Wie ein SIEM die IT-Sicherheit Ihres Unternehmens verbessert

Die IT-Security-Lage wird zunehmend komplexer: Ransomware- und Phishing-Angriffe haben in den letzten Jahren stark zugenommen und auch DDoS-Attacken sind auf dem Vormarsch. Hinzu kommt die neue Bedrohung, die von KI ausgeht. Die Angreifer scrapen massenhaft Informationen über Mitarbeiter und nutzen diese für Social Engineering Attacks.

Gleichzeitig lösen sich traditionelle Netzwerk-Strukturen auf, weil Cloud-Dienste und Remote-Arbeitsmodelle den Perimeter abschaffen. Das resultiert in zusätzlichen Angriffsflächen.

Hier kommen SIEM-Lösungen (Security Information and Event Management) ins Spiel. Sie sammeln Log-Daten aus einer Vielzahl von Quellen und korrelieren diese in Echtzeit. Treten Anomalien auf, setzt das System eine Warnmeldung ab. Auf diese Weise können Angriffe sehr früh erkannt werden – bevor sie größeren Schaden anrichten.

In diesem Artikel betrachten wir die Funktionsweisen und Vorteile von SIEM-Systemen, gehen auf Unterschiede zu anderen Tools ein und geben praktische Tipps für die Einführung.

Definition: Was ist SIEM?

SIEM steht für „Security Information and Event Management“. Es handelt sich um eine Sicherheitslösung, mit der sich IT-Bedrohungen frühzeitig erkennen und analysieren lassen.

SIEMs überwachen die Systeme in Echtzeit. Über ein zentrales Interface können Sicherheitsdaten aus unterschiedlichen Quellen leicht nachverfolgt und protokolliert werden. Zu diesen Quellen gehören beispielsweise:

• Server
• Firewalls
• Anwendungen
• Endgeräte

Mithilfe von UEBA-Funktionen (User and Entity Behavior Analytics) können auffällige Verhaltensmuster von Nutzern und Geräten ausgemacht werden. Zudem haben SIEM-Tools in den letzten Jahren stark von den Entwicklungen im Bereich KI profitiert. Anomalien werden jetzt noch schneller erkannt, sogar ohne dass vorher händisch Korrelationsregeln definiert werden müssen.

Einige moderne SIEMs haben auch SOAR-Funktionen (Security Orchestration, Automation and Response) integriert. Sie können aktiv Gegenmaßnahmen ergreifen, zum Beispiel Benutzerkonten sperren. Klassischerweise dienen SIEMs aber der Früherkennung.

SIEMs werden insbesondere von Security Operation Centers (SOCs) eingesetzt. Diese Sicherheits-Leitstellen überwachen die Systeme eines Unternehmens rund um die Uhr. SOCs können inhouse betrieben oder über einen externen Provider wie Proact (siehe Proact SOC) realisiert werden.

SIEMs tragen wesentlich dazu bei, gesetzlichen Compliance-Anforderungen wie NIS-2 oder DORA gerecht zu werden. Das betrifft nicht nur das Monitoring, sondern auch das Reporting und die Speicherung von Log-Dateien, insbesondere im Kontext von IT-Audits.

SIEM ist eine Synthese aus zwei Technologien: SIM (Security Information Management) und SEM (Security Event Management). Der neue Begriff SIEM wurde 2005 durch zwei Gartner-Analysten, Mark Nicolett und Amrit Williams, geprägt.

On-Prem vs. Cloud

SIEM-Systeme können sowohl über die (Hybrid) Cloud bezogen als auch on-prem betrieben werden. Der Unterschied ist nicht nur technischer Natur. Gerade für deutsche Unternehmen spielen zunehmend datenschutzrechtliche und geopolitische Überlegungen eine Rolle. Zum Beispiel möchten sie Datenzugriffen durch US-Behörden vorbeugen, wie sie im Rahmen des US-amerikanischen CLOUD Act möglich sind.

Hier die wichtigsten Unterschiede auf einen Blick:

Kriterium	On-Prem-SIEM	Cloud-SIEM
Datenhoheit	Volle Kontrolle über die Daten, sie verbleiben im Unternehmen	Die Daten liegen auf externen Servern, oft in ausländischen Rechenzentren
Betrieb	Höherer Betriebs- und Wartungsaufwand	Geringerer Aufwand, viele Aufgaben werden durch den Provider übernommen
Hardware	Höhere Hardware-Anforderungen, weil die Lösung selbst gehostet werden muss	Geringere Hardware-Anforderungen, weil die Lösung extern gehostet wird
DSGVO-Konformität	Konformität kann wesentlich leichter sichergestellt werden. Das Unternehmen organisiert die Datenspeicherung und -verwaltung selbst	Schwieriger zu realisieren, insbesondere bei Zusammenarbeit mit US-Anbietern
Skalierbarkeit	Begrenzte Skalierbarkeit	Unbegrenzte Skalierbarkeit
Kosten	Hohe Anfangsinvestitionen für Hardware und tendenziell höhere laufende Betriebskosten	Geringe Anfangsinvestitionen. Die Abrechnung erfolgt meist nutzungsbasiert
Verfügbarkeit	Abhängig von der Qualität der internen Infrastruktur	Abhängig vom externen Provider
Resilienz	Hohes Maß an geopolitischer Resilienz	Geringere Resilienz, insbesondere bei Zusammenarbeit mit US-Anbietern

Die wichtigsten Funktionen

Typischerweise bieten SIEMs die folgenden Funktionen:

1. Datenerfassung

Ein SIEM aggregiert Daten aus unterschiedlichen Quellen. Dazu zählen:

• System- und Anwendungs-Logs, zum Beispiel Windows Events
• Netzwerkdaten, zum Beispiel Router-Informationen
• Cloud-Daten, zum Beispiel Azure Activity Logs
• Endpunkt-Daten, zum Beispiel von Home-Office-Geräten
• Daten von Drittanbietern, beispielsweise Salesforce
• Daten von anderen Security-Tools, zum Beispiel Antivirus-Software

Alle diese Daten werden über ein Interface zentral bereitgestellt. Dies ermöglicht eine ganzheitliche Sicht auf Ihre Infrastruktur.

SIEM-Lösungen können auch Threat-Intelligence-Feeds von Drittanbietern beziehen. Die eigenen Sicherheitsdaten werden so mit neuartigen Bedrohungsmustern abgeglichen, was die Reaktionszeit verkürzt.

2. Ereigniskorrelation

Ein SIEM kann Einzelereignisse zueinander in Beziehung setzen und interpretieren. Einige Beispiele:

• Ein User loggt sich aus einem fremden Land ein und ändert die Zugriffsrechte. Das könnte auf ein kompromittiertes Konto hindeuten.

• Es werden zahlreiche fehlgeschlagene Login-Versuche bei verschiedenen Servern festgestellt. Das könnte auf einen Brute-Force-Angriff hindeuten.

• Es erfolgen Downloads, bei denen die Daten an eine externe IP übertragen werden. Das könnte auf einen Datenabfluss hindeuten.

Dank Korrelationen können Einzelereignisse, die auf den ersten Blick harmlos erschienen, rechtzeitig als Sicherheitsrisiko eingestuft werden. Korrelationsregeln können dabei individuell angepasst oder automatisch via KI optimiert werden. Das Ziel besteht darin, die mittlere Erkennungszeit (Mean Time to Detect, MTTD) und die mittlere Reaktionszeit (Mean Time to Respond, MTTR) zu verkürzen.

3. Alarme

Ein SIEM überwacht sämtliche Systeme und Datenströme in Echtzeit. Werden Anomalien festgestellt, löst das System einen Alarm aus. Diese Alarme können unterschiedlich konfiguriert werden:

• Der Alarm kann im Dashboard erscheinen, wo er von einem SOC-Mitarbeiter weiterverfolgt wird.

• Der Alarm kann via E-Mail oder SMS an die Security-Verantwortlichen weitergeleitet werden.

• Der Alarm kann automatisch ein Ticket in einem ITSM-System generieren.

• Der Alarm kann SOAR-Funktionen zur Eindämmung des Threats auslösen.

4. Reporting

Über verschiedene Dashboards lassen sich SIEM-Daten leicht visualisieren. Diese Dashboards können individuell angepasst werden, zum Beispiel:

• Übersicht über aktuelle Sicherheitsvorfälle
• Auflistung der Alarme nach Kritikalität
• Weltweite Login-Versuche in Form einer Heatmap
• Auflistung von Compliance-Kennzahlen

Die aufbereiteten Daten können leicht exportiert werden, wenn zum Beispiel ein IT-Audit oder wichtige Management-Entscheidungen anstehen.

5. Vorfallanalyse

Über die zentrale Log-Speicherung lassen sich Angriffe nachträglich rekonstruieren:

• Wann erfolgte der Angriff?
• Wo war der Eintrittspunkt der Hacker?
• Welche Bereiche wurden in Mitleidenschaft gezogen?
• Welche Daten flossen ab?

Das hilft dabei, die Systeme nachzujustieren und gegen zukünftige Angriffe zu schützen.

6. Compliance-Funktionen

SIEM-Lösungen unterstützen die Einhaltung von gesetzlichen Vorgaben durch:

• Die Nachvollziehbarkeit von Zugriffen
• Die langfristige Speicherung von Log-Dateien
• Automatisierte Reports

In Zeiten steigender Compliance-Anforderungen (NIS-2, DORA) stellt dies eine wesentliche Arbeitserleichterung dar. Sie können gesetzliche Vorgaben erfüllen, ohne Ihre IT-Experten vom Tagesgeschäft abzuziehen.

7. SOAR-Funktionen

Einige SIEM-Systeme gehen über die reine Analyse hinaus und ergreifen selbstständig Gegenmaßnahmen, falls es zu einem Vorfall kommt. Dazu gehören:

• Das Zurücksetzen des Benutzerpassworts
• Die Sperrung verdächtiger IP-Adressen
• Die Isolierung eines kompromittierten Hosts
• Die Benachrichtigung des Incident-Response-Teams

Abwehrmaßnahmen können so noch schneller eingeleitet werden. Gleichzeitig werden die menschlichen Sicherheitsexperten entlastet.

SIEM vs. XDR

SIEM- und XDR-Systeme haben beide das Ziel, Bedrohungen frühzeitig zu erkennen, unterscheiden sich jedoch in ihrer Funktionsweise.

SIEM-Systeme sammeln Log-Daten aus einer Vielzahl von Quellen. Dazu gehören Server, Anwendungen, Cloud-Services, andere Sicherheits-Tools und mehr. Diese Daten werden vom SIEM zentral erfasst und ausgewertet. SIEM-Tools sind dabei stark anpassbar. Es können für nahezu alle Parameter Regeln definiert werden. Dies ist optimal für Unternehmen mit komplexen IT-Umgebungen bzw. hohen Compliance-Anforderungen. Allerdings sind SIEM-Lösungen aufwendiger, was die Konfiguration und die Wartung angeht.

Auch XDR-Tools (Extended Detection and Response) befassen sich mit der Früherkennung von Cyberbedrohungen. Jedoch sind XDR-Tools stärker vorintegriert und nutzen oft KI-gestützte Analysen. Deshalb gestaltet sich die Implementierung oft einfacher. Gerade für Unternehmen mit begrenzten internen Security-Ressourcen oder hohem Zeitdruck stellen sie eine interessante Option dar.

Der Nachteil ist, dass XDR-Tools häufig stärker an die Security-Tools eines bestimmten Herstellers gebunden sind. Mit einem SIEM-System können Sie dagegen fast jede Hersteller-Lösung und Datenquelle einbinden.

Die beiden Tools können durchaus im Verbund eingesetzt werden. Das SIEM bildet dabei das Fundament für die Datensammlung, während das XDR für automatisierte Erkennungsvorgänge genutzt wird.

SIEM vs. SOAR

Ein SIEM-System sammelt sicherheitsrelevante Daten, korreliert sie und gibt Warnmeldungen aus. Ein SOAR-System (Security Orchestration, Automation and Response) geht einen Schritt weiter und automatisiert die Reaktion auf Vorfälle. Dazu führt das SOAR vordefinierte Abläufe (Playbooks) aus. Zum Beispiel sperrt es ein Benutzerkonto bei verdächtigen Aktivitäten, isoliert ein infiziertes Gerät oder blockiert eine IP-Adresse. Das SIEM fungiert also primär als Beobachter, das SOAR hingegen als Ersthelfer.

SIEM & KI

Klassische SIEMs arbeiten meist regelbasiert. Es muss also im Vorfeld definiert werden, welche Ereignisse überwacht werden sollen. Durch KI können diese Prozesse teilweise automatisiert werden. Das SIEM ist so in der Lage, auch selbstständig Anomalien auszumachen, einschließlich komplexer Angriffsmuster und subtiler Abweichungen. Der manuelle Konfigurationsaufwand verringert sich also.

Weiterhin ist die KI sehr gut darin, historische Daten zu analysieren. Auf diese Weise können Sicherheits-Anpassungen vorgenommen werden, welche die tatsächliche Bedrohungslage widerspiegeln.

Und nicht zuletzt machen KI-Tools das SIEM noch reaktionsfähiger. Klassische SIEMs sind vor allem Beobachter und Warner. Dank KI-Funktionen können sie aber auch aktiv Gegenmaßnahmen ergreifen, zum Beispiel bestimmte Bereiche des Netzwerks isolieren.

Vorteile

Ein SIEM-System bietet Ihrem Unternehmen zahlreiche Vorteile:

Zentrales Interface

Ein SIEM aggregiert Daten aus einer Vielzahl von Quellen und fasst sie in einer zentralen Ansicht zusammen. So können sich Ihre IT-Verantwortlichen leicht einen Überblick verschaffen, ohne verschiedene Anwendungen konsultieren zu müssen.

Ein zentrales Interface erleichtert außerdem die Kommunikation zwischen verschiedenen Abteilungen, weil alle Beteiligten auf die selbe Datengrundlage zugreifen können.

Schnelle Erkennung

SIEM-Systeme verkürzen die mittlere Erkennungszeit bei Sicherheitsvorfällen. Sie registrieren viele Anomalien selbstständig und schneller, als die menschlichen Mitarbeiter das leisten könnten. So können Bedrohungen bereits im Ansatz abgewehrt werden.

Automatische Alarme

SIEMs können bei verdächtigen Aktivitäten automatisch Alarme ausgeben und die zuständigen Stakeholder informieren. Das vereinfacht die Prozesse und verkürzt die Reaktionszeit.

Compliance-Anforderungen

In vielen Industrien existieren strenge gesetzliche Datenschutz- und Sicherheitsvorgaben. Das bringt einen beträchtlichen Mehraufwand mit sich. SIEM-Systeme erleichtern Ihnen die Arbeit, indem sie Vorgänge dokumentieren und automatische Reports erstellen.

Forensische Analyse

Nach einem Sicherheitsvorfall stellt sich immer die Frage, wie es dazu kommen konnte. SIEM-Systeme machen solche Vorfälle rekonstruierbar. Auf diese Weise können neue, bessere Security-Mechanismen implementiert werden.

Leichte Integration

SIEM-Systeme können schnell in bestehende Unternehmensstrukturen eingebunden werden, insbesondere wenn Sie mit einem Service-Provider zusammenarbeiten. Solche Provider haben bereits zahlreiche SIEM-Lösungen für verschiedene Industrien umgesetzt. Zudem achten sie darauf, den laufenden Geschäftsbetrieb möglichst wenig zu stören. Proact hilft Ihnen hier gerne weiter.

Skalierbarkeit

Viele moderne SIEM-Lösungen sind cloudbasiert und lassen sich daher flexibel an verschiedene Unternehmensgrößen anpassen. Werden mehr Computing-Ressourcen benötigt, sind diese nur wenige Klicks entfernt.

Weniger False Positives

In der Vergangenheit lösten Sicherheitslösungen häufig Fehlalarme aus. Das lenkte die IT-Experten ab. Im schlimmsten Fall führte das zu Alarmmüdigkeit und reale Bedrohungen wurden zu spät erkannt.

Die Anzahl dieser False Positives hat in der Zwischenzeit stark abgenommen. Das geht wesentlich auf die Fortschritte im Bereich KI und Machine Learning zurück. Gleichzeitig werden Anomalien erkannt, die menschlichen Analysten vielleicht entgangen wären.

Automatische Reaktionen

Moderne SIEM-Systeme können leicht mit SOAR-Lösungen verzahnt werden und so auch selbstständig Gegenmaßnahmen einleiten. Das verkürzt die Reaktionszeit und entlastet Ihre Mitarbeiter.

Remote & BYOD

Der Trend zu Remote-Arbeitsmodellen ist ungebrochen. Das bedeutet aber auch, dass Mitarbeiter zunehmend private Geräte für die Arbeit verwenden (Bring Your Own Device, BYOD), auch wenn das unter Umständen nicht zulässig ist.

SIEM-Systeme helfen, dieser neuen Situation gerecht zu werden, indem sie sämtliche Netzwerkaktivitäten überwachen. Das schließt auch Zugriffe aus dem Home-Office und über private Geräte ein.

Verbreitete SIEM-Lösungen

Im Folgenden möchten wir Ihnen einige der bekanntesten SIEM-Lösungen vorstellen:

Splunk

Splunk bietet umfassende Analyse-Funktionen, nicht nur für Security-Use-Cases, sondern auch für Performance-Monitoring. Daten lassen sich leicht visualisieren. Außerdem skaliert die Lösung sehr gut. Splunk ist einer der Marktführer im Bereich SIEM.

Vorteile: große Auswahl an Apps und Add-ons, große User-Community, skaliert gut, auch als On-Prem-Variante verfügbar

Nachteile: hohe Anschaffungskosten, steile Lernkurve, ressourcenintensiv

Einsatzbereiche: Großunternehmen, KRITIS-Sektoren, Behörden

IBM QRadar

Bei IBM QRadar handelt es sich um eine etablierte SIEM-Lösung mit Fokus auf Enterprise-Umgebungen. Das Tool zeichnet sich durch viele Experten-Funktionen aus. Andere Sicherheitsprodukte können leicht eingebunden werden.

Vorteile: viele Integrationen, wenige False Positives, Templates für Compliance-Reports, auch als On-Prem-Variante verfügbar

Nachteile: etwas veraltete Benutzeroberfläche, beschränkte Forensik, User berichten über langsamen Support

Einsatzbereiche: große Unternehmen mit strengen Compliance-Anforderungen, wie Banken oder Versicherungen

Microsoft Sentinel (vormals Azure Sentinel)

Microsoft Sentinel bietet KI-gestützte Analysen und skaliert sehr gut. Wenn ein Unternehmen bereits andere Microsoft bzw. Azure-Lösungen nutzt, sollte auf jeden Fall Sentinel erwogen werden. Die Integration ist hervorragend. Generell macht Sentinel für alle Unternehmen Sinn, denen an einer schnellen Bereitstellung über die Cloud gelegen ist.

Vorteile: Cloud-native, sehr gute Integration mit Microsoft 365 und Defender-Produkten, gute Community-Ressourcen

Nachteile: Stärkere Bindung an das Microsoft-Ökosystem

Einsatzbereiche: Unternehmen mit Cloud-Ausrichtung, Microsoft-zentrierte Organisationen

LogRhythm

LogRhythm richtet sich eher an kleine und mittelständische Unternehmen. Diese Lösung bietet unter anderem automatisierte Workflows und Incident-Response-Funktionen. LogRhythm war ursprünglich eine reine On-Prem-Lösung, ist mittlerweile aber auch als Cloud-Variante verfügbar.

Vorteile: userfreundlich, gute Suchfunktion, schneller Support, starke On-Prem-Lösung

Nachteile: komplexes Setup, gelegentlich False Positives

Einsatzbereiche: KMU, die eine All-in-One-Plattform vorziehen

Logpoint

Logpoint ist ein europäischer SIEM-Anbieter aus Dänemark, der insbesondere bei Kunden aus dem öffentlichen Sektor und KRITIS-Betreibern beliebt ist.

Vorteile: DSGVO-konform, integrierte SOAR-Funktionen, Hybrid- und On-Prem-Optionen

Nachteile: Kleineres Team und kleinere User-Base im Vergleich mit US-Anbietern

Einsatzbereiche: Europäische Unternehmen, die auf Datenhoheit achten müssen

Wie die Implementierung gelingt

Damit die Einführung Ihres SIEMs gelingt, sollten Sie die folgenden Best Practices berücksichtigen:

1. Definieren Sie Anforderungen & Ziele

Im ersten Schritt sollte immer betrachtet werden, was Ihr SIEM primär leisten muss. Gibt es bestimmte Bedrohungsarten, die in Ihrer Industrie dominieren? Existieren Compliance-Auflagen, die eingehalten werden müssen und detaillierte Reports erfordern? Sollen bestimmte, bereits existierende Security-Tools eingebunden werden?

Neben diesen eher technischen Faktoren sollten auch angrenzende Fragen geklärt werden:

• Gibt es Budget-Vorgaben, die bestimmte Lösungen von vornherein ausschließen?

• Gibt es intern genügend Personal und Know-how, um ein SIEM langfristig selbst zu betreiben? Oder sollte besser ein externer Provider hinzugezogen werden?

• Was ist die Wachstums-Prognose für das Unternehmen und kann die angepeilte SIEM-Lösung hier Schritt halten, also auch zukünftigen Security-Reifegraden gerecht werden?

Je genauer Sie Ihre Anforderungen fassen, desto leichter wird Ihnen die Auswahl eines passenden SIEM-Systems fallen.

2. Klären Sie Verantwortlichkeiten

Um ein SIEM erfolgreich einzuführen, müssen sämtliche Stakeholder gehört und Verantwortlichkeiten abgeklärt werden. Die wichtigsten Rollen in diesem Zusammenhang:

• SIEM-Projektmanager: Benennen Sie einen Verantwortlichen im Team, der für Koordination und Reporting zuständig ist.

• SOC-Team: Beziehen Sie interne oder externe SOCs ein, weil diese später hauptsächlich mit der Lösung arbeiten werden.

• Datenschutzbeauftragter: Konsultieren Sie Ihren Datenschutzbeauftragten, um die konforme Protokollierung der Log-Daten zu gewährleisten.

3. Achten Sie auf Skalierbarkeit

Die Security-Lage wird fortlaufend komplexer. Einerseits nimmt die Anzahl der Sicherheitsvorfälle zu. Andererseits verarbeiten die Systeme immer mehr Daten und erzeugen somit mehr Logs. Und nicht zuletzt fordern Stakeholder zunehmend Reports an, weil zum Beispiel gesetzliche Auflagen verschärft wurden. Wählen Sie deshalb eine SIEM-Lösung, die mitwächst. Das Tool sollte genug Entwicklungsspielraum bieten, sowohl was die Compute-Leistung als auch die Einbindung von neuen Regeln und Tools angeht.

4. Bewerten Sie die Geschwindigkeit

Kommt es zu einem Sicherheitsvorfall, können schon wenige Minuten einen großen Unterschied machen. Ihr SIEM-System sollte Daten deshalb in Echtzeit erfassen und analysieren. Vergleichen Sie anhand von Tests, wie schnell unterschiedliche Lösungen auf einen simulierten Angriff „anspringen“, bevor Sie sich für ein Produkt entscheiden.

5. Berücksichtigen Sie die Benutzerfreundlichkeit

SIEM-Tools gehen mit einem gewissen Konfigurations- und Wartungsaufwand einher. Das kann Ihre Mitarbeiter vom Tagesgeschäft ablenken. Klopfen Sie Ihre anvisierte Lösung deshalb auf die folgenden Kriterien ab:

• Lassen sich Regeln automatisieren?
• Wie intuitiv ist das Interface?
• Wie leicht lassen sich Policies definieren?
• Welche Aufgaben werden von KI-Tools übernommen?

Auch die Zusammenarbeit mit einem spezialisierten Managed-Security-Provider sollte erwogen werden. Diese Provider übernehmen das komplette Setup und lesen die SIEM-Alarme rund um die Uhr aus ihrem eigenen SOC aus. Proact hilft Ihnen hier gerne weiter.

6. Wählen Sie Ihre Datenquellen aus

Es ist wichtig, die richtigen Systeme anzubinden. Andernfalls könnte das System mit irrelevanten Logs überhäuft werden, was die Analyse erschwert und zu Fehlalarmen führen kann. Wichtige Log-Quellen sind:

• Active Directory / Entra ID
• Datenbanken
• Firewalls
• Webserver
• EDR-Tools
• E-Mail-Gateways
• IDS-/IPS-Systeme

Achten Sie weiterhin auf die Qualität der Log-Daten selbst: Zeitstempel, Benutzerkennung und IP-Angaben sollten vorhanden und konsistent sein.

Außerdem sollten Sie Ihre Datenquellen in regelmäßigen Abständen überprüfen. Manche Datenquellen versiegen mit der Zeit und können entfernt werden, andere kommen neu hinzu und müssen entsprechend eingerichtet werden. Ansonsten riskieren Sie, dass Bedrohungen unentdeckt bleiben.

7. Definieren Sie Ihre Erkennungsregeln

Typischerweise werden SIEMs mit vordefinierten Erkennungsregeln ausgeliefert. Diese stellen einen nützlichen Ausgangspunkt dar, sollten aber nicht blind übernommen werden. Hier einige konkrete Beispiele, wie Erkennungsregeln gestaltet werden können:

Regel	Ziel	Trigger	Quelle
Fehlgeschlagene Login-Versuche	Erkennung von Brute-Force-Angriffen	Mehr als 5 fehlgeschlagene Logins innerhalb von 5 Minuten von derselben IP	Windows Event Logs, Active Directory / Entra ID
Firewall-Aktivitäten	Frühwarnung bei feindlichen Netzwerk-Scans, Wurmbefall und Angriffen	10 oder mehr „Drop/Reject/Deny“-Events innerhalb einer Minute von derselben IP	Firewalls, Router und Switches
Unübliche Zugriffszeiten	Verhinderung von unbefugten Zugriffen und Daten-Exfiltrationen	Zugriff auf einen geschützten Ordner zwischen 20 Uhr und 6 Uhr	File Server Audit Logs, DLP-Systeme
Malware-Entfernung	Erkennung von unvollständig entfernten Malware-Infektionen	Malware wurde erkannt, aber nach 1 Stunde noch nicht entfernt	Firewall, HIPS, NIPS, Antiviren-Programme, fehlgeschlagene Logins
USB-Speicher	Erkennung potenzieller Datenabflüsse	Neues externes USB-Laufwerk erkannt	Endpoint-Logs, Windows Security Logs

Überprüfen Sie Ihre Erkennungsregeln in regelmäßigen Abständen. Damit tragen Sie dem Umstand Rechnung, dass sich Geschäftsabläufe ständig ändern. Gleichzeitig beugen Sie Fehlalarmen (False Positives) vor, weil beispielsweise bestimmte Regeln zu eng gefasst wurden. Das ist wichtig, damit keine Alarmmüdigkeit beim Team eintritt und reale Bedrohungen nicht übersehen werden.

8. Nutzen Sie Threat-Intelligence-Integrationen

Sie sollten Ihr SIEM nicht nur mit Log-Daten füttern, sondern auch mit aktuellen externen Bedrohungsinformationen (Threat-Intelligence-Feeds). Diese liefern Informationen über bekannte Angreifer, unseriöse IP-Adressen, Malware-Signaturen und andere Risiko-Indikatoren. Es gibt verschiedene kommerzielle Anbieter, die entsprechende Lösungen anbieten. Daneben existieren Open-Source-Feeds wie MISP (Malware Information Sharing Platform) und Sharing-Netzwerke (CERT-Bund, ISACs).

9. Berücksichtigen Sie den Datenschutz

Beim Einsatz cloudbasierter SIEMs muss an den Datenschutz gedacht werden. Die Cloud-Services sollten aus europäischen bzw. deutschen Rechenzentren bereitgestellt werden. Bei Microsoft geschieht dies beispielsweise über die deutschen Azure-Regionen. Alternativ können bestimmte SIEM-Tools auch lokal installiert werden. Allerdings kann das langfristig zu Schwierigkeiten bei der Skalierung führen. Hier muss also im Einzelfall abgewogen werden.

10. Starten Sie mit einem Pilotprojekt

Viele Unternehmen möchten sofort sämtliche Datenquellen einbinden. Das erhöht jedoch die Komplexität und die Wahrscheinlichkeit von Fehlalarmen. Gehen Sie stattdessen schrittweise vor. Wählen Sie ein bestimmtes System aus, zum Beispiel Active Directory / Entra ID, die Firewalls oder eine Cloud-Plattform. Definieren Sie nun Regeln und erstellen Sie Dashboards. Erst wenn dieses eine System live ist, schreiten Sie zum nächsten System fort.

11. Erwägen Sie die Zusammenarbeit mit einem Service-Provider

Speziell für KMU kann es eine Herausforderung darstellen, SIEM-Systeme in Eigenregie einzuführen. Dafür gibt es mehrere Gründe:

• Es fehlt entsprechendes Security-Know-how.
• Es gibt nicht genug Personal, Stichwort IT-Fachkräftemangel.
• Das existierende Personal ist stark ins Tagesgeschäft involviert.

In solchen Fällen kann die Zusammenarbeit mit einem externen Service-Provider Sinn machen. Zu den wichtigsten Vorteilen gehören:

• Sie haben sofort Zugriff auf einen Pool von IT-Sicherheitsexperten.
• Die Überwachung erfolgt über ein 24/7-SOC.
• Klar formulierte Service-Verträge schaffen Kostentransparenz.
• Neue Bedrohungsarten werden schnell adressiert, statt auf die lange Bank geschoben.
• Sie entlasten Ihr internes IT-Team.

Damit die Zusammenarbeit ein Erfolg wird, sollten Sie auf die folgenden Punkte achten:

• Der Provider sollte nachweislich über Erfahrung mit SIEM-Systemen verfügen. Lassen Sie sich entsprechende Case Studies präsentieren.

• Das Hosting der Lösung sollte in Europa und bevorzugt in Deutschland stattfinden, um Datenschutzanforderungen gerecht zu werden.

• Der Anbieter sollte Ihnen ein rollenbasiertes Zugriffsmanagement einrichten (Role-Based Access Control, RBAC). Das erleichtert die Vergabe, aber auch den Widerruf von Rechten.

• Der Provider sollte Ihnen darlegen können, wie sich bereits vorhandene Sicherheits-Tools in die anvisierte SIEM-Lösung integrieren lassen.

Realisieren Sie Ihr SIEM – mit Proact!

Möchten Sie SIEM für Ihr Unternehmen nutzen und wünschen sich dafür einen verlässlichen Partner? Dann sollten Sie sich mit unseren Proact-Experten unterhalten. Wir heben das Sicherheits-Niveau Ihres Unternehmens auf das nächste Level. Damit dies gelingt, verwenden wir den folgenden, vierstufigen Prozess:

1. Analyse

Im ersten Schritt betrachten wir Ihre Infrastruktur und Ihre bestehenden Sicherheits-Systeme. Welche Datenquellen existieren? Wo bestehen Sicherheitslücken? Welche Compliance-Vorgaben müssen eingehalten werden? Dabei arbeiten wir eng mit Ihren internen IT-Experten zusammen. Wir hören genau zu, um uns einen vollständigen Überblick zu verschaffen.

2. Strategie

Im zweiten Schritt definieren wir Ziele und erarbeiten eine maßgeschneiderte Strategie. Wir betrachten Ihre spezifischen Anforderungen, zum Beispiel, was die Alarm-Sensitivität oder Reporting-Auflagen angeht. Ein wichtiger Punkt ist auch, ob die Lösung on-prem aufgesetzt werden soll oder aus der Cloud bezogen wird. Ist vielleicht unser Proact Managed SIEM bereits „the perfect fit“? Bei egal welcher Lösung, achten wir darauf, dass das SIEM-System optimal in die bestehende Infrastruktur integriert wird.

3. Implementierung

Nun geht es an die technische Umsetzung. Wir führen das SIEM ein und stellen die Verbindungen zu den Datenquellen her. Zudem legen wir Monitoring-, Korrelations- und Alarm-Regeln fest. Dabei achten wir darauf, dass der laufende Geschäftsbetrieb so wenig als möglich beeinträchtigt wird.

4. Optimierung & Support

Auch nach der erfolgreichen Einführung lassen wir Sie nicht alleine. Wir optimieren Ihre Systeme fortlaufend, führen Updates durch und übermitteln neue Threat-Intelligence-Feeds. Auch über wichtige IT-Security-Trends halten wir Sie auf dem Laufenden, insbesondere was Entwicklungen im Bereich KI-gestützte Security angeht. Und natürlich beantworten wir alle Support-Anfragen zeitnah und führen auf Wunsch auch User-Schulungen durch.

Kurz gesagt – Proact ist Ihr Rundum-sorglos-SIEM-Partner.

Das klingt interessant? Dann kontaktieren Sie uns jetzt für ein kostenloses Beratungsgespräch. Wir freuen uns schon, von Ihnen zu hören!