Managed SIEM: Wie Sie die Investitionshürde senken

Für kleine und mittelständische Unternehmen fühlte sich der Aufbau eines Security Operations Center lange wie ein Privileg der größten Konzerne an. Technologie, Personal und Infrastruktur verlangen vom ersten Tag an erhebliches Kapital – und für eine mittelständische Organisation reicht diese Kombination oft aus, um ein SOC-Projekt komplett von der Roadmap zu verdrängen. Managed SIEM as a Service (SIEMaaS), kombiniert mit einem externen SOC, verändert diese Gleichung: Aus einer schweren Anfangsinvestition wird ein planbares monatliches Abonnement.

Dieser Artikel zeigt, warum die Kosten eines SOC so hoch ausfallen, wie SIEM as a Service das Kostenmodell neu ordnet und was den Preis eines Managed-Angebots wie SecureVisio as a Service in Kombination mit einem externen SOC-Partner tatsächlich bestimmt.

Warum die Investitionskosten für ein SOC so hoch sind

Ein traditionelles, intern aufgebautes SOC trägt fünf verschiedene Kostenlasten – und jede davon schlägt früh im Projekt zu:

• Erhebliche Technologie-Investitionen vom ersten Tag an. SIEM- und XDR-Lösungen erfordern im ersten Jahr beträchtliche Ausgaben, und diese Last ist im On-Premises-Modell am schwersten.
• Hohe Kosten für den Teamaufbau – vorausgesetzt, Sie finden die Experten überhaupt. Eine mittelgroße Organisation braucht mindestens acht Personen, um kontinuierliches Monitoring sicherzustellen.
• Investitionen in Infrastruktur und deren Verwaltung. Ein On-Premises-SIEM verbraucht Ressourcen im eigenen Rechenzentrum – Server, Storage und die Verwaltung des Log-Archivs – plus die laufende Arbeit für Betrieb und Updates.
• Begrenzte Kontrolle über die Kosten der Datenaufnahme. Bei den meisten Herstellern haben Sie kaum Einfluss auf die Ingestion-Preise, und die Last der Log-Management-Entscheidungen (Hot-, Warm- und Cold-Storage-Ebenen und so weiter) liegt bei Ihnen.
• Ein Rattenschwanz an zusätzlichen internen Kosten. Zertifizierungen, Trainings, der Zugang zu Threat-Intelligence-Datenbanken, Kommunikationskanäle und weitere operative Elemente summieren sich.

Einzeln betrachtet überrascht keiner dieser Punkte. Zusammen bilden sie die Investitionshürde, die viele Organisationen davon abhält, überhaupt ein SOC aufzubauen.

Die Herausforderungen interner SIEM-Konfiguration und -Bereitstellung

Intern müssen Sie zuerst eine täuschend einfache Frage beantworten: Was muss überhaupt überwacht werden? Anschließend müssen Sie die Daten und Alerts Ihrer übrigen Erkennungswerkzeuge – NDR, EDR und Co. – in Ihr SIEM einspeisen. Während diese Daten eintreffen, müssen Sie entscheiden, wie sie über verschiedene Ebenen wie Hot- und Cold-Storage verteilt werden.

Sie müssen außerdem die Infrastruktur wählen – was in Zeiten rapide steigender Hardwarepreise deutlich weniger trivial ist, als es zunächst scheint. Sie müssen Aufbewahrungsfristen für Logs festlegen. Sie müssen Parser auswählen. Sie müssen Detection Engineering betreiben – und das bleibt nur wirksam, wenn erfahrene SOC-Partner die Regeln aktuell halten. Externe SOC-Partner, die mit SecureVisio arbeiten, verfügen häufig über einsatzbereite Erkennungsregeln für die Plattform, die sich schnell konfigurieren lassen.

Für ein Unternehmen, das all das zum ersten Mal tut, ist das eine Menge. Genau deshalb ist Managed SIEM entstanden: Ein SecureVisio-Partner mit Dutzenden – oder Hunderten – von Implementierungen und tiefer SOC-Expertise baut Erkennungsregeln, wählt Parser und erledigt die vielen weiteren Aufgaben erheblich effizienter.

Die Kernfunktionen eines Managed SIEM

Managed SIEM ist die Antwort auf diese Herausforderungen – und auf die insgesamt hohen Kosten für Kauf und Betrieb der SIEM-Technologie. Im Kern vereint ein Managed SIEM fünf Dinge:

• Eine Plattformlizenz, die zentrales Log-Management (einen Data Lake) mit einem NG-SIEM verbindet. Die Plattform übernimmt die Datenaufnahme über verschiedene Storage-Ebenen hinweg sowie Normalisierung, Aggregation und Parsing unterschiedlicher Log-Quellen; die NG-SIEM-Schicht ergänzt zentrale Analyse und Monitoring über Dashboards und weitere, je nach Hersteller unterschiedliche Funktionen.
• Ein technisches Team für Deployment und Betrieb. Experten, die die Infrastruktur aufsetzen und im Tagesgeschäft betreiben.
• Compliance-Fähigkeit. Reporting plus die Erfassung und Nachvollziehbarkeit der Logs und Daten, die zur Erfüllung regulatorischer Anforderungen benötigt werden.
• Threat-Intelligence-Fähigkeit. Ein Managed SIEM integriert Threat Intelligence aus verschiedenen Drittquellen und unterstützt die Analyse globaler wie lokaler Bedrohungsdaten.
• GenAI. Ein modernes Managed SIEM sollte KI – einschließlich generativer KI – direkt in die Plattform einbetten, um die Arbeit der Analysten zu automatisieren.

SIEMaaS und SOCaaS vs. On-Premises-SIEM und internes SOC: der Kostenvergleich

Die finanzielle Lücke zwischen beiden Modellen ist alles andere als marginal. Für eine Organisation mit rund 600 Mitarbeitenden gilt:

• Die Investition in ein On-Premises-SIEM plus internes SOC ist im ersten Jahr mehr als viermal so hoch wie SIEMaaS kombiniert mit SOCaaS.
• Allein der Aufbau des internen SOC-Teams ist mehr als siebenmal so teuer wie SOCaaS.

Der Grund ist struktureller Natur. Das On-Premises-Inhouse-Modell verlagert die Kosten nach vorn – in Hardware, Rechenzentrumsressourcen und ein Vollzeit-Expertenteam, noch bevor der erste Incident bearbeitet ist. Das As-a-Service-Modell verteilt dieselben Fähigkeiten über ein Abonnement: Der Käufer zahlt für Ergebnisse statt für die Infrastruktur und das Personal dahinter.

So funktioniert Managed SIEM mit SecureVisio

Das Modell ruht auf drei einfachen Prinzipien:

• Das SIEM und seine Daten werden auf externen Servern gehostet; das Infrastrukturmanagement übernimmt vollständig der SecureVisio-Partner.
• Bezahlt wird über ein monatliches Abonnement im SaaS-Modell, das sich mit den SOC-Services des Partners kombinieren lässt.
• Die Kombination von SIEMaaS – zum Beispiel SecureVisio – mit SOCaaS reduziert die erforderlichen Investitionen in Incident-Management-Prozesse und -Technologien erheblich.

In der Praxis bedeutet das: Der Kunde trägt das operative Gewicht der Plattform nicht mehr selbst. Die Erkennungstechnologie, die Umgebung, auf der sie läuft, und die Experten, die sie überwachen, sitzen alle auf der Seite des Anbieters.

Was SecureVisio as a Service liefert

Die Plattform SecureVisio as a Service gibt Kunden Zugriff auf die zentralen Incident-Management-Fähigkeiten:

• Data Lake
• Agentenbasierte Telemetrie
• SIEM und SOAR mit AI Assistant und KI-Agent
• UEBA (User and Entity Behavior Analytics)

Daneben erweitern zusätzliche Module die Plattform in Richtung Risiko- und Schwachstellenmanagement:

• Schwachstellenmanagement
• CMDB (Configuration Management Database)
• Risikoanalyse

Zusammen machen sie aus dem Angebot mehr als ein Werkzeug zur Log-Sammlung: eine umfassende Plattform für Detection, Response und Risikomanagement – bereitgestellt als Service.

Die Folgen von NIS2 für das SIEM – und warum Managed SIEM eine Antwort sein kann

Mit dem Inkrafttreten von NIS2 in Deutschland kommen verpflichtendes Monitoring und Meldepflichten für Vorfälle. Unternehmen, die unter NIS2 fallen, müssen kontinuierlich überwachen und Vorfälle nach einem strikten Zeitplan melden – eine Frühwarnung innerhalb von 24 Stunden, einen ausführlicheren Bericht innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Um einen Vorfall melden zu können, müssen Sie die dahinterliegende Bedrohung aber zuerst erkennen und analysieren können. Genau hier kommt ein SIEM ins Spiel – betrieben gemeinsam mit einem SOC.

Für viele Mittelständler wird jedoch der Preis zum Knackpunkt. Ein SIEM ist weit über die Plattformlizenz hinaus teuer: Sie zahlen zusätzlich für die Infrastruktur, für deren Verwaltung, für das Schreiben und Aktualisieren von Erkennungsregeln, für die Auswahl der richtigen Parser – und für Menschen, die aus dem, was das System liefert, die richtigen Schlüsse ziehen.

Deshalb kann Managed SIEM mit SOCaaS die richtige Option sein – besonders für Unternehmen mit begrenztem Budget und begrenzten Möglichkeiten, Personal einzustellen. Und im Fall von SecureVisio umfasst die Plattform zusätzlich Module für Risikoanalyse und Schwachstellenmanagement, die dabei helfen, auch diese Aspekte der NIS2-Compliance abzudecken.

Datenresidenz und Souveränität: Worauf Sie bei der Wahl eines Managed SIEM achten sollten

Für ein deutsches Unternehmen muss Datenresidenz in der Entscheidung schwer wiegen. Wer kann auf Ihre Daten zugreifen? Was passiert mit Ihren Erkennungsregeln, wenn der Vertrag endet? Wo verbleiben die Daten physisch? Welche weiteren Drittabhängigkeiten stecken hinter dem Service?

Diese Fragen sollten geklärt sein, bevor Sie die Vorteile eines Managed SIEM nutzen. Sie übergeben Sicherheits-Logs – einige der aufschlussreichsten Daten, die Sie überhaupt besitzen – an eine externe Partei, und wachsende rechtliche Anforderungen bedeuten, dass Sie diese Logs nicht mehr beiläufig behandeln oder die neuen Risiken des Outsourcings ignorieren können.

Ein souveränes Managed SIEM erfüllt klare Standards für Standort und Zugriff. Die Daten werden in Rechenzentren in der EU verarbeitet und gespeichert – vorzugsweise in Deutschland. Der Zugriff auf die Umgebung und die Daten ist über ein definiertes, auditierbares Zugriffsmodell beschränkt. Und die Infrastruktur – samt der Services zu ihrer Verwaltung – orientiert sich an anerkannten Rahmenwerken wie ISO/IEC 27001 oder BSI C5. Genau das bietet das Managed SIEM von SecureVisio.

Internes SOC mit On-Premises-SIEM vs. SOCaaS gekoppelt mit SIEMaaS

Beide Modelle decken denselben Incident-Lifecycle ab – Bedrohungsidentifikation, Telemetrie, Erkennung, Analyse, Reaktion, Reporting und Post-Incident-Maßnahmen. Der Unterschied liegt darin, wo die Arbeit und die Verantwortung sitzen.

Mit einem internen SOC und einem On-Premises-SIEM trägt die Organisation die komplette Incident-Kette selbst – plus die Rechenzentrumsressourcen und das On-Prem-SIEM, die Last des internen Teamaufbaus sowie die laufende Wartung und Verwaltung der Infrastruktur.

Mit SOCaaS und SIEMaaS ist das SIEM cloudbasiert, die Infrastruktur wird vom SOC-Partner verwaltet, und SOC-Experten bearbeiten Events und Incidents – alles konsolidiert in einem monatlichen Abonnement. Der Kunde behält die Verantwortung für die Bedrohungsidentifikation und profitiert von Response-Unterstützung, aber die operative Maschinerie kommt als Service.

	Selbst betriebenes SIEM	Co-Managed SIEM	Managed SIEM + SOC (as a Service)
Wer betreibt die Plattform	Ihr Team	Geteilt – Sie und der Partner teilen sich die Rollen	Der Partner
Wer überwacht die Alerts	Ihr Team, rund um die Uhr (24/7)	In der Regel der Partner, oft außerhalb der Geschäftszeiten	Das SOC des Partners, 24/7
Kontrolle & Detection-IP	Vollständig bei Ihnen	Vollständig bei Ihnen – die Use Cases bleiben Ihre	Vom Partner bereitgestellt und gepflegt, aber im Eigentum des Kunden
Interner Personalaufwand	Am höchsten – vollständiges Team erforderlich	Moderat – Sie bauen ausgewählte Kompetenzen auf	Am niedrigsten – kein dediziertes Team nötig
Zeit bis zur Betriebsbereitschaft	Am längsten	Mittel	Am kürzesten
Eigentum an der Infrastruktur	Bei Ihnen	In der Regel bei Ihnen	Beim Partner (oder hybrid)
Am besten geeignet für	Reife Security-Teams, die volle Kontrolle wollen	Organisationen mit vorhandener Inhouse-Expertise, die die Kontrolle behalten und gezielt einzelne Rollen auslagern wollen	Mittelständische Organisationen ohne vollständiges Security-Team, die Fähigkeiten und Compliance schnell brauchen

Was den Preis von SIEMaaS und SOCaaS beeinflusst

Die Preisgestaltung eines Managed-SIEM-und-SOC-Angebots ist nicht „one size fits all“. Sechs Faktoren formen die finale Zahl:

• Anzahl der Assets – abgerechnet wird ausschließlich nach deren Anzahl (wir berechnen keine Kosten nach Datenaufnahme/Ingestion)
• Umfang der SOC-Services
• SLA (Service Level Agreement)
• Betriebsmodus – zum Beispiel 24/7/365-Abdeckung
• Vertragslaufzeit
• Plattformfunktionalitäten

Wer diese Hebel versteht, kann den Service auf den tatsächlichen Bedarf und das Budget zuschneiden – statt Kapazität einzukaufen, die er nicht braucht.

Die versteckten Kosten, die das Abonnement absorbiert

Das stärkste Argument für Managed SIEM as a Service wird sichtbar, wenn man auflistet, wofür ein internes Programm Monat für Monat tatsächlich zahlt. Diese Kosten fallen in drei Kategorien:

Kosten des SOC-Teams (monatlich). Ein absolutes Minimalteam für ein kleines Unternehmen umfasst einen Team Manager, einen L3-Experten, zwei L2-Experten und zwei L1-Experten – plus zusätzliche Ausgaben für Trainings, Recruiting und Zertifizierungen.

Technologiekosten. Das SIEM selbst plus zusätzliche Technologien für angemessene Sichtbarkeit, etwa EDR.

Infrastrukturkosten. Server, Storage, Virtualisierung und weitere Lizenzen bilden die monatlichen Infrastrukturkosten – das eigentliche Gewicht liegt jedoch im Betrieb: Kontrolle der Festplattennutzung, Updates der Umgebung, Infrastruktur-Monitoring, Firewall- und VM-Updates sowie Schwachstellenmanagement.

Im As-a-Service-Modell verschwinden diese Positionen nicht – sie wandern zum Anbieter und gehen in einem einzigen Abonnement auf. Genau deshalb fällt der Kostenunterschied im ersten Jahr so deutlich aus.

Häufig gestellte Fragen (FAQ)

Was ist Managed SIEM as a Service (SIEMaaS)? Ein Modell, in dem die SIEM-Plattform und ihre Daten auf externen Servern gehostet und vollständig vom Anbieter verwaltet werden – bezahlt über ein monatliches Abonnement statt einer hohen Anfangsinvestition.

Wie viel lässt sich mit SIEM as a Service gegenüber einem On-Premises-SOC sparen? Für eine Organisation mit rund 600 Mitarbeitenden kostet ein On-Premises-SIEM plus internes SOC im ersten Jahr mehr als das Vierfache, und allein der Aufbau des internen SOC-Teams kostet mehr als das Siebenfache von SOCaaS.

Brauche ich weiterhin ein eigenes Security-Team? Mit SOCaaS bearbeiten die Experten des Anbieters Events und Incidents; der Kunde behält die Verantwortung für die Bedrohungsidentifikation und profitiert von Response-Unterstützung – der Aufbau und die Besetzung eines vollständigen, acht Personen starken Monitoring-Teams im eigenen Haus entfällt.Was bestimmt den Preis? Die Anzahl der Assets, der Umfang der SOC-Services, das SLA, der Betriebsmodus (etwa 24/7/365), die Vertragslaufzeit und die gewählten Plattformfunktionalitäten.