Was ist SIEM?

Kurz erklärt

SIEM (Security Information and Event Management) ist ein System, das Protokolldaten aus vielen IT-Quellen zentral sammelt, auswertet und bei verdächtigen Mustern Alarm schlägt. Es bündelt also Meldungen von Servern, Firewalls, E-Mail-Systemen und Anwendungen an einem Ort. Ziel ist, Angriffe zu erkennen, die in einzelnen Systemen unauffällig wirken, im Zusammenhang aber ein klares Bild ergeben.

Wie funktioniert SIEM?

Fast jedes IT-System schreibt laufend Protokolle, sogenannte Logs: Wer hat sich wann angemeldet? Welche Verbindung wurde blockiert? Welche Datei wurde geändert? Ein SIEM arbeitet in vier Schritten:

1. Sammeln: Logs aus Servern, Arbeitsplätzen, Firewall, Cloud-Diensten wie Microsoft 365 und weiteren Quellen werden zentral gespeichert.
2. Vereinheitlichen: Unterschiedliche Formate werden in eine gemeinsame Struktur gebracht, damit sie vergleichbar sind.
3. Verknüpfen und auswerten: Regeln und zunehmend auch statistische Verfahren suchen nach Mustern, etwa viele fehlgeschlagene Anmeldungen hintereinander (Brute-Force), gefolgt von einem erfolgreichen Login aus dem Ausland.
4. Alarmieren und dokumentieren: Auffälligkeiten werden gemeldet, die Daten bleiben für spätere Untersuchungen und Nachweise erhalten.

Ein SIEM ist allerdings kein Gerät, das man aufstellt und vergisst. Es muss eingerichtet, mit passenden Regeln versorgt und laufend betreut werden. Vor allem braucht es Menschen, die Alarme bewerten. In größeren Organisationen übernimmt das ein Security Operations Center (SOC), intern oder als Dienstleistung.

Warum SIEM für kleine Unternehmen oft nicht passt

Für einen Betrieb mit 5 bis 50 Mitarbeitenden ohne eigene IT-Abteilung ist ein klassisches SIEM meist zu teuer und zu komplex. Die Gründe sind sachlich:

• Lizenz-, Speicher- und Betriebskosten richten sich häufig nach Datenmenge und sind auf größere Umgebungen ausgelegt.
• Einrichtung und Pflege der Regeln erfordern Fachwissen, das intern kaum vorhanden ist.
• Ein SIEM erzeugt Alarme, die jemand verstehen und bearbeiten muss – auch abends und am Wochenende.
• Ohne Betreuung entstehen viele Fehlalarme, die schnell ignoriert werden.

Das Grundprinzip bleibt trotzdem richtig: Wer Logs auswertet, erkennt Angriffe früher. Die Frage ist nur, in welcher Form das für einen kleinen Betrieb machbar ist.

Ein typisches Beispiel aus dem KMU-Alltag

Eine Zahnarztpraxis nutzt Microsoft 365 und einen kleinen Server für die Praxissoftware. In den Anmeldeprotokollen von Microsoft 365 tauchen über Tage hinweg Anmeldeversuche aus verschiedenen Ländern für das Konto der Praxismanagerin auf, schließlich ein erfolgreicher Login. Die Information war vorhanden, aber niemand hat hingesehen. Erst als Patientinnen und Patienten gefälschte Zahlungsaufforderungen von der Praxisadresse erhalten, fällt der Angriff auf. Mit einer automatischen Auswertung der Anmeldedaten wäre der erfolgreiche Login aus dem Ausland sofort aufgefallen, und das Passwort hätte noch am selben Tag geändert werden können.

So schützen Sie Ihr Unternehmen

• Vorhandene Protokolle nutzen: Microsoft 365 und Google Workspace bieten Anmeldeberichte und Warnungen. Aktivieren Sie die Benachrichtigungen bei verdächtigen Anmeldungen.
• Zwei Faktoren einschalten: Zwei-Faktor-Authentifizierung verhindert, dass gestohlene Passwörter allein ausreichen.
• Logs aufbewahren: Stellen Sie sicher, dass Server und Firewall Protokolle speichern und diese nicht nach wenigen Tagen überschrieben werden.
• Zuständigkeit festlegen: Klären Sie, wer Sicherheitswarnungen erhält und wer reagiert.
• Endgeräte absichern: Ergänzend zum Blick auf Logs schützt EDR einzelne Geräte direkt.

Für Unternehmen, die unter NIS2 fallen, wird das systematische Erkennen von Vorfällen ohnehin zur Pflicht – auch um Ransomware-Angriffe rechtzeitig melden zu können.

Was tun im Ernstfall?

Fällt eine verdächtige Anmeldung auf, ändern Sie sofort das Passwort des betroffenen Kontos, melden Sie alle aktiven Sitzungen ab und prüfen Sie, ob neue Weiterleitungen oder Postfachregeln angelegt wurden – ein typisches Vorgehen von Angreifern. Informieren Sie Ihren IT-Dienstleister. Könnten Kundendaten betroffen sein, prüfen Sie die DSGVO-Meldepflicht an die Datenschutzbehörde innerhalb von 72 Stunden.

Xcubitor wird künftig das Grundprinzip eines SIEM für kleine Betriebe umsetzen: Server-Logs und Konto-Anmeldungen überwachen und Auffälligkeiten in verständlicher Sprache per WhatsApp erklären.