SIEM vs. SOAR: Was ist der Unterschied und braucht man beides?
Sicherheitsteams müssen sich mit mehr Warnmeldungen, mehr Tools und mehr Daten auseinandersetzen als je zuvor. Das Problem ist nicht ein Mangel an Transparenz. Es ist die Kluft zwischen der Erkenntnis, dass etwas nicht stimmt, und der Fähigkeit, schnell genug darauf zu reagieren, damit es noch etwas bewirkt.
Sowohl SIEM als auch SOAR gehen diese Herausforderung an, allerdings aus unterschiedlichen Blickwinkeln. SIEM informiert Sie darüber, was gerade geschieht. SOAR entscheidet, welche Maßnahmen zu ergreifen sind. Zu verstehen, wo das eine endet und das andere beginnt, ist von grundlegender Bedeutung für den Aufbau eines skalierbaren Sicherheitsbetriebs – ganz gleich, ob Sie ein internes SOC betreiben, als MSP die Sicherheit für Kunden verwalten oder mit einem überlasteten IT-Team arbeiten.
Das SIEM-Tool von Kaseya verarbeitet täglich rund 500 Millionen Sicherheitsereignisse für MSPs und IT-Teams weltweit und verfügt über integrierte Funktionen zur automatisierten Reaktion. Dadurch erhalten wir einen direkten Einblick, wo sich die Lücke zwischen Erkennung und Reaktion in der Praxis zeigt.
Was ist der Unterschied zwischen SIEM und SOAR?
SIEM und SOAR sind beide für moderne Sicherheitsabläufe unverzichtbar, dienen jedoch grundlegend unterschiedlichen Zwecken. Das eine ist eine Plattform für Erkennung und Transparenz. Das andere ist eine Engine für Reaktion und Automatisierung. Bevor wir uns mit den Unterschieden befassen, ist es hilfreich zu verstehen, was die beiden Systeme tatsächlich leisten.
Sicherheitsinformations- und Ereignismanagement (SIEM)
SIEM ist die Aggregations- und Korrelationsschicht eines Sicherheitsbetriebs. Es sammelt Protokoll- und Ereignisdaten aus Ihrer gesamten IT-Umgebung – darunter Endgeräte, Server, Firewalls, Cloud-Plattformen, Identitätssysteme und SaaS-Anwendungen –, normalisiert diese in ein einheitliches Format und wendet Korrelationsregeln an, um verdächtige Muster als priorisierte Warnmeldungen aufzudecken.
Im Kern beantwortet SIEM zwei Fragen: Was ist passiert und wann? Es bildet die Grundlage für die Erkennung, auf der alle anderen Komponenten eines Sicherheitsstacks beruhen. Außerdem kümmert es sich um die Einhaltung von Vorschriften, indem es die Protokolldaten aufbewahrt, die Rahmenwerke wie HIPAA, PCI-DSS, „ DSGVO “ und SOC 2 vorschreiben, und die dazugehörigen, für Audits geeigneten Berichte erstellt.
Wenn Sie sich noch nicht mit SIEM auskennen oder einen umfassenden Überblick darüber wünschen, wie es funktioniert und worauf Sie bei einer Lösung achten sollten, finden Sie in unserem Leitfaden zum Thema „Was ist SIEM?“ alle wichtigen Informationen.
Sicherheitsorchestrierung, -automatisierung und -reaktion (SOAR)
SOAR knüpft dort an, wo SIEM aufhört. Der Begriff wurde 2015 von Gartner eingeführt, um Plattformen zu beschreiben, die die Reaktionsseite von Sicherheitsabläufen automatisieren und koordinieren. Während der Schwerpunkt bei SIEM auf Erkennung und Transparenz liegt, steht bei SOAR das Handeln im Vordergrund.
Eine SOAR-Plattform lässt sich mit Ihren bestehenden Sicherheitstools verbinden, darunter SIEM, Endgeräteschutz, Firewalls, Identitätsmanagementsysteme und Ticket-Plattformen, und nutzt diese Anbindung, um vordefinierte Reaktionsabläufe – sogenannte „Playbooks“ – auszuführen. Wenn ein SIEM-Alarm ausgelöst wird, kann die SOAR-Plattform den Alarm automatisch mit Kontextinformationen aus Threat-Intelligence-Feeds anreichern, prüfen, ob es sich bei dem betroffenen Asset um ein kritisches System handelt, ein Gerät unter Quarantäne stellen, eine IP-Adresse sperren, Anmeldedaten zurücksetzen, ein Ticket eröffnen und den zuständigen Analysten benachrichtigen – und das alles, noch bevor ein Mitarbeiter den Bildschirm überhaupt betrachtet hat.
Die drei Grundpfeiler von SOAR spiegeln den Namen der Organisation direkt wider:
- Unter „Orchestrierung“ versteht man die Integrationsschicht, die unterschiedliche Tools miteinander verbindet, damit diese zusammenwirken können.
- Unter Automatisierung versteht man die Ausführung sich wiederholender, regelbasierter Aufgaben ohne manuelles Eingreifen.
- Unter „Response“ versteht man die strukturierten Vorgehensanleitungen, in denen festgelegt ist, wie bestimmte Vorfallstypen von der Erkennung über die Eindämmung bis hin zur Dokumentation behandelt werden.
Das praktische Ergebnis ist eine Verkürzung der mittleren Reaktionszeit (MTTR). Unternehmen, die SOAR einsetzen, berichten durchweg, dass sich die Reaktionszeiten bei routinemäßigen Vorfällen von Stunden auf Minuten verkürzen, da die manuellen Übergaben, die die Reaktion verlangsamen, durch automatisierte Workflows ersetzt werden, die innerhalb von Sekunden ausgeführt werden.
SIEM vs. SOAR: Die wichtigsten Unterschiede
SIEM und SOAR sind eng miteinander verbunden und werden häufig verwechselt, was zum Teil daran liegt, dass sich die Grenze zwischen beiden immer mehr verwischt, da moderne Plattformen Funktionen aus beiden Bereichen integrieren. Dennoch sind die wesentlichen Unterschiede nach wie vor von Bedeutung für alle, die sich zwischen den beiden entscheiden oder überlegen, wie sie diese einsetzen sollen.
Die folgende Tabelle fasst die wichtigsten Unterschiede in den Bereichen zusammen, die in der Praxis am relevantesten sind.
| SIEM | SOAR | |
|---|---|---|
| Hauptfunktion | Sicherheitsdaten erfassen, miteinander verknüpfen und analysieren | Automatisierung und Koordination der Reaktion auf Vorfälle |
| Die Kernfrage wurde beantwortet | Was ist wann passiert? | Was sollen wir dagegen tun? |
| Dateneingaben | Protokoll- und Ereignisdaten aus der IT-Infrastruktur | Warnmeldungen von SIEM und anderen Sicherheitstools |
| Ausgabe | Nach Priorität geordnete Warnmeldungen zur Überprüfung durch Analysten | Automatisierte Vorgänge und Falldokumentation |
| Menschliches Eingreifen | Hoch: Analysten prüfen Warnmeldungen manuell | Darüber hinaus übernimmt die Automatisierung Routineschritte |
| Compliance-Funktion | Protokollspeicherung und Berichterstattung | Prüfpfade aus automatisierten Aktionen |
| Typische Einschränkung | Die Bearbeitung der Benachrichtigungen beansprucht viel Zeit der Analysten | Abhängig von der Erkennung in vorgelagerten Stufen für Trigger |
| Komplexität der Bereitstellung | Umfassende Feinabstimmung und Integration von Datenquellen | Entwurf von Playbooks und Integration von Tools |
Erkennung vs. Reaktion
Der wichtigste Unterschied liegt in der Funktionsweise. SIEM identifiziert Bedrohungen durch die Analyse von Protokolldaten und löst eine Warnmeldung aus, wenn Muster mit Korrelationsregeln oder Verhaltensreferenzwerten übereinstimmen. Der Prozess endet mit der Warnmeldung. SOAR knüpft dort an, wo SIEM aufhört: Es greift diese Warnmeldung auf und führt automatisch einen strukturierten Reaktions-Workflow durch. Analysten bezeichnen SIEM als die „Augen“ des SOC und SOAR als die „Hände“.
Datenquellen
SIEM erfasst Rohprotokolldaten aus allen Quellen der Umgebung. SOAR erfasst in der Regel bereits verarbeitete Warnmeldungen, die es aus SIEM und anderen Sicherheitstools bezieht, anstatt Rohprotokolle zu verwenden. Dadurch ist SOAR auf eine zuverlässige, vorgelagerte Erkennungsschicht angewiesen. Ohne präzise und gut abgestimmte SIEM-Warnmeldungen reagiert die SOAR-Automatisierung auf fehlerhafte Eingaben und liefert unzuverlässige Ergebnisse.
Automatisierungsgrad
SIEM ist weitgehend von Analysten abhängig. Es generiert zwar Warnmeldungen, doch die Untersuchung dieser Meldungen, die Festlegung weiterer Schritte und die Umsetzung von Gegenmaßnahmen erfordern nach wie vor menschliches Urteilsvermögen. SOAR automatisiert die routinemäßigen Reaktionsschritte, sodass sich die Mitarbeiter auf Entscheidungen konzentrieren können, die Kontextwissen oder Urteilsvermögen erfordern. Für Teams, die ein hohes Warnmeldungsaufkommen bewältigen müssen, ist dieser Unterschied entscheidend für einen nachhaltigen Betrieb und die Vermeidung von Burnout.
Compliance und Revision
Beide Tools tragen zur Einhaltung der Vorschriften bei, allerdings auf unterschiedliche Weise. SIEM sorgt für die von den regulatorischen Rahmenbedingungen vorgeschriebene Protokollspeicherung und Echtzeitüberwachung. SOAR erstellt durch seine automatisierten Maßnahmen Prüfpfade, die genau dokumentieren, welche Maßnahmen als Reaktion auf jeden einzelnen Vorfall wann ergriffen wurden. Zusammen decken sie sowohl die Anforderungen an die Erkennung als auch an die Dokumentation der Reaktionen ab.
Wie SIEM und SOAR zusammenwirken
Die effektivsten Sicherheitsabteilungen entscheiden sich nicht zwischen SIEM und SOAR. Sie setzen beide nacheinander ein, wobei SIEM Daten an SOAR weiterleitet, um einen sogenannten geschlossenen Erkennungs- und Reaktionszyklus zu schaffen.
So funktioniert dieser Zyklus in der Praxis: Das SIEM-System erfasst kontinuierlich Protokoll- und Ereignisdaten aus der gesamten Umgebung. Wenn seine Korrelations-Engine ein verdächtiges Muster identifiziert, generiert es eine nach Priorität geordnete Warnmeldung. Diese Warnmeldung wird an die SOAR-Plattform weitergeleitet, die sie empfängt und sofort das entsprechende Playbook ausführt. Automatisierte Anreicherungsschritte laufen innerhalb von Sekunden ab: Die IP-Adresse wird mit Threat-Intelligence-Feeds abgeglichen, das betroffene Benutzerkonto wird vom Identitätsanbieter abgerufen, die jüngsten Aktivitäten des Geräts werden überprüft und der Schweregrad wird bewertet. Überschreitet die angereicherte Warnmeldung den Schwellenwert für automatisierte Eindämmung, isoliert die SOAR-Plattform das Gerät, blockiert die IP-Adresse oder setzt die Anmeldedaten zurück, ohne auf die Genehmigung eines Analysten zu warten. Es wird ein Ticket eröffnet, der Analyst wird mit bereits angehängten vollständigen Kontextinformationen benachrichtigt und der Vorfall wird dokumentiert.
Das Ergebnis ist, dass der Analyst einen umfassend aufbereiteten, bereits vorab sortierten Vorfall erhält und nicht nur eine rohe Warnmeldung. Die Reaktionszeit verkürzt sich. Die Alarmmüdigkeit nimmt ab. Der Analyst widmet seine Zeit den Fällen, die menschliches Urteilsvermögen erfordern, und nicht der sich wiederholenden Triage-Arbeit, die von der Automatisierung übernommen wird.
Stellen Sie sich ein Phishing-Szenario vor. Ein Mitarbeiter klickt auf einen bösartigen Link. Das SIEM erkennt ungewöhnliches Authentifizierungsverhalten und Datenzugriffsmuster im Konto dieses Benutzers und löst eine Warnmeldung aus. Das SOAR-Playbook wird ausgelöst: Der Link wird anhand von Bedrohungsinformationen überprüft, die E-Mail wird aus dem Postfach abgerufen und in allen betroffenen Posteingängen unter Quarantäne gestellt, die Anmeldedaten des Benutzers werden zurückgesetzt und ein Ticket mit der bereits zusammengestellten vollständigen Zeitleiste der Aktivitäten wird eröffnet. Bis der Analyst den Fall prüft, ist der unmittelbare Schaden eingedämmt und die Untersuchung kann auf einer soliden Grundlage beginnen.
SIEM oder SOAR: Was ist das Richtige für Sie?
Für Unternehmen, die sich noch in einer frühen Phase ihrer Sicherheitsreife befinden, steht in der Regel zunächst ein SIEM-System im Vordergrund. Man kann keine automatisierte Reaktion auf einen Alarm auslösen, den man nicht zuverlässig generieren kann. Bevor Sie in SOAR investieren, sollten Sie sich fragen, ob Ihre Erkennungsschicht präzise und gut abgestimmte Alarme erzeugt, auf die ein Playbook zuverlässig reagieren kann. Eine SOAR-Plattform, die auf schlecht abgestimmten SIEM-Alarmen basiert, verschärft das Problem, anstatt es zu lösen.
Für die meisten Unternehmen ist es sinnvoll, zunächst ein SIEM-System einzuführen, dieses so lange zu optimieren, bis die Zuverlässigkeit der Warnmeldungen hoch genug ist, um ihnen vertrauen zu können, und anschließend eine SOAR-Automatisierung für die gut bekannten und häufig auftretenden Warnmeldungsarten einzuführen. Beginnen Sie mit den sich am häufigsten wiederholenden Workflows mit dem geringsten Risiko: Phishing-Triage, Sperrung bei fehlgeschlagenen Anmeldeversuchen, Sperrung bekannter IP-Adressen. Überprüfen Sie die Playbooks anhand realer Vorfälle. Bauen Sie das System von dort aus weiter aus.
Allerdings hängt die Entscheidung auch von der Kapazität des Teams ab. Wenn Sie über ein kleines Sicherheitsteam verfügen, das realistisch gesehen nicht jeden Alarm manuell untersuchen kann, spricht schon frühzeitig viel für SOAR, da die Alternative eine systematische Unterreaktion wäre. Der SOAR-Markt spiegelt diese Realität wider: Laut Grand View Research wächst der globale SOAR-Markt mit einer durchschnittlichen jährlichen Wachstumsrate (CAGR) von 15,8 % und wird bis 2030 voraussichtlich ein Volumen von 4,11 Milliarden US-Dollar erreichen – vor allem angetrieben von Unternehmen jeder Größe, die bestrebt sind, den Reaktionsaufwand zu automatisieren, den ihre Teams manuell nicht bewältigen können.
Für MSPs, die die Sicherheit in mehreren Kundenumgebungen verwalten, ist die Situation noch eindeutiger. Die gleichzeitige Anwendung einheitlicher, dokumentierter Reaktionsverfahren bei Dutzenden von Kunden ist nur durch Automatisierung möglich. Ein gut ausgearbeitetes SOAR-Playbook sorgt dafür, dass bei jedem Vorfall die Best Practices eingehalten werden, ohne dass bei jedem Schritt die Aufsicht durch einen Analysten erforderlich ist.
Benötigen Sie sowohl SIEM als auch SOAR?
Für die meisten Unternehmen mit mehr als einer Handvoll Endgeräten und nennenswerten Compliance-Verpflichtungen lautet die Antwort in der Praxis „Ja“, wenn auch nicht unbedingt in Form von zwei separaten lizenzierten Produkten.
Der Grund dafür ist struktureller Natur. Ein SIEM ohne SOAR bedeutet, dass jeder ausgelöste Alarm von einem Menschen untersucht werden muss, der dann entscheidet, wie weiter vorzugehen ist. In Umgebungen, in denen täglich Tausende von Ereignissen generiert werden, ist das nicht tragbar. Die Analysten sind überfordert, die Reaktionszeiten verlängern sich und die wirklich wichtigen Alarme gehen im Datenrauschen unter.
SOAR ohne SIEM steht vor dem umgekehrten Problem. SOAR ist eine Reaktions-Engine, die auf zuverlässige Auslöser angewiesen ist. Ohne eine gut abgestimmte Erkennungsschicht, die ihr Daten liefert, hat sie keine Grundlage für ihr Handeln.
In der Praxis müssen Unternehmen nicht immer zwei separate Plattformen anschaffen und verwalten. Viele moderne SIEM-Tools verfügen mittlerweile von Haus aus über SOAR-ähnliche Funktionen, darunter integrierte Regeln für automatisierte Reaktionen, Workflows im Playbook-Stil und Fallmanagement, wodurch der Bedarf an einem eigenständigen SOAR-Tool sinkt. Dies ist insbesondere für MSPs und kleinere IT-Teams relevant, bei denen der operative Aufwand für die Wartung zweier separater Systeme nicht praktikabel ist.
Im Mai 2025 veröffentlichte die CISA Leitlinien zur Implementierung von SIEM und SOAR für Organisationen, in denen sie den integrierten Einsatz beider Funktionen offiziell empfahl und darauf hinwies, dass Automatisierungsebenen mittlerweile als grundlegende Anforderungen für ausgereifte Sicherheitsabläufe gelten und nicht mehr als optionale Zusatzfunktionen.
Mit Kaseya SIEM Erkennung und Reaktion vereinen
SIEM und SOAR lösen miteinander verbundene, aber unterschiedliche Probleme. SIEM ist die Erkennungsschicht, die Ihnen Aufschluss darüber gibt, was in Ihrer gesamten Umgebung vor sich geht. SOAR ist die Reaktionsschicht, die entscheidet, wie darauf zu reagieren ist. Im kombinierten Einsatz schließen sie die Lücke, auf die jedes Sicherheitsteam früher oder später stößt: die Zeitspanne zwischen der Erkennung einer Bedrohung und dem tatsächlichen Ergreifen von Maßnahmen.
Für die meisten Unternehmen sind dafür keine zwei separaten Plattformen, zwei Verträge und zwei Regelwerke erforderlich. Vielmehr benötigen sie ein SIEM mit integrierten, ausgereiften automatisierten Reaktionsfunktionen. Dies gilt insbesondere für MSPs und kleine IT-Teams, bei denen der operative Aufwand für den Betrieb von SIEM und SOAR als unabhängige Systeme angesichts der verfügbaren Personalressourcen oft nicht realistisch ist.
Kaseya SIEM basiert genau auf diesem Modell. Es kombiniert die plattformübergreifende Korrelation von Bedrohungen aus über 60 Datenquellen mit automatisierten Reaktionsregeln, die Eindämmungsmaßnahmen wie das Sperren von Konten, das Isolieren von Geräten und das Markieren ablaufender Sitzungen übernehmen, ohne dass eine separate SOAR-Plattform erforderlich ist. Die Reaktionsregeln werden vom Kaseya-Team bereitgestellt und aktualisiert, sodass Teams von den Vorteilen der Automatisierung profitieren, ohne den laufenden Aufwand für die interne Erstellung und Feinabstimmung von Playbooks tragen zu müssen. Für Teams, die mehr Kontrolle wünschen, sind die Regeln vollständig konfigurierbar.
Die in Kaseya SIEM integrierte 24/7-SOC-Betreuung bedeutet, dass zwar die automatisierte Reaktion die Routineschritte übernimmt, aber dennoch ein menschlicher Analyst für Eskalationen zur Verfügung steht. Die Automatisierung bewältigt das Volumen. Menschen treffen die Ermessensentscheidungen. Für Teams, die prüfen, wo SOAR in ihre Infrastruktur passt, ist dies die Frage, die es als Erstes zu stellen gilt: Erfordert die von Ihnen benötigte Automatisierung eine eigenständige Plattform oder ein SIEM, das bereits für die Reaktion ausgelegt ist?
