Nicht jedes technische Ereignis muss dauerhaft protokolliert werden. Entscheidend sind Logs, die für Sicherheit, Nachvollziehbarkeit und Incident Response tatsächlich relevant sind. Dazu gehören insbesondere Anmeldeereignisse, fehlgeschlagene Zugriffe, Änderungen an Berechtigungen, administrative Aktionen, sicherheitsrelevante Systemereignisse, Netzwerkzugriffe und Änderungen an kritischen Konfigurationen. Welche Logs sinnvoll sind, hängt von Architektur, Schutzbedarf und regulatorischen Anforderungen ab. Wichtig ist außerdem, dass Logs zentral ausgewertet und vor Manipulation geschützt werden.

Nicht jedes kleine oder mittelständische Unternehmen benötigt sofort ein vollwertiges SIEM. Entscheidend ist, wie komplex die Umgebung ist, welche Risiken bestehen und wie viele sicherheitsrelevante Ereignisse überwacht werden müssen. Für kleinere Umgebungen kann zunächst eine zentrale Log-Sammlung mit gezielter Alarmierung ausreichen. Mit zunehmender Anzahl an Systemen, Cloud-Diensten und Sicherheitsanforderungen kann ein SIEM jedoch sinnvoll werden. Dabei kommen sowohl kommerzielle Lösungen als auch Open-Source-Ansätze wie Wazuh oder OpenSearch infrage.

Dafür gibt es keinen pauschal richtigen Zeitraum. Die Aufbewahrung sollte sich an Sicherheitsanforderungen, gesetzlichen Vorgaben, internen Richtlinien und dem tatsächlichen Analysebedarf orientieren. Für sicherheitsrelevante Logs sind häufig mehrere Monate sinnvoll, damit auch länger zurückliegende Angriffe oder verdächtige Aktivitäten nachvollzogen werden können. Gleichzeitig müssen Datenschutz, Speicherbedarf und Zweckbindung berücksichtigt werden. Aufbewahrungszeiten sollten daher dokumentiert und regelmäßig überprüft werden.

Sicherheitsmeldungen sollten klar zugeordnet sein und nicht in allgemeinen Postfächern oder Dashboards unbeachtet bleiben. Je nach Unternehmensgröße kann die Bearbeitung durch interne IT, ein Security-Team, einen externen Dienstleister oder eine Kombination daraus erfolgen. Wichtig sind definierte Verantwortlichkeiten, Prioritäten und Eskalationswege. Kritische Alerts müssen zeitnah bewertet und gegebenenfalls an Informationssicherheitsbeauftragte, Datenschutzbeauftragte oder die Geschäftsführung weitergegeben werden.

Nicht jeder IT-Sicherheitsvorfall ist automatisch eine Datenschutzverletzung. Sobald jedoch personenbezogene Daten verloren gehen, verändert, unbefugt offengelegt oder unberechtigt zugänglich werden, kann zusätzlich eine Datenschutzverletzung nach DSGVO vorliegen. Deshalb sollte der Incident-Response-Prozess immer eine datenschutzrechtliche Bewertung vorsehen. Je nach Risiko kann daraus eine Meldepflicht gegenüber der Aufsichtsbehörde und gegebenenfalls eine Benachrichtigung betroffener Personen entstehen.

Logging bezeichnet das Erfassen von Ereignissen. Monitoring wertet diese Ereignisse fortlaufend aus und erkennt Auffälligkeiten. Ein SIEM führt sicherheitsrelevante Daten aus unterschiedlichen Quellen zentral zusammen, korreliert sie und unterstützt bei Alarmierung, Analyse und Incident Response.