SIEM

Definition

Ein Security Information and Event Management System (SIEM) ist eine zentrale Sicherheitsplattform, die Log-Daten aus heterogenen IT-Quellen — darunter Firewalls, Endpunktsysteme, Server und Anwendungen — in Echtzeit aggregiert, korreliert und auf Anomalien oder Angriffsmuster analysiert. Im NIS2-Kontext ist ein SIEM ein zentrales Werkzeug für das gesetzlich geforderte kontinuierliche Monitoring und die Erkennung erheblicher Sicherheitsvorfälle innerhalb der vorgeschriebenen Erkennungszeiten. Das BSI empfiehlt SIEM-Systeme explizit als Stand-der-Technik-Maßnahme für größere betroffene Einrichtungen. Ein gut konfiguriertes SIEM verkürzt die mittlere Erkennungszeit (MTTD) von Angriffen erheblich und ist Voraussetzung für einen effektiven SOC-Betrieb. Neben der Vorfallserkennung liefert ein SIEM auch forensisch verwertbare Protokollierungsdaten für die Nachweisführung gegenüber dem BSI.

Rechtsgrundlage

§ 30 Abs. 1 BSIG verpflichtet Einrichtungen zu geeigneten Maßnahmen zur Erkennung und Reaktion auf Sicherheitsvorfälle, was nach dem BSI IT-Grundschutz-Kompendium den Einsatz eines zentralen Log-Management- und Monitoring-Systems einschließt. ISO/IEC 27001:2022 Anhang A, Kontrolle 8.15 (Logging) und 8.16 (Monitoring) fordern eine strukturierte Protokollierung und Überwachung sicherheitsrelevanter Ereignisse. Das BSI IT-Grundschutz-Kompendium enthält den Baustein OPS.1.1.5 (Protokollierung), der die technischen Anforderungen an SIEM-Systeme und die Mindestaufbewahrungsfristen für sicherheitsrelevante Protokolldaten verbindlich konkretisiert.

Praktische Implikation

Etablieren Sie ein zentrales SIEM als Kernkomponente Ihres Sicherheitsüberwachungskonzepts und definieren Sie klare Anwendungsfälle (Use Cases) für die Angriffserkennung. Dokumentieren Sie alle Logquellen, Korrelationsregeln und Eskalationspfade für Alarme. Stellen Sie sicher, dass die SIEM-Logs mindestens ein Jahr lang aufbewahrt werden, um forensische Anforderungen bei BSI-Ermittlungen zu erfüllen. Verbinden Sie das SIEM mit Ihrem Incident-Response-Prozess, sodass erkannte Vorfälle automatisch in Tickets überführt werden. Überprüfen Sie die SIEM-Regeln mindestens quartalsweise und passen Sie sie an neue Bedrohungslagen und geänderte Infrastrukturen an.

Verwandte Begriffe

• Incident Response
• SOC
• CSIRT