Die Installation eines Wazuh-Servers ist an einem Nachmittag erledigt, unzählige Anleitungen zeigen wie. Genau das macht die Entscheidung tückisch: Die Kosten eines SIEM stecken nicht in der Software, sondern im Betrieb danach. Als Wazuh Platin-Partner sehen wir beide Welten, Unternehmen, die ihre Umgebung souverän selbst betreiben, und solche, deren Installation nach sechs Monaten nur noch Speicherplatz füllt. Dieser Beitrag liefert die Entscheidungsgrundlage, die wir uns am Anfang jedes Projekts wünschen.
Ein SIEM ist kein Produkt, das man einführt, sondern ein Prozess, den man betreibt. Nach dem Aufsetzen beginnt die eigentliche Arbeit:
Für eine mittelständische Umgebung mit einigen Dutzend bis wenigen hundert Systemen kalkulieren wir aus Projekterfahrung grob so: Die Einführung mit sauberer Architektur, Log-Quellen-Anbindung und Grund-Tuning ist ein Projekt von mehreren Wochen. Der laufende Betrieb, Plattformpflege plus Regelarbeit plus Alarm-Bewertung zu Bürozeiten, bindet danach realistisch einen halben bis ganzen Arbeitstag pro Tag, verteilt auf mindestens zwei Personen, denn eine Person allein ist im Urlaub oder krank.
Wer die Erkennung auch außerhalb der Bürozeiten ernst meint, und Angreifer bevorzugen Wochenenden und Feiertage, braucht eine Rufbereitschaft. Damit ist man bei einem Team, nicht bei einer Nebenaufgabe des IT-Administrators. Diese Rechnung ist der Grund, warum viele Wazuh-Installationen im Mittelstand technisch laufen, aber niemand hineinsieht.
Für die meisten mittelständischen Unternehmen ohne eigenes Security-Team dreht sich die Rechnung um: Ein Managed-Betrieb liefert Plattformpflege, Tuning und vor allem die Rund-um-die-Uhr-Bewertung der Alarme aus einer Hand, zu planbaren monatlichen Kosten statt zusätzlicher Stellen. Der Open-Source-Charakter bleibt dabei erhalten: Die Installation gehört weiterhin Ihnen, es gibt keine Lizenzbindung, und eine geordnete Rückübernahme ist jederzeit möglich.
Zwischen beiden Polen liegt Wazuh Cloud, das Hosting-Angebot des Herstellers: Es nimmt Ihnen die Plattform ab, nicht aber die Bewertung der Alarme, die bleibt bei Ihrem Team. Welche Variante zu welcher Ausgangslage passt, haben wir auf unserer Seite Managed Wazuh gegenübergestellt.
Die Software ist quelloffen und lizenzkostenfrei, das bleibt ihr großer Vorteil. Bezahlt wird beim SIEM immer der Betrieb: entweder in Form eigener Arbeitszeit und Stellen oder als Dienstleistung. Die Frage ist nicht ob, sondern wo diese Kosten anfallen und welche Qualität sie liefern.
Drei Prüffragen: Wie viele Alarme wurden im letzten Monat von einem Menschen bewertet? Wann wurde zuletzt eine Regel angepasst oder ein Fehlalarm abgestellt? Und würde ein Angriff am Sonntagabend auffallen? Wenn die Antworten ernüchternd ausfallen, lohnt ein unabhängiges Review vor jeder weiteren Investition.
Ja, das ist sogar ein üblicher Weg. Wichtig ist eine saubere Grundarchitektur von Anfang an, dann lässt sich der Betrieb später ohne Neuaufbau übergeben. Umgekehrt übernehmen wir regelmäßig bestehende Installationen nach einem strukturierten Review.
Wenn Sie vor genau dieser Entscheidung stehen, klären wir die Ausgangslage in einem kostenlosen Analysegespräch, ehrlich, auch wenn das Ergebnis lautet, dass Eigenbetrieb für Sie der richtige Weg ist. Wie eine strukturierte Einführung abläuft, zeigt unser Beitrag Wazuh im Unternehmen einführen; was das für die NIS2-Pflichten bedeutet, beleuchtet Erfüllt Wazuh die NIS2-Anforderungen?.
Wir finden die passende Sicherheitslösung für Ihr Unternehmen.