Security Information and Event Management

Security Information and Event Management (SIEM) bezeichnet eine technische Lösung, die Log- und Ereignisdaten aus heterogenen Quellen wie Servern, Endgeräten, Firewalls, Netzwerkkomponenten, Anwendungen und Cloud-Diensten an einer zentralen Stelle zusammenführt. Die Rohdaten werden normalisiert, angereichert und über Korrelationsregeln sowie zunehmend über verhaltensbasierte Analysen ausgewertet. Auf diese Weise lassen sich Muster erkennen, die in den einzelnen Quellen für sich genommen unauffällig wären, in der Gesamtschau aber auf einen Angriff oder eine Fehlkonfiguration hindeuten.

Ein SIEM verbindet zwei historisch getrennte Disziplinen: das Security Information Management (langfristige Speicherung, Auswertung und Berichterstattung von Protokolldaten) und das Security Event Management (Echtzeit-Überwachung, Korrelation und Alarmierung). Damit unterstützt es zentrale Anforderungen der Informationssicherheit nach ISO/IEC 27001 sowie den Anforderungen des BSI IT-Grundschutz, insbesondere die Protokollierung, das kontinuierliche Monitoring und die Erkennung von Sicherheitsvorfällen. In der Praxis bildet ein SIEM häufig das technische Herzstück eines Security Operations Center (SOC) und die Datengrundlage für die Incident-Response.

Mit Inkrafttreten der NIS2-Richtlinie gewinnt SIEM erheblich an Bedeutung: Besonders wichtige und wichtige Einrichtungen müssen technische und organisatorische Maßnahmen zur Erkennung und Behandlung von Sicherheitsvorfällen sowie zur Erfüllung der kurzen Meldefristen nachweisen können. Ein SIEM liefert hierfür die erforderliche Transparenz, revisionssichere Protokollierung und Auswertbarkeit. Zugleich sind beim Betrieb datenschutzrechtliche Vorgaben der DSGVO zu beachten, da Protokolldaten regelmäßig Personenbezug aufweisen und Zweckbindung, Speicherbegrenzung und Mitbestimmungsrechte zu berücksichtigen sind.