Systeme zur Angriffserkennung: Pflicht verstehen, richtig umsetzen
Seit dem NIS2-Umsetzungsgesetz steht die SzA-Pflicht in § 31 BSIG – viele Ratgeber sind auf dem Stand von 2023 stehen geblieben. Hier finden Sie den aktuellen Rechtsstand, die Anforderungen der BSI-Orientierungshilfe und eine herstellerneutrale Toolauswahl.
Ein Angebot der Infosec Technologie GmbH – IT-Security-Spezialist aus dem Rhein-Main-Gebiet.
Das Wichtigste in Kürze
Rechtsstand: August 2026 · § 31 BSIG · OH SzA v1.1- Betreiber kritischer Anlagen (KRITIS) müssen seit dem 1. Mai 2023 Systeme zur Angriffserkennung einsetzen – heute geregelt in § 31 Abs. 2 BSIG.
- Maßstab ist die BSI-Orientierungshilfe (OH SzA, Version 1.1 vom November 2024) mit 100 Anforderungen: 72 MUSS, 20 SOLL, 8 KANN.
- Im Nachweis gegenüber dem BSI wird der Umsetzungsgrad bewertet. Erwartet wird mindestens Grad 3 – alle MUSS-Anforderungen erfüllt.
- NIS2-Einrichtungen trifft keine wörtliche SzA-Pflicht. Ohne Angriffserkennung sind aber weder das Risikomanagement nach § 30 BSIG noch die 24-Stunden-Meldepflicht nach § 32 BSIG zu erfüllen.
- Ein einzelnes Produkt genügt nicht: Gefordert sind Protokollierung, Detektion und Reaktion – Technik, Prozesse und Zuständigkeiten zusammen.
Was sind Systeme zur Angriffserkennung?
Systeme zur Angriffserkennung sind laut BSIG technische Werkzeuge und organisatorische Prozesse, die Bedrohungen erkennen, vermeiden helfen und Störungen beseitigen sollen. Das Gesetz meint damit ausdrücklich kein einzelnes Produkt: Virenschutz und Firewall allein erfüllen die Anforderung ebenso wenig wie ein SIEM, in das niemand hineinschaut. Die BSI-Orientierungshilfe gliedert die Anforderungen in drei Bereiche, die zusammenspielen müssen:
Protokollierung
Sicherheitsrelevante Ereignisse aus Servern, Netzwerk, Firewalls, Verzeichnisdiensten und OT-Komponenten werden zentral gesammelt und geschützt aufbewahrt. Ohne saubere Log-Basis läuft jede Detektion ins Leere.
Detektion
Die gesammelten Daten werden kontinuierlich und möglichst automatisiert auf Angriffsmuster und Anomalien ausgewertet – durch SIEM-Regeln, Netzwerk-Sensorik (IDS/NDR) und Endpunkt-Telemetrie (EDR).
Reaktion
Erkannte Vorfälle brauchen definierte Wege: Alarmierung, Bewertung, Eindämmung, Meldung. Dazu gehören Zuständigkeiten, Erreichbarkeiten und geübte Abläufe – nicht nur Technik.
Wer ist zur Angriffserkennung verpflichtet?
Die häufigste Verwechslung zuerst: Die ausdrückliche SzA-Pflicht trifft nur Betreiber kritischer Anlagen. Für die übrigen NIS2-Einrichtungen ergibt sich der Bedarf indirekt – aber praktisch genauso zwingend.
| Unternehmenskategorie | SzA-Pflicht? | Was konkret gilt |
|---|---|---|
| Betreiber kritischer Anlagen (KRITIS) | Ja – ausdrückliche Pflicht nach § 31 Abs. 2 BSIG | Wirksam seit 01.05.2023. Nachweis gegenüber dem BSI alle drei Jahre; der Umsetzungsgrad der Angriffserkennung wird dabei ausdrücklich bewertet. |
| Besonders wichtige Einrichtungen (ohne kritische Anlage) | Keine wörtliche SzA-Pflicht | Das Risikomanagement nach § 30 BSIG verlangt u. a. die Bewältigung von Sicherheitsvorfällen; die Meldepflichten nach § 32 BSIG setzen funktionierende Erkennung faktisch voraus. |
| Wichtige Einrichtungen | Keine wörtliche SzA-Pflicht | Es gelten dieselben §§ 30 und 32 BSIG – der Maßnahmenumfang darf verhältnismäßig zur Größe und zum Risiko ausfallen. |
Zur Einordnung: Nach Angaben des BSI fallen rund 29.500 Unternehmen in Deutschland unter die NIS2-Regulierung – grob ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz in einem der 18 regulierten Sektoren. Ob Ihr Unternehmen dazugehört, klären wir auf Wunsch in einem kurzen Gespräch.
Rechtslage und Fristen im Überblick
29.09.2022
Das BSI veröffentlicht die Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung (Version 1.0).
01.05.2023
Die SzA-Pflicht für KRITIS-Betreiber wird wirksam – damals noch als § 8a Abs. 1a BSIG.
Nov. 2024
Die Orientierungshilfe erscheint in Version 1.1 – der Maßstab für aktuelle Prüfungen.
01.04.2025
Die Reife- und Umsetzungsgradbewertung (RUN) wird verbindlicher Bestandteil aller KRITIS-Prüfungen.
06.12.2025
Das NIS2-Umsetzungsgesetz tritt in Kraft: Die SzA-Pflicht steht jetzt in § 31 Abs. 2 BSIG, der Nachweiszyklus wächst auf drei Jahre – und nach Angaben des BSI werden rund 29.500 Unternehmen NIS2-reguliert.
06.03.2026
Ende der NIS2-Registrierungsfrist beim BSI (Portal geöffnet seit 06.01.2026). Wer sich noch nicht registriert hat, sollte das umgehend nachholen.
Aug. 2026
Heute: Prüfungen laufen nach dem RUN-Schema. Konzepte, die noch § 8a BSIG a. F. zitieren, sind formal veraltet.
Die BSI-Orientierungshilfe (OH SzA) kompakt
Die Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung konkretisiert, was das Gesetz abstrakt fordert – und ist zugleich die Grundlage, nach der prüfende Stellen den Umsetzungsgrad bewerten. Die aktuelle Version 1.1 (Stand November 2024) enthält 100 Einzelanforderungen in den Bereichen Protokollierung, Detektion und Reaktion:
72
MUSS
Pflicht für Umsetzungsgrad 3
20
SOLL
Erwartet, Abweichung begründen
8
KANN
Kür für hohe Reifegrade
Worauf Prüfer in der Praxis schauen: ein dokumentiertes Protokollierungskonzept mit klarem Quellenkatalog, tatsächlich angebundene Log-Quellen (auch OT), funktionierende Detektionsregeln mit nachvollziehbarer Alarmbearbeitung, definierte Reaktions- und Meldewege – und eine Selbstbewertung des Umsetzungsgrads, die zur Realität passt.
Das Umsetzungsgradmodell: Stufe 0 bis 5
Der Umsetzungsgrad ist die Währung, in der Ihre Angriffserkennung im Nachweis gemessen wird. Seit April 2025 ist die Reife- und Umsetzungsgradbewertung (RUN) fester Bestandteil jeder KRITIS-Prüfung.
| Grad | Bedeutung | Einordnung |
|---|---|---|
| 0 | Keine Maßnahmen umgesetzt, keine Planung vorhanden | Akuter Handlungsbedarf |
| 1 | Umsetzung geplant, aber noch nicht begonnen | Planung ersetzt keine Maßnahme |
| 2 | Umsetzung begonnen, noch nicht alle MUSS-Anforderungen erfüllt | Reicht im Nachweis nicht aus |
| 3 | Alle MUSS-Anforderungen erfüllt | Erwartetes Minimum in der Prüfpraxis |
| 4 | Zusätzlich alle sinnvollen SOLL-Anforderungen erfüllt, kontinuierliche Verbesserung etabliert | Vom BSI angestrebtes Niveau |
| 5 | Alle Anforderungen inkl. sinnvoller KANN-Anforderungen, gelebter Verbesserungsprozess | Vorbildlich – selten gefordert |
Praxis-Hinweis: Grad 3 ist das erwartete Minimum – wer knapp darüber plant, hat bei der nächsten Prüfung keinen Puffer. Der Weg auf Grad 4 ist meist kein Technik-, sondern ein Prozessthema: SOLL-Anforderungen umsetzen und die Verbesserung nachweisbar machen.
Toolauswahl: die Bausteine eines Systems zur Angriffserkennung
Kein einzelnes Produkt deckt alle 100 Anforderungen ab. In der Praxis kombinieren Sie mehrere Bausteine – und binden ein, was schon vorhanden ist: Firewall-Logs, Verzeichnisdienste, vorhandene Endpunkt-Software. Die Kategorien im Überblick:
| Baustein | Deckt ab (OH SzA) | Beispiele | Für wen |
|---|---|---|---|
| SIEM / Log-Management | Protokollierung, zentrale Detektion | Microsoft Sentinel, Splunk, Exabeam/LogRhythm, Elastic Security, Logpoint (EU); Open Source: Wazuh, Graylog | Pflichtbaustein fast jeder SzA-Architektur |
| NDR / IDS (Netzwerk) | Detektion im Netzwerkverkehr | Darktrace, Vectra AI, ExtraHop, Corelight; EU: Exeon, Gatewatcher; Open Source: Suricata, Zeek | Umgebungen mit viel internem Verkehr, Rechenzentren |
| OT-Monitoring | Protokollierung und Detektion in Leit- und Steuerungstechnik | Rhebo (DE), secunet monitor KRITIS (DE), Claroty, Nozomi Networks, Dragos | Energie, Wasser, Produktion – überall, wo Anlagen laufen |
| EDR / XDR (Endpunkte) | Detektion und erste Reaktion auf Servern und Clients | Microsoft Defender for Endpoint, CrowdStrike, SentinelOne, Cortex XDR, Sophos; EU: Bitdefender, ESET, WithSecure | Jede Umgebung; oft der schnellste Hebel Richtung Grad 3 |
| MDR / SOC-Service | Detektion und Reaktion rund um die Uhr als Dienstleistung | Deutsche SOC-Anbieter (z. B. DCSO, G DATA, Telekom Security, SECUINFRA), Arctic Wolf, Sophos MDR | Teams ohne eigenen 24/7-Schichtbetrieb – der Regelfall im Mittelstand |
Sechs Kriterien, die die Auswahl wirklich entscheiden
Datenhaltung & Betriebsmodell
On-Premises, EU-Cloud oder US-Cloud: Bei KRITIS-Protokolldaten entscheidet die Frage nach Datenhoheit oft vor dem Funktionsumfang.
OT-Fähigkeit
Wer Leit- und Steuerungstechnik betreibt, braucht Sensorik, die Protokolle wie Modbus oder Profinet versteht – klassische IT-Tools sehen dort nichts.
Personalrealität 24/7
Detektion ohne Reaktion fällt im Nachweis durch. Ehrlich planen: eigenes Team, Rufbereitschaft oder ein externer MDR-Service.
Integrationsfähigkeit
Bestehende Firewalls, Verzeichnisdienste, Microsoft 365 und Bestands-Tools müssen ihre Logs liefern können – sonst entstehen blinde Flecken.
Nachweisbarkeit
Reports und Dokumentation, die ein Prüfer den Anforderungen der OH SzA zuordnen kann, sparen im Audit Tage.
Lizenzmodell & Folgekosten
SIEM-Preise skalieren meist mit dem Datenvolumen. Wer seine Log-Quellen priorisiert, kauft nicht das Doppelte.
SIEM, EDR und NDR: die wichtigsten Anbieter im Überblick
Zur Orientierung die marktrelevanten Anbieter je Baustein – eine Auswahl, keine Rangfolge (Stand: August 2026). Wir verkaufen keine dieser Plattformen selbst und vergleichen herstellerneutral, was zu Umgebung, Datenhoheit und Budget passt.
SIEM-Anbieter: von Microsoft Sentinel bis Wazuh
Das SIEM ist meist das Rückgrat der Protokollierung. Cloud-Plattformen rechnen nach Datenvolumen ab, On-Premises-Lösungen punkten bei der Datenhoheit – und Open Source spart Lizenz-, aber nicht Personalkosten.
Microsoft Sentinel
Cloud-natives SIEM, naheliegend für Microsoft-365-Umgebungen – Abrechnung primär nach Datenvolumen; die Verwaltung zieht bis März 2027 ins Microsoft-Defender-Portal um.
Splunk
Etablierte Analytik-Plattform für Cloud und On-Premises – seit 2024 Teil von Cisco.
Exabeam / LogRhythm
Seit der Fusion 2024 ein Anbieter – Schwerpunkt Verhaltensanalytik (UEBA), als Cloud- oder Eigenbetrieb.
Elastic Security
SIEM auf Elasticsearch-Basis mit Open-Source-Wurzeln – flexibel vom Eigenbetrieb bis zur Cloud.
Logpoint
Europäischer Anbieter aus Dänemark (firmiert seit 2026 als Guardsix) – EU-Datenhaltung als Kernversprechen.
IBM QRadar
On-Premises-Klassiker im Enterprise-Umfeld – das SaaS-Geschäft ging 2024 an Palo Alto Networks.
Google Security Operations
Cloud-SIEM von Google (früher Chronicle) mit integrierter Threat Intelligence.
Wazuh
Open Source und im Eigenbetrieb lizenzkostenfrei – verlangt dafür eigenes Betriebs-Know-how.
Graylog
Log-Management mit SIEM-Funktionen und Open-Source-Kern – verbreiteter Einstieg im Mittelstand.
EDR- und XDR-Anbieter: CrowdStrike, SentinelOne, Defender & Co.
EDR-Agenten liefern die Endpunkt-Telemetrie, XDR-Plattformen korrelieren sie mit Identitäts-, Mail- und Cloud-Signalen. In vielen Projekten der schnellste Hebel Richtung Umsetzungsgrad 3.
CrowdStrike Falcon
Cloud-natives EDR/XDR mit verhaltensbasierter Erkennung – Managed-Variante Falcon Complete verfügbar.
Microsoft Defender for Endpoint
In Microsoft-365-E5-Lizenzen enthalten – XDR-Korrelation über das gesamte Microsoft-Ökosystem.
SentinelOne Singularity
KI-gestützte Erkennung mit automatisierter Reaktion – Datenhaltung in Deutschland über Cloud-Partner möglich.
Palo Alto Cortex XDR
Korreliert Endpunkt-, Netzwerk- und Cloud-Daten in einer Plattform.
Sophos Intercept X
EDR/XDR mit direkt anschließbarem MDR-Service – im Mittelstand weit verbreitet.
Bitdefender GravityZone
EU-Anbieter aus Rumänien – EDR/XDR mit EU-Hosting-Optionen.
ESET PROTECT
EU-Anbieter aus der Slowakei – Cloud- oder On-Premises-Konsole, solide Mittelstands-Option.
WithSecure Elements
EU-Anbieter aus Finnland – europäische Rechenzentren, klarer NIS2-Fokus.
NDR-Anbieter: Darktrace, Vectra AI & Co.
Network Detection and Response erkennt, was Endpunkt-Agenten nicht sehen: Geräte ohne Agent, Lateralbewegungen, Anomalien im internen Verkehr.
Darktrace
KI-basierte Anomalieerkennung, die das Normalverhalten des eigenen Netzes lernt.
Vectra AI
Agentlose Angriffserkennung mit KI-Priorisierung über Netzwerk, Cloud und Identitäten.
ExtraHop RevealX
Echtzeit-Analyse auch verschlüsselten Verkehrs, ausgelegt auf hohen Durchsatz.
Corelight
Kommerzialisiert die Open-Source-Sensorik Zeek – tiefe Netzwerk-Metadaten für Analysten.
Exeon
Schweizer Anbieter, metadatenbasiert ohne zusätzliche Hardware-Sensoren.
Gatewatcher
Französischer NDR-Anbieter mit Fokus auf europäische Datensouveränität.
Suricata & Zeek
Open-Source-Basis vieler Eigenbau-Detektionen – etwa gebündelt in Security Onion.
OT-Monitoring für KRITIS: Rhebo, Claroty & Co.
Für Betreiber kritischer Anlagen führt an OT-Sensorik kein Weg vorbei: Leit- und Steuerungstechnik spricht eigene Protokolle und verträgt keine invasiven Scans.
Rhebo
Deutscher OT-Spezialist für passive Anomalieerkennung in Industrie- und Energienetzen.
secunet monitor KRITIS
Deutsche Lösung, ausgelegt auf die Anforderungen der BSI-Orientierungshilfe.
Claroty
Asset-Discovery und Bedrohungserkennung für ICS- und OT-Umgebungen, passiv integrierbar.
Nozomi Networks
Agentlose OT/IoT-Sichtbarkeit und Detektion – seit 2026 Teil von Mitsubishi Electric.
Dragos
ICS/SCADA-fokussierte Plattform mit spezialisierter OT-Threat-Intelligence.
Forescout / Tenable OT
Asset-Transparenz und Schwachstellensicht über IT und OT hinweg.
MDR und Managed SOC: 24/7-Betrieb als Service
Ohne Reaktionsfähigkeit rund um die Uhr bleibt jede Detektion Stückwerk – ein eigenes Drei-Schicht-SOC ist im Mittelstand selten realistisch. Für KRITIS-Betreiber zählen dabei SOC-Standort und Datenhaltung; neben den genannten sind u. a. indevis, suresecure und Enginsight am deutschen Markt aktiv.
DCSO
Berliner SOC-Dienstleister, hervorgegangen aus einem Konsortium deutscher Industrieunternehmen.
G DATA CyberDefense
Managed XDR mit SOC in Bochum – entwickelt und betrieben in Deutschland.
Telekom Security
Magenta MDR mit SOC in Bonn – Teil der Deutschen Telekom.
SECUINFRA
Berliner MDR-Anbieter, vom BSI als qualifizierter APT-Response-Dienstleister gelistet.
r-tec
MDR mit OT-Schwerpunkt für KRITIS-Betreiber.
Arctic Wolf
Internationale MDR-Plattform mit SOC-Standort in Frankfurt am Main.
Sophos MDR
Managed Detection and Response auf Basis der eigenen XDR-Plattform – nimmt auch Fremd-Telemetrie auf.
Eye Security
Europäischer MDR-Anbieter aus den Niederlanden mit Mittelstandsfokus.
Umsetzung in sechs Schritten
- 1
Bestandsaufnahme und Gap-Analyse
Ist-Zustand gegen die 72 MUSS-Anforderungen der Orientierungshilfe prüfen: Welche Log-Quellen, Detektionsfähigkeiten und Prozesse existieren schon? Ergebnis ist ein Maßnahmenplan mit realistischer Einschätzung des Umsetzungsgrads.
- 2
Protokollierungskonzept
Festlegen, welche Systeme sicherheitsrelevante Ereignisse liefern müssen – von der Firewall über Verzeichnisdienste bis zur Leittechnik. Dazu Aufbewahrungsfristen, Schutz der Protokolldaten und Zeitsynchronisation.
- 3
Toolauswahl und Beschaffung
Bausteine und Anbieter passend zu Umgebung, Datenhoheit und Budget auswählen. Bestehende Komponenten einbinden statt ersetzen – und Angebote herstellerneutral vergleichen, bevor unterschrieben wird.
- 4
Detektion aufbauen
Log-Quellen anbinden, Erkennungsregeln und Alarme für die relevanten Angriffsszenarien einrichten, Fehlalarme systematisch reduzieren. Lieber wenige belastbare Alarme als ein Dashboard, das niemand liest.
- 5
Reaktionsprozesse verankern
Alarmierungskette, Zuständigkeiten und Meldewege definieren – inklusive der 24-Stunden-Erstmeldung an das BSI bei erheblichen Vorfällen. Einmal jährlich üben, sonst bleibt es Papier.
- 6
Nachweis vorbereiten
Konzepte, Konfigurationsstände und Selbstbewertung des Umsetzungsgrads laufend dokumentieren. Wer die Unterlagen mitführt, geht ohne Hektik in die Prüfung.
Häufige Fehler in der Praxis
Ein SIEM gekauft, aber niemand liest die Alarme
Technik ohne Reaktionsprozess bleibt unter Umsetzungsgrad 3 – der Nachweis scheitert nicht an der Software, sondern am Betrieb.
Protokollierung ohne Konzept
Ohne definierten Quellenkatalog fehlen im Audit genau die Logs, auf die es ankommt – und Speicher wird für Unwichtiges verbrannt.
OT vergessen
Bei kritischen Anlagen ist die Leittechnik der Kern – in vielen Log-Konzepten taucht sie trotzdem nicht auf.
Alles auf einmal wollen
Wer alle 100 Anforderungen parallel angeht, wird nirgends fertig. Erst die MUSS-Anforderungen, dann SOLL, dann KANN.
Konzepte auf Rechtsstand 2023
Viele interne Dokumente zitieren noch § 8a BSIG a. F. Prüfer arbeiten seit Dezember 2025 mit § 31 BSIG und seit April 2025 mit dem RUN-Schema.
SzA-Umsetzung mit der Infosec Technologie GmbH
Wir helfen bei genau den zwei Punkten, an denen SzA-Projekte hängen bleiben: der richtigen Toolauswahl und der Umsetzung, die im Nachweis standhält.
Herstellerneutrale Auswahl
Wir verkaufen keine eigene SzA-Plattform und sind an keinen Hersteller gebunden. Sie bekommen eine Empfehlung nach Umgebung, Datenhoheit und Budget – nachvollziehbar begründet.
DEKRA-zertifizierter IT-Security-Spezialist
Die Infosec Technologie GmbH berät seit Jahren zu Informationssicherheit und ISO 27001 – von der Gap-Analyse bis zur Auditbegleitung. Angriffserkennung ist bei uns Kernthema, kein Zusatzgeschäft.
Von der Analyse bis zum Nachweis
Gap-Analyse gegen die OH SzA, Protokollierungskonzept, Tool-Einführung, Reaktionsprozesse und die Vorbereitung auf die KRITIS-Prüfung – aus einer Hand, im Rhein-Main-Gebiet und remote.
Beschaffung koordiniert
Lizenzen und Sensorik-Hardware beschaffen wir auf Wunsch gleich mit – gebündelt, dokumentiert und mit Blick auf Laufzeiten, damit keine Subscription unbemerkt ausläuft.
Häufige Fragen zur Angriffserkennung
Technische Werkzeuge und organisatorische Prozesse, die Angriffe auf IT- und OT-Systeme durch kontinuierliche Auswertung von Protokolldaten erkennen und abwehren helfen. Das BSI gliedert die Anforderungen in Protokollierung, Detektion und Reaktion – ein einzelnes Produkt allein erfüllt die Pflicht nicht.
Ausdrücklich verpflichtet sind Betreiber kritischer Anlagen (KRITIS) – seit dem 1. Mai 2023, heute geregelt in § 31 Abs. 2 BSIG. NIS2-Einrichtungen ohne kritische Anlage trifft keine wörtliche SzA-Pflicht; für Risikomanagement und Meldepflichten brauchen aber auch sie eine funktionierende Detektion.
Nicht wörtlich. Die Maßnahmen nach § 30 BSIG umfassen aber die Bewältigung von Sicherheitsvorfällen, und § 32 BSIG verlangt die Meldung erheblicher Vorfälle binnen 24 Stunden. Beides ist ohne Angriffserkennung praktisch nicht zu leisten – sie gilt deshalb auch für NIS2-Einrichtungen als Stand der Technik.
Mindestens Umsetzungsgrad 3 – alle MUSS-Anforderungen der Orientierungshilfe sind erfüllt. Angestrebt wird Grad 4 mit den sinnvollen SOLL-Anforderungen und einem laufenden Verbesserungsprozess. Seit April 2025 wird der Grad in KRITIS-Prüfungen nach dem RUN-Schema bewertet.
Nein. Ein SIEM deckt Protokollierung und Teile der Detektion ab. Die Orientierungshilfe verlangt zusätzlich ausreichend angebundene Log-Quellen bis ins Netzwerk und gegebenenfalls in die OT, definierte Reaktionsprozesse und klare Zuständigkeiten. Ein unbeobachtetes SIEM bringt im Nachweis wenig.
Seit dem NIS2-Umsetzungsgesetz alle drei Jahre statt bisher zwei. Das BSI hat die Betreiber über ihre individuellen Fristen informiert. Im Nachweis wird der Umsetzungsgrad der Angriffserkennung ausdrücklich bewertet.
Die Spanne ist groß und hängt von Log-Volumen, Umgebungsgröße und Betriebsmodell ab: Open-Source-Aufbauten kosten vor allem Personalzeit, kommerzielle SIEM-Lizenzen skalieren mit dem Datenvolumen, ein externer 24/7-SOC-Service wird monatlich abgerechnet. Ehrliche Budgetplanung beginnt mit der Priorisierung der Log-Quellen – dabei helfen wir vor jedem Angebot.
Ein SIEM sammelt und korreliert Protokolldaten aus allen Quellen zentral. EDR überwacht Endpunkte wie Server und Clients per Agent und kann dort direkt reagieren. NDR analysiert den Netzwerkverkehr und erkennt, was Agenten nicht sehen – etwa Geräte ohne Agent oder Lateralbewegungen. Für ein System zur Angriffserkennung nach BSI-Orientierungshilfe greifen die Bausteine ineinander; welche Kombination nötig ist, hängt von der Umgebung ab.
Zu den verbreiteten Plattformen zählen Microsoft Sentinel, Splunk, Exabeam/LogRhythm, Elastic Security und IBM QRadar, dazu der europäische Anbieter Logpoint sowie als Open-Source-Optionen Wazuh und Graylog. Welche Lösung passt, entscheiden Datenhoheit, vorhandene Infrastruktur, Log-Volumen und Betriebsmodell – nicht der Markenname. Wir vergleichen herstellerneutral und holen belastbare Angebote ein.
Mehr von der Infosec Technologie GmbH: NIS2-Beratung · SOC as a Service
KRITIS-Nachweis in Sicht oder NIS2-Pflichten auf dem Tisch? Sprechen wir.
Wir prüfen Ihren Stand gegen die BSI-Orientierungshilfe, erstellen eine herstellerneutrale Tool-Shortlist und begleiten die Umsetzung bis zum Nachweis.