Security & Compliance

SIEM (Security Information and Event Management)

Overview

Security Information and Event Management (SIEM) führt sicherheitsrelevante Logdaten aus der gesamten IT an einer Stelle zusammen. Durch Korrelation lassen sich Angriffsmuster erkennen, die in einzelnen Logs unauffällig wären, etwa eine Anmeldung aus dem Ausland kurz nach einer Passwortänderung und einer neuen Weiterleitungsregel.

Moderne SIEM-Systeme enthalten SOAR-Funktionen (Security Orchestration, Automation and Response) für automatisierte Reaktionen. Ein SIEM ist die Werkzeugbasis eines SOC, ersetzt aber nicht die personelle Auswertung. Gegenüber XDR nimmt ein SIEM beliebige Quellen auf, auch Firewalls, Linux-Server oder Fachanwendungen.

Microsoft Sentinel (früher Azure Sentinel) ist das cloudnative SIEM von Microsoft. Es wird in das Defender-Portal überführt: Neue Kunden werden seit Juli 2025 automatisch dort eingebunden, und nach dem 31. März 2027 wird Sentinel im Azure-Portal nicht mehr unterstützt (ursprünglich war der 1. Juli 2026 angekündigt). Alternativen sind unter anderem Splunk, IBM QRadar und Elastic.

How it works

Der Datenfluss in Microsoft Sentinel folgt diesem Muster:

  1. Datenconnectoren, Syslog, CEF oder APIs bringen Logs in einen Log-Analytics-Arbeitsbereich.
  2. Tabellen werden entweder im Analytics-Tier (für Erkennung und schnelle Abfragen) oder im günstigeren Data-Lake-Tier (für lange Aufbewahrung und seltene Abfragen) gespeichert.
  3. Analyseregeln in KQL erzeugen aus Rohereignissen Warnungen, die zu Incidents gebündelt werden; im Defender-Portal übernimmt die Defender-Korrelation diese Aufgabe, die Fusion-Regel entfällt.
  4. Automatisierungsregeln und Playbooks auf Basis von Azure Logic Apps reagieren, etwa mit Ticket in ServiceNow oder Sperrung eines Kontos.
  5. Workbooks, Watchlists, Threat Intelligence und Hunting-Abfragen unterstützen Auswertung und Suche.

Benefits

  • Erkennung von Angriffsketten über Systemgrenzen hinweg statt isolierter Einzelwarnungen
  • Zentrale Aufbewahrung von Logs für Forensik und Nachweispflichten
  • Automatisierte Reaktion über Playbooks entlastet das Sicherheitsteam
  • Cloudnative Lösungen skalieren ohne eigene Server und Speicherplanung

Practical example

Ein Mittelständler mit 300 Mitarbeitenden leitet Entra-Anmeldeprotokolle, Microsoft-365-Auditdaten und Firewall-Logs an Sentinel. Eine Analyseregel meldet Anmeldungen aus untypischen Ländern kurz nach einer Passwortänderung. Ein Playbook sperrt das Konto vorläufig und informiert das Team per Teams-Nachricht. Firewall-Logs landen im Data-Lake-Tier, weil sie selten abgefragt, aber ein Jahr aufbewahrt werden müssen.

Things to keep in mind

  • Den Umzug ins Defender-Portal vor dem 31. März 2027 planen, Automatisierungen und API-Integrationen ändern sich dabei
  • Datenvolumen steuert die Kosten, deshalb Quellen und Tabellen gezielt auswählen und Tiers bewusst zuordnen
  • Erst Anwendungsfälle definieren, dann Daten anbinden, nicht umgekehrt
  • Logdaten enthalten personenbezogene Daten, Aufbewahrung und Zugriff datenschutzkonform und mit Betriebsrat regeln
  • Ohne Personal für die Auswertung erzeugt ein SIEM nur Warnungsmüdigkeit

Licensing & availability

Microsoft Sentinel wird nutzungsabhängig über Azure abgerechnet: im Analytics-Tier nach eingespeistem Volumen (Pay-as-you-go oder Commitment Tiers ab 100 GB pro Tag), im Data-Lake-Tier nach Ingestion, Speicherung und Abfragevolumen. Einige Quellen sind kostenfrei, etwa Azure-Aktivitätsprotokolle, Office-365-Auditlogs für SharePoint, Exchange-Adminaktivität und Teams sowie Warnungen der Defender-Produkte. Ein neuer Arbeitsbereich kann 31 Tage mit 10 GB pro Tag kostenlos getestet werden. Eine Defender-XDR- oder E5-Lizenz ist für Sentinel im Defender-Portal nicht nötig. Ob und in welchem Umfang Microsoft-365-E5-Kunden ein Freikontingent erhalten, war in der geprüften Doku nicht beschrieben und sollte in der Preisübersicht geprüft werden. Stand: Oktober 2026.

Conclusion

Ein SIEM lohnt sich, wenn jemand die Warnungen auch bearbeitet. Für Microsoft-lastige Umgebungen ist Sentinel naheliegend, plane aber Kosten, Anwendungsfälle und den Umzug ins Defender-Portal bewusst.

Further reading

Related articles