Was ein SIEM leistet
Ein SIEM vereint zwei ältere Disziplinen: Security Information Management (langfristige Log-Speicherung und Berichterstattung) und Security Event Management (Echtzeit-Überwachung und -Alarmierung). Kombiniert gibt es einem SOC einen einzigen Ort, um Sicherheitsaktivität über eine ansonsten fragmentierte Landschaft hinweg zu erkennen, zu untersuchen und zu dokumentieren.
Der Kernwert ist die Korrelation. Eine einzelne Log-Quelle — eine Firewall-Ablehnung, ein fehlgeschlagener Login, ein neuer Prozess auf einem Endgerät — ist für sich genommen selten aussagekräftig. Ein SIEM verknüpft diese Signale über Quellen und Zeit hinweg, sodass eine Abfolge einzeln unauffälliger Ereignisse (ein erfolgreicher Login aus einem neuen Land, gefolgt von einer Rechteausweitung, gefolgt von einem Massendatenlesevorgang) zu einem einzigen, priorisierten Alarm wird.
Ein SIEM erfüllt außerdem die Compliance-Funktion. Vorschriften und Rahmenwerke — PCI DSS, HIPAA, SOC 2, ISO 27001, DORA — verlangen von Organisationen, sicherheitsrelevante Logs aufzubewahren, auf bestimmte Ereignisse zu überwachen und auf Anforderung Nachweise zu erbringen. Das SIEM ist typischerweise das System of Record, das diese Pflichten erfüllt.
Kernkomponenten eines SIEM
Eine vollständige SIEM-Installation besteht aus mehreren Stufen, die die Daten durchlaufen, von der Ingestion bis zum Alarm.
Log-Sammlung und -Aggregation
Agenten, Forwarder und API-Integrationen ziehen Ereignisse aus der gesamten Umgebung: Syslog von Netzwerkgeräten, Windows Event Logs und EDR-Telemetrie von Endgeräten, Audit-Logs von Identity-Providern, Flow-Logs von Cloud-Plattformen und Anwendungslogs. Die Breite dieser Sammlung bestimmt, was das SIEM überhaupt je erkennen kann — eine Quelle, die nicht aufgenommen wird, ist für das SOC unsichtbar.
Normalisierung und Parsing
Rohe Logs treffen in Dutzenden inkompatibler Formate ein. Das SIEM parst jede Quelle und bildet ihre Felder auf ein gemeinsames Schema ab — Nutzer, Host, Quell-IP, Aktion, Ergebnis, Zeitstempel —, sodass Ereignisse verschiedener Anbieter gemeinsam abgefragt und korreliert werden können. Ohne Normalisierung ist quellenübergreifende Korrelation unmöglich.
Korrelationsregeln und Erkennung
Erkennungslogik läuft über den normalisierten Strom. Regeln reichen von einfachen Schwellenwerten (fünf fehlgeschlagene Logins in einer Minute) bis zu mehrstufigen Korrelationssuchen, die auf Rahmenwerke wie MITRE ATT&CK abgebildet sind. Treffen die Bedingungen zu, löst das SIEM einen Alarm aus, dem die stützenden Ereignisse beigefügt sind.
Alarmierung, Dashboards und Aufbewahrung
Alarme fließen über Dashboards, Warteschlangen und Benachrichtigungen zu den Analysten. Aufbewahrte Ereignishistorie — oft Monate bis Jahre, abhängig von den Compliance-Anforderungen — unterstützt Untersuchung, Threat Hunting und Audits noch lange, nachdem die ursprüngliche Aktivität stattgefunden hat.
Kopplung mit SOAR und UEBA
Moderne SIEMs werden häufig mit SOAR (Security Orchestration, Automation and Response) gekoppelt, um Triage und Eindämmung zu automatisieren, sowie mit UEBA (User and Entity Behavior Analytics), um normales Verhalten als Basislinie zu erfassen und statistische Anomalien zu kennzeichnen, die statische Regeln übersehen.
Die AI-Sichtbarkeitslücke
Ein SIEM kann nur korrelieren, was es aufnimmt, und es kann nur Ereignisse aufnehmen, die irgendein System tatsächlich aussendet. Genau hier fällt AI-Aktivität außerhalb seiner Reichweite.
Wenn ein Mitarbeiter ein vertrauliches Dokument in einen Chatbot einfügt, wenn ein Modell regulierte Daten aus einem angebundenen System zurückgibt oder wenn ein autonomer Agent einen internen Datensatz liest und eine externe API aufruft, wird kein SIEM-aufnehmbares Ereignis erzeugt. Der Prompt ist freier Text innerhalb einer verschlüsselten Sitzung zu einem Drittanbieter. Die Completion überquert nie eine prüfbare Grenze. Der Tool-Call des Agenten wird über eine API ausgeführt, mit der das SIEM keine Integration hat. Aus Sicht des SOC haben die folgenreichsten AI-Aktionen schlicht nicht stattgefunden.
Die folgende Tabelle stellt gegenüber, was ein SIEM sieht, und die AI-Schicht-Aktivität, die es nicht sehen kann.
| SIEM-Ereignissicht | AI-Aktivitäts-Audit-Sicht | |
|---|---|---|
| Datenquelle | Netzwerk-, Endgeräte-, Identitäts-, App-Logs | Prompts, Completions und Agenten-Tool-Calls |
| Sichtbarkeit | Verbindungen, Prozesse, Authentifizierungen | Intent und Inhalt jeder AI-Interaktion |
| AI-Prompts | Verschlüsselte Sitzung zu einem Anbieter, kein Inhalt | Vollständiger Prompt-Text, mit erfasster Richtlinienentscheidung |
| Modell-Completions | Nicht beobachtet | Ausgabe geprüft, bevor sie den Nutzer erreicht |
| Agenten-Tool-Calls | Keine — Calls durchlaufen nie einen aufgenommenen Kanal | Jeder Tool-Call und jedes Argument vor der Ausführung erfasst |
| Audit-Einheit | Log-Zeile pro Gerät oder Host-Ereignis | Trace-verknüpfter Datensatz pro Prompt, Completion und Tool-Call |
Die Lücke ist kein Fehler im SIEM-Design. Es ist, dass AI einen neuen, hochvolumigen Aktivitätskanal eingeführt hat, der keine native Telemetrie erzeugt — sodass es, sofern keine Kontrolle auf der AI-Schicht Ereignisse aussendet, nichts gibt, was das SIEM sammeln, korrelieren oder aufbewahren könnte.
Die Lücke schließen, ohne das SIEM zu ersetzen
Die Lösung besteht nicht darin, das SIEM aufzugeben, sondern es mit dem Signal zu versorgen, das ihm fehlt. Eine auf der AI-Interaktionsschicht positionierte Kontrolle kann Prompts, Completions und Agenten-Tool-Calls direkt beobachten und sie dann als strukturierte, normalisierte Ereignisse aussenden, die das SIEM wie jede andere Quelle aufnehmen kann.
Sobald AI-Aktivität als erstklassige Ereignisse das SIEM erreicht, erstreckt sich alles, was das SOC bereits tut, auch darauf: Korrelationsregeln können einen AI-Datenexfiltrations-Versuch mit der Endgeräte- und Identitätsaktivität desselben Nutzers verknüpfen, Dashboards gewinnen Sichtbarkeit über die AI-Nutzung, und aufbewahrte AI-Audit-Datensätze erfüllen dieselben Compliance-Pflichten wie der Rest der Landschaft. Das SIEM bleibt das System of Record; die AI-Schicht liefert die Ereignisse, die es nicht selbst erzeugen kann.
