Die meisten kommerziellen SIEM-Plattformen rechnen nach Datenvolumen ab: Jedes Gigabyte Protokolldaten, das eingespeist wird, kostet Geld, bei Microsoft Sentinel etwa 4,30 US-Dollar pro Gigabyte im Analytics-Tier (Listenpreis). Was nach einem fairen Verbrauchsmodell klingt, wird in der Praxis zur Kostenfalle mit einem gefährlichen Nebeneffekt: Unternehmen sparen an Log-Quellen und reißen sich blinde Flecken genau dort, wo Angriffe sichtbar würden. Dieser Beitrag rechnet die Ingest-Modelle durch und zeigt die Alternativen.
Ingest (Dateneinspeisung) bezeichnet das Einlesen von Protokolldaten in ein Auswertungssystem. Bei volumenbasierten Preismodellen zahlen Sie für jedes eingespeiste Gigabyte, unabhängig davon, ob daraus je ein Alarm entsteht. Die Modelle unterscheiden sich im Detail:
Ein Unternehmen mit 250 Mitarbeitenden erzeugt mit Servern, Firewalls, Endgeräten und Cloud-Diensten schnell 20 Gigabyte Protokolldaten am Tag. Bei volumenbasierter Abrechnung ergibt das:
| Position | Überschlag bei 20 GB/Tag |
|---|---|
| Sentinel Analytics-Ingest (4,30 $/GB) | rund 2.600 $ pro Monat, gut 31.000 $ pro Jahr |
| Splunk (Branchenschätzung 100-180 $/GB/Tag/Jahr) | zehntausende Euro pro Jahr, allein Lizenz |
| Noch nicht enthalten | Endgeräteschutz-Lizenzen, längere Aufbewahrung, vor allem: Personal für Betrieb und Auswertung |
Der entscheidende Punkt: Diese Beträge fallen an, bevor ein einziger Mensch auf einen Alarm geschaut hat. Das Werkzeug ist bezahlt, der Sicherheitsbetrieb noch nicht. Die Gesamtrechnung inklusive Personal ordnet unser Beitrag Was kostet ein SOC? ein.
Die eigentliche Gefahr der Ingest-Abrechnung ist nicht die Rechnung, sondern das Verhalten, das sie erzeugt. Wenn jedes Gigabyte kostet, beginnen Teams zu priorisieren: Welche Log-Quellen können wir weglassen? Firewall-Protokolle sind voluminös, also weg damit. Webserver-Logs ebenso. Der alte Linux-Server loggt viel, abgeklemmt.
Genau diese Quellen sind aber oft die, in denen sich Angriffe zuerst zeigen: der Portscan in den Firewall-Logs, die Angriffsversuche auf die Webanwendung, die verdächtigen Anmeldungen auf dem Altsystem. Wer nach Budget loggt statt nach Risiko, baut sich systematische blinde Flecken, und bemerkt den Angriff erst, wenn er teuer wird.
Es gibt zwei Wege aus der Ingest-Falle. Der erste ist technischer Natur: Open-Source-Plattformen wie Wazuh kennen keine Volumenlizenz, die Software kostet nichts, bezahlt wird nur der Betrieb. Damit entfällt der ökonomische Anreiz, Log-Quellen abzuschalten; die Kosten verlagern sich in Infrastruktur und Betreuung und bleiben unabhängig vom Datenaufkommen planbar. Details dazu im Beitrag Managed Wazuh: Open-Source-SIEM ohne Lizenzkosten.
Der zweite Weg ist das Abrechnungsmodell des Dienstleisters: Ein Festpreis pro überwachtem System statt pro Gigabyte macht die Kosten planbar und richtet die Anreize richtig aus. Bei RedCastle rechnen wir bewusst pro Endpunkt und Modul ab, nicht nach Datenvolumen: Neue Log-Quellen kosten keinen Aufpreis, das Logvolumen Ihrer Systeme ändert den Preis nicht. So entscheidet das Risiko darüber, was überwacht wird, nicht das Budget.
Im Analytics-Tier 4,30 US-Dollar pro Gigabyte (Pay-as-you-go, Listenpreis); Commitment-Stufen mit Rabatt beginnen erst bei hohen Tagesvolumina. Ein Mittelständler mit 20 GB pro Tag zahlt damit allein für die Einspeisung rund 2.600 US-Dollar im Monat.
Als grobe Orientierung: zwischen 5 und 50 Gigabyte pro Tag, abhängig von der Zahl der Server, der Firewall-Konfiguration und den angebundenen Cloud-Diensten. Eine genaue Zahl liefert nur eine Messung in Ihrer Umgebung.
Technisch ja, sicherheitlich ist das der falsche Hebel: Abgeschaltete Log-Quellen sind blinde Flecken, und Angriffe zeigen sich bevorzugt dort, wo niemand hinschaut. Besser ist ein Preismodell, das nicht pro Gigabyte bestraft.
Nein. Wir rechnen pro überwachtem Endpunkt und gebuchtem Modul ab, als planbarer monatlicher Paketpreis. Das Logvolumen Ihrer Systeme ändert den Preis nicht, neue Log-Quellen kosten keinen Aufpreis.
Sie möchten wissen, was Ihre Umgebung an Logdaten erzeugt und was das in verschiedenen Preismodellen bedeuten würde? In einem kostenlosen Analysegespräch überschlagen wir Ihr Volumen und vergleichen die Modelle transparent. Einen Marktüberblick über SIEM-Alternativen gibt der Beitrag Wazuh vs. Splunk vs. Microsoft Sentinel.
Wir finden die passende Sicherheitslösung für Ihr Unternehmen.