SIEM — einfach erklärt

Was ist SIEM?

SIEM steht für Security Information and Event Management. Dahinter verbirgt sich eine Lösung, die Ereignisse und Meldungen aus verschiedenen IT-Systemen eines Unternehmens — Server, Firewall, Arbeitsplätze, Anwendungen — an einer zentralen Stelle zusammenführt und auswertet.

Der Grundgedanke: Ein einzelnes Log auf einem einzelnen Rechner sagt oft wenig aus. Erst im Zusammenspiel mehrerer Ereignisse aus unterschiedlichen Systemen wird ein verdächtiges Muster sichtbar. Ein SIEM sammelt genau diese Puzzleteile und setzt sie zu einem Gesamtbild zusammen.

Wie funktioniert ein SIEM?

Ein SIEM arbeitet in mehreren Schritten:

1. Logdaten sammeln — Firewall, Server, Betriebssysteme und Anwendungen senden fortlaufend Protokolldaten (Logs) an das SIEM-System.
2. Daten korrelieren — Die eingehenden Informationen werden miteinander in Beziehung gesetzt, statt isoliert betrachtet zu werden. Eine fehlgeschlagene Anmeldung allein ist unauffällig, mehrere fehlgeschlagene Anmeldungen aus unterschiedlichen Ländern innerhalb kurzer Zeit dagegen nicht.
3. Anomalien erkennen — Auf Basis von Regeln und Mustern identifiziert das System Abweichungen vom normalen Betrieb.
4. Alarm auslösen und reagieren — Bei einem konkreten Verdachtsfall wird eine Meldung ausgelöst, damit jemand — im Idealfall ein IT-Dienstleister oder Security-Team — den Vorfall prüft und reagiert.

Brauchen KMU ein SIEM?

Ehrliche Antwort: In den meisten Fällen ist ein vollwertiges SIEM für ein kleines oder mittelständisches Unternehmen überdimensioniert. Die Technik entfaltet ihren Nutzen erst bei einer gewissen Systemvielfalt und braucht laufende Pflege, damit die Regeln sinnvoll bleiben und nicht ständig falsche Alarme produzieren. Ohne jemanden, der die Meldungen täglich auswertet, bringt das teuerste SIEM wenig.

Für die meisten KMU im Mittelstand ist deshalb ein zentrales Monitoring durch den IT-Dienstleister der passendere Weg — mit demselben Grundgedanken, aber im Umfang auf die eigene Betriebsgröße zugeschnitten. Proaktive Überwachung von Servern und Arbeitsplätzen, Auswertung sicherheitsrelevanter Ereignisse und eine klare Reaktionskette, wenn etwas auffällig wird.

Relevant wird das Thema zusätzlich durch NIS2: Unternehmen, die unter die Richtlinie fallen, müssen sicherheitsrelevante Vorfälle erkennen und melden können. Auch hier gilt: Nicht jedes Unternehmen braucht dafür ein eigenes SIEM, aber jedes betroffene Unternehmen braucht eine funktionierende Erkennung und einen dokumentierten Prozess dahinter.

SIEM in der Praxis

Ein typisches Szenario: Mitten in der Nacht meldet sich ein Benutzerkonto von einem ungewöhnlichen Standort aus an einem System an, mit dem dieser Mitarbeiter sonst nie arbeitet. Einzeln betrachtet wäre das nur eine von tausenden Anmeldungen am Tag. Im Zusammenspiel mit Uhrzeit, Standort und Systemzugriff wird daraus ein klarer Verdachtsfall — und genau solche Muster sind es, die eine zentrale Überwachung sichtbar machen soll, bevor daraus ein echter Schaden entsteht.

Ob dafür ein SIEM im engeren Sinn nötig ist oder ein darauf zugeschnittenes Monitoring reicht, hängt von der Größe und den Systemen des jeweiligen Unternehmens ab. Bei IT-Sicherheit von LNIT legen wir das Sicherheitsniveau passend zur Unternehmensgröße fest — ohne Überdimensionierung, aber auch ohne blinde Flecken bei Ereignissen, die im Ernstfall entscheidend sind.