Die kurze Antwort: Alle drei Plattformen sind technisch ausgereift, sie lösen aber unterschiedliche Probleme für unterschiedliche Unternehmen. Splunk ist das mächtigste Analysewerkzeug für Konzerne mit eigenem Sicherheitsteam. Microsoft Sentinel spielt seine Stärke in reinen Microsoft-Landschaften aus, bestraft aber jede andere Datenquelle mit Volumenkosten. Wazuh liefert als Open-Source-Plattform SIEM- und XDR-Funktionen ohne Lizenzkosten und mit voller Datenhoheit, verlangt dafür aber professionellen Betrieb. Für den deutschen Mittelstand ohne eigenes SOC-Team ist die entscheidende Frage ohnehin eine andere: nicht welches Werkzeug, sondern wer damit arbeitet.
| Kriterium | Wazuh | Splunk ES | Microsoft Sentinel |
|---|---|---|---|
| Lizenzmodell | Open Source, keine Lizenzkosten | Ingest- oder Workload-basiert, nicht öffentlich (Schätzungen ~100-180 $/GB/Tag/Jahr) | Ingest-basiert, 4,30 $/GB Analytics (Listenpreis) |
| Kosten bei wachsendem Logvolumen | Stabil, keine Volumenabrechnung | Steigen mit jedem Gigabyte | Steigen mit jedem Gigabyte außerhalb der Microsoft-Quellen |
| Endgeräteschutz (EDR-Funktionen) | Eigener Agent enthalten (FIM, Schwachstellen, Compliance) | Nicht enthalten, Fremdprodukt nötig | Über Defender-Lizenzen (E5) der Microsoft-Welt |
| Betriebsmodell | Selbst hosten oder Managed Service, freie Wahl des Betreibers | Cloud oder On-Premises, Betrieb braucht Spezialisten | Nur SaaS in Azure |
| Personal für Eigenbetrieb | SIEM-Know-how nötig, Regelpflege ist Daueraufgabe | SPL-Fachkräfte rar und teuer, mehrere Vollzeitstellen | KQL-Know-how, realistisch 3-5 Vollzeitstellen für 24/7 |
| Datenhoheit / CLOUD Act | Freie Wahl: Betrieb komplett in Deutschland möglich, kein US-Rechtszugriff | US-Konzern (Cisco), CLOUD Act greift trotz Frankfurt-Hosting | US-Konzern, EU Data Boundary = Residenz, kein CLOUD-Act-Schutz |
| Typischer Einsatz | Mittelstand, Managed-SOC-Basis, heterogene Umgebungen | Konzerne mit eigenem SOC-Team | Microsoft-lastige Umgebungen mit E5 und eigenem Team |
Ehrlichkeit gehört in jeden Vergleich: Splunk ist zu Recht Marktführer im Konzernsegment. Wer ein eigenes Sicherheitsteam von fünf bis zehn Spezialisten beschäftigt, riesige Datenmengen analysiert und individuelle Auswertungen in SPL entwickeln kann, bekommt das mächtigste Werkzeug am Markt.
Für den Mittelstand rechnet sich diese Stärke selten: Die Ingest-Abrechnung bestraft wachsende Datenmengen (Branchenschätzungen liegen bei 100 bis 180 US-Dollar pro Gigabyte täglicher Datenmenge und Jahr), Endgeräteschutz und Schwachstellen-Scanner fehlen und müssen zugekauft werden, und die SPL-Spezialisten für den Betrieb sind am Arbeitsmarkt kaum zu bekommen. Ein Mittelständler mit 50 Gigabyte Logdaten am Tag landet schnell bei mittleren sechsstelligen Jahresbeträgen, allein für die Lizenz.
Sentinel ist die naheliegende Wahl für Unternehmen, die vollständig in der Microsoft-Welt leben und bereits E5-Lizenzen besitzen: Die Microsoft-eigenen Datenquellen sind konkurrenzlos tief integriert und teils kostenfrei angebunden.
Die Falle öffnet sich außerhalb dieser Welt: Firewall-Logs, Linux-Server, Netzwerkgeräte und Fremdprodukte kosten 4,30 US-Dollar pro Gigabyte (Listenpreis Analytics-Tier). Bei 20 Gigabyte am Tag sind das rund 2.600 US-Dollar im Monat, nur für die Einspeisung. In der Praxis führt das dazu, dass Unternehmen Nicht-Microsoft-Quellen aus Kostengründen weglassen und genau dort blind sind. Und wie bei Splunk gilt: Sentinel ist ein Werkzeug ohne Menschen, den 24/7-Betrieb kalkuliert Microsoft selbst mit mehreren Vollzeitstellen. Die Details dieser Kostenmechanik zeigt der Beitrag Die Ingest-Falle bei SIEM-Preismodellen.
Wazuh ist die passende Basis, wenn drei Dinge zusammenkommen: eine heterogene Umgebung (Windows, Linux, Firewalls verschiedener Hersteller, Cloud-Dienste), der Wunsch nach planbaren Kosten ohne Volumenabrechnung und die Anforderung, Datenhoheit ohne Kompromisse nachweisen zu können, etwa gegenüber Datenschutzbeauftragten oder im Rahmen von NIS2.
Der ehrliche Preis dafür: Wazuh verlangt Betrieb. Mit Standardregeln erzeugt jede SIEM-Plattform eine Alarmflut; Regel-Tuning, Plattformpflege und die Auswertung rund um die Uhr sind Daueraufgaben. Wer dieses Betriebs-Know-how nicht aufbauen will, bezieht Wazuh als Managed Service: Wir betreiben die Plattform als Wazuh-Platin-Partner in deutschen Rechenzentren, mit eigenem Regelwerk und KI-gestützter Alarmbewertung. Details im Beitrag Managed Wazuh: Open-Source-SIEM ohne Lizenzkosten.
Der Vergleich der drei Plattformen führt für die meisten mittelständischen Unternehmen zu einer überraschenden Erkenntnis: Die Werkzeugfrage ist zweitrangig. Alle drei Systeme erzeugen Alarme, und keines von ihnen beantwortet die entscheidenden Fragen: Wer bewertet den Alarm um 3 Uhr nachts? Wer unterscheidet den Fehlalarm vom echten Angriff? Wer bereitet im Ernstfall die Meldung an das BSI vor?
Konzerne beantworten diese Fragen mit eigenem Personal, und wählen dann oft Splunk oder Sentinel. Der Mittelstand beantwortet sie wirtschaftlich sinnvoller mit einem Managed SOC, und dort ist Wazuh als lizenzkostenfreie, datensouveräne Basis die logische Wahl. Sie kaufen dann kein Werkzeug, sondern das Ergebnis, für das andere das Werkzeug kaufen.
Für den Einsatzzweck im Mittelstand: ja, und beim Funktionsumfang pro Euro sogar überlegen, denn Wazuh bringt Endgeräteschutz, Datei-Überwachung und Schwachstellenerkennung von Haus aus mit, wofür Splunk Zusatzprodukte braucht. Bei konzerntypischen Sonderauswertungen über riesige Datenmengen bleibt Splunk stärker. Der praktische Unterschied liegt selten im Werkzeug, sondern darin, wer damit arbeitet.
E5 liefert hervorragende Sensorik, und die sollten Sie nutzen. Sentinel als Eigenbetriebs-SIEM bedeutet aber zusätzlich Ingest-Kosten für alle Nicht-Microsoft-Quellen und mehrere Vollzeitstellen für den Betrieb. Die Alternative: Ihre Defender- und Entra-Telemetrie wird als Datenquelle in ein Managed SOC eingebunden, Sie behalten die Sensorik und ergänzen die Leitstelle.
Die Software selbst nichts: Wazuh ist Open Source ohne Lizenz- und Volumenkosten. Kosten entstehen für Infrastruktur und Betrieb, beim Eigenbetrieb in Form von Personal, beim Managed Service als planbarer monatlicher Paketpreis pro überwachtem System. Eine Marktübersicht gibt der Beitrag Was kostet ein SOC?.
Splunk und Microsoft sind US-Unternehmen: US-Behörden können die Herausgabe von Daten verlangen, auch wenn diese in Frankfurt liegen. Bei einer Open-Source-Plattform wie Wazuh wählen Sie den Betreiber frei, etwa einen deutschen Anbieter ohne US-Rechtszugriff. Ausführlich im Beitrag Datenhoheit und CLOUD Act.
Ja, und häufig schrittweise: Bestehende Systeme lassen sich im Parallelbetrieb umziehen, vorhandene EDR-Produkte und Microsoft-Telemetrie werden als Datenquellen weitergenutzt. Eine Migration beginnt bei uns mit einer Bestandsaufnahme Ihrer Regeln, Datenquellen und Aufbewahrungspflichten.
Sie vergleichen gerade SIEM-Angebote oder zahlen bereits für eine der drei Plattformen? In einem kostenlosen Analysegespräch rechnen wir Ihre Umgebung transparent durch: Datenvolumen, Preismodelle und der Vergleich zum Managed-Ansatz. Einen Überblick über unsere Pakete finden Sie auf der Paketübersicht.
Wir finden die passende Sicherheitslösung für Ihr Unternehmen.