SIEM Tool-Auswahl: erst die Kriterien, dann das Produkt
Die Wahl der SIEM-Plattform ist eine Entscheidung für Jahre, die Kosten, Betriebsaufwand und Erkennungsfähigkeit bestimmt. Diese Seite beschreibt die sechs Kriterien, die in jeder Auswahl zählen, erklärt die Preismodelle und ordnet die gängigen Plattformen ein, ohne Rangliste und ohne Herstellerbindung.
- 6 Kriterien von Datenquellen bis Betriebsaufwand
- Ingest + Retention die Größen, nach denen die meisten Anbieter abrechnen
- 5 Plattformen eingeordnet, nicht gerankt
- 0 Provision wir verkaufen keine Lizenzen
Sechs Kriterien, die jede Auswahl entscheiden
Die Reihenfolge ist bewusst: Was Sie erkennen wollen und welche Daten Sie dafür brauchen, steht vor der Frage, was das Werkzeug kann.
- 1
Datenquellen und Konnektoren
Welche Ihrer Systeme werden mit fertigen Konnektoren angebunden, welche brauchen eigene Parser? Identitätsdienste, Endpunkte, Firewalls, Cloud-Plattformen und Ihre wichtigsten Fachanwendungen müssen abgedeckt sein. Jede selbst gebaute Anbindung ist laufender Pflegeaufwand.
- 2
Preismodell
Abrechnung nach eingespeistem Volumen, Ereignissen pro Sekunde, Knoten oder Nutzern, dazu Kosten für Retention und Speicherstufen. Das Modell muss mit Ihrer Volumenprognose über drei Jahre gerechnet werden, nicht mit dem Startpreis.
- 3
Cloud oder On-Prem
Wo liegen Ihre Quellen, wo dürfen die Daten liegen, wer betreibt die Plattform? Cloud-SIEM reduziert Infrastrukturaufwand, eigener Betrieb gibt Kontrolle. Hybride Modelle mit lokaler Sammlung und Analyse in der Cloud sind üblich.
- 4
Detection-Inhalte
Wie viele fertige Erkennungsregeln bringt die Plattform mit, wie gut passen sie zu Ihren Quellen, wie werden sie aktualisiert? Mitgelieferte Regeln sind ein Startpunkt, kein Ersatz für eigene Use Cases, aber sie verkürzen den Weg zur ersten Erkennung.
- 5
SOAR und Automatisierung
Anreicherung von Alarmen, Ticketing, automatisierte erste Reaktionsschritte. Enthalten, Zusatzmodul oder Drittprodukt? Relevant ab dem Zeitpunkt, an dem die Alarmqualität Automatisierung erlaubt.
- 6
Betriebsaufwand
Wie viel Personal braucht Plattform, Parser-Pflege, Regel-Pflege und Upgrades? Wie gut ist die Dokumentation, gibt es Community und Partner? Ein leistungsfähiges SIEM ohne Betriebspersonal ist ein teurer Log-Speicher.
Preismodelle verstehen, bevor Sie vergleichen
Anbieter rechnen unterschiedlich ab. Wer die Modelle nicht auf dieselbe Basis bringt, vergleicht Startpreise statt Gesamtkosten. Konkrete Preise nennen wir hier nicht, weil sie von Volumen, Vertragslaufzeit und Verhandlung abhängen.
| Modell | Bemessungsgrundlage | Vorteil | Risiko |
|---|---|---|---|
| Nach Ingest-Volumen | Datenmenge, die täglich eingespeist wird, meist in Gigabyte pro Tag. | Transparent, leicht zu messen, skaliert mit tatsächlicher Nutzung. | Jede neue Quelle und jedes Wachstum erhöht die Rechnung. Ausführliche Logs werden zum Kostenproblem. |
| Nach Retention und Speicherstufen | Wie lange Daten vorgehalten werden und in welcher Stufe: heiß für Analyse, warm oder kalt für Suche und Forensik. | Günstige Stufen für Daten, die selten gebraucht werden. Großer Hebel bei langen Aufbewahrungsfristen. | Falsch zugeordnete Daten liegen teuer im Analysebereich oder sind im Ernstfall nicht schnell genug abrufbar. |
| Nach Ereignissen pro Sekunde | Spitzenlast an Ereignissen, die die Plattform verarbeitet. | Unabhängig von der Größe einzelner Ereignisse. | Spitzen bei Vorfällen oder Fehlkonfigurationen führen zu Überschreitungen und Nachlizenzierung. |
| Nach Knoten, Nutzern oder Assets | Anzahl überwachter Systeme, Endpunkte oder Mitarbeitender. | Planbar, unabhängig vom Logvolumen; ausführliche Protokollierung kostet nicht extra. | Bei vielen kleinen Systemen oder hoher Fluktuation teuer; Definition von Knoten oft unklar. |
| Open Source mit Eigenbetrieb | Keine Lizenz, dafür Infrastruktur, Speicher und Personal. | Volle Kontrolle, keine Volumenabhängigkeit der Lizenz. | Betriebsaufwand und Fachwissen werden unterschätzt; Support nur über Community oder kostenpflichtige Partner. |
Rechnen Sie über drei Jahre: mit Ihrer Volumenprognose je Quelle, geplanten neuen Quellen, den Aufbewahrungsfristen je Datenart und dem Personal für den Betrieb. Erst diese Summe ist vergleichbar. Wie Sie das Volumen vor der Anbindung schätzen, beschreibt die Seite zu Log-Quellen.
Fünf verbreitete Plattformen, eingeordnet
Keine Rangliste. Jede der fünf Plattformen ist in bestimmten Landschaften die richtige Wahl und in anderen die falsche. Die Einordnung zeigt, wo die jeweilige Stärke liegt und was Sie prüfen sollten.
| Plattform | Typischer Einsatz | Was zu prüfen ist |
|---|---|---|
| Microsoft Sentinel | Cloud-natives SIEM mit enger Integration in Microsoft 365, Entra ID und Azure. Naheliegend für Unternehmen, deren Identitäten und Arbeitsplätze bei Microsoft liegen. | Kosten für Quellen außerhalb des Microsoft-Ökosystems, Abrechnung nach Ingest, Zusammenspiel mit vorhandenen Lizenzpaketen, Datenhaltung in der Region. |
| Splunk | Etablierte Plattform mit großer Reichweite an Konnektoren und Inhalten, als Cloud-Dienst oder Eigenbetrieb. Stark in Umgebungen mit vielen unterschiedlichen Quellen und eigenen Analysen. | Preismodell und Volumenentwicklung, Bedarf an Fachpersonal für Abfragesprache und Betrieb, Abgrenzung von Modulen und Zusatzprodukten. |
| Elastic Security | SIEM auf Basis des Elastic Stack, als Cloud-Dienst oder selbst betrieben. Attraktiv, wenn Elasticsearch bereits im Haus ist oder Suche und Analyse über Sicherheitsdaten hinaus gebraucht werden. | Lizenzstufen und enthaltene Funktionen, Betriebsaufwand bei Eigenbetrieb, Reifegrad der mitgelieferten Erkennungsregeln für Ihre Quellen. |
| IBM QRadar | Klassische SIEM-Plattform mit langer Historie in regulierten Umgebungen, als Appliance, Software oder Cloud-Dienst. Häufig in Unternehmen mit etablierten On-Premises-Landschaften. | Abrechnung nach Ereignissen und Datenflüssen pro Sekunde, Produktstrategie des Herstellers, Aufwand für Upgrades und Parser. |
| Wazuh | Open-Source-Plattform mit Schwerpunkt auf Endpunktüberwachung, Integritätsprüfung und Schwachstellenerkennung. Geeignet für kostenbewusste Umgebungen mit eigenem Betriebsteam. | Betriebs- und Skalierungsaufwand, Abdeckung von Netzwerk- und Cloud-Quellen, Verfügbarkeit von Support über Partner, Bedarf an eigener Regelentwicklung. |
In fünf Schritten zur belastbaren Entscheidung
Ein strukturierter Auswahlprozess dauert einige Wochen und erspart Jahre mit dem falschen Werkzeug. So gehen wir mit Ihnen vor.
-
Anforderungen aus den Erkennungszielen ableiten
Was muss erkannt werden, welche Vorgaben gelten, welches Betriebsmodell ist realistisch? Daraus entstehen Muss- und Kann-Kriterien. Ohne diesen Schritt gewinnt in der Auswahl die beste Präsentation, nicht die beste Passung.
-
Log-Quellen und Volumen erfassen
Liste der Quellen mit Priorität, geschätztem Tagesvolumen und Aufbewahrungsfrist. Sie ist die Grundlage für den Preisvergleich und zeigt, welche Konnektoren die Plattform mitbringen muss.
- Volumen an bestehenden Systemen messen statt schätzen, wo möglich
- Geplante Quellen der nächsten zwei Jahre einbeziehen
-
Shortlist und Bewertungsmatrix
Zwei bis drei Plattformen gegen die gewichteten Kriterien bewerten. Preismodelle auf Ihre Volumenprognose über drei Jahre umrechnen. Betriebsaufwand in Personentagen je Monat schätzen.
-
Proof of Concept mit echten Quellen
Die favorisierten Plattformen mit Ihren wichtigsten Quellen und drei bis fünf Use Cases testen. Geprüft werden Anbindung, Parser-Qualität, Suchgeschwindigkeit, Alarmqualität und wie Ihr Team mit der Oberfläche zurechtkommt.
-
Entscheidung und Vertrag
Entscheidungsvorlage mit Bewertung, Gesamtkosten über drei Jahre und Betriebsmodell für die Geschäftsleitung. Im Vertrag: Volumenkorridor, Preisentwicklung, Datenhaltung, Ausstiegsregeln und Datenexport.
Vertiefung zu SIEM und SOC
-
SOC-Optionen: eigenes SOC, MDR, Hybrid
Rollen im SOC, die 24/7-Frage, Eskalationswege und die Kennzahlen MTTD und MTTR für jedes Betriebsmodell.
-
Log-Quellen priorisieren
Welche Quellen den höchsten Erkennungswert liefern, wie Retention geplant wird und warum das Volumen die Kosten treibt.
-
SIEM-Beratung im Überblick
Grundlagen, Betriebsmodelle, unser Vorgehen in vier Schritten, Kennzahlen und der Selbsttest für Ihr SIEM.
Zur Tool-Auswahl
Welches SIEM ist das beste?
Es gibt kein bestes SIEM, nur das passende für Ihre Landschaft, Ihr Personal und Ihr Betriebsmodell. Ein Unternehmen mit Microsoft 365 und Azure bewertet anders als eines mit heterogener On-Premises-Infrastruktur oder Open-Source-Strategie. Deshalb beginnt die Auswahl bei den Anforderungen und nicht bei einer Marktübersicht.
Warum spielt das Preismodell eine so große Rolle?
Weil SIEM-Kosten fast immer vom Datenvolumen abhängen: was täglich eingespeist wird (Ingest) und wie lange es vorgehalten wird (Retention). Ein Modell, das bei Ihrem heutigen Volumen günstig ist, kann bei Wachstum oder neuen Quellen teuer werden. Manche Anbieter rechnen nach Volumen, andere nach Ereignissen pro Sekunde, Knoten oder Nutzern. Das Modell muss zu Ihrer Wachstumsprognose passen, nicht nur zum Startpreis.
Cloud-SIEM oder eigener Betrieb?
Cloud-SIEM nimmt Ihnen Infrastruktur, Skalierung und Updates ab und passt gut, wenn viele Quellen ohnehin in der Cloud liegen. Eigener Betrieb gibt Kontrolle über Datenhaltung und Kosten bei sehr hohem Volumen, verlangt aber Personal für Plattform, Speicher und Verfügbarkeit. Regulatorische Vorgaben zur Datenhaltung und die Verfügbarkeit von Betriebspersonal entscheiden meist, nicht die Technik.
Brauchen wir SOAR?
Erst, wenn die Alarme in einer Qualität vorliegen, die sich automatisieren lässt. Security Orchestration, Automation and Response automatisiert Anreicherung, Ticketing und erste Reaktionsschritte. Bei hoher Fehlalarmrate automatisiert SOAR vor allem das Rauschen. Prüfen Sie, ob die Plattform SOAR-Funktionen enthält oder ein Zusatzprodukt braucht, und planen Sie den Einsatz für die zweite Ausbaustufe.
Was, wenn wir bereits ein SIEM haben, das nicht funktioniert?
Dann ist die Frage selten das Produkt. Meist fehlen Use Cases, priorisierte Log-Quellen oder Menschen, die Alarme bearbeiten. Ein Plattformwechsel ohne diese Grundlagen wiederholt das Problem mit neuer Rechnung. Wir prüfen zuerst, ob die vorhandene Plattform mit besserem Betrieb die Anforderungen erfüllt, und empfehlen einen Wechsel nur bei echten Lücken in Kriterien, die sich nicht durch Betrieb beheben lassen.
Edouard Jacques
Die passende Plattform für Ihre Landschaft
Im kostenlosen Erstgespräch klären wir Erkennungsziele, Quellen und Betriebsmodell und leiten daraus ab, welche Plattformen auf Ihre Shortlist gehören. Herstellerunabhängig und ohne Provision.
- Kriterienkatalog aus Ihren Anforderungen
- Preismodelle auf Ihre Volumenprognose umgerechnet
- Proof of Concept mit Ihren echten Quellen
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen