Angriffserkennung im Mittelstand: SIEM selbst betreiben oder auslagern?

Die unangenehmste Zahl der IT-Sicherheit ist die Zeit, die vergeht, bis ein Angriff überhaupt bemerkt wird. Mandiant beziffert diese Verweildauer im Bericht M-Trends 2026 auf einen Median von 14 Tagen – gestiegen von 11 Tagen im Vorjahr. Zwei Wochen, in denen sich jemand im Netzwerk umsieht, Rechte ausweitet und Daten abzieht. Der Grund ist selten böser Wille, sondern schlicht: Niemand schaut hin.

Was ein SIEM tut – und was nicht

SIEM steht für Security Information and Event Management. Vereinfacht sammelt es die sicherheitsrelevanten Ereignisse aus Ihren Systemen – Servern, Firewalls, Endgeräten, Cloud-Diensten – an einer zentralen Stelle, bringt sie in Zusammenhang und schlägt Alarm, wenn ein Muster nicht stimmt.

Der Wert liegt in der Korrelation, nicht im Sammeln. Ein fehlgeschlagener Login ist belanglos. Fünfzig fehlgeschlagene Logins, gefolgt von einem erfolgreichen, gefolgt von einem neuen Administratorkonto und einem ungewöhnlich großen Datenabfluss um drei Uhr nachts – das ist eine Geschichte. Kein Mensch setzt sie aus vier verschiedenen Logdateien zusammen; ein SIEM tut genau das.

Ebenso wichtig ist, was ein SIEM nicht ist. Es verhindert nichts. Es ist kein Ersatz für Virenschutz, Patch-Management oder Datensicherung. Es ist das Frühwarnsystem, nicht die Mauer. Wer die Grundlagen nicht hat, sollte dort anfangen und nicht bei der Angriffserkennung.

Woran der Eigenbetrieb scheitert

Ein SIEM aufzusetzen ist das eine, es sinnvoll zu betreiben das andere. Drei Dinge unterschätzen fast alle:

Die Rechnung für „rund um die Uhr". Eine Schicht durchgehend zu besetzen, braucht bei 168 Wochenstunden, Urlaub und Krankheit realistisch fünf bis sechs Vollzeitkräfte. Nicht fünf bis sechs Stunden, sondern Stellen. Für die meisten mittelständischen Unternehmen ist das keine Budgetfrage, sondern eine Unmöglichkeit – zumal diese Leute am Arbeitsmarkt kaum zu bekommen sind.

Fehlalarme. Ein frisch installiertes SIEM meldet alles. Ohne Feinabstimmung ertrinkt das Team in Warnungen, und nach zwei Wochen schaut niemand mehr hin – die eigentliche Gefahr ist nicht die verpasste Warnung, sondern die abgestumpfte Mannschaft. Regeln zu pflegen und Fehlalarme auszusortieren ist Dauerarbeit, keine Einführungsaufgabe.

Der Anschluss der Datenquellen. Ein SIEM sieht nur, was es angeschlossen bekommt. Fehlen die Protokolle des Domänencontrollers, der Firewall oder von Microsoft 365, entstehen genau dort blinde Flecken, wo Angreifer sich bewegen.

Genau diese Lücke schließt ein Managed SIEM: Sie bekommen Betrieb, Feinabstimmung und Bewertung als Dienstleistung, ohne selbst ein Team aufzubauen.

Was zuerst angeschlossen gehört

Nicht alles auf einmal. Die Reihenfolge, die den meisten Nutzen pro Aufwand bringt:

1. Identität – Domänencontroller und Microsoft 365. Fast jeder Angriff läuft über ein Konto.
2. Perimeter – Firewall, VPN-Zugänge, extern erreichbare Dienste.
3. Endgeräte – Server zuerst, dann Clients.
4. Kritische Anwendungen – ERP, Dateiablagen, alles mit Kundendaten.

Nach diesen vier Schritten sehen Sie den Großteil dessen, was ein Angreifer tun muss, um voranzukommen.

Was es konkret bringt

Angriffe werden erkannt, während sie laufen, nicht erst wenn der Schaden da ist. Gleichzeitig entsteht eine lückenlose, nachvollziehbare Aufzeichnung – wertvoll für die Aufarbeitung eines Vorfalls und für Nachweise gegenüber Aufsicht und Versicherung.

Der regulatorische Druck kommt inzwischen dazu. Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025 und verlangt von den betroffenen Einrichtungen Maßnahmen zur Bewältigung von Sicherheitsvorfällen samt Meldepflicht binnen 24 Stunden. Diese Frist hält nur, wer den Vorfall überhaupt bemerkt – und zwar zeitnah. Für KRITIS-Betreiber schreibt das BSI-Gesetz Systeme zur Angriffserkennung ohnehin ausdrücklich vor.

Woran Sie einen brauchbaren Anbieter erkennen

Fragen Sie nach diesen fünf Punkten, bevor Sie unterschreiben:

• Wo liegen die Daten? Protokolle enthalten Personenbezug. Betrieb in Deutschland und ein Auftragsverarbeitungsvertrag sind kein Luxus, sondern Voraussetzung.
• Was passiert bei einem Alarm? Bekommen Sie eine E-Mail oder einen Anruf? Wer entscheidet, wer handelt, und in welcher Zeit?
• Wem gehören die Daten und die Regeln? Können Sie beim Wechsel Ihre Protokolle und Erkennungsregeln mitnehmen, oder beginnen Sie bei null?
• Wie lange wird aufbewahrt? Für die Aufarbeitung eines Vorfalls brauchen Sie Monate, nicht Tage.
• Wie wird abgerechnet? Datenvolumenbasierte Modelle können unangenehm überraschen, sobald Sie eine gesprächige Datenquelle anschließen.

Auf Augenhöhe mit dem Mittelstand

Genau für diesen Bedarf gibt es GUARDIANVIEW, unser Managed SIEM: auf Basis der Open-Source-Plattform Wazuh, betrieben in Deutschland, in Stufen, die zum Unternehmen passen. Kein Lizenzmodell, das mit dem Datenvolumen explodiert, und keine Blackbox – die Erkennungsregeln bleiben nachvollziehbar.

Angriffserkennung ist längst kein Privileg großer Konzerne mehr. Die Frage ist nicht, ob jemand hinschaut, sondern ob es Sie selbst sein muss.

Stand: August 2026. Verweildauer nach Mandiant M-Trends 2026 (veröffentlicht im März 2026, Datenbasis 2025).

Weiterführend: GUARDIANVIEW – Managed SIEM · Schwachstellenmanagement · NIS2 im Mittelstand · IT-Forensik