein gemeinsames Schema, Korrelation über Regeln und Signaturen (etwa im Sigma-Format), Alarmierung sowie revisionssichere Aufbewahrung für Forensik und Nachweispflichten. Ein SIEM ist nur so gut wie seine Datenqualität und seine Regeln: Ohne sauberes Onboarding der Quellen und gepflegte Use-Cases entstehen entweder Alarmfluten oder blinde Flecken. Bekannte Vertreter sind u. a. Splunk, Microsoft Sentinel, Elastic Security und das quelloffene Wazuh. Ausblick & Empfehlung. Mit NIS2 und der KRITIS-Pflicht zu Systemen der Angriffserkennung wird SIEM-Klasse-Sichtbarkeit faktisch verpflichtend. Der eigentliche Aufwand liegt jedoch nicht in der Anschaffung, sondern im Betrieb — kontinuierliches Tuning, Triage und Reaktion. Genau deshalb verlagern viele mittelständische Einrichtungen das SIEM in einen Managed-Service-Betrieb, wie ihn NEOSEC im Rahmen des XIEM-Modells anbietet.

Auch interessant