Freitagabend, kurz nach sechs. Dein Virenschutz meldet etwas auf einem Laptop in der Filiale, gleichzeitig kommt eine Warnung aus Microsoft 365 wegen einer ungewöhnlichen Anmeldung. Zuständig ist eine Person, vielleicht zwei. Sie öffnen fünf Konsolen, vergleichen Zeitstempel von Hand und versuchen herauszufinden, ob die beiden Meldungen zusammengehören.
Genau in dieser Situation zeigt sich, ob ein Vorfall in einer Stunde erledigt ist oder das ganze Wochenende kostet. Dieser Artikel erklärt, wie SIEM- und SOAR-Software dein Team dabei entlastet, was sie konkret abnimmt und wann sich der Einsatz für ein KMU lohnt, auch wenn die IT-Ressourcen knapp sind.
Was SIEM- und SOAR-Software für KMU bei einem Vorfall leistet
Kurz zu den Begriffen:
- SIEM (Security Information and Event Management) sammelt die Protokolle aller Systeme an einem Ort und sucht darin nach verdächtigen Mustern. Es sieht, was passiert.
- SOAR (Security Orchestration, Automation and Response) nimmt eine Erkennung entgegen und führt festgelegte Schritte aus, zum Beispiel ein Gerät isolieren oder ein Konto sperren. Es handelt.
Für ein KMU ist die Kombination entscheidend. Ein SIEM allein erzeugt Meldungen, die jemand lesen muss. Ein SOAR allein hat nichts, worauf es reagieren kann. Zusammen nehmen sie deinem Team die zwei Dinge ab, die im Ernstfall am meisten Zeit fressen: das Zusammensuchen von Informationen und die ersten Handgriffe. Wie die beiden Teile im Detail funktionieren, haben wir im Beitrag zu den besten SIEM- und SOAR-Systemen für KMU beschrieben.
Zentrale Logüberwachung: ein Bild statt fünf Konsolen
In den meisten KMU schreibt jedes System seine eigenen Protokolle: Laptops und Server, die Firewall, der VPN-Zugang, Microsoft 365 oder Google Workspace, vielleicht noch eine Cloud-Umgebung für die Buchhaltung. Jedes hat eine eigene Oberfläche, eigene Zeitangaben und eigene Begriffe.
Zentrale Logüberwachung bringt diese Quellen zusammen. Für dein Team heisst das:
- Eine Zeitachse. Statt Zeitstempel aus verschiedenen Konsolen zu vergleichen, siehst du die Ereignisse eines Vorfalls in der richtigen Reihenfolge: zuerst die Phishing-Mail, dann die Anmeldung, dann die neue Weiterleitungsregel im Postfach.
- Zusammenhänge statt Einzelmeldungen. Eine fehlgeschlagene Anmeldung ist Alltag. Viele davon auf dasselbe Konto, gefolgt von einer erfolgreichen aus dem Ausland, sind ein Vorfall. Das SIEM verknüpft diese Signale, damit dein Team nicht jede Einzelmeldung prüfen muss.
- Weniger Lärm. Gut abgestimmte Regeln filtern bekannte, harmlose Ereignisse heraus. Das ist wichtig, denn ein System, das zu oft Alarm schlägt, wird irgendwann ignoriert.
- Nachvollziehbarkeit. Auch Wochen später lässt sich rekonstruieren, wann ein Angriff begann und welche Systeme betroffen waren. Das hilft bei der Aufarbeitung und bei Fragen von Versicherung, Kunden oder Behörden.
Automatisierte Incident Response: Minuten statt Stunden
Erkennen allein reicht nicht. Zwischen der ersten Meldung und der ersten Gegenmassnahme liegt die Zeit, in der sich ein Angreifer im Netzwerk ausbreitet. Bei Ransomware-Angriffen ist diese Spanne oft kurz. Wenn eine Meldung am Freitagabend eintrifft und erst am Montag gelesen wird, ist es meist zu spät.
Automatisierte Incident Response schliesst diese Lücke. Ein typischer Ablauf bei einem übernommenen Microsoft-365-Konto:
- Das SIEM erkennt eine Anmeldung aus einem ungewöhnlichen Land, kurz darauf entsteht eine neue Weiterleitungsregel.
- Das SOAR beendet automatisch alle aktiven Sitzungen des Kontos und erzwingt ein neues Passwort.
- Die Weiterleitungsregel wird gesichert und entfernt, die relevanten Protokolle werden als Beweis gespeichert.
- Dein IT-Team bekommt eine Meldung mit der ganzen Ereigniskette und dem, was bereits erledigt ist.
Dein Team beginnt also nicht bei null, sondern mit einem eingedämmten Vorfall und einer klaren Übersicht. Bei weitreichenden Schritten, etwa einen Server vom Netz zu nehmen, ist es oft sinnvoll, dass ein Mensch per Klick bestätigt. Gute Software lässt dich pro Ablauf festlegen, was automatisch passiert und was eine Freigabe braucht.
Verteilte Standorte und Cloud Security für den Mittelstand
Viele KMU sind nicht an einem Ort. Es gibt Filialen, Produktionsstandorte, Aussendienst und Homeoffice, dazu Daten in der Cloud. Wer dort eine Ausnahme sieht, sieht sie meist nicht im Zusammenhang.
Hier spielt SIEM- und SOAR-Software eine besondere Stärke aus:
- Ein Agent auf jedem Gerät liefert Daten, egal ob der Laptop im Büro, im Homeoffice oder im Zug ist. Es braucht kein VPN zur Zentrale, damit die Überwachung funktioniert.
- Cloud-Dienste werden direkt angebunden, ohne dass vor Ort etwas installiert werden muss. Damit wird Cloud Security im Mittelstand Teil derselben Übersicht statt einer weiteren Konsole.
- Reaktionen funktionieren standortübergreifend. Ein Gerät in der Filiale lässt sich genauso isolieren wie eines am Hauptsitz, ohne dass jemand hinfahren muss.
Für Unternehmen mit verteilten Standorten ist das oft der grösste Gewinn: Die IT am Hauptsitz sieht und steuert alles, ohne an jedem Standort eigene Leute zu brauchen.
Wann lohnt sich der Einsatz trotz begrenzter IT-Ressourcen?
Die ehrliche Antwort: nicht immer sofort. SIEM und SOAR bauen auf einer soliden Grundlage auf. Wenn Multi-Faktor-Authentifizierung, funktionierende Backups und regelmässige Updates noch fehlen, bringen diese Massnahmen zuerst mehr. Unsere 10 Regeln für mehr Cybersicherheit helfen bei der Einordnung.
Der Einsatz lohnt sich in der Regel, wenn mehrere dieser Punkte zutreffen:
- Deine IT besteht aus einer bis wenigen Personen, die Sicherheit neben dem Tagesgeschäft betreuen.
- Du hast mehrere Standorte, viele mobile Geräte oder wichtige Daten in der Cloud.
- Ein Ausfall von Produktion, Kasse oder Kundendaten würde dich schnell viel Geld oder Vertrauen kosten.
- Kunden, Versicherungen oder Partner fragen nach Überwachung, Protokollierung oder einem Plan für den Ernstfall.
- Niemand kann heute zuverlässig sagen, was in der Nacht oder am Wochenende in deiner Umgebung passiert.
Gerade wenn die Ressourcen knapp sind, ist der Nutzen gross. Ein grosses Security-Team kann Lücken mit Personal füllen. Ein KMU kann das nicht, also muss die Software mehr abnehmen.
Worauf du bei der Auswahl achten solltest
Kostengünstige IT-Sicherheit heisst nicht, das günstigste Produkt zu kaufen. Es heisst, dass Lizenz, Einrichtung und Betrieb zusammen zu deinem Budget und deinem Team passen. Diese Fragen helfen beim Softwarevergleich für KMU:
- Wie wird abgerechnet? Preise pro Datenvolumen sind schwer vorherzusagen, weil die Datenmenge mit jeder neuen Quelle wächst. Preise pro System sind für KMU meist leichter planbar.
- Lässt sich das ohne eigenes SOC betreiben? Wenn die Software Spezialisten für Abfragen und Regelpflege voraussetzt, wird sie neben dem Tagesgeschäft liegen bleiben.
- Wie lange dauert die Einrichtung? Tage oder Wochen bis zur ersten brauchbaren Meldung sind für ein kleines Team eine echte Hürde.
- Wo liegen die Daten? Protokolle enthalten Personendaten. Für Unternehmen im DACH-Raum ist Hosting in der Schweiz, Deutschland oder Österreich ein klarer Vorteil für DSG und DSGVO.
- Wer hilft, wenn es ernst wird? Software erkennt und dämmt ein. Bei einem schweren Vorfall braucht es trotzdem Menschen, die wissen, was zu tun ist.
Mit Goldoak Spectacles haben wir eine Plattform gebaut, die genau diese Fragen für KMU beantwortet: SIEM und SOAR in einem Produkt, in unter einer Stunde betriebsbereit, CHF 8.50 pro System und Monat, Hosting in der Schweiz, Deutschland oder Österreich, und unser Incident-Response-Team steht im Ernstfall rund um die Uhr bereit.
Fazit
SIEM- und SOAR-Software ersetzt dein IT-Team nicht, sie nimmt ihm die mühsamsten Teile eines Vorfalls ab. Zentrale Logüberwachung sorgt dafür, dass alle Informationen an einem Ort sind. Automatisierte Incident Response sorgt dafür, dass die ersten Gegenmassnahmen laufen, bevor jemand die erste Konsole geöffnet hat. Für KMU mit knappen Ressourcen und verteilten Standorten ist das oft der Unterschied zwischen einem kurzen Einsatz und einem verlorenen Wochenende.
Wie das in der Praxis aussieht, zeigen wir dir gern in einer Demo, mit einem echten Angriffsszenario und ohne Verkaufsgespräch. Wenn du zuerst klären willst, ob deine Umgebung schon bereit dafür ist, gehen wir das in einem Consulting-Gespräch gemeinsam durch.