---
title: "Managed SIEM — die Protokolle, die alles verbinden"
description: "Was ein SIEM ist, wer es wirklich braucht — und wer noch nicht: zentrale Sammlung und 24/7-Auswertung Ihrer Sicherheits-Protokolle, als Baustein je Datenquelle."
canonical: "https://corevatis-redesign.pages.dev/de/leistungen/managed-siem/"
lang: de
schema_type: WebPage
---
# Managed SIEM — die Protokolle, die alles verbinden

Was ein SIEM ist, wer es wirklich braucht — und wer noch nicht: zentrale Sammlung und 24/7-Auswertung Ihrer Sicherheits-Protokolle, als Baustein je Datenquelle.

## Das Wichtigste in Kürze

- **Was:** Sicherheits-Protokolle aus Firewall, Servern und Cloud-Diensten zentral gesammelt, aufbewahrt und rund um die Uhr von Analysten ausgewertet.
- **Warum:** Einzelne Systeme sehen einzelne Ereignisse. Erst die Verbindung der Protokolle macht ein Angriffsmuster sichtbar — und liefert den Nachweis fürs Audit.
- **Für wen:** Unternehmen unter NIS-2 oder mit Audit-Pflichten, mehreren Standorten oder erhöhtem Schutzbedarf. Nicht jeder braucht es sofort — wir sagen ehrlich, wer.
- **Abrechnung:** Je angebundener Datenquelle und Monat, als eigene Position.

Passt, wenn:

- NIS-2, ISO 27001 oder ein Kundenaudit verlangt Protokollierung und Auswertung
- Firewall, Server und Cloud loggen fleißig — aber niemand schaut hinein
- Nach einem Vorfall soll nachvollziehbar sein, was wann passiert ist

## Was ist ein SIEM — in einem Satz?

Ein SIEM (Security Information and Event Management) sammelt die **Sicherheits-Protokolle** aller wichtigen Systeme — Firewall, Server, Microsoft 365, Netzwerk — an einem Ort, bewahrt sie revisionssicher auf und wertet sie im Zusammenhang aus: rund um die Uhr, durch ein Analysten-Team, nicht durch eine Inbox voller Warnmails.

## Warum einzelne Alarme nicht genügen

Jedes Ihrer Systeme protokolliert bereits — die Firewall, der Server, die Cloud. Aber jedes sieht nur seinen Ausschnitt. Ein echter Angriff hinterlässt Spuren **quer über mehrere Systeme**: eine abgewiesene Anmeldung an der Firewall, zehn Minuten später eine erfolgreiche am Server, dann ein ungewöhnlicher Datenabfluss. Drei Systeme, drei unauffällige Einzelmeldungen — ein Muster, das nur sieht, wer alle drei nebeneinander legt.

Der zweite Grund ist unbequemer: **Nachweispflicht.** NIS-2, ISO 27001 und zunehmend auch Cyber-Versicherer verlangen nicht nur, dass protokolliert wird — sondern dass jemand auswertet und dass sich Vorfälle rekonstruieren lassen. Ein Log, das nach 30 Tagen überschrieben wird und das nie jemand gelesen hat, erfüllt das nicht.

## Wer braucht das — und wer (noch) nicht?

Ehrliche Einordnung, weil dieser Baustein der ist, der am häufigsten zu früh verkauft wird:

- **Braucht es:** Unternehmen unter NIS-2 oder mit ISO-27001-/Kundenaudit-Pflichten. Unternehmen mit mehreren Standorten oder erhöhtem Schutzbedarf (Konstruktionsdaten, Patente, kritische Lieferketten-Rolle).
- **Profitiert davon:** Wer nach einem Vorfall je vor der Frage stand „was ist hier eigentlich passiert?" — und keine Antwort hatte.
- **Braucht es meist noch nicht:** Der 15-Personen-Betrieb ohne Regulierung. Dort liefern [Endpoint-Schutz](/de/leistungen/endpoint-schutz) und [Identitätsschutz](/de/leistungen/identitaetsschutz) den größten Schutz fürs Geld. Wir verkaufen die Reihenfolge, nicht das Maximum.

## Was wir übernehmen

- Anbindung der relevanten Datenquellen — Firewall, Server, Microsoft 365, [Netzwerk](/de/leistungen/netzwerk-standort) — an die zentrale Auswertung
- 24/7-Analyse durch das Analysten-Team; echte Vorfälle erreichen uns als qualifizierte Meldung, nicht als Rohdaten-Flut
- Aufbewahrung, mit der sich Vorfälle auch Monate später rekonstruieren lassen
- Die Audit-Antwort: Auf „Wie werten Sie Sicherheitsereignisse aus?" antworten Sie mit einem Verfahren, nicht mit einem Achselzucken

## Abrechnung

Je angebundener Datenquelle und Monat, als eigene Position — [wie jeder Baustein](/de/leistungen/add-ons). Welche Quellen sich für Ihre Größe lohnen, legen wir in der Bestandsaufnahme fest — anfangen lässt sich klein, etwa mit Firewall und Microsoft 365.

## Häufige Fragen

**Ist das nicht Konzern-Technik?**
Das war es lange — als SIEM bedeutete: eigene Plattform, eigenes Personal, sechsstellig. Als Managed-Baustein je Datenquelle ist es heute auch für den Mittelstand bezahlbar. Ob es *nötig* ist, ist die bessere Frage — siehe oben.

**Wir haben doch schon EDR — wozu noch SIEM?**
EDR sieht Geräte, ITDR sieht Konten. Das SIEM sieht, was dazwischen und drumherum passiert — Firewall, Server-Dienste, Netzwerk — und verbindet alles zu einem Bild. Es ist die dritte Schicht, nicht der Ersatz der ersten beiden.

**Wie lange werden Protokolle aufbewahrt?**
Nach Vereinbarung, ausgerichtet an Ihren Pflichten (NIS-2, Versicherung, Audit). Die Aufbewahrungsdauer steht im Angebot — nicht im Kleingedruckten.

## Verwandte Themen

- [IT-Sicherheit im Überblick — Betrieb plus Schutz-Bausteine](/de/leistungen/it-sicherheit)
- [Endpoint-Schutz (EDR) — der Wächter auf dem Gerät](/de/leistungen/endpoint-schutz)
- [Identitätsschutz (ITDR) — der Wächter auf dem Konto](/de/leistungen/identitaetsschutz)
- [Netzwerk & Standort — wo Firewall-Logs herkommen](/de/leistungen/netzwerk-standort)