SIEM vs SOC vs MDR: Unterschiede, Kosten und was KMU wirklich brauchen

Kaum ein Bereich der IT-Sicherheit erzeugt mehr Begriffsverwirrung als die Trias SIEM, SOC und MDR. Vertriebsfolien werfen sie wild durcheinander, Hersteller verkaufen das eine als das andere – und am Ende fragt sich der Geschäftsführer eines mittelständischen Unternehmens: Brauche ich jetzt ein SIEM? Ein SOC? Oder gleich MDR? Dieser Artikel räumt auf: was die Begriffe wirklich bedeuten, wo sie sich unterscheiden, was sie kosten und welches Modell für KMU und Mittelstand in Deutschland am sinnvollsten ist.

Die kurze Antwort vorab

SIEM ist eine Technologie – eine Software, die Logs sammelt und Alarme erzeugt. SOC ist eine Organisationseinheit – ein Team, das diese Alarme rund um die Uhr bearbeitet. MDR ist ein Service – ein externer Anbieter, der SIEM-Technologie und SOC-Team als Komplettpaket liefert, inklusive aktiver Reaktion auf Angriffe. Sie können SIEM ohne SOC betreiben (sinnlos), SOC ohne SIEM (kaum praktikabel) oder MDR ganz ohne eigene Infrastruktur (für die meisten KMU der pragmatische Weg).

Was ist SIEM? (Security Information and Event Management)

Ein SIEM-System ist eine zentrale Log-Plattform. Es sammelt Ereignisse aus Firewalls, Servern, Endpoints, Cloud-Diensten und Anwendungen, normalisiert sie und korreliert sie zu Alarmen. Bekannte Produkte sind Splunk, Microsoft Sentinel, IBM QRadar, Elastic Security oder LogRhythm.

Ein SIEM ist hervorragend darin, Daten zusammenzuführen – aber es ist kein Schutz, sondern ein Werkzeug. Ohne Analysten, die die Alarme bewerten, produziert es vor allem eines: Lärm. Viele Unternehmen kaufen ein SIEM, schalten es ein und stellen nach sechs Monaten fest, dass niemand die 12.000 Alarme pro Tag bearbeitet.

Typische SIEM-Kosten: Lizenz 30.000 – 150.000 € jährlich (volumenabhängig), dazu Implementierung, Use-Case-Engineering und laufende Pflege.

Was ist ein SOC? (Security Operations Center)

Ein SOC ist die Mannschaft hinter der Technik. Ein vollwertiges 24/7-SOC besteht in der Regel aus drei Analystenstufen (L1/L2/L3), einem SOC-Lead, einem Threat-Hunter und einem Incident-Responder – plus Wochenend- und Nachtschichten. Es nutzt SIEM, EDR/XDR, Threat-Intelligence-Feeds und SOAR-Plattformen, um Angriffe rund um die Uhr zu erkennen und einzudämmen.

Ein eigenes SOC ist Goldstandard – aber für die meisten KMU finanziell nicht darstellbar. Ein durchgängig besetztes 24/7-SOC bindet schnell 8–12 Vollzeitstellen. Mehr dazu im Detail: SOC as a Service vs. eigenes SOC – Kostenvergleich.

Typische Kosten eigenes SOC: 800.000 – 1,5 Mio. € pro Jahr (Personal + Infrastruktur + Tooling).

Was ist MDR? (Managed Detection and Response)

MDR kombiniert SIEM-Technologie, ein 24/7-SOC-Team und – das entscheidende Wort – Response. Ein MDR-Anbieter erkennt Bedrohungen nicht nur, sondern handelt aktiv: isoliert kompromittierte Endpoints, blockiert Konten, stoppt Prozesse, koordiniert die Eindämmung mit Ihrem Team. Das alles als monatlicher Festpreis pro Endpoint oder Mitarbeiter.

Für die meisten Unternehmen unter 1.000 Mitarbeitern ist Managed Detection & Response der einzige wirtschaftlich sinnvolle Weg zu durchgängiger Erkennung und Abwehr. Tiefere Abgrenzung zu verwandten Begriffen: XDR vs. MDR vs. EDR.

Typische MDR-Kosten: 8 – 25 € pro Endpoint und Monat – bei einem 100-Mitarbeiter-Unternehmen also rund 12.000 – 30.000 € pro Jahr inklusive 24/7-Team.

SIEM vs SOC vs MDR: Die Vergleichstabelle

Kriterium	SIEM	SOC	MDR
Was es ist	Technologie (Software)	Team / Organisationseinheit	Externer Service
24/7-Überwachung	Nein (nur Tool)	Ja, wenn voll besetzt	Ja, standardmäßig
Aktive Reaktion	Nein	Ja	Ja
Personal nötig	Hoch (Analysten)	Sehr hoch (8–12 FTE)	Minimal (1 Ansprechpartner)
Time-to-Value	3–12 Monate	12–24 Monate Aufbau	2–6 Wochen Onboarding
Kosten p.a. (KMU)	30k – 150k €	800k – 1,5 Mio. €	12k – 60k €
Erkennung	Log-basierte Alarme	Alarme + Threat Hunting	Alarme + Hunting + Threat Intel
NIS2-tauglich	Nur in Kombination	Ja	Ja
Geeignet für	Konzerne mit Security-Team	Großunternehmen, KRITIS	KMU & Mittelstand

Welches Modell passt zu welchem Unternehmen?

Bis 250 Mitarbeiter: MDR

Ein eigenes SOC ist hier weder finanziell noch personell darstellbar. Selbst ein „kleines" SIEM bindet Know-how, das ein KMU intern kaum aufbauen kann. MDR liefert das Komplettpaket zu kalkulierbaren Kosten – inklusive 24/7-Reaktion und NIS2-tauglicher Dokumentation.

250 – 1.000 Mitarbeiter: MDR mit Hybrid-Optionen

Wer bereits eine kleine IT-Security-Mannschaft hat, kann MDR um eigene Use-Cases ergänzen oder einzelne Bereiche (z. B. OT/Produktion) zusätzlich abdecken. Ein eigenes SOC lohnt sich erst, wenn besondere regulatorische Pflichten (KRITIS, Finanzaufsicht) eine eigene Operations-Hoheit verlangen.

Ab 1.000 Mitarbeiter / KRITIS / regulierte Branchen: SOC + SIEM, oft hybrid mit MDR

Hier lohnt sich der Aufbau eines eigenen SOC, das ein zentrales SIEM betreibt. Selbst große Häuser nutzen jedoch häufig MDR als „Follow-the-Sun"-Ergänzung für Nacht- und Wochenendschichten, um Personalkosten zu kappen.

Häufige Missverständnisse

„Wir haben ein SIEM, also sind wir geschützt." Ein unbedientes SIEM ist eine Black Box. Ohne Analysten, die Alarme bewerten und reagieren, erkennen Sie Angriffe – aber niemand stoppt sie.

„MDR ist nur SIEM-Outsourcing." Falsch. MDR umfasst Erkennung, Triage und aktive Eindämmung. Reine SIEM-Auslagerung ohne Response heißt korrekt „Managed SIEM" – ein deutlich schwächeres Modell.

„Mit MDR brauche ich keine eigene IT-Security mehr." Auch falsch. MDR ergänzt Ihre interne IT – sie ersetzt sie nicht. Patch-Management, Identitäten, Awareness und Notfallübungen bleiben Ihre Verantwortung. Genau hier hilft ein externer ISB.

Wie Valyros MDR + SOC liefert

Valyros betreibt ein 24/7-SOC mit Datenhaltung in Deutschland. Wir nutzen marktführende SIEM- und XDR-Plattformen, kombinieren sie mit eigenem Threat Hunting und liefern alles als Managed Detection & Response – pro Endpoint, monatlich kündbar, NIS2-tauglich dokumentiert. Onboarding in 2–6 Wochen, kein langer SIEM-Implementierungsmarathon.

Transparente Preise sehen Sie auf der Preisseite. Für ein konkretes Angebot reicht ein 20-Minuten-Gespräch – wir prüfen Ihre Umgebung und schlagen einen Scope vor, der zu Ihrer Größe und Branche passt.

Nächste Schritte: persönliches Erstgespräch über /kontakt.