Wazuh statt kommerziellem SIEM: Was Open Source im KMU wirklich kostet

Wazuh als Open-Source-SIEM für Schweizer KMU: Was die Plattform kann, was der Betrieb wirklich kostet, was nDSG und ISG damit zu tun haben. Und warum am Ende nicht die Lizenz entscheidet, sondern wer hinschaut.

Ein Angreifer bewegt sich im Schnitt tagelang durch ein Netzwerk, bevor ihn jemand bemerkt. Ein SIEM verkürzt diese Zeit drastisch. Vorausgesetzt, es läuft, es ist richtig konfiguriert und jemand schaut hin. Genau an diesen drei Punkten scheitern SIEM-Projekte im KMU. Nicht an der Software.

Was ein SIEM tut und warum die Rechnung oft abschreckt

Ein SIEM (Security Information and Event Management) sammelt die Logs Ihrer Endpunkte, Server, Firewalls und Cloud-Dienste an einem Ort, korreliert sie mit Erkennungsregeln und schlägt Alarm, wenn etwas nicht stimmt: ein Brute-Force-Versuch aufs VPN, ein neuer Admin-Account um drei Uhr morgens, eine manipulierte Systemdatei.

Kommerzielle Anbieter verrechnen dafür meist pro Gigabyte eingespeister Logdaten. Das klingt harmlos, skaliert aber gegen Sie: Je besser Ihre Sichtbarkeit, desto höher die Rechnung. Bei einem KMU mit ein paar Dutzend Mitarbeitenden, eigenen Servern und Microsoft-365-Logs landet man schnell bei einem vierstelligen Betrag pro Monat. Und bei einem perversen Anreiz: aus Kostengründen weniger zu loggen. Wer weniger loggt, sieht weniger. Dazu kommt, dass bei vielen Cloud-SIEM-Diensten Ihre Logs auf Infrastruktur ausserhalb der Schweiz liegen, und mit ihnen sensible Personendaten und Betriebsinterna.

Was Wazuh ist

Wazuh ist eine quelloffene SIEM- und XDR-Plattform unter GPL-Lizenz. Ein schlanker Agent läuft auf Windows-, Linux- und macOS-Systemen; Firewalls und Netzwerkgeräte liefern ihre Logs agentenlos per Syslog. Der Wazuh-Server korreliert die Events mit Erkennungsregeln, ein Indexer auf OpenSearch-Basis speichert sie, ein Dashboard macht sie durchsuchbar.

Die Plattform bringt von Haus aus mit, wofür anderswo Zusatzmodule fällig werden: Log-Analyse in Echtzeit, File Integrity Monitoring, Schwachstellenerkennung auf den Endpunkten, Konfigurationsprüfungen gegen CIS-Benchmarks, Zuordnung der Findings zu MITRE ATT&CK und Active Response, also automatisierte Reaktionen wie das Blockieren einer IP.

Kein Lizenzschlüssel, kein Zwang zur Hersteller-Cloud, kein Lock-in. Wer den Betrieb selbst übernehmen will, kann das jederzeit tun.

Die ehrliche Rechnung

Die Lizenz kostet CHF 0. Der Betrieb nicht.

Wazuh braucht Infrastruktur, vor allem Speicher, wenn Sie Logs über Monate aufbewahren wollen oder müssen. Es braucht Updates. Und es braucht Tuning: Ab Werk ist Wazuh laut. Tausende Events pro Tag, viele davon False Positives. Ohne angepasste Regeln ignoriert Ihr Team die Alerts nach zwei Wochen, und dann ist das SIEM kein Sicherheitswerkzeug mehr, sondern ein teures Dashboard.

Trotzdem geht die Rechnung für die meisten KMU auf: Ein sauber betriebenes Wazuh auf eigener oder Schweizer Infrastruktur verursacht planbare Kosten, unabhängig davon, wie viele Gigabyte Ihre Systeme loggen. Verglichen mit volumenbasierten Cloud-SIEM-Angeboten liegt man damit typischerweise deutlich günstiger, bei voller statt gedrosselter Sichtbarkeit.

Warum das in der Schweiz doppelt zählt

Logs enthalten Personendaten, das nDSG gilt also auch für Ihre Logverwaltung. Wer unter die Meldepflicht des ISG fällt, muss Cyberangriffe innert 24 Stunden dem BACS melden; melden kann aber nur, wer den Angriff überhaupt erkennt. Der IKT-Minimalstandard des Bundes führt «Detect» als eine seiner Kernfunktionen auf. Und wer in die EU liefert, bekommt die Frage nach Detection-Fähigkeiten zunehmend von den eigenen Kunden gestellt, weil NIS2 über die Lieferkette wirkt.

Mit Wazuh auf Schweizer Infrastruktur beantworten Sie alle vier Punkte mit demselben Satz: Unsere Logs bleiben im Land, und wir sehen, was auf unseren Systemen passiert.

Der Haken heisst Betrieb

Die Technik ist die halbe Miete. Die andere Hälfte: Jemand muss die Regeln pflegen, die Alerts täglich triagieren und im Ernstfall eskalieren. Ein Vollzeit-Security-Analyst ist für die meisten KMU nicht realistisch, und genau in dieser Lücke sterben SIEM-Projekte einen leisen Tod.

Wie wir Wazuh einsetzen

Wir haben uns hier festgelegt: Wazuh ist das SIEM, das wir selbst betreiben, für unsere eigene Infrastruktur und für unsere Kunden. Über 4'500 Detection Rules bringt Wazuh ab Werk mit, dazu kommen unsere eigenen, konfiguriert und getunt von MilesGuard. Je nach Ausgangslage in drei Stufen.

Aufbau und Consulting: Wir bauen Wazuh in Ihrer Umgebung auf, passen die Regeln an Ihre Systeme an und übergeben an Ihr Team. Sie betreiben es, wir stehen bei Bedarf zur Seite.

Managed SIEM: Wir hosten und betreiben Ihr Wazuh auf Schweizer Infrastruktur. Updates, Regelpflege und Speicher inklusive. Ihre Logs, Ihre Daten, jederzeit kündbar.

SOC as a Service: Dieselben Ingenieure, die unsere Penetration Tests durchführen, triagieren Ihre Alerts und eskalieren, was zählt. Wir nennen es ehrlich beim Namen: Best Effort. Kein 24/7-SOC mit garantierten Reaktionszeiten, sondern gelebte Triage mit klaren Eskalationswegen, zu einem Bruchteil der Kosten. Für die meisten KMU ist das der realistische Mittelweg zwischen «niemand schaut hin» und einem sechsstelligen SOC-Vertrag.

Wer darüber hinaus die strategische Klammer braucht, also Policies, Incident-Response-Prozesse und Board-Reporting, bekommt sie über unser CISO-as-a-Service-Modell ab zwei Tagen pro Monat dazu.

Fazit

Wazuh macht Detection für KMU bezahlbar und souverän: keine Lizenzkosten, keine Volumen-Falle, Logs in der Schweiz. Entscheidend ist nicht die Software, sondern der Betrieb. Klären muss ihn jedes Unternehmen, selbst machen muss ihn keines.

Wollen Sie wissen, wie ein Wazuh-Setup für Ihre Umgebung aussähe, reden wir darüber.