Publikation von Christoph Puppe
Die SIEM-Metamorphose: Architekturfallen und die Kosten der Cloud
Wer sich noch an die Zeit erinnert, als SIEM im Wesentlichen aus einer Datenbank und einer Handvoll Perl-Skripten bestand, erkennt die heutige Landschaft nicht wieder: Agentic AI ist bei Angreifern wie Verteidigern im Einsatz, während das Datenvolumen explodiert und die traditionellen Lizenzmodelle an physikalische Grenzen führt. Der Begriff Cloud-SIEM ist dabei semantischer Nebel, der echtes Cloud-native-Design, gehostete Legacy-Plattformen und hybride Brücken verschleiert. Der Artikel analysiert die Physik dahinter: Data Gravity, denn Sicherheitsdaten besitzen digitale Masse, und die Egress-Steuer übersteigt oft die Kosten der überwachten Infrastruktur selbst. Im Zentrum steht die letzte Meile der Logintegration mit drei Mechanismen samt Schwächen: Der Heavy Forwarder à la Splunk ist der Goldstandard für Kontrolle, aber ein Single Point of Failure; Agenten auf den Endpunkten führen zur Agent Fatigue und verlieren bei Netzausfall Daten; als Abwehrschicht gegen Rechnungsschocks etabliert sich die Telemetry Pipeline mit Cribl, Vector oder OpenTelemetry, die Debug-Logs in günstigen S3-Storage umleitet. Für europäische Unternehmen kommt das Schrems-II-Dilemma hinzu: EU-Regionen bieten fast alle, doch Metadaten und Supportzugriffe erfolgen oft aus Drittstaaten. Das Fazit: Die primäre Herausforderung ist, die Daten bezahlbar zur Analyse-Engine zu transportieren; Hybrid wird zum Dauerzustand.