Firewall, Server, Arbeitsplätze und Cloud-Dienste schreiben jeden Tag Protokolle. Jedes System zeichnet für sich auf, wer sich angemeldet hat, welche Verbindung blockiert wurde oder welches Programm gestartet ist. Ein Angriff hinterlässt seine Spuren aber oft in mehreren dieser Protokolle zugleich. Wer sie getrennt betrachtet, erkennt den Zusammenhang spät oder gar nicht.
Hier setzt eine SIEM-Lösung an. Dieser Beitrag erklärt, was ein SIEM leistet und was nicht, welche Rolle es für NIS2 spielt und wie kleine und mittlere Unternehmen den Einstieg planen können.
Was ist eine SIEM-Lösung?
SIEM steht für „Security Information and Event Management“, also die Verwaltung von Sicherheitsinformationen und -ereignissen. Das US-Standardisierungsinstitut NIST beschreibt ein SIEM-Werkzeug als Anwendung, die Sicherheitsdaten aus den Komponenten eines IT-Systems sammelt und an einer Stelle auswertbar macht (NIST-Glossar).
Die Arbeit einer SIEM-Lösung lässt sich in vier Schritte gliedern:
- Sammeln: Das SIEM nimmt Ereignismeldungen aus vielen Quellen auf, zum Beispiel aus Firewall, Active Directory, Servern, Endgeräteschutz und Cloud-Diensten.
- Vereinheitlichen: Hersteller schreiben ihre Protokolle in unterschiedlichen Formaten. Das SIEM bringt Angaben wie Benutzer, Gerät, Zeitpunkt und Aktion in eine einheitliche Form. Erst dann lassen sich Ereignisse aus verschiedenen Systemen vergleichen.
- Korrelieren: Regeln setzen Ereignisse zueinander in Beziehung. Aus vielen Einzelmeldungen entsteht so ein Hinweis, der eine Prüfung lohnt.
- Alarmieren: Überschreitet ein Muster eine festgelegte Schwelle, meldet das SIEM einen Vorfall an die zuständige Stelle.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt dasselbe Ziel im IT-Grundschutz-Baustein DER.1: Informationen sollen gesammelt, korreliert und ausgewertet werden, damit sicherheitsrelevante Ereignisse möglichst vollständig und zeitnah erkannt werden (BSI, DER.1, Edition 2023).
Log-Management und SIEM: der Unterschied
Log-Management sammelt und speichert Protokolle, damit man sie später durchsuchen kann. Ein SIEM wertet sie zusätzlich laufend aus und meldet Auffälligkeiten. Das BSI trennt die beiden Aufgaben ebenfalls: Die Anforderungen an die Protokollierung stehen im Baustein OPS.1.1.5, die Erkennung von Angriffen im Baustein DER.1. Eine saubere Protokollierung ist dabei die Voraussetzung für jede Erkennung.
Ein typisches Muster
Ein typischer Verlauf, den ein SIEM sichtbar machen kann: Für ein Benutzerkonto schlagen innerhalb weniger Minuten viele Anmeldungen fehl. Kurz darauf gelingt eine Anmeldung aus einem ungewohnten Netz. Wenig später erhält dasselbe Konto neue Rechte. Jede dieser Meldungen kann für sich harmlos sein. Zusammen ergeben sie ein Bild, das eine sofortige Prüfung rechtfertigt.
Für solche Regeln braucht das SIEM die passenden Quellen. Anmeldedaten liefert etwa Microsoft Entra ID: Laut Microsoft protokolliert der Dienst alle Anmeldungen in einem Mandanten (Microsoft Learn: Anmeldeprotokolle in Microsoft Entra ID).
Was eine SIEM-Lösung nicht leistet
Ein SIEM ersetzt weder Firewall noch Virenschutz, Datensicherung oder Schulungen. Es führt die Meldungen dieser Bausteine zusammen und macht Zusammenhänge sichtbar. Ob ein Angriff erkannt wird, hängt davon ab, welche Quellen angebunden sind und wie gut die Regeln gepflegt werden.
Ebenso wichtig ist die Frage, wer die Meldungen bearbeitet. Das BSI nennt fehlendes Personal ausdrücklich als Gefährdung: Wer Protokolldaten nicht auswerten kann, erkennt sicherheitsrelevante Ereignisse nicht vollständig. Für Umgebungen mit erhöhtem Schutzbedarf empfiehlt das BSI, dass Alarme automatisch ausgelöst werden und das Personal unverzüglich eine qualifizierte Reaktion einleitet (DER.1.A15). Ein Alarm ohne erreichbare Person bleibt also wirkungslos.
Warum das Thema auch kleine Unternehmen betrifft
Laut BSI-Lagebericht 2025 wurden im Berichtszeitraum weltweit durchschnittlich 119 neue Schwachstellen in IT-Systemen bekannt, und zwar pro Tag (BSI: Die Lage der IT-Sicherheit in Deutschland 2025). Nicht jede davon betrifft jedes Unternehmen. Die Zahl zeigt aber, wie viel sich laufend ändert.
Zugleich fehlen kleineren und mittleren Unternehmen nach Einschätzung des BSI oft die Ressourcen und das Bewusstsein für die eigene Verwundbarkeit (BSI-Pressemitteilung vom 11.11.2025). Prüfen Sie deshalb ehrlich, ob Sie Protokolle selbst laufend auswerten können, auch nachts und am Wochenende. Wenn nicht, lohnt der Blick auf Betriebsmodelle, in denen ein Dienstleister diese Aufgabe übernimmt.
SIEM und NIS2
Das NIS-2-Umsetzungsgesetz ist laut BSI am 6. Dezember 2025 in Kraft getreten. Es gilt für Unternehmen, die zu einer der im Gesetz genannten Einrichtungsarten gehören und die Größenschwellen für Mitarbeiterzahl oder Umsatz erreichen. Ob Ihr Unternehmen betroffen ist, können Sie mit der unverbindlichen Betroffenheitsprüfung des BSI einschätzen (BSI: Fragen und Antworten zu NIS-2).
Betroffene Einrichtungen müssen nach § 30 BSIG Risikomanagementmaßnahmen umsetzen. Dazu gehört unter anderem die „Bewältigung von Sicherheitsvorfällen“. Ein bestimmtes Werkzeug schreibt der Paragraf nicht vor. Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG in Stufen an das BSI zu melden:
- Frühe Erstmeldung: spätestens 24 Stunden nach Kenntniserlangung,
- Meldung: spätestens 72 Stunden nach Kenntniserlangung,
- Abschlussmeldung: spätestens einen Monat nach der Meldung.
Die ersten beiden Fristen laufen ab dem Zeitpunkt, an dem Sie von dem Vorfall erfahren. Ein SIEM kann helfen, einen Vorfall früher zu bemerken und den Ablauf mit Zeitstempeln nachzuvollziehen. Die Bewertung, ob ein Vorfall erheblich ist, und die Meldung selbst bleiben Aufgaben Ihres Unternehmens. Was NIS2 für Sie bedeutet, besprechen wir auf unserer Seite zu NIS2 und Risikomanagement.
Betriebsmodelle: selbst betreiben oder als Dienstleistung
Für den Betrieb gibt es drei Grundformen. Welche passt, hängt vor allem davon ab, wer die Meldungen bewerten kann.
- Eigener Betrieb im Haus: Sie behalten die volle Kontrolle über Daten und Technik. Dafür liegen Plattform, Speicher, Updates und Regelpflege bei Ihrem eigenen Team.
- SIEM aus der Cloud: Der Anbieter betreibt die Plattform. Die Auswertung der Meldungen bleibt bei Ihnen, ebenso die Prüfung von Datenstandort und Vertrag.
- Betrieb durch einen Dienstleister: Ein externes Team überwacht die Meldungen, bewertet sie und eskaliert nach vereinbarten Regeln. Ihr Unternehmen braucht trotzdem feste Ansprechpartner, die Entscheidungen treffen dürfen.
Datenschutz und Mitbestimmung
Protokolle enthalten personenbezogene Daten, etwa Benutzernamen und Anmeldezeiten. Der IT-Grundschutz des BSI verlangt deshalb, bei der Auswertung den Datenschutz und die Mitbestimmungsrechte der Beschäftigtenvertretung zu wahren (DER.1.A2). Hat ein Dienstleister Zugriff auf solche Daten, liegt in der Regel eine Auftragsverarbeitung vor. Dann ist ein Vertrag nach Art. 28 DSGVO nötig (Datenschutzkonferenz, Kurzpapier Nr. 13). Klären Sie diese Punkte vor dem Start, nicht erst im laufenden Betrieb.
Einführung in überschaubaren Schritten
Wir empfehlen, klein anzufangen und den Umfang schrittweise zu erweitern:
- Ziele festlegen: Welche Systeme sind für Ihren Betrieb unverzichtbar? Welche Angriffe wären für Sie am folgenreichsten?
- Quellen auswählen: Beginnen Sie mit wenigen Quellen, die viel Aussagekraft haben: Anmeldedienste, Firewall, Endgeräteschutz und zentrale Server.
- Erste Erkennungsregeln definieren: Zum Beispiel gehäufte Fehlanmeldungen, neue Administratorrechte oder ungewöhnlich große Datenübertragungen. Jede Regel braucht eine verantwortliche Person und eine festgelegte Reaktion.
- Melde- und Alarmierungswege festlegen: Das BSI verlangt, dass dokumentiert ist, wer wann wie zu informieren ist (DER.1.A3). Dazu gehört auch die Erreichbarkeit außerhalb der Bürozeiten.
- Fehlalarme reduzieren: Rechnen Sie damit, dass neue Regeln anfangs mehr melden als nötig. Passen Sie Schwellen und Ausnahmen an, bis die Meldungen bearbeitbar sind.
- Regelmäßig überprüfen: Das BSI empfiehlt Audits, ob Detektionssysteme noch aktuell und wirksam sind (DER.1.A13). Neue Systeme und Cloud-Dienste gehören dann in das SIEM.
Wovon die Kosten abhängen
Die Kosten einer SIEM-Lösung bestehen nicht nur aus der Lizenz. Planen Sie diese Posten ein:
- Lizenz oder Abonnement, oft abhängig von Datenmenge, Geräten oder Funktionsumfang,
- Speicher für die Aufbewahrung der Protokolle,
- Aufwand für Anbindung und Regelpflege,
- Personal oder Dienstleistung für die Bewertung der Meldungen, auch nachts und am Wochenende.
Fragen Sie Anbieter, wie sich der Preis verändert, wenn die Datenmenge wächst. Und klären Sie, welche Leistungen im Ernstfall enthalten sind und welche gesondert berechnet werden.
SIEM, MDR und die Unterstützung durch GSL
Nicht jedes Unternehmen braucht sofort ein vollständiges SIEM. Für viele ist der erste Schritt eine verlässliche Überwachung der Endgeräte mit klarer Reaktion. Diesen Ansatz bezeichnet man als Managed Detection and Response (MDR): Ein externes Team überwacht die Geräte und reagiert auf erkannte Angriffe. Die GSL Groß GmbH bietet Managed Security an. Für die Überwachung und die Hilfe im Ernstfall arbeiten wir mit unserem Partner Eye Security zusammen. Leistungsstufen und Einzelheiten finden Sie auf unserer Seite zu Managed Security und MDR.
Wie wir den Stand Ihrer IT-Sicherheit prüfen und verbessern, lesen Sie auf unserer Seite zur IT-Sicherheit. Wir betreuen Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeiten wir dafür mit einem Partnersystemhaus zusammen.
Sie möchten wissen, welche Protokollquellen in Ihrem Unternehmen schon vorhanden sind und welches Betriebsmodell zu Ihnen passt? Sprechen Sie uns an.