SIEM-Auswahl: die Kriterien, die unter NIS2 und DORA zählen

Warum es zählt

Ein SIEM wird als leerer Motor geliefert. Seinen Wert bekommt es durch Erkennungsregeln, und die altern: Jede neue Angriffstechnik, jedes neue Logformat und jede Änderung in deiner Umgebung verlangt Updates. Ob der Vendor ein kuratiertes, auf MITRE ATT&CK abgebildetes Regelwerk pflegt oder diese Arbeit dir überlässt, ist der Unterschied zwischen einem Produkt und einem Projekt.

Warum es zählt

Die Erkennungszeit des SIEM ist die Summe aus Ingestion-Verzögerung, Korrelationsfenster und Regelintervall, und in jedem davon können sich Minuten bis Stunden verstecken. Einen Angreifer, der in neunzig Minuten vom Erstzugriff zum Domänen-Admin wird, fängt keine Korrelationsregel, die stündlich auf Daten läuft, die dreißig Minuten zu spät kamen. Die 24-Stunden-Uhr von NIS2 beginnt mit der Kenntnis, und Kenntnis beginnt hier.

Warum es zählt

Ein einzelner fehlgeschlagener Login ist Rauschen; fünf fehlgeschlagene Logins, dann ein Erfolg aus einem neuen Land und eine Rechteänderung sind ein Vorfall. Korrelation macht aus Ereignissen diese Geschichte, und Anreicherung ergänzt, wer der Nutzer ist, was das Asset tut und ob die IP als bösartig bekannt ist. Ohne beides liest der Analyst Rohereignisse, und die Warteschlange füllt sich mit Alarmen, die niemand priorisieren kann.

Warum es zählt

Erkennung ist nur der erste Schritt. Ein Alarm muss zum Ticket werden, eine Anreicherung auslösen, über das EDR einen Endpunkt isolieren und in dem Vorfallsprotokoll landen, das der Auditor später liest. Sind diese Übergaben manuell, wird Reaktionszeit in Schichten statt in Minuten gemessen, und die Zeitleiste, die du später rekonstruierst, hat Lücken.

Warum es zählt

Ein SIEM, das tausend Alarme am Tag erzeugt, von denen drei zählen, hat die drei versteckt. False Positives sind kein Ärgernis, sie sind der Mechanismus, durch den echte Vorfälle ungelesen geschlossen werden. Der Tuning-Aufwand, ein Regelwerk von laut zu brauchbar zu bringen, sind Analystenwochen, und das sind die Kosten, die nie im Lizenzangebot stehen.

Warum es zählt

SIEM-Lizenzen werden pro aufgenommenem Gigabyte, pro Ereignis, pro Node oder pro Workload bepreist, und jedes Modell belohnt ein anderes Verhalten. Preis pro Gigabyte macht jede neue Logquelle zu einer Budgetdiskussion und drängt Teams dazu, genau die geschwätzigen Quellen abzuschalten, die in einer Untersuchung am nützlichsten sind. Das Pilotvolumen ist nie das Produktionsvolumen.

Warum es zählt

Ein SIEM sieht nur, was du ihm schickst, und erkennt nur, wofür es einen Use Case hat. Angreifer bewegen sich heute durch Identity Provider, SaaS-Anwendungen, Cloud-Steuerungsebenen und in Industrieumgebungen durch OT-Netze. Wenn diese Quellen nicht von vendorgepflegten Parsern und Detections abgedeckt sind, deckt das Tool die Server ab, die du ohnehin überwacht hast, und übersieht die Systeme, in denen Vorfälle heute beginnen.

Warum es zählt

Regulatorische Erwartungen und dein eigener forensischer Bedarf können verlangen, dass Security-Logs ein Jahr oder länger aufbewahrt werden, während SIEM-Preise davon ausgehen, dass du wenige Wochen im schnellen Speicher hältst. Und der Moment, in dem du das SIEM am dringendsten brauchst, ist der Moment, in dem es die meisten Daten hält und die meisten Leute darin suchen: Eine Suche, die beim Demo-Volumen in Sekunden antwortet, kann gegen Monate an Bestand Minuten dauern oder abbrechen.

Warum es zählt

Deine Logquellen sind nicht mehr nur Syslog von Servern im Rechenzentrum. Cloud-Audit-Trails, Container-Plattformen, Serverless-Funktionen und SaaS-Anwendungen erzeugen Logs über APIs, Event-Streams und Objektspeicher, in Formaten, die sich mit dem Release-Zyklus des Anbieters ändern. Ein SIEM aus der Syslog-Welt sammelt diese Quellen über ein eigenes Skript, das bricht, sobald der Anbieter ein Feld ändert.

Warum es zählt

Korrelation über Quellen hinweg funktioniert nur, wenn ein Benutzername im Firewall-Log und ein Benutzername im Identity-Log im selben Feld im selben Format landen. Normalisierung und Parsing sind die unglamouröse Schicht, die jede Erkennungsregel zum Laufen bringt, und wenn ein Parser fehlt oder bricht, werden die Ereignisse als Text gespeichert und jede Regel, die davon abhing, verstummt ohne Alarm.

Warum es zählt

Ein SIEM ohne Menschen ist eine Rechnung. Jemand muss Regeln tunen, Alarme sichten, Untersuchungen führen und Parser am Laufen halten, und wie schnell ein Analyst von einem Alarm zu den zugehörigen Ereignissen, dem Asset, dem Nutzer und der Zeitleiste springen kann, entscheidet, wie viele Vorfälle ein kleines Team tatsächlich bewältigt. Die Workbench ist der Ort, an dem Analystenstunden gewonnen oder verloren werden.

Warum es zählt

Das Vorfallsprotokoll, das der Auditor liest, und der Change, der die Ursache behebt, leben beide im Ticketsystem, nicht im SIEM. Wird aus einem Alarm kein Ticket mit den richtigen Feldern, dem richtigen Bearbeiter und einem Link zurück zum Nachweis, laufen die Zeitleiste des SIEM und die der Organisation auseinander, und unter NIS2 und DORA wird die der Organisation gemeldet.

Warum es zählt

Die drei Quellen, die heute die meisten Untersuchungen entscheiden, sind das EDR, der Identity Provider und die Cloud-Steuerungsebene. Integrationstiefe heißt mehr als ihre Logs einzulesen: Der Analyst sieht den Prozessbaum aus dem EDR, die letzten Anmeldungen des Nutzers aus dem IdP und die Cloud-Rollenänderungen in einer Ansicht und kann aus dem SIEM heraus eine Eindämmung im EDR oder einen Session-Widerruf im IdP auslösen.

Warum es zählt

Threat Intelligence ist das, womit eine Erkennung "diese IP gehört einer bekannten Ransomware-Gruppe" sagen kann statt "diese IP hat eine Verbindung aufgebaut". Ihr Wert im SIEM hängt davon ab, ob Indikatoren automatisch gegen jede Quelle abgeglichen werden, wie aktuell sie sind, und ob du die Feeds des CERT und ISAC deiner Branche neben denen des Vendors einbringen kannst.

Warum es zählt

On-Premises gibt dir die Residenzfrage zu deinen Bedingungen und macht dich zum Betreiber einer Datenplattform mit Speicher, Patching und Skalierung. SaaS nimmt dir diese Last ab und verschiebt Residenz- und Zugriffsfragen zum Vendor. Hybrid sammelt on premises und analysiert in der Cloud, und die Collector-Schicht ist der Ort, an dem die meisten Hybrid-Installationen ihren Betriebsaufwand verbringen.

Warum es zählt

Die Lizenz ist ein Bruchteil dessen, was ein SIEM kostet. Speicher für die Aufbewahrung, die Collectoren und ihre Hosts, die Analysten, die es betreiben, die Professional Services für das Onboarding, die Integrationsarbeit, die Schulung und das Ingestion-Wachstum, das jeder neuen Quelle folgt, gehören alle in die Zahl. Eine Dreijahressumme bei deinem aktuellen Log-Volumen, mit Wachstum, ist die einzige Zahl, die sich über Vendoren vergleichen lässt.

Warum es zählt

Security-Logs enthalten Benutzernamen, IP-Adressen, Mailbetreffe und manchmal ganze Payloads. Das macht sie zu personenbezogenen Daten unter der DSGVO und oft zu vertraulichen Geschäftsdaten. Wo sie gespeichert werden, ist die eine Frage; wo die Support-Techniker, die Analysten des Managed Service und die Machine-Learning-Pipelines des Vendors darauf zugreifen, die andere, und um die geht es bei Schrems II. Der SOC-2-Bericht des Vendors ist das, was in deine Lieferantenakte kommt.

Warum es zählt

NIS2 Artikel 23 erwartet eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden nach Kenntnis; DORA verlangt von Finanzunternehmen die Meldung schwerwiegender IKT-Vorfälle in einem ähnlich engen Zeitrahmen. Beides braucht eine belastbare Zeitleiste dessen, was passiert ist, gebaut aus Logs, für deren Integrität du geradestehen kannst. Wenn das SIEM diese Nachweise nicht in einer Form exportiert, die du übergeben kannst, scheitert die Frist am Papierkram, nicht an der Erkennung.

Warum es zählt

Ein SIEM-Wechsel bedeutet, Jahre an Logs zu bewegen, jede Erkennungsregel in einer neuen Abfragesprache neu zu schreiben und das Team umzuschulen. Diese Wechselkosten sind es, die Vendoren erlauben, bei der Verlängerung die Preise zu erhöhen. Vor der Unterschrift musst du wissen, wie du wieder gehen würdest, und ob die Historie, die du aufbewahren musst, woanders noch lesbar ist.

Warum es zählt

Du unterschreibst für drei Jahre, und der SIEM-Markt konsolidiert schneller als die meisten. Ob der Vendor in den Detection Content, die Cloud-Quellen und das Analysten-Tooling investiert, die du brauchen wirst, und ob seine KI-Funktionen etwas tun, das ein Analyst prüfen kann, entscheidet, ob die Plattform im dritten Jahr noch passt. Es ist auch ein Signal dafür, ob es den Vendor bis dahin noch eigenständig gibt.

Warum es zählt

Preis pro Gigabyte bestraft dich für die geschwätzigen Quellen, die in einer Untersuchung am meisten zählen. Preis pro Node bestraft einen großen Bestand kleiner Server. Pauschalpreise wirken sicher, bis du erfährst, was die Pauschale voraussetzt. Jedes Modell belohnt ein anderes Verhalten, und das falsche macht jede neue Logquelle zu einer Budgetverhandlung mit deinem eigenen Security-Team.

Warum es zählt

Das zugesagte Volumen wird in Pilotgröße festgelegt, und der Überschreitungstarif steht im Kleingedruckten. Eine geschwätzige Firewall, ein vergessenes Debug-Flag, eine neue Cloud-Quelle, und die Monatsrechnung ist eine fünfstellige Überraschung. Planbarkeit ist nicht der Listenpreis, sondern was vertraglich an dem Tag passiert, an dem du die Zusage überschreitest, und ob du es kommen siehst.

Warum es zählt

Am Ende braucht die Entscheidung eine Zahl pro Vendor, die sich vergleichen lässt: den angebotenen jährlichen Lizenzpreis bei deinem aktuellen Log-Volumen, für die Konfiguration, die du wirklich betreiben wirst, über die Laufzeit, die du wirklich unterschreibst. Jedes andere Kriterium in diesem Katalog fließt ein, wie viel diese Zahl wert ist; dieses sorgt dafür, dass sie existiert und vergleichbar ist.