# SIEM **Was ist ein SIEM?** Ein SIEM (Security Information and Event Management) ist ein System, das die Protokolle vieler einzelner IT-Systeme an einer Stelle sammelt, in eine einheitliche Form bringt und nach Mustern durchsucht, die auf einen Angriff hindeuten. Es verbindet Ereignisse aus verschiedenen Quellen zu einem gemeinsamen Bild. Der Nutzen liegt in der Verbindung. Ein einzelnes Ereignis sagt für sich genommen wenig. Fehlgeschlagene Anmeldungen kommen täglich vor, weil sich jemand vertippt. Eine Anmeldung um drei Uhr früh kann die Nachtschicht sein. Ein neu angelegtes Administratorkonto kann eine geplante Änderung sein. Treten diese drei Ereignisse jedoch innerhalb einer Stunde hintereinander auf, und wird kurz darauf auf einem Rechner der Virenschutz abgeschaltet, dann ergibt sich daraus ein Muster, das jede einzelne Meldung für sich nicht zeigt. Genau diese Verknüpfung leistet ein SIEM. Der Aufbau ist aufwendiger, als es von außen wirkt. Zunächst sind die Quellen anzubinden: Firewall, Server, Microsoft 365 oder ein vergleichbarer Cloud-Dienst, der verschlüsselte Fernzugang in das Firmennetz, die Fernwartung, die Schutzsoftware auf den Arbeitsplätzen und die Sicherungsläufe. Jedes dieser Systeme meldet in einer eigenen Sprache, mit eigenen Feldern und eigenen Bezeichnungen für denselben Vorgang. Diese Meldungen müssen in eine einheitliche Struktur übersetzt werden, damit die Frage, wer sich wann von wo aus angemeldet hat, über alle Systeme hinweg dieselbe Antwortform hat. Zusätzlich müssen die Uhren aller Systeme auf dieselbe Zeit gestellt sein, denn eine Verknüpfung von Ereignissen über mehrere Systeme hinweg ist nur so genau wie deren gemeinsame Zeitbasis. Danach beginnt die eigentliche Arbeit. Ein SIEM erkennt eine Abweichung nur, wenn es weiß, was in diesem Betrieb normal ist. Nachtschichten, Zugriffe aus dem Urlaub, Dienstkonten, die automatisiert und rund um die Uhr arbeiten, Wartungsfenster des Dienstleisters: All das ist unauffällig und muss als unauffällig hinterlegt werden. Geschieht das nicht, meldet das System täglich Hunderte von Fehlalarmen. Die Folge ist bekannt und gefährlich, weil die Alarme dann nicht mehr gelesen werden und der eine echte Alarm in der Menge untergeht. Diese Feinabstimmung ist keine einmalige Einstellung, sie läuft im Betrieb weiter, weil sich der Betrieb selbst laufend verändert. Dazu kommen die Fragen der Aufbewahrung. Protokolle brauchen Speicherplatz, und die Kosten richten sich in der Regel nach der Datenmenge. Es ist festzulegen, welche Quellen wie lange aufbewahrt werden. Die gesammelten Protokolle sind selbst schützenswert, weil sie zeigen, wie der Betrieb von innen aussieht, und weil ein Angreifer sie im Ernstfall als Erstes löschen würde. Sie enthalten außerdem personenbezogene Daten, denn sie halten fest, wer sich wann angemeldet hat. Zweck, Aufbewahrungsdauer und Einsichtsrechte gehören daher vorab schriftlich festgelegt und eine allfällige Mitarbeitervertretung eingebunden. Ein SIEM ersetzt keine Schutzmaßnahme. Es verhindert keinen Angriff, es macht ihn sichtbar. Seinen Wert entfaltet es erst, wenn die Alarme bei jemandem ankommen, der sie bewertet und darauf reagiert, etwa bei Ihrem IT-Dienstleister mit vereinbarter Reaktionszeit oder bei einem SOC (Security Operations Center), also einer Stelle, die eingehende Alarme rund um die Uhr auswertet. Für Betriebe ohne eigene IT-Abteilung ist ein SIEM daher immer eine Frage des laufenden Betriebs und nicht der einmaligen Anschaffung. ## Verwandte Begriffe - [Monitoring und Protokollierung](https://vetosec.at/it-sicherheit/monitoring-logging/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) - [Virenschutz und EDR](https://vetosec.at/it-sicherheit/edr-virenschutz/) - [NIS2](https://vetosec.at/it-sicherheit/nis2/) ## Quelle https://vetosec.at/it-sicherheit/siem/ (vetosec, schutz)