SIEM
Ein SIEM ist eine Software, die sämtliche Sicherheitsereignisse in einem Computernetzwerk an einer zentralen Stelle sammelt, auswertet und bei verdächtigen Mustern Alarm schlägt. Unternehmen setzen SIEM-Systeme ein, um Angriffe frühzeitig zu erkennen und gesetzliche Dokumentationspflichten zu erfüllen.
In jedem Computernetzwerk passiert ununterbrochen etwas: Ein Nutzer meldet sich an, ein Server schickt eine Datei, eine Firewall — also ein System, das unerwünschten Datenverkehr blockiert — weist eine Verbindung ab. Jedes dieser Ereignisse wird als Log, also als Eintrag in einer Protokolldatei, gespeichert. In einem mittelgroßen Unternehmen können das Millionen solcher Einträge pro Tag sein. Ein SIEM, kurz für Security Information and Event Management, sammelt all diese Logs an einem einzigen Ort und durchsucht sie automatisch nach Mustern, die auf einen Angriff hindeuten. Es ist damit so etwas wie eine zentrale Leitstelle für die IT-Sicherheit eines Unternehmens. Statt dass jede Abteilung ihre eigenen Protokolle separat prüft, bekommt das Sicherheitsteam ein einheitliches Gesamtbild.
SIEM als Frühwarnsystem
Ein einzelnes fehlgeschlagenes Login ist harmlos. Zehntausend fehlgeschlagene Logins in einer Minute auf dasselbe Konto sind ein Angriff — ein sogenannter Brute-Force-Angriff, bei dem ein Programm systematisch Passwörter durchprobiert. Ohne SIEM würde dieser Angriff in den Logs verschiedener Server verstreut liegen und möglicherweise gar nicht auffallen. Mit einem SIEM wird er als Muster erkannt und löst sofort einen Alarm aus.
Hinzu kommt die gesetzliche Seite. In der EU schreibt die DSGVO vor, dass Unternehmen Datenpannen nachweisen und dokumentieren können müssen. Viele Branchen — Banken, Krankenhäuser, Energieversorger — unterliegen noch strengeren Auflagen. Ein SIEM liefert die dafür nötigen lückenlosen Aufzeichnungen. Es ist deshalb nicht nur ein technisches Werkzeug, sondern oft auch eine rechtliche Notwendigkeit.
Wie ein SIEM Logs zu Alarmen macht
Ein SIEM arbeitet in drei Schritten. Erstens sammelt es Daten: Logs von Firewalls, Servern, Anwendungen, Antivirenprogrammen und Netzwerkgeräten laufen alle an einer zentralen Stelle zusammen. Zweitens normalisiert es diese Daten — das bedeutet, es übersetzt sie in ein einheitliches Format, weil jedes Gerät seine Logs anders aufschreibt. Ein Cisco-Router und ein Windows-Server protokollieren denselben Vorgang in völlig unterschiedlicher Sprache.
Im dritten Schritt greift die eigentliche Analyse. Das SIEM vergleicht die eingehenden Ereignisse mit vordefinierten Regeln und statistischen Grundlinien. Eine Regel könnte lauten: « Alarm, wenn ein Nutzer innerhalb von fünf Minuten auf Ressourcen in drei verschiedenen Ländern zugreift. » Moderne Systeme ergänzen diese festen Regeln durch maschinelles Lernen — Verfahren, bei dem ein Programm selbstständig aus Daten lernt, was in einem Netzwerk normal ist, und abweichendes Verhalten eigenständig meldet, auch ohne explizite Regel.
Ein häufiger Irrtum ist, ein SIEM mit einer Firewall zu verwechseln. Eine Firewall verhindert aktiv, dass bestimmter Datenverkehr ins Netz gelangt — sie handelt in Echtzeit. Ein SIEM hingegen beobachtet und analysiert, was bereits im Netz passiert, und schlägt Alarm, damit Menschen eingreifen können. Es ist ein Detektiv, keine Türklingel.
SIEM in Unternehmen und in der Berichterstattung
Große Unternehmen betreiben SIEM-Systeme in einem sogenannten SOC — einem Security Operations Center, also einem Team, das rund um die Uhr Sicherheitsalarme auswertet. Bekannte Produkte sind Microsoft Sentinel, IBM QRadar und Splunk. Microsoft Sentinel läuft vollständig in der Cloud und wurde vor allem durch seine Integration in Azure bekannt; Splunk gilt als besonders flexibel beim Umgang mit sehr großen Datenmengen.
In der Nachrichtenberichterstattung taucht der Begriff oft dann auf, wenn ein Angriff trotz vorhandener Sicherheitstechnik erfolgreich war. Analysten prüfen anschließend, ob das SIEM den Angriff hätte erkennen können und warum der Alarm nicht rechtzeitig ausgelöst oder nicht schnell genug bearbeitet wurde. Beim großen SolarWinds-Angriff 2020, bei dem Angreifer über eine kompromittierte Software monatelang unentdeckt in Regierungsnetzwerke eindringen konnten, stand rückblickend genau diese Frage im Mittelpunkt.
Für kleinere Firmen gibt es vereinfachte cloudbasierte Varianten, die ohne eigenes Sicherheitsteam auskommen. Der Markt für SIEM-Software wächst seit Jahren stark, weil die Zahl und Komplexität von Cyberangriffen kontinuierlich zunimmt und gleichzeitig Regulierungsbehörden weltweit härtere Dokumentationspflichten einfordern.