SOC vs. SIEM: Unterschiede und wie sie sich ergänzen

SOC und SIEM sind zentrale Bausteine der IT-Sicherheit und werden häufig im selben Atemzug genannt. Auch wenn sich die beiden Konzepte gut ergänzen, sind sie doch nicht identisch. In diesem Artikel betrachten wir die wichtigsten Unterschiede, aber auch das Zusammenspiel der Systeme. Außerdem geben wir konkrete Tipps, wie Sie Ihre IT-Sicherheit mit einem SIEM bzw. SOC verbessern können.

Was ist ein SOC?

Die Abkürzung SOC steht für „Security Operations Center“. Es bezeichnet ein Team von Sicherheitsexperten, das sämtliche Systeme rund um die Uhr überwacht. Dafür kommen verschiedene Monitoring-Tools zum Einsatz, unter anderem SIEM-Systeme. Wird ein Sicherheitsvorfall registriert, werden sofort sämtliche relevanten Stakeholder informiert. Das hilft, Bedrohungen im Keim zu ersticken, bevor sie größeren Schaden anrichten können.

Das Monitoring der Systeme ist die Kernaufgabe jedes SOCs. Es erfolgt eine 24/7-Überwachung von Logs, Events und Netzwerkverkehr. Wird eine Anomalie erkannt, muss zunächst geprüft werden, ob die Gefahr real ist und wie groß sie ist. Besteht hier Gewissheit, erfolgt die Benachrichtigung der Stakeholder.

Es gibt aber auch SOC-Teams, die zusätzlich erste Gegenmaßnahmen einleiten, zum Beispiel Benutzerkonten sperren oder Systeme isolieren. Einige SOCs übernehmen sogar den kompletten Remediations-Prozess. Sie sorgen also für die nachhaltige Beseitigung der Schwachstelle.

Zu den Kernaufgaben eines SOCs zählen somit:

• Monitoring → das SOC überwacht fortlaufend sämtliche Systeme (24/7)

• Threat Intelligence → das SOC behält den Überblick über die sich ständig verändernde Bedrohungssituation, indem zum Beispiel neue Threat-Intelligence-Feeds in die Systeme eingebunden werden

• Policy-Durchsetzung → das SOC sorgt dafür, dass Sicherheitsrichtlinien über sämtliche Systeme hinweg durchgesetzt werden

• Incident Response (optional) → je nach SOC-Modell übernehmen die Sicherheitsexperten auch Remediations-Maßnahmen

Es gibt interne und externe SOCs. Interne SOCs werden tendenziell häufiger von großen Unternehmen betrieben, während KMU meist auf SOC-Services von externen Providern zurückgreifen. Managed SOCs konzentrieren sich normalerweise auf das Monitoring und die Alarmierung, während Incident Response und Remediation intern erfolgen.

In der Vergangenheit saßen sämtliche SOC-Teammitglieder in einem Raum mit einem zentralen Monitoring-Terminal, über dessen Bildschirme sich alle Daten schnell erfassen ließen. Es handelte sich also um ein Leitstellen-Setup, wie man es von der Polizei kennt.

Mittlerweile werden SOC-Dienste meist verteilt erbracht. Das heißt, die SOC-Mitglieder sitzen nicht länger notwendigerweise im selben Raum oder befinden sich noch nicht einmal in derselben Zeitzone.

Vorteile von SOCs

Hier sind die wichtigsten Vorteile von SOCs für Unternehmen.

24/7-Überwachung

Ein SOC überwacht Ihre Systeme rund um die Uhr, also auch abends, nachts und an den Wochenenden. Genau dann schlagen Angreifer gerne zu, weil die reguläre IT-Mannschaft nicht am Platz ist.

Schnelle Reaktion

Ein SOC hilft dabei, Threats frühzeitig zu erkennen. So können Bedrohungen im Keim erstickt werden, bevor sie größeren Schaden anrichten.

Zugriff auf Spezialisten

IT-Security-Spezialisten sind schwer zu finden, Stichwort IT-Fachkräftemangel. Mit einem externen SOC erhalten Sie sofort Zugriff auf einen Pool von Experten.

Compliance

Die regulatorischen Anforderungen an Unternehmen steigen ständig (NIS-2, DORA). Ein SOC hilft dabei, diese Anforderungen zu erfüllen.

Fortlaufende Optimierung

Nach einem Vorfall analysieren die SOC-Experten, wie es dazu kommen konnte. Diese Erkenntnisse fließen in zukünftige Sicherheitsmaßnahmen ein.

Was ist ein SIEM?

SIEM steht für „Security Information and Event Management“. Es handelt sich um eine Monitoring-Lösung, die Daten aus verschiedenen Quellen aggregiert. Klassischerweise arbeiten SIEMs regelbasiert, was einen relativ hohen Konfigurationsaufwand mit sich bringt. Mittlerweile hat jedoch auch hier die KI-Revolution Einzug gehalten, sodass Regeln auch automatisch erstellt werden können.

Zu den Kernaufgaben eines SIEMs zählen:

• Log-Management → das SIEM sammelt und speichert Log-Daten aus verschiedenen Quellen

• Event-Korrelation → das SIEM erkennt Muster und macht Anomalien aus, welche auf Bedrohungen hindeuten könnten

• Incident Detection → das SIEM setzt automatisch Alarme ab, basierend auf im Vorfeld festgelegten Regeln

• Compliance-Reporting → das SIEM hilft dabei, regulatorische Vorgaben zu erfüllen, zum Beispiel was die Speicherung von Log-Daten angeht

Es wird zwischen On-Prem-SIEMs und Cloud-SIEMs unterschieden. Bei einem On-Prem-SIEM haben Sie volle Kontrolle über Ihre Daten. Allerdings müssen Sie zuerst die benötigte Hardware anschaffen und den Betrieb selbst übernehmen. Bei einem Cloud-SIEM übernimmt der Provider die Bereitstellung und gegebenenfalls auch den Betrieb (Managed SIEM). Allerdings müssen Sie hier darauf achten, dass Compliance-Anforderungen eingehalten werden, insbesondere wenn Sie mit US-amerikanischen Anbietern zusammenarbeiten.

Der Begriff „SIEM“ geht auf die Gartner-Analysten Mark Nicolett und Amrit Williams zurück. Er stellt eine Kombination aus zwei vorhergehenden Technologien dar: SIM (Security Information Management) und SEM (Security Event Management).

Vorteile von SIEMs

Ein SIEM bietet Ihrem Unternehmen verschiedene Vorteile.

Datenkonsolidierung

Ein SIEM sammelt Log-Daten aus unterschiedlichen Quellen und führt sie in einem zentralen Interface zusammen.

Ereigniskorrelation

Ein SIEM erkennt komplexe Angriffsmuster, die menschlichen Sicherheitsexperten vielleicht entgehen würden.

Anpassbarkeit

SIEMs können für jedes erdenkliche Szenario konfiguriert werden. Sie können genau festlegen, was eine Aktion triggert, zum Beispiel wie viele gescheiterte Anmeldeversuche einen Alarm auslösen.

Integrationen

SIEMs sind sehr integrationsfreundlich. Fast jede erdenkliche Datenquelle kann eingebunden werden. Zudem kann das SIEM auch andere Systeme benachrichtigen, zum Beispiel Ticketing-Systeme.

Datenaufbewahrung

Ein SIEM speichert Log-Daten über einen langen Zeitraum hinweg. Das hilft bei forensischen Analysen und Reporting-Anforderungen.

SOC vs. SIEM – die 7 Hauptunterschiede

Hier die wichtigsten Unterschiede zwischen SIEM und SOC auf einen Blick:

Kriterium	SIEM	SOC
Aufgabe:	Ein SIEM-System aggregiert Daten aus verschiedenen Quellen und macht Anomalien aus.	Ein SOC-Team überwacht sämtliche Systeme eines Unternehmens rund um die Uhr. Dafür kommen eine Vielzahl von Tools zum Einsatz wie SIEMs, XDRs, EDRs etc. Zum Teil befassen sich SOCs auch mit der Bekämpfung von Threats.
Spektrum:	Konzentriert sich auf die Log-Analyse.	Bietet einen deutlich umfassenderen Blick auf die Sicherheitslage des Unternehmens – einschließlich Threat Intelligence, Data Governance und Vulnerability Management.
Konfiguration:	Wird häufig als „Fertiglösung“ bezogen. Allerdings müssen die werkseitigen Regeln auf die eigene Infrastruktur angepasst werden. Trotzdem ist der Konfigurationsaufwand im Vergleich zu einer SOC-Lösung überschaubar.	Ein SOC umfasst eine Vielzahl von Experten und verschiedenen Tools. Die Einführung ist entsprechend komplex: Systeme müssen aufeinander abgestimmt und Prozesse für die Zusammenarbeit etabliert werden.
Team-Anforderungen:	Der Betrieb eines SIEMs kann mit einem kleineren Team realisiert werden.	Ein SOC-Team umfasst deutlich mehr Teammitglieder. Zum einen, weil der Aufgabenbereich breiter ist und dementsprechend mehr unterschiedliche Experten benötigt werden. Zum anderen, weil die 24/7-Überwachung personell aufwendig ist.
Reifegrad:	Seit vielen Jahren etabliert. Es gibt eine große Auswahl an Anbietern und Produkten.	SOC-Teams sind ein vergleichsweise neuer (aber sehr effektiver) Ansatz, um die Cybersicherheit zu verbessern.
Kosten:	Die Preise variieren je nach Anbieter und Funktionsumfang – von wenigen Tausend bis zu mehreren Zehntausend Euro pro Jahr.	Auch SOC-Angebote variieren stark. Typischerweise liegen die Kosten aber deutlich höher als bei einem SIEM. Die Bandbreite reicht von mehreren Hunderttausend bis zu mehreren Millionen Euro pro Jahr.
Unternehmenskultur:	SIEMs sind primär eine technische Lösung, haben also keine allzu große Auswirkung auf die Unternehmenskultur, außer dass Verantwortlichkeiten definiert werden müssen.	SOCs sind ein „Teamsport“ und haben spürbar Einfluss auf die Unternehmenskultur. Sicherheitsprozesse müssen unternehmensweit neu gedacht und gelebt werden. Wird das SOC über einen externen Provider realisiert, muss dieser entsprechend ausgesteuert werden. Das erfordert gute Kommunikation.

SOC vs. SIEM: Welche Lösung ist die richtige?

Die Antwort auf diese Frage hängt von mehreren Faktoren ab. Möchte das Unternehmen lediglich Threat Hunting betreiben, könnte bereits eine SIEM-Lösung ausreichen. Häufig spielen auch Budget-Überlegungen eine Rolle: Für kleinere Unternehmen stellt vielleicht schon ein SIEM eine beträchtliche Investition dar, während ein SOC finanziell einfach nicht darstellbar ist.

Für mittelgroße und große Unternehmen ist ein SOC dagegen fast immer die bessere Option. Ihre Security-Anforderungen sind so komplex, dass ein einziges Tool nicht ausreicht, insbesondere im Hinblick auf Advanced Vulnerability Scanning und Schwachstellenmanagement.

Vor allem kaufen Unternehmen mit einem SOC nicht nur einen leistungsfähigen Tech-Stack ein (inklusive SIEM), sondern auch ein Team von menschlichen Experten, die schnell und rund um die Uhr auf Bedrohungen reagieren können.

Im Idealfall – beides

Im Idealfall handelt es sich bei „SIEM vs. SOC“ nicht um eine Entweder-oder-Entscheidung. Vielmehr sind beide technisch und operativ eng verzahnt und sollten zusammen eingesetzt werden.

Das SIEM agiert gewissermaßen als das Gehirn für die Mustererkennung. Es macht komplexe Korrelationen aus, die ohne SIEM vielleicht übersehen worden wären – etwa wenn sich ein User gleichzeitig aus zwei Regionen einloggt oder plötzlich große Datenmengen exportiert.

Doch das SIEM reagiert nicht selbst – dafür ist das SOC zuständig. Alarme müssen überprüft und eingeordnet werden. Außerdem müssen natürlich bei einem Vorfall Gegenmaßnahmen ergriffen werden.

Dafür bedarf es menschlicher SOC-Analysten. Sie evaluieren einen SIEM-Alarm, ziehen zusätzliche Datenquellen zu Rate und entscheiden, ob eine Eskalation notwendig ist.

Es handelt sich also um eine symbiotische Beziehung:

• Ohne SIEM hätte das SOC keine konsolidierte Datenbasis. Es müsste manuell sämtliche Systeme durchgehen.

• Ohne SOC wäre das SIEM nur ein Dashboard mit Warnlichtern. Es würde keine konkreten Maßnahmen einleiten.

Weitere Abgrenzungen

Es gibt weitere technische Abkürzungen aus dem Bereich Incident Detection, die manchmal für Verwirrung sorgen. Hier eine schnelle Übersicht:

EDR

EDR steht für „Endpoint Detection and Response“. Wie der Name andeutet, konzentriert sich dieses Security-Tool auf die Überwachung von Endgeräten – also PCs, mobilen Endgeräten und Servern. Dagegen überwacht ein SIEM das gesamte Netzwerk, indem es eine Vielzahl von Log-Quellen ausliest – nicht nur Endpunkte.

XDR

XDR steht für „Extended Detection and Response“. Die Lösung bezieht neben Endgeräten auch andere Systeme wie Server, E-Mail und Cloud-Dienste ein. Anders als ein SIEM ist ein XDR meist stärker vorkonfiguriert, also eine Art „Out of the Box“-Lösung. Allerdings ist ein XDR meist weniger anpassbar als ein SIEM.

MDR

MDR und SOC werden oft synonym verwendet. Sie sind aber streng genommen nicht identisch. Ein SOC bezeichnet eine Organisationseinheit, welche die IT-Systeme überwacht. Dabei kann es sich um ein internes oder externes Team handeln. MDR (Managed Detection and Response) bezeichnet immer einen ausgelagerten Service: Ein externer Provider übernimmt die Angriffserkennung und Reaktion.

Welche Herausforderungen existieren?

Die Einbindung eines SIEMs geht mit gewissen Herausforderungen einher, gerade wenn das SIEM Teil einer umfassenden SOC-Strategie ist.

Datennormalisierung

Ein SIEM bezieht Rohdaten von verschiedenen Quellen wie Firewalls, Endpoints und Active Directory. Doch ohne einheitliche Formate lassen sich diese Daten nicht sinnvoll korrelieren. Das kann zu Fehlalarmen führen oder – im schlimmsten Fall – dazu, dass kritische Vorfälle zu spät erkannt werden.

Tipp: Verwenden Sie standardisierte Log-Formate wie Syslog, CEF oder JSON. Definieren Sie Dateiformat-Anforderungen für alle Systeme, die Daten an das SIEM senden. Dokumentieren Sie diese Maßnahmen in einem zentralen Logging-Konzept. Nicht zuletzt: Testen Sie regelmäßig, ob die Logs korrekt eingehen.

Alarmmüdigkeit

Viele SIEM-Systeme generieren eine Vielzahl von Alarmen, aber nur ein kleiner Teil stellt eine tatsächliche Bedrohung dar. Diese zu sensiblen oder falschen Alarme beruhen auf Konfigurations-Schwächen. Das SIEM wurde nicht feinjustiert. Das resultiert in Alarmmüdigkeit beim SOC-Team.

Tipp: Starten Sie mit wenigen, klar umrissenen Threat-Szenarien. Greifen Sie sich ein bis zwei besonders kritische Bedrohungen heraus, zum Beispiel das Lateral Movement von Angreifern. Erstellen Sie alle Regeln nur für dieses Szenario und testen Sie diese gründlich. Befolgen Sie den unten abgebildeten Optimierungsprozess. Erst danach nehmen Sie sich den nächsten Threat vor.

Fehlende Optimierung

Viele SIEM-Regeln werden einmalig erstellt, aber danach nicht mehr angepasst. Dabei ändern sich Angriffsvektoren ständig.

Tipp: Überprüfen Sie Ihre SIEM-Regeln in festen Abständen, zum Beispiel einmal pro Monat. Analysieren Sie, welche Alarme hilfreich waren und welche sich als überflüssig erwiesen haben. Betrachten Sie insbesondere Bedrohungen, welche zunächst nicht erkannt wurden. Ziehen Sie für diese Überprüfungen mindestens einen weiteren Experten hinzu – nicht nur den ursprünglich Verantwortlichen. Dokumentieren Sie sämtliche Änderungen, um Sie später nachvollziehen zu können.

Unklare Verantwortlichkeiten

Ein SIEM ist ein mächtiges Security-Werkzeug – aber nur, wenn es ein Team gibt, das effektiv mit diesem Werkzeug umgehen kann. Dabei geht es nicht nur um Know-how-Fragen, sondern auch um Zuständigkeiten: Wer beurteilt, ob ein Alarm weiter verfolgt werden muss oder nicht? Wer eskaliert Vorgänge? Wer übernimmt die Incident Response? Wenn diese Fragen nicht geklärt wurden, hilft das beste Tool nichts.

Tipp: Versammeln Sie alle Sicherheits-Experten in einem Raum – physisch oder virtuell – und sprechen Sie sämtliche Prozesse durch. Halten Sie schriftlich fest, wer für welche Aufgaben zuständig ist. Diese Übung sollten Sie auch dann durchführen, wenn Sie mit einem externen Provider zusammenarbeiten. Auch hier gibt es noch Prozesse, die intern geregelt werden müssen.

Integrationsprobleme

Ein SOC wird ein SIEM kaum isoliert verwenden. Fast immer kommen zusätzlich XDR-, SOAR- und Ticketing-Systeme zum Einsatz. Diese Tool-Vielfalt kann unter Umständen zu Integrationsproblemen führen: Datenformate sind inkompatibel, APIs für die Anbindung fehlen oder Automatisierungen schlagen fehl.

Tipp: Achten Sie bei der Tool-Auswahl auf offene Standards. Erstellen Sie dafür eine Übersicht der vorhandenen Schnittstellen, noch bevor Sie die Tools anschaffen. Lassen Sie sich vom Hersteller live demonstrieren, wie Automatisierungen eingerichtet werden können. Unter Umständen lässt Sie auch eine Testphase aushandeln. So können Sie ohne Risiko testen, ob das anvisierte Tool mit der bestehenden Umgebung kompatibel ist.

Fehlendes Know-how

Der interne Betrieb eines SIEMs oder gar eines SOCs kann schnell überfordern. Die internen IT-Experten sind naturgemäß meist Generalisten. Für die Konfiguration eines SIEMs oder den Betrieb eines SOCs sollten Sie jedoch besser auf Security-Spezialisten zurückgreifen, die solche Vorgänge jeden Tag abwickeln.

Tipp: Erwägen Sie die Zusammenarbeit mit einem Managed-Security-Services-Provider (MSSP). Diese Experten sind mit sämtlichen SIEMs am Markt vertraut und unterstützen Sie bei der Auswahl der richtigen Lösung. Außerdem übernehmen Sie auf Wunsch auch das komplette Monitoring Ihrer Systeme und das rund um die Uhr. Das erlaubt es Ihrem Team, sich voll auf das Tagesgeschäft zu konzentrieren.

Interessant: Managed Services erfreuen sich wachsender Beliebtheit – bereits 85 Prozent aller Unternehmen nutzen entsprechende Angebote. Dabei berichten 7 von 10 Unternehmen, dass Managed Services ihre Erwartungen übertroffen haben.

Verbessern Sie Ihre IT-Security – mit Proact!

Ob eigenständiges SIEM oder vollumfängliches SOC – wir unterstützen Sie bei der Umsetzung. Unsere Proact-Experten verfügen über langjährige Erfahrung in beiden Bereichen. Gemeinsam mit Ihnen entwickeln wir eine Sicherheitslösung, die zu Ihrem Unternehmen passt. Dabei setzen wir auf einen bewährten, vierstufigen Prozess.

1. Bedarfsanalyse

Im ersten Schritt finden wir heraus, welche Sicherheitsziele Sie verfolgen. Dafür arbeiten wir eng mit Ihrer Inhouse-Abteilung zusammen und hören genau zu. Wir analysieren, welche Sicherheitsmaßnahmen Sie bereits umgesetzt haben und wo aktuell noch Schwachstellen bestehen.

2. Strategie

Im zweiten Schritt entwerfen wir eine maßgeschneiderte Sicherheitsstrategie für Ihr Unternehmen. Beispielsweise wählen wir eine SIEM-Lösung für Sie aus, die gut skaliert, sich schnell integrieren lässt und auf Wunsch auch on-prem betrieben werden kann. Für weitergehende Anforderungen bieten wir Ihnen das Proact SOC, das Ihre Systeme rund um die Uhr überwacht. Natürlich berücksichtigen wir in beiden Fällen Ihre Prozesse, Compliance-Anforderungen und den Budgetrahmen.

3. Implementierung

Nun geht es an die technische Umsetzung. Wir übernehmen die Migration, integrieren neue Komponenten und passen die bestehenden Systeme an. Dabei achten wir darauf, dass der laufende Geschäftsbetrieb so wenig wie möglich beeinträchtigt wird.

4. Betrieb & Optimierung

Auch nach der erfolgreichen Einführung lassen wir Sie nicht alleine. Wir übernehmen das Monitoring, spielen Updates auf und beantworten Support-Anfragen. Falls Sie sich für ein Managed SIEM oder Managed SOC entschieden haben, übernehmen wir den kompletten Betrieb. Zudem halten wir Sie fortlaufend über neue Bedrohungsszenarien auf dem Laufenden, zum Beispiel indem wir Threat Intelligence Feeds einpflegen.

Kurz gesagt – Proact ist Ihr Rundum-Sorglos-Security-Partner.

Das klingt interessant? Dann kontaktieren Sie uns jetzt für ein kostenloses Beratungsgespräch. Wir freuen uns schon, von Ihnen zu hören!