SIEM-Tools im Vergleich: Open Source vs. Enterprise-SIEM 2026

SIEM-Tools lassen sich in 2 Kategorien einteilen, Open Source und Enterprise, und beide aggregieren, normalisieren und korrelieren Sicherheitslogs. Die eigentliche Entscheidung zwischen ihnen betrifft nicht den Funktionsumfang, sondern die Frage, wer die Betriebskosten trägt. Laut der Studie „Wirtschaftsschutz 2026“ des Bitkom blieben die IT-Sicherheitsbudgets in deutschen Unternehmen 2026 mit 18 % des gesamten IT-Budgets konstant, auf dem Niveau von 2025 und weiterhin unter den 20 %, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Bitkom empfehlen. Diese Lücke wirft eine direkte Frage auf: Soll ein SIEM über ein Abonnement finanziert werden oder stattdessen über internen Personalaufwand? Dieser Leitfaden vergleicht die Gesamtbetriebskosten (Total Cost of Ownership, TCO), die 4 Preismodelle, die SIEM-Anbieter tatsächlich verwenden, die deutschen Nachweispflichten nach NIS2 und BSI C5:2026, die Datensouveränität, die wichtigsten Open-Source-Tools und die in Deutschland aktiven Typen von Enterprise-Anbietern. Anschließend zeigt er, wann welche Kategorie passt.

Was unterscheidet ein Open-Source-SIEM von einem Enterprise-SIEM?

Ein Open-Source-SIEM veröffentlicht seinen Quellcode unter einer Lizenz, die freie Nutzung, Einsicht und Veränderung erlaubt, während ein Enterprise-SIEM wie SecureVisio eine kommerzielle Lizenz verkauft, die Herstellersupport, gepflegte Erkennungsinhalte und eine integrierte Plattform umfasst. Security Information and Event Management (SIEM), die Kategorie selbst, aggregiert, normalisiert und korreliert Logdaten aus der gesamten Organisation, um Bedrohungen zu erkennen. Die Lizenz beseitigt die Kosten nicht, sondern verlagert sie. Ein Open-Source-SIEM verschiebt die Ausgaben von einer Abonnementposition hin zu Personalaufwand, Hardware und der Zeit, die ein Team für die Pflege der Erkennungsregeln aufwendet. Ein Enterprise-SIEM hält diese Ausgaben als eine einzige Abonnementposition sichtbar, und der Hersteller übernimmt den technischen Aufwand dahinter.

Was erlauben Open-Source-Lizenzen wie GPL, AGPL und SSPL tatsächlich?

Open-Source- und Source-Available-Lizenzen lassen sich für ein Unternehmen, das ein SIEM evaluiert, in 3 praktische Kategorien einteilen.

• Permissive Lizenzen, etwa die Apache License 2.0, erlauben einer Organisation, den Code nahezu ohne Einschränkung zu nutzen, zu verändern und weiterzugeben, auch innerhalb eines Closed-Source-Produkts.
• Copyleft-Lizenzen, etwa die GNU General Public License Version 2 (GPLv2) oder die Affero GPL Version 3 (AGPLv3), verlangen, dass an Dritte weitergegebene Änderungen unter derselben Lizenz offen bleiben. AGPLv3 weitet diese Anforderung auf Software aus, die ausschließlich als Netzwerkdienst angeboten wird, und schließt damit die sogenannte SaaS-Lücke.
• Source-Available-Lizenzen, etwa die Server Side Public License (SSPL) oder die Elastic License 2.0 (ELv2), veröffentlichen den Code und erlauben die kostenlose Nutzung im Selbstbetrieb, sind aber nicht von der Open Source Initiative (OSI) anerkannt und untersagen in der Regel, die Software als konkurrierenden gehosteten Dienst anzubieten.

Mehrere bekannte SIEM-Projekte gehören zur Gruppe der Source-Available-Software und nicht zur Gruppe der Open-Source-Software; die Übersicht über Open-Source- und Source-Available-Tools weiter unten nennt jeweils die Lizenz. Die konkrete Lizenz bestimmt, was ein Unternehmen mit dem Code rechtlich tun darf, und nicht nur, ob er etwas kostet.

Welche Bereitstellungsmodelle gibt es für ein SIEM: On-Premises, SaaS oder Hybrid?

Ein SIEM lässt sich in 3 Bereitstellungsmodellen betreiben.

• On-Premises: Die Organisation installiert und betreibt das SIEM auf eigener Hardware oder in einer Private Cloud und behält die volle physische Kontrolle über die Daten.
• Software as a Service (SaaS): Der Anbieter hostet und betreibt die Plattform, und die Organisation sendet Logs an eine Infrastruktur, die sie nicht kontrolliert.
• Hybrid: Erfassung und Korrelation bleiben On-Premises oder in einer privaten Umgebung, während einzelne Funktionen, etwa die Langzeitspeicherung oder KI-gestützte Analysen, in der Cloud des Anbieters laufen.

Open-Source-Tools werden standardmäßig On-Premises oder in einer selbst verwalteten Cloud betrieben; einige Projekte verkaufen zusätzlich eine vom Anbieter gehostetes SaaS-Angebot. Enterprise-Anbieter bieten alle 3 Modelle an, und die Wahl des Bereitstellungsmodells hängt unmittelbar mit der weiter unten behandelten Frage der Datensouveränität zusammen.

Was kostet ein SIEM über die Lizenz hinaus?

Ein belastbarer SIEM-Kostenvergleich umfasst 5 Kategorien: Lizenz- oder Abonnementgebühr, Personalaufwand, Hardware und Speicher, Pflege der Erkennungsinhalte sowie Support. Deutsche Unternehmen haben wenig Spielraum, hier eine Unterschätzung aufzufangen. Laut der Studie „Wirtschaftsschutz 2026“ des Bitkom blieben die Ausgaben für IT-Sicherheit 2026 bei 18 % des gesamten IT-Budgets, unverändert gegenüber 2025, aber deutlich höher als die 9 % im Jahr 2022, und damit weiterhin unter der vom BSI und vom Bitkom empfohlenen Marke von 20 %; die Hälfte der deutschen Unternehmen gibt weniger als diese empfohlenen 20 % aus. Ein Lizenzpreis, der auf dem Papier nach Einsparung aussieht, kann dennoch ein Budget belasten, das keinen Puffer für Personalaufwand, Hardware oder einen später unter Zeitdruck abgeschlossenen Supportvertrag hat.

Wie hoch ist der Personalaufwand für ein selbst betriebenes Open-Source-SIEM?

Selbst betriebene Open-Source-SIEM-Software verursacht keine Lizenzgebühr, und die Arbeitsstunden für den Betrieb ersetzen diese Gebühr, statt unsichtbar zusätzlich anzufallen. Eine kleine Einzelhost-Installation für bis zu rund 100 überwachte Endpunkte läuft auf bescheidener Hardware (4 bis 8 vCPU, 8 GiB RAM, 50–200 GB Speicher für 90 Tage Aufbewahrung, laut den Dimensionierungshinweisen von Wazuh). Oberhalb dieses Bereichs wird die Installation auf einen Multi-Node-Cluster aufgeteilt, was dem Team Clusteradministration, Patching und Kapazitätsplanung zusätzlich aufbürdet. Die automatisierte Reaktion läuft in der Regel über Skripte (Bash, Python oder PowerShell), die das Team selbst schreibt und pflegt, und nicht über einen integrierten Workflow-Builder. Eine Organisation, die diese Arbeit nicht personell abdecken kann, kauft sie als gehosteten Tarif des Projektanbieters oder als Managed Service zu, wodurch aus einer kostenlosen Plattform wieder ein Abonnement wird.

Welche Preismodelle verwenden SIEM-Anbieter?

SIEM-Anbieter rechnen nach einem von 4 Modellen ab.

• Preisgestaltung pro GB Ingest rechnet nach dem Rohvolumen der Logdaten ab, die täglich in die Plattform gesendet werden.
• Preisgestaltung pro EPS rechnet nach EPS ab (Events per Second, die Rate einzelner Logereignisse, die ein SIEM verarbeitet). Das bildet die Verarbeitungslast ab, skaliert aber weiterhin mit der Aktivität.
• Preisgestaltung pro Node oder pro Asset rechnet nach der Anzahl geschützter Systeme, IP-basierter Assets oder Endpunkte ab, unabhängig davon, wie viele Logdaten jedes einzelne erzeugt.
• Pauschale oder unbegrenzte Preisgestaltung sieht eine feste Plattformgebühr vor, unabhängig vom Volumen.

Das Preismodell entscheidet darüber, wie die Rechnung auf wachsende Logmengen reagiert, und das Logvolumen wächst jedes Jahr durch Cloud-Workloads, Container und Sicherheitswerkzeuge mit umfangreicher Protokollierung. Die versteckten Kosten von SIEM und warum Ingest-Preise SOC-Budgets sprengen erklärt diesen Mechanismus im Detail.

Welche Nachweise verlangt NIS2 von einem SIEM, und wie passen DSGVO und BSI C5:2026 dazu?

NIS2 verlangt von betroffenen Organisationen den Nachweis, dass sie einen Sicherheitsvorfall innerhalb fester Fristen erkennen, melden und dokumentieren können, und ein SIEM ist das praktische Mittel, mit dem die meisten Organisationen diesen Nachweis erbringen. Das NIS2UmsuCG, die deutsche Umsetzung der NIS2-Richtlinie der EU, ist seit dem 6. Dezember 2025 in Kraft und hat rund 29.500 Unternehmen aus 18 Sektoren in den Anwendungsbereich gebracht. Es gilt grundsätzlich für Organisationen mit mindestens 50 Beschäftigten oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils mehr als 10 Mio. €, zuzüglich bestimmter Einrichtungen unabhängig von ihrer Größe.

Was muss eine Organisation im Rahmen der NIS2-Nachweispflicht belegen?

§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach NIS2 umzusetzen und ihre Umsetzung zu überwachen; Aufgaben können an andere übertragen werden, etwa an einen CISO oder einen Dienstleister, die Letztverantwortung bleibt jedoch bei der Geschäftsleitung. § 39 BSIG verpflichtet Betreiber kritischer Anlagen (KRITIS), dem BSI ihre Maßnahmen alle 3 Jahre durch Audits, Prüfungen oder Zertifizierungen nachzuweisen, und das BSI kann besonders wichtige Einrichtungen jederzeit zu Audits verpflichten. Die Meldung von Sicherheitsvorfällen folgt in diesem Rahmen einem festen Zeitplan: eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, mit der Angabe, ob eine rechtswidrige oder böswillige Handlung oder eine grenzüberschreitende Auswirkung vermutet wird; eine Meldung innerhalb von 72 Stunden mit einer ersten Bewertung von Schweregrad, Auswirkungen und, soweit verfügbar, Kompromittierungsindikatoren (Indicators of Compromise, IoC); und eine Abschlussmeldung innerhalb eines Monats nach dieser Meldung. Den Ablauf eines Angriffs innerhalb dieser Frist durch manuelle Durchsicht erhalten gebliebener Logs zu rekonstruieren, ist selten realistisch, sobald ein Angreifer lokale Logdatenbanken zerstört hat. Deshalb ist ein SIEM, das Logs schon vor Beginn eines Angriffs an einen separaten, unbeeinträchtigten Ort überträgt, der praktikabelste Weg, diesen Nachweis zu erbringen; für KRITIS-Betreiber geht § 31 Abs. 2 BSIG sogar noch weiter und verlangt ausdrücklich Systeme zur Angriffserkennung. Bußgelder bei Verstößen betragen bis zu 10 Mio. € für besonders wichtige Einrichtungen und bis zu 7 Mio. € für wichtige Einrichtungen; bei Einrichtungen mit einem weltweiten Umsatz von mehr als 500 Mio. € liegt die Obergrenze bei 2 % beziehungsweise 1,4 % dieses Umsatzes. Nach § 38 Abs. 2 BSIG haften Geschäftsleiter, die ihre Pflichten im Risikomanagement schuldhaft verletzen, ihrer eigenen Organisation für den entstandenen Schaden, nach den gesellschaftsrechtlichen Vorschriften der jeweiligen Rechtsform, etwa § 43 GmbHG oder § 93 AktG. Die Nachweispflicht gilt für die Organisation und nicht für einen bestimmten Anbieter, weshalb ein Open-Source-SIEM und ein Enterprise-SIEM an derselben Anforderung gemessen werden; nur der Aufwand für Konfiguration und Nachweis unterscheidet sich.

Wie beeinflusst die DSGVO die Aufbewahrung von SIEM-Logs?

Sicherheitslogs enthalten regelmäßig personenbezogene Daten: Benutzernamen, IP-Adressen und Gerätekennungen gelten allesamt als personenbezogene Daten nach der Datenschutz-Grundverordnung der EU (DSGVO), in Deutschland ergänzt durch das Bundesdatenschutzgesetz (BDSG). Ein SIEM muss diese Daten lange genug aufbewahren, um Untersuchungen und die oben genannten NIS2-Meldefristen zu unterstützen, und zugleich die Grundsätze der Datenminimierung und der Speicherbegrenzung der DSGVO einhalten, die verbieten, personenbezogene Daten länger zu speichern, als der festgelegte Zweck es erfordert. Der Zugriff auf Rohlogs erfordert dieselbe rollenbasierte Beschränkung, die die DSGVO für jede Verarbeitung personenbezogener Daten erwartet, unabhängig davon, ob das SIEM Open Source oder kommerziell ist; das Lizenzmodell hat auf diese Pflicht keinen Einfluss.

Was verlangt BSI C5:2026 von einem Cloud-gehosteten SIEM?

Eine Organisation, die ein SaaS- oder Hybrid-SIEM in Betracht zieht, sollte vor Vertragsabschluss das Testat des Anbieters zum Cloud Computing Compliance Criteria Catalogue (C5) prüfen. Das BSI hat die aktuelle Ausgabe C5:2026 im Frühjahr 2026 veröffentlicht. Sie ersetzt die bisherige Grundlage C5:2020 und ergänzt Anforderungen zu Container-Management, Post-Quanten-Kryptografie und Confidential Computing, was widerspiegelt, wie weit sich die Cloud-Architektur seit 2020 entwickelt hat. C5:2020 bleibt während einer Übergangsfrist zulässig: Ab dem 1. Juni 2027 ist C5:2026 die einzige Grundlage für Typ-1-Testate und für Typ-2-Berichte, die Kontrollen über einen längeren Zeitraum und nicht zu einem einzelnen Stichtag bewerten und deren Prüfzeitraum am oder nach diesem Datum beginnt. Ein C5-Testat ist der Bericht eines unabhängigen Prüfers auf Basis des BSI-Kriterienkatalogs und kein selbst erklärtes Gütesiegel. Es bezieht sich auf den Cloud-Anbieter, der das SIEM hostet, und nicht auf die SIEM-Software selbst, eine Unterscheidung, die gerade bei SaaS- oder Hybrid-Betrieb von Bedeutung ist.

Entscheiden Hosting-Standort oder Rechtsordnung über die Datensouveränität?

Die Rechtsordnung entscheidet stärker über die Datensouveränität als der physische Hosting-Standort. SecureVisio, ein europäischer Anbieter, hält SIEM-Daten ausschließlich in europäischer Infrastruktur, betrieben On-Premises oder in einer europäischen Private Cloud, sodass die Daten dem EU-Recht unterliegen. Derselbe Maßstab gilt für jeden Anbieter: Ein Cloud-Anbieter kann Daten ausschließlich in deutschen oder EU-Rechenzentren verarbeiten und dennoch dem Zugriff des US-Rechts unterliegen, wenn eine US-Muttergesellschaft ihn besitzt oder kontrolliert. Der US CLOUD Act und Section 702 des Foreign Intelligence Surveillance Act (FISA 702) knüpfen beide an Eigentum und Kontrolle des Unternehmens an und nicht daran, wo Server physisch stehen. Daher kann eine an eine US-Muttergesellschaft zugestellte Herausgabeanordnung nach dem CLOUD Act oder eine Anordnung nach FISA Section 702 auch Daten erreichen, die bei deren EU-Tochtergesellschaft liegen, ungeachtet einer Zusage zum ausschließlichen Hosting in der EU. Eine Organisation, die die Souveränität ihres SIEM bewertet, sollte einen SaaS- oder Managed-Anbieter direkt nach seiner Eigentümerstruktur und nach den Rechtsordnungen fragen, denen seine Muttergesellschaften unterliegen, und nicht nur danach, wo seine Rechenzentren stehen. Selbst betriebene Installationen, ob Open Source oder kommerziell, umgehen diese Frage nur dann, wenn sie auf einer Infrastruktur laufen, die die Organisation selbst oder ein Anbieter unter europäischer Eigentümerschaft und Kontrolle betreibt; ein selbst verwaltetes SIEM in der Cloud eines US-Hyperscalers übernimmt das rechtliche Zugriffsrisiko dieses Anbieters.

Wie unterscheiden sich die Erkennungsinhalte zwischen Open-Source- und Enterprise-SIEM?

Enterprise-SIEM-Anbieter liefern vorgefertigte Korrelationsregeln und Threat-Intelligence-Feeds in der Regel als Teil des Abonnements mit und aktualisieren sie fortlaufend, während ein Open-Source-SIEM einen kleineren Regelsatz mitbringt, den ein Team selbst erweitert oder aus Community-Quellen importiert. Die stärksten Open-Source-Stacks liefern mehr als 2.000 vorgefertigte Sigma-Erkennungsregeln mit, die auf MITRE ATT&CK abgebildet sind (eine Wissensbasis, die Angriffstechniken vom Erstzugriff bis zur Exfiltration katalogisiert). Das verschafft einer vollständig quelloffenen Installation echte Detection-as-Code-Fähigkeit ohne Lizenzkosten. Andere Projekte trennen kostenlose und kostenpflichtige Funktionen: Die kostenlose Version liefert nur Log-Management, während Korrelationsregeln, User and Entity Behavior Analytics (UEBA) und Compliance-Pakete in einem separaten kommerziellen Produkt liegen. An den Erkennungsinhalten setzt zudem die Übergabe an den übrigen Sicherheitsbetrieb an: Wie SIEM und SOC zusammenarbeiten beschreibt, wie aus einem korrelierten Alarm tatsächlich eine Untersuchung wird, unabhängig davon, welche SIEM-Kategorie ihn erzeugt hat.

Warum wird Alert Fatigue zum Personalkostenfaktor?

Eine Erkennungs-Engine, die zu viele Alarme von geringem Wert erzeugt, kostet ein Team Zeit, unabhängig davon, ob die Software selbst kostenlos war. Der SANS Detection and Response Survey 2025 ergab, dass 73 % der Sicherheitsorganisationen Fehlalarme als ihre größte Herausforderung bei der Erkennung nennen und dass der Anteil derer, die sehr häufige Fehlalarme melden, im Jahresvergleich von 13 % auf 20 % gestiegen ist. Dieses Rauschen zu reduzieren ist Arbeit an den Erkennungsinhalten: Regeln schreiben, testen und ausmustern. Bei einem selbst gepflegten Open-Source-Regelsatz liegt sie vollständig beim Betriebsteam, bei einem Enterprise-Abonnement mit gepflegten Erkennungsinhalten teilweise beim Anbieter.

Wie gut skaliert jede SIEM-Kategorie bei wachsendem Logvolumen?

Open-Source-SIEM skaliert über manuelle Cluster-Dimensionierung, während Enterprise- und SaaS-SIEM über vom Anbieter verwaltete Elastizität skalieren, die dem Kunden in Rechnung gestellt wird. Eine selbst betriebene Installation auf Basis eines quelloffenen Suchindex, der Engine hinter den meisten Open-Source-SIEM-Projekten, erfordert, dass RAM, CPU und Node-Anzahl im Voraus für das Wachstum geplant werden; Wazuh empfiehlt beispielsweise seine Einzelhost-Installation für bis zu rund 100 überwachte Endpunkte und darüber hinaus einen verteilten Multi-Node-Cluster. Eine SaaS-Plattform skaliert automatisch, aber jedes zusätzliche Gigabyte und jedes zusätzliche Ereignis erscheint nach dem jeweils geltenden Preismodell weiterhin auf der Rechnung. Skalierung ist also in keiner der beiden Kategorien kostenlos: Bei Open Source kostet zusätzliche Kapazität Personalaufwand, bei Enterprise oder SaaS kostet sie Budget.

Wie hoch ist der Integrationsaufwand je SIEM-Kategorie?

Enterprise-SIEM wird mit vorgefertigten Konnektoren und häufig mit Professional Services für deren Einführung geliefert, während Open-Source-SIEM für alles, was über die integrierten Anbindungen des Projekts hinausgeht, in der Regel einen manuellen Agent-Rollout und individuelle Skripte erfordert. Die automatisierte Reaktion läuft bei den meisten Open-Source-Projekten über Skripte, die ein Team für die eigene Umgebung schreibt, und jede neue Datenquelle benötigt einen eigenen Parser und ein eigenes Feld-Mapping. Eine Organisation, der diese Kapazität für die Skriptentwicklung fehlt, kann die Belastung verringern, indem sie sie zukauft, entweder als vom Anbieter gehostetes SaaS-Angebot für die Open-Source-Plattform selbst oder über einen Service, der eine Enterprise-Plattform im Auftrag der Organisation betreibt. Speziell für Organisationen, die diese Abwägung treffen, beschreibt der Beitrag Managed SIEM: Wie Sie die Investitionshürde senken die Optionen.

Welche Open-Source- und Source-Available-SIEM-Tools lohnen 2026 eine Evaluierung?

Sechs weit verbreitete Open-Source- und Source-Available-SIEM-Tools unterscheiden sich vor allem in Lizenz und Umfang, und jede Lizenz bringt andere praktische Pflichten mit sich.

Tool	Lizenz	Was es ist
Wazuh	GPLv2 (Kern-Engine); Apache 2.0 (OpenSearch-basierter Indexer und Dashboard)	Agentenbasierte XDR- und SIEM-Plattform mit integrierter Dateiintegritätsüberwachung, Schwachstellenerkennung und Bewertung der Sicherheitskonfiguration
Security Onion 3	Elastic License 2.0 (ELv2), Source-Available, nicht OSI-anerkannt	Plattform für Threat Hunting, Network Security Monitoring (NSM) und Log-Management, die Suricata, Zeek, Elastic Agent und ein Elasticsearch/Kibana-Backend bündelt
Graylog Open	Server Side Public License (SSPL), Source-Available, nicht OSI-anerkannt	Kostenloses Log-Management mit unbegrenztem Ingest; SIEM-Erkennungsinhalte liegen in einem separaten kostenpflichtigen Produkt
OpenSearch (Security-Analytics-Plugin)	Apache License 2.0	Von der Community verwaltete Such- und Analyse-Engine (OpenSearch Software Foundation, Linux Foundation) mit einem Security-Analytics-Plugin, das mehr als 2.200 vorgefertigte Sigma-Erkennungsregeln mitbringt
Elasticsearch und Kibana (Elastic Stack)	Wahl zwischen AGPLv3, SSPL und Elastic License 2.0 seit August 2024	Such- und Analyse-Engine hinter Security Onion in dieser Liste; die Elastic-Security-App liefert ihre Erkennungs-Engine und vorgefertigte Erkennungsregeln im kostenlosen Basic-Abonnement, während Machine-Learning-Erkennungen und Support ein kostenpflichtiges Abonnement erfordern
UTMStack	AGPLv3	Kombinierte SIEM-, SOAR- und Compliance-Mapping-Plattform mit integrierter Korrelation vor dem Ingest

Die Lizenzunterscheidung ist über die Kosten hinaus relevant. GPLv2 und AGPLv3 sind von der Open Source Initiative (OSI) anerkannte Open-Source-Lizenzen, die es jedem erlauben, die Software als gehosteten Dienst anzubieten, wobei AGPLv3 verlangt, dass der Anbieter seine Änderungen den Nutzern zugänglich macht, die über ein Netzwerk mit der Software interagieren. SSPL und die Elastic License 2.0 sind Source-Available-Lizenzen, die den Code veröffentlichen, aber genau diese Nutzung einschränken. Deshalb benötigt ein Managed Service Provider, der ein Source-Available-SIEM als eigenes gehostetes Produkt weiterverkauft, eine gesonderte kommerzielle Vereinbarung mit dem Hersteller. Eine Organisation, die diese Tools ausschließlich als selbst betriebene, interne Plattform evaluiert, ist von dieser Einschränkung in beiden Fällen nicht betroffen.

Welche Typen von Enterprise-SIEM-Anbietern sind auf dem deutschen Markt aktiv?

Enterprise-SIEM-Anbieter in Deutschland lassen sich in 4 Typen einteilen, und bei einem mehrjährigen Vertrag ist der Typ ebenso wichtig wie das Produkt.

Anbietertyp	Beispiel	Typisches Preismodell	Was vor Vertragsabschluss zu prüfen ist
Europäische SIEM-Plattform	SecureVisio	Lizenzierung pro geschütztem Asset oder pauschal, unabhängig vom Logvolumen	Bereitstellungsoptionen (On-Premises, europäische Cloud); Tiefe von SOAR, UEBA und Compliance-Reporting
Cloud-natives SIEM eines US-Hyperscalers	Microsoft Sentinel	Pro GB Ingest, mit Commitment-Tarifen und separaten Tarifen für die Langzeitspeicherung	Eigentümerstruktur und Zugriffsrisiko nach dem CLOUD Act; Kosten der Aufbewahrung über den Standardzeitraum hinaus
Etablierte Enterprise-Plattform eines US-Anbieters	Splunk (seit März 2024 Teil von Cisco)	Pro GB Ingest oder workload-basiert (durch Suchen und Dashboards verbrauchte Rechenleistung)	Roadmap und Support-Zusagen nach der Übernahme
Durch eine Übernahme aufgespaltene Plattform	IBM QRadar (SaaS-Geschäft 2024 an Palo Alto Networks verkauft; On-Premises-QRadar verbleibt bei IBM)	On-Premises: IBM-Lizenzierung; frühere SaaS-Kunden: Migration zu Palo Alto Networks Cortex XSIAM	Langfristige Support-Roadmap für On-Premises-QRadar; Migrationspfad und Kosten für frühere SaaS-Kunden

SecureVisio vereint SIEM, UEBA, SOAR und Schwachstellenmanagement auf einem gemeinsamen Datenmodell und lizenziert nach geschützten Assets statt nach Logvolumen, wodurch die Rechnung an die Größe der Organisation gekoppelt bleibt und nicht an das Wachstum ihrer Logs. Bei mehreren großen SIEM-Produkten haben sich zwischen 2024 und 2026 die Eigentumsverhältnisse geändert. Palo Alto Networks kündigte im April 2025 End of Sale und End of Life (EoL) der von ihm übernommenen QRadar-SaaS-Produkte an, mit EoL-Terminen zwischen dem 14. April und dem 31. August 2026, während die On-Premises-QRadar-Produkte nicht betroffen waren und bei IBM verbleiben. Wer ein Enterprise-SIEM evaluiert, sollte sich schriftlich bestätigen lassen, welchem Unternehmen das Produkt heute gehört, welches Bereitstellungsmodell noch verkauft wird und wie lange es unterstützt bleibt.

Wann entscheidet sich eine Organisation für Open Source, und wann stattdessen für Enterprise?

Open-Source-SIEM ist die richtige Wahl, wenn die Organisation 3 Voraussetzungen erfüllt: dedizierte technische Personalkapazität, um einen Cluster aufzubauen und zu betreiben, die Kapazität, Erkennungsregeln intern zu schreiben und abzustimmen oder einen kleineren Regelsatz zu akzeptieren, und eine Compliance-Lage, die kein vom Anbieter gestütztes Nachweispaket ab Werk verlangt. Enterprise-SIEM ist stattdessen die richtige Wahl, wenn eine der gegenteiligen Bedingungen zutrifft: Personalkapazität für Sicherheitswerkzeuge ist knapp, was der Realität von 18 % des IT-Budgets entspricht, in der die meisten deutschen Unternehmen bereits wirtschaften; Erkennungsinhalte sollen gepflegt bereitgestellt werden, statt von Grund auf selbst erstellt zu werden, insbesondere angesichts der oben beschriebenen Alert Fatigue; oder NIS2- und DSGVO-Nachweise sollen einem Prüfer mit Herstellerdokumentation statt mit den eigenen Unterlagen eines internen Teams vorgelegt werden, bei SaaS- oder Hybrid-Betrieb gestützt durch das C5:2026-Testat des Anbieters. Manche Organisationen entscheiden sich für eine Hybridlösung: eine Open-Source-Erfassungsschicht, die eine verwaltete oder Enterprise-Schicht für Korrelation und Compliance speist. Diese Organisationen tauschen damit einen Teil der Lizenzersparnis gegen einen Teil der Support-Garantie, ohne sich vollständig für eine der beiden Kategorien zu entscheiden.

Häufig gestellte Fragen

Ist Open-Source-SIEM wirklich kostenlos? Nein, Open-Source-SIEM ist nicht wirklich kostenlos, sobald der Personalaufwand eingerechnet wird. Die Software selbst verursacht unter einer Lizenz wie GPLv2 oder AGPLv3 keine Lizenzgebühr, doch der Betrieb kostet dennoch Infrastruktur, die Pflege der Erkennungsinhalte und Personalzeit, und mehrere Open-Source-Projekte verkaufen einen kostenpflichtigen gehosteten Tarif, gerade für Organisationen, die diesen Aufwand ihrem eigenen Team abnehmen möchten.

Kann ein Open-Source-SIEM die NIS2-Nachweispflicht erfüllen? Ja, ein Open-Source-SIEM kann die NIS2-Nachweispflicht erfüllen, sofern die Organisation Logaufbewahrung, Zugriffskontrolle und Reporting-Workflows so konfiguriert, dass sie dieselben Fristen von 24 Stunden, 72 Stunden und einem Monat einhalten wie bei einer Enterprise-Plattform. Das NIS2UmsuCG schreibt keinen bestimmten Anbieter und keine bestimmte Lizenz vor; es schreibt den Nachweis vor, und eine korrekt konfigurierte Open-Source-Installation erzeugt denselben Prüfpfad wie eine kommerzielle, allerdings um den Preis, diese Konfiguration selbst aufzubauen, statt sie vorgefertigt zu erhalten.

Open-Source- und Enterprise-SIEM lösen dasselbe Erkennungsproblem über gegensätzliche Kostenstrukturen: Das eine verlagert die Ausgaben in Personalaufwand, Hardware und selbst gepflegte Erkennungsinhalte, das andere hält sie als einzelnes Abonnement sichtbar, das Support und gepflegte Inhalte bündelt. Keines von beiden ist automatisch die günstigere Option, sobald Gesamtbetriebskosten, NIS2-Nachweispflichten, BSI C5:2026 und Datensouveränität in die Rechnung eingehen, und die richtige Wahl für eine konkrete Organisation hängt davon ab, welche dieser Kosten sie intern bereits tragen kann und welche ein Anbieter für sie übernehmen soll. Dass die deutschen IT-Sicherheitsbudgets bei 18 % der gesamten IT-Ausgaben stagnieren, lässt bei dieser Rechnung weniger Spielraum für Fehler, als ein Funktionsvergleich vermuten lässt. Deshalb verdienen Bereitstellungsmodell und Preismodell mindestens ebenso viel Aufmerksamkeit wie die Funktionsliste, bevor sich eine Organisation 2026 für Open-Source- oder Enterprise-SIEM entscheidet.