Sophos Next-Gen SIEM: Wann reicht XDR oder MDR nicht?

Ein verdächtiger Zugriff wird erst Monate später entdeckt. Jetzt muss die IT herausfinden, welche Konten beteiligt waren, welche Systeme erreicht wurden und ob die Ereignisse zusammenhängen. Ein übersichtliches Dashboard hilft wenig, wenn die relevanten Daten bereits gelöscht wurden oder nie angekommen sind.

Sophos Next-Gen SIEM erweitert XDR und MDR um zusätzliche Datenaufnahme, Auswertungen und längere Aufbewahrung. Das kann eine echte Lücke schliessen. Es kann aber auch eine weitere Lizenz für Daten werden, deren Nutzen niemand vorher definiert hat.

Was ist ein SIEM, und was kommt hier hinzu?

SIEM steht für Security Information and Event Management. Ein SIEM sammelt Ereignisprotokolle, kurz Logs, aus verschiedenen IT-Systemen an einem zentralen Ort. Dazu gehören beispielsweise Anmeldungen in Microsoft Entra ID, Verbindungen auf der Firewall, Warnmeldungen vom Endpoint-Schutz und Änderungen an Servern oder Anwendungen. Ein Log hält fest, was wann auf welchem System passiert ist und welches Konto oder Gerät daran beteiligt war.

Daten sammeln und verständlich machen

Jedes Produkt protokolliert anders. Eine Firewall beschreibt eine Verbindung mit Quelladresse, Ziel und Aktion; ein Identitätsdienst erfasst beispielsweise Benutzer, Anmeldezeit und Ergebnis. Das SIEM liest die gelieferten Daten ein und ordnet relevante Felder einem gemeinsamen Schema zu. Diese Normalisierung macht Ereignisse aus unterschiedlichen Quellen gemeinsam durchsuchbar. Sie funktioniert nur, wenn die benötigten Angaben im ursprünglichen Log vorhanden sind.

Zusammenhänge erkennen und untersuchen

Der eigentliche Nutzen entsteht, wenn sich einzelne Ereignisse miteinander verknüpfen lassen. Auf mehrere fehlgeschlagene Anmeldungen folgt beispielsweise eine erfolgreiche Anmeldung desselben Kontos. Kurz danach erhält dieses Konto zusätzliche Rechte und greift auf einen Server zu. Jedes Ereignis für sich kann erklärbar sein; die Abfolge verdient eine Untersuchung.

Erkennungsregeln und Korrelationen können solche Kombinationen hervorheben und Warnmeldungen auslösen. Analysten prüfen anschliessend, ob ein Angriff, ein Fehlverhalten oder ein legitimer Vorgang vorliegt. Dafür durchsuchen sie die Daten, filtern nach Konten oder Geräten und rekonstruieren den zeitlichen Ablauf. Falschmeldungen müssen bewertet und Regeln an die Umgebung angepasst werden. Ein SIEM versteht nicht automatisch jeden Geschäftsvorgang.

Aufbewahren, auswerten und reagieren

Die gespeicherten Logs helfen auch dann, wenn ein Verdacht erst später entsteht. Berichte zeigen beispielsweise Anmeldemuster, Änderungen an Berechtigungen oder Lücken in den angebundenen Quellen. Wie weit eine Untersuchung zurückreichen kann, hängt von der tatsächlich erfassten Datenbasis und deren Aufbewahrung ab.

Eine Warnmeldung stoppt noch keinen Angriff. Das Sperren eines Kontos oder Isolieren eines Geräts benötigt eine passende Response-Integration, Berechtigungen und einen festgelegten Ablauf. Automatisierte Reaktionen sind möglich, wenn die eingesetzte Lösung und die angebundenen Systeme sie unterstützen und sie eingerichtet wurden. Andernfalls muss die zuständige Person eingreifen.

Wo Sophos Next-Gen SIEM hinzukommt

Sophos bindet diese Funktionen in Sophos Fusion, ehemals Sophos Central, ein. Welche Quellen, Auswertungen und Reaktionen verfügbar sind, hängt von den gebuchten Produkten und eingerichteten Integrationen ab.

XDR verbindet Sicherheitsdaten für Erkennung und Untersuchung. MDR ergänzt einen betriebenen Dienst mit Analysten und vereinbarten Reaktionsleistungen. Next-Gen SIEM erweitert die Datenbasis und deren Nutzbarkeit über längere Zeiträume. Wer XDR besitzt, hat damit noch keinen rund um die Uhr arbeitenden Analystendienst; wer MDR besitzt, bekommt durch eine SIEM-Lizenz nicht automatisch jede denkbare Auswertung als neue Serviceleistung.

Die technische Einordnung in unserer KB hilft bei der Planung. Vor einem Kauf sollte eine konkrete Frage feststehen, die sich mit dem bestehenden XDR-/MDR-Umfang nicht zuverlässig beantworten lässt.

Wann ist die zusätzliche Datenhaltung sinnvoll?

Ein Beispiel sind lang zurückliegende Identitätsvorfälle. Benötigt werden vielleicht Anmeldedaten, Änderungen an Berechtigungen und passende Firewall-Ereignisse. Dafür müssen alle drei Quellen angebunden sein, die notwendigen Felder liefern und im relevanten Zeitraum aufbewahrt werden. Ein weiteres Jahr Endpoint-Telemetrie ersetzt fehlende Anmeldeereignisse nicht.

Ein zweiter Anwendungsfall sind Nachweise gegenüber internen Prüfern oder Kunden. Vorgefertigte Auswertungen können helfen, Ereignisse und Abdeckung verständlich zu zeigen. Ein Compliance-Dashboard stellt aber keine Zertifizierung aus und erfüllt keine Vorschrift automatisch. Welche Daten wie lange benötigt werden, muss die Organisation fachlich festlegen und gegen ihre Anforderungen prüfen.

Ich würde deshalb mit zwei oder drei realen Untersuchungsfragen beginnen. Etwa: Lassen sich frühere Zugriffe eines ausgeschiedenen Dienstleisters nachvollziehen? Können Änderungen an privilegierten Konten über den benötigten Zeitraum gezeigt werden? Erst daraus folgen Quellen, Felder, Aufbewahrung und Kosten.

Was bedeutet «bis zu zehn Jahre»?

Die technische Adminhilfe vom 1. Oktober 2026 nennt 13 Monate Standardaufbewahrung und Erweiterungen auf drei, fünf, sieben oder zehn Jahre. Die aktuelle Sophos-Produktseite nennt dagegen ein Jahr. Mit Prüfstand 28. Oktober ist diese Abweichung nicht eindeutig erklärt. Für die technische Einordnung orientieren wir uns an den 13 Monaten der produktspezifischen Adminhilfe; die verbindliche Frist für den eigenen Tenant und die benötigten Daten muss trotzdem im Angebot bestätigt sein.

«Bis zu zehn Jahre» beschreibt keinen pauschal enthaltenen Grundumfang. Unsere KB zur Retention-Planung trennt die Herstellerangaben, die bestellte Aufbewahrung und den späteren Nachweis. Wer mehr als zwölf Monate Historie benötigt, sollte den zusätzlichen Zeitraum vor dem Kauf ausdrücklich klären.

Ebenso wichtig: Eine heute eingerichtete Quelle liefert nicht automatisch fehlende Ereignisse aus der Vergangenheit nach. Für den Untersuchungszeitraum zählt, seit wann die Daten tatsächlich erfasst wurden. Bei einer Migration muss daher geklärt werden, was mit den bisherigen Logs passiert und wie lange sie noch zugänglich bleiben.

Aufbewahrung ist ausserdem nicht dasselbe wie Wiederherstellung. Ein SIEM ersetzt kein Backup der Geschäftsdaten. Auch nach einem gut dokumentierten Vorfall braucht es funktionierende Sicherungen, um betroffene Anwendungen wieder in Betrieb zu nehmen.

Wie kommen die richtigen Ereignisse hinein?

Sophos bietet Produktintegrationen und Möglichkeiten für eigene Datenquellen. Eine Quelle im Katalog bedeutet jedoch noch nicht, dass die gewünschte Ereigniskategorie im Tenant ankommt. Lizenz, Schnittstellenzugriff, Connector und tatsächlich gelieferte Felder müssen zusammenpassen. Unsere Anleitung zu MDR-/XDR-Integrationen beschreibt die betriebliche Prüfung.

Bei einer eigenen Anwendung muss beispielsweise feststehen, welches Format sie sendet, wie Benutzer und Zeitstempel zugeordnet werden und ob die entscheidenden Aktionen überhaupt protokolliert werden. Ein technisch lesbarer Datensatz ohne eindeutige Identität kann für die Untersuchung trotzdem unbrauchbar sein. Ein Parser unterstützt die Zuordnung, erzeugt aber keine Ereignisse, die das Quellsystem nie geliefert hat.

Die Syslog-Anbindung einer Sophos Firewall ist ein Beispiel für den Transportweg. Ein erfolgreicher Versand beweist zunächst nur den Transport. Für die Abnahme muss ein bekanntes Testereignis mit passendem Zeitpunkt, System und Aktion in der Auswertung erscheinen und über den vorgesehenen Zeitraum wieder auffindbar bleiben.

Was kostet Next-Gen SIEM wirklich?

Das Add-on ist für XDR- oder MDR-Kunden vorgesehen und wird pro Benutzer und Server lizenziert. Die Menge muss laut Sophos-Lizenzrichtlinie zur Gesamtzahl der entsprechenden XDR-/MDR-Subscriptions passen. Nur die Administratoren oder eine kleine Pilotgruppe zu zählen, wäre daher keine vollständige Kalkulation.

Sophos bewirbt das Modell ohne volumenabhängige Ingestion-Gebühren. Das heisst, dass die Preisberechnung nicht wie bei einem klassischen Modell pro eingelesenem Gigabyte erfolgt. Es bedeutet nicht unbegrenzte Datenaufnahme: Die Lizenzrichtlinie nennt eine Grenze von 1 GB Rohdatenaufnahme pro Tag über alle Datenquellen; die Anwendung dieser Grenze auf die gebuchte Menge muss im Angebot eindeutig geklärt werden.

Zum Gesamtpreis gehören auch gewünschte Retention-Erweiterungen, gegebenenfalls Lizenzen der Datenquellen, die Einrichtung und der laufende Betrieb. Für einen brauchbaren Vergleich muss eine Offerte denselben Datenumfang und dieselbe Aufbewahrung abdecken wie die Alternative.

Wer untersucht die gesammelten Daten?

Ein SIEM muss Quellen überwachen, Feldzuordnungen pflegen und Auswertungen ermöglichen. Wenn eine Integration ausfällt, darf das nicht erst bei einem Vorfall auffallen. Jemand muss wissen, welche Daten wann zuletzt ankamen und welche Änderungen am Quellsystem den Datenfluss beeinflussen.

Mit MDR gibt es bereits Analysten für den vereinbarten Sicherheitsdienst. Daraus folgt aber keine pauschale Bearbeitung jedes Compliance-Berichts oder jeder eigenen Datenquelle. Vor der Erweiterung muss feststehen, welche zusätzlichen Daten Sophos im gebuchten Service untersucht und welche Auswertungen bei der eigenen IT bleiben. Ein gemeinsamer Datenspeicher hebt diese Zuständigkeitsgrenzen nicht auf.

Wann würde ich das Add-on kaufen?

Wenn die benötigte Untersuchung oder Aufbewahrung mit dem bestehenden Umfang nicht möglich ist, kann Next-Gen SIEM sinnvoll sein. Ein Pilot sollte eine repräsentative Quelle, eine konkrete Frage und einen benannten Verantwortlichen haben. Das Ergebnis ist eine nachvollziehbare Auswertung, deren Datenvollständigkeit und Aufwand bekannt sind.

Wer schon auf aktuelle Warnmeldungen nicht reagiert, gewinnt durch längere Speicherung allein wenig. Zuerst müssen Zuständigkeiten und die vorhandenen Kontrollen funktionieren. Ich würde das Add-on kaufen, wenn es eine benannte Lücke schliesst, und nicht allein, weil «mehr Logs» nach mehr Sicherheit klingt.

Häufige Fragen