SIEM für Mittelstand und Kommunen

Ein SIEM-System schafft eine zentrale Sicht auf Ereignisse,
die ansonsten über zahlreiche Systeme, Protokolle und Administrationsoberflächen
verteilt wären.

Es ersetzt bestehende Sicherheitslösungen nicht. Stattdessen verbindet es deren
Informationen und hilft dabei, aus einzelnen Warnungen ein nachvollziehbares
Gesamtbild zu erstellen.

Was ist ein SIEM?

SIEM steht für Security Information and Event Management.
Ein SIEM sammelt Protokoll- und Ereignisdaten aus unterschiedlichen Quellen,
speichert sie zentral und analysiert sie anhand definierter Regeln,
Muster und weiterer Erkennungsverfahren.

Zu diesen Daten können beispielsweise fehlgeschlagene Anmeldungen,
administrative Änderungen, Firewall-Verbindungen, Endpoint-Warnungen
oder Zugriffe auf Cloud-Dienste gehören.

Der Nutzen entsteht vor allem durch die Verknüpfung dieser Informationen.
Eine einzelne fehlgeschlagene Anmeldung ist normalerweise noch kein
Sicherheitsvorfall. Erfolgen jedoch zahlreiche Anmeldeversuche aus einem
ungewöhnlichen Land und wird kurz darauf ein neues Administratorkonto angelegt,
entsteht ein deutlich relevanterer Zusammenhang.

Warum reichen Firewall und Endpoint Security allein nicht aus?

Moderne Sicherheitslösungen schützen jeweils einen bestimmten Bereich.
Eine Firewall bewertet Netzwerkverbindungen, Endpoint Security überwacht
Arbeitsplätze und Server und ein Identity-System protokolliert Anmeldungen
sowie Berechtigungsänderungen.

Ein komplexer Angriff betrifft jedoch häufig mehrere dieser Bereiche gleichzeitig.
Ohne eine zentrale Analyse bleiben zusammengehörige Ereignisse in unterschiedlichen
Systemen verteilt.

Sicherheitslösung	Was sie sieht	Was ohne zentrale Korrelation fehlen kann
Firewall	Verbindungen, Ports, Protokolle und blockierten Datenverkehr	Ob eine Verbindung mit einem kompromittierten Benutzerkonto oder einem verdächtigen Prozess zusammenhängt.
Endpoint Security	Prozesse, Dateien und Aktivitäten auf Arbeitsplätzen und Servern	Ob derselbe Benutzer gleichzeitig ungewöhnliche Cloud- oder Netzwerkzugriffe ausführt.
Identity-System	Anmeldungen, Konten, Rollen und Berechtigungen	Ob eine Anmeldung auf einem bereits auffälligen oder kompromittierten Gerät erfolgt.
Cloud-Plattform	Zugriffe und Änderungen innerhalb des jeweiligen Cloud-Dienstes	Ob vergleichbare Aktivitäten gleichzeitig in lokalen Systemen stattfinden.

Ein SIEM führt diese Perspektiven zusammen. Dadurch kann aus mehreren
einzelnen Warnungen ein zusammenhängender Sicherheitsvorfall werden.

Wie erkennt ein SIEM einen Angriff?

Das folgende Beispiel zeigt, wie verschiedene Ereignisse erst durch ihre
Kombination eine klare Bedeutung erhalten.

Ein SIEM verhindert den Angriff nicht automatisch in jeder Situation.
Es schafft jedoch die Transparenz, um einen möglichen Vorfall schneller
zu erkennen und gezielter zu untersuchen.

Welche Datenquellen kann ein SIEM auswerten?

Der Nutzen eines SIEM hängt stark davon ab, welche Datenquellen angebunden
werden und ob deren Informationen für die definierten Sicherheitsziele relevant sind.

Es ist nicht sinnvoll, von Beginn an jede technisch verfügbare Datenquelle
vollständig einzulesen. Besser ist ein priorisierter Ansatz, der mit den
wichtigsten Systemen und konkreten Erkennungszielen beginnt.

Was passiert mit den gesammelten Daten?

Ein SIEM durchläuft mehrere Verarbeitungsschritte, bevor aus technischen
Rohdaten ein verwertbarer Sicherheitsalarm entsteht.

Welche Aufgaben sollte ein SIEM konkret erfüllen?

Was ist der Unterschied zwischen SIEM, SOC, SOAR und XDR?

Die Begriffe werden häufig gemeinsam verwendet, beschreiben jedoch
unterschiedliche Technologien und organisatorische Ansätze.

Begriff	Bedeutung	Schwerpunkt
SIEM	Security Information and Event Management	Zentrale Sammlung, Analyse und Korrelation sicherheitsrelevanter Daten.
SOC	Security Operations Center	Team, Prozesse und Organisation zur Überwachung und Bearbeitung von Sicherheitsvorfällen.
SOAR	Security Orchestration, Automation and Response	Automatisierung und Orchestrierung wiederkehrender Analyse- und Reaktionsschritte.
XDR	Extended Detection and Response	Erkennung und Reaktion über mehrere eng miteinander verbundene Sicherheitsbereiche.

Ein SIEM ist somit eine technische Plattform.
Ein SOC beschreibt dagegen die Menschen und Prozesse,
die eine solche Plattform betreiben und auf Meldungen reagieren.

SOAR kann wiederkehrende Abläufe automatisieren.
XDR verfolgt ebenfalls einen bereichsübergreifenden Ansatz,
ist jedoch häufig stärker an die Daten und Produkte einer
bestimmten Sicherheitsplattform gebunden.

Benötigt jedes Unternehmen ein SIEM?

Nicht jede Organisation benötigt sofort ein umfangreiches SIEM mit
zahlreichen Datenquellen und einem eigenen Security Operations Center.

Ein SIEM wird besonders relevant, wenn:

• zahlreiche Systeme und Sicherheitslösungen überwacht werden müssen,
• Warnungen über unterschiedliche Oberflächen verteilt sind,
• kritische oder sensible Daten verarbeitet werden,
• mehrere Standorte oder hybride IT-Umgebungen bestehen,
• Sicherheitsvorfälle nachvollziehbar untersucht werden müssen,
• interne oder regulatorische Anforderungen eine zentrale Protokollierung verlangen,
• ein internes oder externes Security-Team auf Warnungen reagieren kann.

Für eine kleine Umgebung kann zunächst eine gezielte Überwachung
besonders kritischer Systeme ausreichen. Bei wachsenden Infrastrukturen
steigt jedoch der Nutzen einer zentralen Analyse.

SIEM für Mittelstand und Kommunen

Mittelständische Unternehmen und Kommunen verfügen häufig über
gewachsene IT-Landschaften mit Fachanwendungen, Cloud-Diensten,
mehreren Standorten und unterschiedlichen Sicherheitsprodukten.

Gleichzeitig stehen nicht immer ausreichend interne Ressourcen zur Verfügung,
um jede Administrationsoberfläche dauerhaft zu überwachen.
Ein SIEM kann hier eine gemeinsame Sicht auf besonders relevante Ereignisse schaffen.

Wichtig ist jedoch ein angemessener Umfang. Ein zu komplexes System,
das mehr Warnungen erzeugt als bearbeitet werden können,
verbessert die Sicherheit nicht automatisch.

SIEM selbst betreiben oder als Managed Service nutzen?

Ein SIEM benötigt auch nach der technischen Einführung kontinuierliche Betreuung.
Regeln müssen angepasst, Datenquellen geprüft und Warnungen bewertet werden.

Betriebsmodell	Vorteile	Voraussetzungen
Eigenbetrieb	Volle interne Kontrolle und direkte Einbindung in vorhandene IT- und Sicherheitsprozesse.	Ausreichend Fachwissen, definierte Zuständigkeiten und verfügbare Reaktionszeiten.
Managed SIEM	Unterstützung bei Plattformbetrieb, Überwachung und Bewertung von Meldungen.	Klare Leistungsdefinition, Eskalationswege und abgestimmte Verantwortlichkeiten.
Hybrides Modell	Kombination aus internem Systemwissen und externer Security-Expertise.	Saubere Übergaben, gemeinsame Prozesse und klar geregelte Entscheidungsbefugnisse.

Für viele mittelständische Unternehmen und Kommunen ist ein hybrider
oder betreuter Ansatz sinnvoll, weil dadurch interne Kenntnisse erhalten
bleiben und gleichzeitig externe Security-Ressourcen genutzt werden können.

Wie läuft die Einführung eines SIEM ab?

Welche Erkennungsfälle sollten zuerst umgesetzt werden?

Statt möglichst viele Regeln gleichzeitig zu aktivieren,
sollte mit wenigen relevanten Anwendungsfällen begonnen werden.

• Mehrfache fehlgeschlagene Anmeldungen und Brute-Force-Versuche
• Anmeldungen aus ungewöhnlichen Ländern oder Netzwerken
• Neu angelegte oder veränderte Administratorkonten
• Unerwartete Änderungen an privilegierten Gruppen
• Deaktivierung von Sicherheits- oder Protokollierungsfunktionen
• Verdächtige Aktivitäten auf Endgeräten und Servern
• Verbindungen zu bekannten schädlichen IP-Adressen oder Domains
• Auffällige Datenübertragungen und ungewöhnliche Zugriffszeiten
• Manipulation kritischer Systeme oder Konfigurationen

Die Auswahl sollte sich an den wichtigsten Geschäftsprozessen,
kritischen Systemen und realistischen Angriffsszenarien orientieren.

Welche Rolle spielt Cyber Threat Intelligence im SIEM?

Ein SIEM erkennt zunächst, was innerhalb der eigenen IT-Umgebung geschieht.
Cyber Threat Intelligence
ergänzt diese interne Sicht um Informationen zu externen Bedrohungen.

Dazu gehören beispielsweise bekannte schädliche IP-Adressen,
Domains, Angriffsmethoden oder Hinweise auf kompromittierte Zugangsdaten.

Werden solche Informationen in die SIEM-Analyse eingebunden,
lassen sich interne Ereignisse besser einordnen.
Eine Verbindung zu einer bekannten Angreifer-Infrastruktur erhält
dadurch eine höhere Priorität als eine gewöhnliche externe Verbindung.

Wie ergänzen sich SIEM und Endpoint Security?

Endpoint Security liefert detaillierte Informationen zu Prozessen,
Dateien und Aktivitäten auf Arbeitsplätzen und Servern.
Das SIEM verbindet diese Informationen mit weiteren Datenquellen,
beispielsweise aus Firewalls, Identitätssystemen oder Cloud-Diensten.

Erkennt die Endpoint-Security-Lösung einen auffälligen Prozess,
kann das SIEM prüfen, ob der betreffende Benutzer gleichzeitig
ungewöhnliche Anmeldungen oder Netzwerkverbindungen verursacht hat.

So entsteht ein umfassenderes Bild als bei der isolierten Betrachtung
eines einzelnen Endgeräts.

Wie ergänzen sich SIEM und Penetrationstests?

Ein Penetrationstest
prüft, ob Schwachstellen tatsächlich ausgenutzt werden können
und wie weit ein Angreifer in eine Umgebung eindringen könnte.

Ein SIEM überwacht dagegen den laufenden Betrieb.
Es soll verdächtige Aktivitäten erkennen, wenn ein echter oder
simulierter Angriff stattfindet.

Pentests können daher auch genutzt werden, um zu prüfen,
ob bestehende SIEM-Regeln relevante Angriffsschritte tatsächlich erkennen.
Dadurch wird nicht nur die technische Schwachstelle getestet,
sondern auch die Wirksamkeit der Überwachung.

Typische Fehler bei der SIEM-Einführung

• Es werden möglichst viele Daten gesammelt, ohne zuvor klare Sicherheitsziele zu definieren.
• Standardregeln werden ungeprüft übernommen und nicht an die eigene Umgebung angepasst.
• Die Qualität und Vollständigkeit der angebundenen Logs wird nicht kontrolliert.
• Zu viele Fehlalarme führen dazu, dass wichtige Meldungen übersehen werden.
• Es ist nicht festgelegt, wer außerhalb der regulären Arbeitszeiten reagiert.
• Datenaufbewahrung und Kosten werden erst nach der Einführung betrachtet.
• Das SIEM wird als einmaliges Projekt statt als kontinuierlicher Prozess verstanden.
• Warnungen werden erzeugt, aber es fehlen konkrete Incident-Response-Abläufe.

Wie lassen sich zu viele SIEM-Alerts vermeiden?

Eine große Zahl an Warnungen bedeutet nicht automatisch eine gute Erkennung.
Werden täglich mehr Meldungen erzeugt, als das zuständige Team prüfen kann,
entsteht sogenannte Alert Fatigue.

Um dies zu vermeiden, sollten:

• Regeln an die eigene IT-Umgebung angepasst werden,
• bekannte legitime Aktivitäten sauber berücksichtigt werden,
• Alarme nach Risiko und betroffenen Systemen priorisiert werden,
• mehrere zusammengehörige Ereignisse zu einem Vorfall gebündelt werden,
• nicht relevante Datenquellen oder Regeln überarbeitet werden,
• Erkennungsregeln regelmäßig auf ihre Wirksamkeit geprüft werden.

Welche Rolle spielen NIS2 und ISO 27001?

Ein SIEM kann Organisationen dabei unterstützen,
sicherheitsrelevante Ereignisse zentral zu protokollieren,
mögliche Vorfälle zu erkennen und Reaktionen nachvollziehbar zu dokumentieren.

Damit kann es einen Beitrag zu einem strukturierten
Informationssicherheits- und Risikomanagement leisten.

Ein SIEM-System allein führt jedoch nicht automatisch zur Erfüllung
aller Anforderungen aus NIS2, ISO 27001 oder anderen Vorgaben.
Erforderlich sind zusätzlich definierte Verantwortlichkeiten,
dokumentierte Prozesse, Risikobewertungen und ein funktionierendes
Incident Management.

SIEM mit Elastic bei n-komm

n-komm unterstützt Unternehmen, Mittelstand und Kommunen bei der Planung,
Einführung und dem Betrieb von SIEM-Lösungen.

Im Mittelpunkt steht dabei nicht die möglichst schnelle Sammlung
großer Datenmengen. Zunächst werden relevante Systeme,
konkrete Erkennungsziele und die vorhandenen Reaktionsmöglichkeiten betrachtet.

Im SIEM-Umfeld setzt n-komm unter anderem auf Elastic.
Die Plattform kann Sicherheitsdaten aus unterschiedlichen Quellen
zentral zusammenführen, durchsuchen und analysieren.

Abhängig von der jeweiligen Ausgangslage unterstützt n-komm unter anderem bei:

• Bewertung des tatsächlichen SIEM-Bedarfs
• Auswahl und Priorisierung relevanter Datenquellen
• Technischer Integration in die bestehende IT-Landschaft
• Entwicklung geeigneter Erkennungs- und Alarmierungsregeln
• Aufbau von Dashboards und Auswertungen
• Optimierung von Warnungen und Reduzierung von Fehlalarmen
• Definition von Eskalations- und Incident-Response-Prozessen
• Verknüpfung mit Endpoint Security, CTI und weiteren Sicherheitsmaßnahmen

Häufige Fragen zu SIEM