Was ist ein SIEM-Leistungsverzeichnis?
Ein SIEM-System (Security Information & Event Management) ist das zentrale Herzstück moderner Sicherheitsarchitekturen. Es sammelt, korreliert und analysiert Sicherheitsereignisse aus allen IT-Systemen in Echtzeit und ermöglicht so die frühzeitige Erkennung von Angriffen.
Unser Muster-LV für SIEM ist eines unserer komplexesten und umfangreichsten Produkte. Es wurde speziell für den Einsatz in der öffentlichen Verwaltung, im Gesundheitswesen und in kritischen Infrastrukturen entwickelt und orientiert sich an BSI IT-Grundschutz.
Für wen geeignet?
Leistungsumfang des Muster-LV SIEM
Log-Quellen & Konnektoren
Ein SIEM ist nur so gut wie die Daten, die es empfängt. Wir haben Abschnitt A auf die in Behörden und KRITIS-Einrichtungen typisch vorhandene IT-Infrastruktur ausgerichtet: Windows-Domänen, Linux-Server, aktive Netzwerkhardware sowie Webanwendungen und Datenbanken erzeugen gemeinsam das Rohmaterial für eine wirksame Sicherheitsüberwachung. Wichtig war uns dabei die explizite Anforderung an standardisierte Log-Formate wie Syslog, CEF, LEEF und JSON, weil heterogene Protokolllandschaften in der Vergabepraxis regelmäßig zu Integrationsproblemen führen, wenn die Anforderungen zu vage formuliert werden. Das NIST definiert Log-Management als den umfassenden Prozess zur Erzeugung, Übertragung, Speicherung, Analyse und Entsorgung sicherheitsrelevanter Protokolldaten[1] und betont damit, dass bereits die Erfassungsschicht sorgfältig ausgeschrieben werden muss.
Cloud-Konnektoren für Azure, AWS und GCP sind für Behörden, die Fachanwendungen in die Cloud verlagern, zunehmend unverzichtbar. Lösungen wie Microsoft Sentinel sind hier nativ optimiert, während Splunk Enterprise Security und IBM QRadar mit breiten Konnektorbibliotheken punkten. OpenText ArcSight hingegen ist besonders in gewachsenen Behördenlandschaften mit komplexen On-Premise-Infrastrukturen verbreitet und bietet hier robuste Integrationspfade.
Korrelation & Detection
Die Korrelationslogik ist das Herzstück jedes SIEM-Systems, und wir haben diesen Abschnitt mit Bedacht formuliert. Reine regelbasierte Korrelation reicht für moderne Angriffsmuster nicht mehr aus, weshalb unser Leistungsverzeichnis ausdrücklich UEBA, also die verhaltensbasierte Nutzer- und Entitätsanalyse, als Anforderung verankert. Gerade Insider-Bedrohungen und kompromittierte Konten, die sich im Rahmen legitimer Zugriffsrechte bewegen, sind ohne Verhaltensbaseline kaum zu erkennen. Exabeam und LogRhythm haben sich hier als spezialisierte UEBA-Anbieter etabliert, die eng mit klassischen SIEM-Plattformen integrierbar sind. Das BSI hält dazu fest: „Wenn Cyberangriffe frühzeitig erkannt werden, können diese entweder ganz verhindert oder ihre Folgen abgeschwächt und eingedämmt werden"[2]. Deshalb beschreiben wir die Erkennungstiefe als zentrale technische Anforderung.
Die MITRE ATT&CK Framework-Abdeckung haben wir als verbindliche Anforderung aufgenommen, weil sie als branchenweiter Standard für die strukturierte Beschreibung von Angriffstechniken gilt und Auftraggeber damit objektiv vergleichen können, welche Angriffsphasen ein SIEM-Produkt tatsächlich erkennt. Die Integration von Threat Intelligence Feeds aus vertrauenswürdigen Quellen wie dem BSI oder kommerziellen Anbietern wie Recorded Future schließt die Lücke zwischen generischer Erkennung und aktueller Bedrohungslage.
Alerting & Eskalation
In der Praxis öffentlicher IT-Sicherheitsteams, die häufig mit knappen Personalressourcen arbeiten, ist eine durchdachte Alert-Priorisierung entscheidend. Wir haben Abschnitt C so gestaltet, dass Triage-Mechanismen und automatisierte Schweregrad-Einstufung verbindlich gefordert werden, um Alert-Fatigue zu vermeiden. Die Integration in Ticket-Systeme wie JIRA, ServiceNow oder Topdesk ist in vielen Behörden bereits Standard und muss daher als SIEM-Anforderung explizit verankert werden. Wer reale Ausschreibungsunterlagen zu SIEM-Projekten im öffentlichen Sektor studieren möchte, findet entsprechende Referenzdokumente im Vergabe-Archiv.
Die SOAR-Anbindung für automatisierte Response ist eine Anforderung, die wir mit Blick auf die Zukunft aufgenommen haben: Behörden, die heute ein SIEM einführen, sollten die Möglichkeit haben, dieses später mit Automatisierungsfähigkeiten zu erweitern, ohne das System wechseln zu müssen. Splunk SOAR (ehem. Phantom) und IBM QRadar SOAR sind hier führende integrierte Lösungen.
Reporting & Archivierung
Unser Muster-LV fordert vordefinierte Berichtsvorlagen, etwa zu BSI IT-Grundschutz. Ihr Haus kann sie für eigene Nachweise nutzen. Microsoft Sentinel und Splunk bieten hier besonders ausgereifte Dashboard- und Berichtsbibliotheken, die den Aufwand für Berichterstattung erheblich reduzieren.
Die Anforderung an Langzeitarchivierung und definierte Retention Policies haben wir bewusst als eigenständigen Punkt formuliert, weil die Aufbewahrungsdauer für Sicherheitslogs je nach Branche und Behördentyp zwischen 6 Monaten und mehreren Jahren liegen kann. Die Dauer ist einstellbar. Welche Dauer gilt, legt Ihr Haus fest. Forensische Suche über archivierte Daten ist dabei nicht nur für Incident Response relevant, sondern auch für die rückwirkende Analyse von Sicherheitsvorfällen, die erst nachträglich entdeckt werden.
Quellen
- NIST: „Guide to Computer Security Log Management" (SP 800-92), September 2006, csrc.nist.gov.
- BSI: „Mindeststandard des BSI zur Protokollierung und Detektion von Cyber-Angriffen", Version 2.1, November 2024, bsi.bund.de.
Technische Details
| Format | Microsoft Excel (.xlsx) + PDF |
| Umfang | mehr als 50 Leistungspositionen |
| Sprache | Deutsch |
| Einsatz | technische Vorlage für Ihre Leistungsbeschreibung; die vergaberechtliche Einbindung liegt bei Ihrer Vergabestelle |
| Normen | BSI IT-Grundschutz, ISO 27001 |
| Stand | 2026 (regelmäßige Revision) |
| Lieferung | Innerhalb von 5 Werktagen nach Zahlung |
| Nutzungsrecht | Einfach, für eigene Organisation |
Muster-LV: Security Information & Event Management (SIEM)
- aus vergangenen Projekten entwickelt
- an BSI IT-Grundschutz orientiert
- MITRE ATT&CK Abdeckung
- technische Vorlage für Ihre Leistungsbeschreibung
- Stand 2026 (regelmäßige Revision)
- E-Mail Support inklusive
