SIEM vs. SOAR: Was ist der Unterschied und braucht man beides?

Sicherheitsteams müssen sich mit mehr Warnmeldungen, mehr Tools und mehr Daten auseinandersetzen als je zuvor. Das Problem ist nicht mangelnde Transparenz. Es ist die Kluft zwischen der Erkenntnis, dass etwas nicht stimmt, und der Fähigkeit, schnell genug zu handeln, damit es noch etwas bewirkt.

Sowohl SIEM als auch SOAR gehen diese Herausforderung an, allerdings aus unterschiedlichen Blickwinkeln. SIEM informiert Sie darüber, was gerade geschieht. SOAR entscheidet, welche Maßnahmen zu ergreifen sind. Zu verstehen, wo das eine endet und das andere beginnt, ist grundlegend für den Aufbau eines skalierbaren Sicherheitsbetriebs – ganz gleich, ob Sie ein internes SOC betreiben, als MSP die Sicherheit für Kunden verwalten oder mit einem überlasteten IT-Team arbeiten.

Das SIEM-Tool von Kaseya verarbeitet täglich rund 500 Millionen Sicherheitsereignisse für MSPs und IT-Teams weltweit und verfügt über integrierte Funktionen zur automatisierten Reaktion. Dadurch erhalten wir einen direkten Einblick, wo sich die Lücke zwischen Erkennung und Reaktion in der Praxis konkret zeigt.

Was ist der Unterschied zwischen SIEM und SOAR?

SIEM und SOAR sind beide unverzichtbar für moderne Sicherheitsabläufe, dienen jedoch grundlegend unterschiedlichen Zwecken. Das eine ist eine Plattform für Erkennung und Transparenz. Das andere ist eine Engine für Reaktion und Automatisierung. Bevor wir uns mit den Unterschieden befassen, ist es hilfreich zu verstehen, was die beiden Systeme eigentlich leisten.

Sicherheitsinformations- und Ereignismanagement (SIEM)

SIEM bildet die Aggregations- und Korrelationsschicht eines Sicherheitsbetriebs. Es sammelt Protokoll- und Ereignisdaten aus Ihrer gesamten IT-Umgebung, darunter Endgeräte, Server, Firewalls, Cloud-Plattformen, Identitätssysteme und SaaS-Anwendungen, normalisiert diese in ein einheitliches Format und wendet Korrelationsregeln an, um verdächtige Muster als priorisierte Warnmeldungen aufzudecken.

Im Kern beantwortet SIEM zwei Fragen: Was ist passiert und wann? Es bildet die Grundlage für die Erkennung, auf der alle anderen Komponenten eines Sicherheitsstacks aufbauen. Darüber hinaus sorgt es für die Einhaltung von Vorschriften, indem es die von Rahmenwerken wie HIPAA, PCI-DSS, DSGVO SOC 2 geforderten Protokolldaten speichert und die dazugehörigen, für Audits geeigneten Berichte erstellt.

Wenn Sie sich noch nicht mit SIEM auskennen oder einen umfassenden Überblick darüber wünschen, wie es funktioniert und worauf Sie bei einer Lösung achten sollten, bietet unser Leitfaden zum Thema „Was ist SIEM?“ einen vollständigen Überblick.

Sicherheitsorchestrierung, -automatisierung und -reaktion (SOAR)

SOAR knüpft dort an, wo SIEM aufhört. Der Begriff wurde 2015 von Gartner eingeführt, um Plattformen zu beschreiben, die den Reaktionsbereich von Sicherheitsabläufen automatisieren und koordinieren. Während SIEM den Schwerpunkt auf Erkennung und Transparenz legt, konzentriert sich SOAR auf das Handeln.

Eine SOAR-Plattform lässt sich mit Ihren bestehenden Sicherheitstools verbinden, darunter SIEM, Endgeräteschutz, Firewalls, Identitätsmanagementsysteme und Ticketplattformen, und nutzt diese Anbindung, um vordefinierte Reaktionsabläufe – sogenannte Playbooks – auszuführen. Wenn ein SIEM-Alarm ausgelöst wird, kann die SOAR-Plattform den Alarm automatisch mit Kontextinformationen aus Threat-Intelligence-Feeds anreichern, prüfen, ob das betroffene Asset kritisch ist, ein Gerät unter Quarantäne stellen, eine IP-Adresse sperren, Anmeldedaten zurücksetzen, ein Ticket eröffnen und den zuständigen Analysten benachrichtigen – und das alles, bevor ein Mensch überhaupt auf den Bildschirm geschaut hat.

Die drei Grundpfeiler von SOAR spiegeln den Namen der Organisation direkt wider:

• Unter Orchestrierung versteht man die Integrationsschicht, die unterschiedliche Tools miteinander verbindet, damit diese zusammenarbeiten können.
• Unter Automatisierung versteht man die Ausführung sich wiederholender, regelbasierter Aufgaben ohne manuelles Eingreifen.
• Unter „Response“ versteht man strukturierte Vorgehensanleitungen, die festlegen, wie bestimmte Vorfallstypen von der Erkennung über die Eindämmung bis hin zur Dokumentation behandelt werden.

Das praktische Ergebnis ist eine Verkürzung der mittleren Reaktionszeit (MTTR). Unternehmen, die SOAR einsetzen, berichten durchweg, dass sich die Reaktionszeiten bei routinemäßigen Vorfällen von Stunden auf Minuten verkürzen, da die manuellen Übergaben, die die Reaktion verlangsamen, durch automatisierte Workflows ersetzt werden, die innerhalb von Sekunden ausgeführt werden.

SIEM vs. SOAR: Die wichtigsten Unterschiede

SIEM und SOAR sind eng miteinander verbunden und werden häufig verwechselt, was zum Teil daran liegt, dass sich die Grenze zwischen beiden immer mehr verwischt, da moderne Plattformen Funktionen aus beiden Bereichen integrieren. Dennoch sind die wesentlichen Unterschiede für jeden von Bedeutung, der sich zwischen beiden entscheiden oder über deren Einsatz entscheiden muss.

Die folgende Tabelle fasst die wichtigsten Unterschiede in den Bereichen zusammen, die in der Praxis am relevantesten sind.

Erkennung vs. Reaktion

Der wichtigste Unterschied liegt in der Funktionsweise. SIEM identifiziert Bedrohungen durch die Analyse von Protokolldaten und löst einen Alarm aus, wenn Muster mit Korrelationsregeln oder Verhaltensreferenzwerten übereinstimmen. Die Funktion endet mit dem Alarm. SOAR knüpft dort an, wo SIEM aufhört: Es greift den Alarm auf und führt automatisch einen strukturierten Reaktionsworkflow aus. Analysten bezeichnen SIEM als die „Augen“ des SOC und SOAR als die „Hände“.

Datenquellen

SIEM erfasst Rohprotokolldaten aus allen Quellen der Umgebung. SOAR erfasst in der Regel bereits verarbeitete Warnmeldungen, die es aus SIEM und anderen Sicherheitstools bezieht, anstatt Rohprotokolle. Dadurch ist SOAR auf eine zuverlässige Erkennungsschicht im Vorfeld angewiesen. Ohne präzise, gut abgestimmte SIEM-Warnmeldungen reagiert die SOAR-Automatisierung auf fehlerhafte Eingaben und liefert unzuverlässige Ergebnisse.

Automatisierungsgrad

SIEM ist weitgehend von Analysten abhängig. Es generiert zwar Warnmeldungen, doch die Untersuchung dieser Meldungen, die Festlegung weiterer Schritte und die Umsetzung von Gegenmaßnahmen erfordern nach wie vor menschliches Urteilsvermögen. SOAR automatisiert die routinemäßigen Reaktionsschritte, sodass sich die Mitarbeiter auf Entscheidungen konzentrieren können, die Kontextwissen oder Urteilsvermögen erfordern. Für Teams, die ein hohes Warnungsaufkommen bewältigen müssen, ist dieser Unterschied entscheidend für einen nachhaltigen Betrieb oder das Risiko eines Burnouts.

Compliance und Revision

Beide Tools tragen zur Einhaltung der Vorschriften bei, allerdings auf unterschiedliche Weise. SIEM bietet die von den regulatorischen Rahmenbedingungen vorgeschriebene Protokollspeicherung und Echtzeitüberwachung. SOAR erstellt durch seine automatisierten Maßnahmen Prüfpfade, die genau dokumentieren, welche Maßnahmen wann als Reaktion auf jeden einzelnen Vorfall ergriffen wurden. Zusammen decken sie sowohl die Anforderungen an die Erkennung als auch an die Dokumentation der Reaktion ab.

Wie SIEM und SOAR zusammenwirken

Die effektivsten Sicherheitsabteilungen entscheiden sich nicht zwischen SIEM und SOAR. Sie setzen beide nacheinander ein, wobei SIEM Daten an SOAR weiterleitet, um einen sogenannten geschlossenen Erkennungs- und Reaktionszyklus zu schaffen.

So funktioniert dieser Zyklus in der Praxis: Das SIEM-System erfasst kontinuierlich Protokoll- und Ereignisdaten aus der gesamten Umgebung. Wenn die Korrelations-Engine ein verdächtiges Muster erkennt, generiert sie einen nach Priorität geordneten Alarm. Dieser Alarm wird an die SOAR-Plattform weitergeleitet, die ihn empfängt und sofort das entsprechende Playbook ausführt. Automatisierte Anreicherungsschritte laufen in Sekundenschnelle ab: Die IP-Adresse wird mit Threat-Intelligence-Feeds abgeglichen, das betroffene Benutzerkonto wird vom Identitätsanbieter abgerufen, die jüngsten Aktivitäten des Geräts werden überprüft und der Schweregrad wird bewertet. Wenn der angereicherte Alarm den Schwellenwert für automatisierte Eindämmung überschreitet, isoliert die SOAR-Plattform das Gerät, blockiert die IP-Adresse oder setzt die Anmeldedaten zurück, ohne auf die Genehmigung eines Analysten zu warten. Ein Ticket wird eröffnet, der Analyst wird mit bereits angehängtem vollständigem Kontext benachrichtigt und der Vorfall wird dokumentiert.

Das Ergebnis ist, dass der Analyst einen umfassend aufbereiteten, vorab sortierten Vorfall erhält und nicht nur eine rohe Warnmeldung. Die Reaktionszeit verkürzt sich. Die Alarmmüdigkeit nimmt ab. Der Analyst widmet seine Zeit den Fällen, die menschliches Urteilsvermögen erfordern, und nicht der sich wiederholenden Sortierarbeit, die von der Automatisierung übernommen wird.

Stellen Sie sich ein Phishing-Szenario vor. Ein Mitarbeiter klickt auf einen bösartigen Link. Das SIEM erkennt ungewöhnliches Authentifizierungsverhalten und Datenzugriffsmuster im Konto dieses Benutzers und löst einen Alarm aus. Das SOAR-Playbook wird ausgelöst: Der Link wird anhand von Bedrohungsinformationen überprüft, die E-Mail wird aus dem Postfach abgerufen und in allen betroffenen Posteingängen unter Quarantäne gestellt, die Anmeldedaten des Benutzers werden zurückgesetzt und ein Ticket mit der bereits zusammengestellten vollständigen Aktivitätszeitleiste wird eröffnet. Bis der Analyst den Fall prüft, ist der unmittelbare Schaden eingedämmt und die Untersuchung kann auf einer soliden Grundlage beginnen.

SIEM oder SOAR: Was ist das Richtige für Sie?

Für Unternehmen, die sich noch in einer frühen Phase ihrer Sicherheitsreife befinden, steht in der Regel zunächst ein SIEM-System an erster Stelle. Man kann keine automatisierte Reaktion auf einen Alarm einrichten, den man nicht zuverlässig generieren kann. Bevor man in SOAR investiert, sollte man sich fragen, ob die Erkennungsschicht präzise und gut abgestimmte Alarme liefert, auf die ein Playbook zuverlässig reagieren kann. Eine SOAR-Plattform, die auf schlecht abgestimmten SIEM-Alarmen aufbaut, verschärft das Problem, anstatt es zu lösen.

Für die meisten Unternehmen empfiehlt sich folgende Vorgehensweise: Zunächst sollte ein SIEM-System implementiert und so lange optimiert werden, bis die Zuverlässigkeit der Warnmeldungen hoch genug ist, um ihnen vertrauen zu können. Anschließend sollte die SOAR-Automatisierung für diejenigen Warnmeldungsarten eingeführt werden, die gut verstanden werden und in großer Zahl auftreten. Beginnen Sie mit den sich am häufigsten wiederholenden Workflows mit dem geringsten Risiko: Phishing-Triage, Sperrung bei fehlgeschlagenen Anmeldeversuchen, Sperrung bekannter IP-Adressen. Testen Sie die Playbooks anhand realer Vorfälle. Bauen Sie das System von dort aus weiter aus.

Allerdings hängt die Entscheidung auch von der Kapazität des Teams ab. Wenn Sie über ein kleines Sicherheitsteam verfügen, das realistisch gesehen nicht jeden Alarm manuell untersuchen kann, spricht schon frühzeitig viel für SOAR, da die Alternative eine systematische Unterreaktion wäre. Der SOAR-Markt spiegelt diese Realität wider: Laut Grand View Research wächst der globale SOAR-Markt mit einer durchschnittlichen jährlichen Wachstumsrate (CAGR) von 15,8 % und wird bis 2030 voraussichtlich 4,11 Milliarden US-Dollar erreichen, was im Wesentlichen auf Unternehmen aller Größenordnungen zurückzuführen ist, die bestrebt sind, die Reaktionsarbeit zu automatisieren, die ihre Teams manuell nicht bewältigen können.

Für MSPs, die die Sicherheit in zahlreichen Kundenumgebungen verwalten, ist die Rechnung noch eindeutiger. Die gleichzeitige Anwendung einheitlicher, dokumentierter Reaktionsverfahren bei Dutzenden von Kunden ist nur durch Automatisierung möglich. Ein gut durchdachtes SOAR-Playbook sorgt dafür, dass bei jedem Vorfall bewährte Verfahren angewendet werden, ohne dass bei jedem Schritt die Aufsicht durch einen Analysten erforderlich ist.

Brauchen Sie sowohl SIEM als auch SOAR?

Für die meisten Unternehmen mit mehr als einer Handvoll Endgeräten und nennenswerten Compliance-Verpflichtungen lautet die Antwort in der Praxis „Ja“, wenn auch nicht unbedingt in Form von zwei separaten lizenzierten Produkten.

Der Grund dafür ist struktureller Natur. Ein SIEM ohne SOAR bedeutet, dass jeder ausgelöste Alarm von einem Menschen untersucht werden muss, der dann entscheidet, wie weiter vorzugehen ist. In Umgebungen, in denen täglich Tausende von Ereignissen generiert werden, ist das nicht tragbar. Die Analysten sind überfordert, die Reaktionszeiten verlängern sich und die wirklich wichtigen Alarme gehen im Datenrauschen unter.

SOAR ohne SIEM steht vor dem umgekehrten Problem. SOAR ist eine Reaktions-Engine, die auf zuverlässige Auslöser angewiesen ist. Ohne eine gut abgestimmte Erkennungsschicht, die ihr Daten liefert, hat sie keine Grundlage für ihr Handeln.

In der Praxis müssen Unternehmen nicht immer zwei separate Plattformen anschaffen und verwalten. Viele moderne SIEM-Tools verfügen mittlerweile standardmäßig über SOAR-ähnliche Funktionen, darunter integrierte Regeln für automatisierte Reaktionen, Workflows im Playbook-Stil und Fallmanagement, wodurch der Bedarf an einem eigenständigen SOAR-Tool sinkt. Dies ist besonders relevant für MSPs und kleinere IT-Teams, bei denen der operative Aufwand für die Wartung zweier separater Systeme nicht praktikabel ist.

Im Mai 2025 veröffentlichte die CISA Leitlinien zur Implementierung von SIEM- und SOAR-Lösungen für Organisationen, in denen sie den integrierten Einsatz beider Funktionen offiziell empfahl und darauf hinwies, dass Automatisierungsebenen mittlerweile als grundlegende Anforderungen für ausgereifte Sicherheitsabläufe gelten und nicht mehr als optionale Zusatzfunktionen.

Erkennung und Reaktion vereinen mit Kaseya SIEM

SIEM und SOAR lösen zwar verwandte, aber unterschiedliche Probleme. SIEM ist die Erkennungsschicht, die Ihnen Aufschluss darüber gibt, was in Ihrer gesamten Umgebung vor sich geht. SOAR ist die Reaktionsschicht, die entscheidet, wie darauf zu reagieren ist. Wenn sie nacheinander eingesetzt werden, schließen sie die Lücke, auf die jedes Sicherheitsteam früher oder später stößt: die Zeitspanne zwischen der Erkennung einer Bedrohung und dem tatsächlichen Ergreifen von Maßnahmen.

Für die meisten Unternehmen sind dafür keine zwei separaten Plattformen, zwei Verträge und zwei Regelwerke erforderlich. Was sie brauchen, ist ein SIEM mit integrierten, ausgereiften automatisierten Reaktionsfunktionen. Dies gilt insbesondere für MSPs und kleine IT-Teams, bei denen der operative Aufwand für den Betrieb von SIEM und SOAR als eigenständige Systeme angesichts der verfügbaren Personalressourcen oft nicht realistisch ist.

Kaseya SIEM basiert genau auf diesem Modell. Es kombiniert plattformübergreifende Bedrohungskorrelation aus über 60 Datenquellen mit automatisierten Reaktionsregeln, die Eindämmungsmaßnahmen wie das Sperren von Konten, das Isolieren von Geräten und das Markieren ablaufender Sitzungen steuern, ohne dass eine separate SOAR-Plattform erforderlich ist. Die Reaktionsregeln werden vom Kaseya-Team bereitgestellt und aktualisiert, sodass Teams von den Vorteilen der Automatisierung profitieren, ohne sich intern um die Erstellung und Feinabstimmung von Playbooks kümmern zu müssen. Für Teams, die mehr Kontrolle wünschen, sind die Regeln vollständig konfigurierbar.

Die in Kaseya SIEM integrierte 24/7-SOC-Abdeckung bedeutet, dass, während die automatisierte Reaktion die Routineschritte übernimmt, ein menschlicher Analyst weiterhin für Eskalationen zur Verfügung steht. Die Automatisierung bewältigt das Volumen. Menschen treffen die Ermessensentscheidungen. Für Teams, die prüfen, wo SOAR in ihre Infrastruktur passt, ist dies die Frage, die es als Erstes zu stellen gilt: Erfordert die von Ihnen benötigte Automatisierung eine eigenständige Plattform oder ein SIEM, das bereits für die Reaktion ausgelegt ist?