Im Kern f\u00fchrt ein SIEM die Ereignismeldungen verschiedener IT-Systeme und Anwendungen an einer zentralen Stelle zusammen, wo sie sich gemeinsam auswerten lassen. Laut BSI l\u00e4sst sich aus einzelnen Protokolldaten in den meisten F\u00e4llen nicht eindeutig auf einen Verdachtsfall schlie\u00dfen<\/strong>. Erst in Korrelation mit anderen Informationen, etwa weiteren Protokolldaten oder Kontextinformationen, l\u00e4sst sich erschlie\u00dfen, dass ein Verdachtsfall existieren k\u00f6nnte. Damit Protokoll- und Protokollierungsdaten korreliert und abgeglichen werden k\u00f6nnen, sollten sie zeitlich synchronisiert sein<\/strong>. F\u00fcr einen Gesamt\u00fcberblick \u00fcber den Informationsverbund k\u00f6nnen die Protokollierungsereignisse an eine dedizierte Protokollierungsinfrastruktur gesendet und dort zentral gespeichert werden. Ereigniskorrelation bedeutet nach dem NIST, Beziehungen zwischen zwei oder mehr Logeintr\u00e4gen aufzufinden.<\/p>\n Ein unter DORA fallender Versicherer k\u00f6nnte im SIEM etwa Protokoll- und Ereignisdaten aus Bestandsf\u00fchrung, Kundenportal und Netzwerk zusammenf\u00fchren und korrelieren; nach der delegierten DORA-Verordnung muss sein Mechanismus zum umgehenden Aufdecken anomaler Aktivit\u00e4ten es erm\u00f6glichen, interne und externe Faktoren, darunter zumindest die gem\u00e4\u00df Artikel 12 gesammelten Protokolle, zu sammeln, zu \u00fcberwachen und zu analysieren<\/strong>. Weder DORA noch die delegierte Verordnung zum IKT-Risikomanagement nennen den Begriff SIEM.<\/p>\n Nach dem BSI-Kriterienkatalog C5 f\u00fcr Cloud-Anbieter umfasst ein SIEM-System unter anderem die Standardisierung von Protokolldaten. Dazu kommen die automatisierte Analyse zur Identifizierung und Korrelation<\/strong> potenzieller Sicherheitsvorf\u00e4lle sowie F\u00e4higkeiten zur Detektion ungew\u00f6hnlichen Verhaltens und potenzieller Bedrohungen. F\u00fcr Cloud-Anbieter verlangt der Katalog, dass ihr SIEM-System innerhalb der Cloud-Umgebung oder extern bereitgestellt wird und die genannten Funktionen umfasst. Dazu geh\u00f6ren auch eine Echtzeit-Alarmierung, um das Incident-Response-Team \u00fcber kritische Ereignisse zu informieren, und die Meldung neuer, f\u00fcr ein Ereignis relevanter Informationen.<\/p>\n Nach der \u00e4lteren NIST-Ver\u00f6ffentlichung SP 800-92 besteht ein SIEM-Produkt aus einem oder mehreren Logservern, die die Logs analysieren, und einem oder mehreren Datenbankservern, die sie speichern. SIEM-Produkte unterst\u00fctzen in der Regel mehrere Dutzend Arten von Logquellen, darunter Betriebssysteme, Sicherheitssoftware, Anwendungsserver und sogar Ger\u00e4te der physischen Zutrittskontrolle wie Ausweisleser. Erkennungsregeln werden nach dem britischen National Cyber Security Centre (NCSC) typischerweise in SIEM-Werkzeugen umgesetzt und durchsuchen die Logquellen automatisch nach passenden logischen Mustern. Die zugeh\u00f6rigen Warnmeldungen entstehen nahezu in Echtzeit<\/strong>, w\u00e4hrend die Loginformationen gesammelt und analysiert werden, je nach eingesetzter Technologie.<\/p>\n Ein SIEM ist ein System zum Sammeln und Auswerten von Protokolldaten und damit Technik, auf die sich SOC-Teams nach ENISA bei der Automatisierung ihrer \u00dcberwachung st\u00fctzen. Die delegierte Verordnung (EU) 2024\/1774 verlangt in Artikel 23 von Finanzunternehmen sowohl klare Aufgaben und Zust\u00e4ndigkeiten als auch einen Mechanismus, der Tools einsetzt, die zumindest f\u00fcr IKT- und Informationsassets, die kritische oder wichtige Funktionen unterst\u00fctzen, Warnmeldungen generieren.<\/p>\n Ein EDR-System ist nach dem britischen NCSC auf das Erkennen und Untersuchen verd\u00e4chtiger Aktivit\u00e4ten auf Endger\u00e4ten wie Arbeitsplatzrechnern, Laptops und Smartphones ausgerichtet; ein SIEM wertet dagegen Protokolldaten aus, die verschiedene IT-Systeme und Anwendungen liefern; die Cybersicherheitswarnung des BSI f\u00fchrt eine SIEM-L\u00f6sung und Sicherheitsl\u00f6sungen wie EDR, XDR und AV-L\u00f6sungen als getrennte Ma\u00dfnahmen auf. F\u00fcr die automatische Reaktion nennt dieselbe Warnung ferner Security Orchestration, Automation, and Response (SOAR) im Security Operations Center.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[431,443,393],"class_list":["post-34259","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-security-operations","glossary_intl_topic-siem-logging","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"SIEM: zentrales System, das Protokolldaten verschiedener Quellen sammelt, korreliert und auf m\u00f6gliche Sicherheitsvorf\u00e4lle auswertet.","nav_theme":"Security Operations","nav_subtheme":"SIEM & Logging","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Security Information and Event Management"},{"value":"SIEM-System"}],"lead_definition":"SIEM (Security Information and Event Management) bezeichnet ein System, das Protokoll- und Ereignisdaten aus verschiedenen IT-Systemen zentral sammelt, korreliert und auswertet, damit sich Sicherheitsereignisse und ungew\u00f6hnliches Verhalten erkennen lassen.","at_a_glance":[{"bullet":"Ein SIEM verkn\u00fcpft Eintr\u00e4ge aus verschiedenen Quellen, damit sich ein Verdachtsfall im Zusammenhang mit weiteren Informationen erschlie\u00dfen l\u00e4sst."},{"bullet":"Es l\u00f6st Warnmeldungen aus, wenn die Auswertung der Logquellen auf Auff\u00e4lligkeiten hindeutet."},{"bullet":"DORA und die delegierte Verordnung zum IKT-Risikomanagement nennen kein SIEM, verlangen von Finanzunternehmen aber einen Mechanismus zur Erkennung anomaler Aktivit\u00e4ten."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Betreiber wertet Protokolldaten mit einer SIEM-L\u00f6sung automatisiert aus, l\u00e4sst sich bei Auff\u00e4lligkeiten alarmieren und analysiert m\u00f6gliche IT-Sicherheitsvorf\u00e4lle unverz\u00fcglich; genau daf\u00fcr empfiehlt das BSI in einer Cybersicherheitswarnung den Einsatz einer SIEM-L\u00f6sung."},{"example":"Ein Cloud-Anbieter integriert relevante Protokolldaten seines Cloud-Dienstes und eigene Anbieterdaten in ein SIEM-System, um Protokollierung, \u00dcberwachung und Sicherheitsvorfallmanagement nahtlos zu verbinden, wie es der Kriterienkatalog C5 vorsieht."},{"example":"Ein unter DORA fallender Versicherer k\u00f6nnte etwa Protokolldaten aus Bestandsf\u00fchrung, Kundenportal und Netzwerk im SIEM zusammenlaufen und korrelieren lassen, um anomale Aktivit\u00e4ten umgehend aufzudecken."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34243,34245,34255],"pillar_link":null,"sources":[{"publisher":"","name":"Cloud Computing Compliance Kriterienkatalog (C5:2026)","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/CloudComputing\/Anforderungskatalog\/2026\/C5_2026.pdf?__blob=publicationFile&v=13","doc_type":"","group":"used"},{"publisher":"","name":"L_202401774DE.000101.fmx.xml","url":"https:\/\/publications.europa.eu\/resource\/cellar\/dc25b21e-328d-11ef-a61b-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Mindeststandard des BSI","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Mindeststandards\/MST_BSI_PD_Version_2_1.pdf?__blob=publicationFile&v=6","doc_type":"2024","group":"used"},{"publisher":"","name":"Special Publication 800-92: Guide to Computer Security Log Management","url":"https:\/\/nvlpubs.nist.gov\/nistpubs\/Legacy\/SP\/nistspecialpublication800-92.pdf","doc_type":"2006","group":"used"},{"publisher":"","name":"Auswirkungen auf die Cybersicherheit von Organisationen durch die Entwicklung im Bereich K\u00fcnstlicher Intelligenz","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2026\/2026-262788-1032.pdf?__blob=publicationFile&v=2","doc_type":"2026","group":"used"},{"publisher":"","name":"Building a Security Operations Centre (SOC) | Detection | Detection approaches | National Cyber Security Centre","url":"https:\/\/www.ncsc.gov.uk\/collection\/building-a-security-operations-centre\/detection\/detection-approaches","doc_type":"2022","group":"used"},{"publisher":"","name":"How to Setup up CSIRT and SOC \u2013 Good Practice Guide","url":"https:\/\/www.enisa.europa.eu\/sites\/default\/files\/publications\/ENISA%20Report%20-%20How%20to%20setup%20CSIRT%20and%20SOC.pdf","doc_type":"","group":"used"},{"publisher":"","name":"OPS.1.1.5 Protokollierung","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/IT-GS-Kompendium_Einzel_PDFs_2023\/04_OPS_Betrieb\/OPS_1_1_5_Protokollierung_Edition_2023.pdf?__blob=publicationFile&v=3","doc_type":"2023","group":"used"},{"publisher":"","name":"DER.1 Detektion von sicherheitsrelevanten Ereignissen","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/IT-GS-Kompendium_Einzel_PDFs_2023\/05_DER_Detektion_und_Reaktion\/DER_1_Detektion_von_sicherheitsrelevanten_Ereignissen_Edition_2023.pdf?__blob=publicationFile&v=3","doc_type":"2023","group":"used"},{"publisher":"","name":"Verordnung (EU) 2022\/2554 (DORA), ABl. L 333 vom 27.12.2022","url":"https:\/\/publications.europa.eu\/resource\/cellar\/0caf473a-85bd-11ed-9887-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Cyber Incident Response (CIR) Technical Standard (Standard Level) v1.5.1","url":"https:\/\/www.ncsc.gov.uk\/files\/CIR-Standard-Level.pdf","doc_type":"2023","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-11"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert ein SIEM?<\/h2>\n
SIEM im Vergleich<\/h2>\n
Wann braucht ein Unternehmen ein SIEM?<\/h2>\n
\n\n
\n \nSituation<\/th>\n Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n \n Keine zentrale Protokollierung im Informationsverbund<\/td>\n Ohne zentrale Protokollierung l\u00e4sst sich nach dem BSI-Baustein OPS.1.1.5 schwer sicherstellen, dass die relevanten Protokollinformationen aller IT-Systeme und Anwendungen erhalten bleiben und ausgewertet werden.<\/td>\n<\/tr>\n \n Fehlende Zeitsynchronisation der Systeme<\/td>\n Eine fehlende Zeitsynchronisation erschwert es nach demselben Baustein, erhobene Protokollierungsdaten auszuwerten, etwa wenn sie auf einem zentralen Logserver gespeichert werden.<\/td>\n<\/tr>\n \n Einzelne Protokolldaten zeigen keinen Verdachtsfall<\/td>\n Nach dem BSI-Mindeststandard zur Protokollierung und Detektion l\u00e4sst sich aus einzelnen Protokolldaten allein in den meisten F\u00e4llen nicht eindeutig auf einen Verdachtsfall schlie\u00dfen; erst in Korrelation mit anderen Informationen, etwa weiteren Protokolldaten oder Kontextinformationen, l\u00e4sst sich erschlie\u00dfen, dass ein Verdachtsfall existieren k\u00f6nnte.<\/td>\n<\/tr>\n \n Automatisierte Auswertung und Alarmierung gew\u00fcnscht<\/td>\n Eine BSI-Cybersicherheitswarnung empfiehlt eine SIEM-L\u00f6sung zur automatisierten Auswertung der Protokolldaten, zur Alarmierung im Falle von Auff\u00e4lligkeiten sowie zur unverz\u00fcglichen Analyse und Reaktion auf m\u00f6gliche IT-Sicherheitsvorf\u00e4lle.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n