SIEM führt Sicherheitsmeldungen aus mehreren Systemen zusammen und macht verdächtige Zusammenhänge sichtbar.
SIEM steht für Security Information and Event Management. Es sammelt sicherheitsrelevante Protokolle aus mehreren Systemen, bringt zusammengehörende Ereignisse in einen Kontext und macht auffällige Aktivitäten zentral sichtbar.
Ein einzelner fehlgeschlagener Login ist oft harmlos. Viele Anmeldeversuche, eine Firewall-Warnung und eine auffällige Aktion am selben Konto können gemeinsam jedoch auf einen Angriff hinweisen. Ein SIEM hilft, solche Zusammenhänge schneller zu erkennen.
Typische Quellen sind Microsoft 365 und andere Cloud-Dienste, Firewalls, Server, Benutzerkonten, Endgeräte und wichtige Anwendungen. Nicht jede verfügbare Meldung ist automatisch sinnvoll. Auswahl und Aufbewahrung richten sich nach Risiko, Nutzen und Kosten.
Ein Benutzerkonto meldet sich zu einer ungewöhnlichen Zeit aus einem neuen Land an. Kurz danach ändern sich Berechtigungen und die Firewall protokolliert auffällige Verbindungen. Das SIEM führt die Hinweise zusammen und erzeugt eine priorisierte Meldung.
Technik allein löst keinen Vorfall. Es muss klar sein, wer einen Alarm bewertet, wen das Unternehmen informiert und welche Maßnahmen freigegeben sind. Ohne Zuständigkeiten entsteht aus vielen Warnungen nur eine schwer handhabbare Alarmflut.
Ein SIEM wird interessanter, wenn mehrere Cloud-Dienste, Standorte, sensible Daten oder besondere Nachweispflichten vorhanden sind. Für kleinere Umgebungen kann ein schrittweiser Einstieg mit wenigen wichtigen Datenquellen sinnvoller sein als eine sofortige Vollausstattung.
Möglichst viele Protokolle ohne Ziel zu sammeln verursacht Aufwand und Kosten. Veraltete Regeln, unbearbeitete Warnungen und fehlende Tests schwächen den Nutzen. SIEM ergänzt Grundlagen wie MFA, Endpoint Security, Updates und Backups, ersetzt sie aber nicht.
