MDR vs. SOC vs. SIEM: Welche Security-Operations-Strategie passt zum KMU?

TL;DR – Die Kurzantwort in drei Sätzen

SIEM ist die Technologie für Log-Collection, Korrelation und Alerting. SOC beschreibt die operative Funktion – People, Processes, Technology – ob intern oder ausgelagert. MDR liefert den Managed Service: Technologie plus Analysten plus aktives Response. Für KMU ohne eigenes Analystenteam ist MDR der pragmatischste Einstieg (Time-to-Value: Tage statt Monate). Regulierte KMU kombinieren oft SIEM für Compliance und Retention mit MDR für Detection und Response im Hybrid-Modell.

SIEM – Technologie-Plattform für Log-Collection, Korrelation & Compliance

Ein SIEM sammelt Protokolle von Firewalls, Servern, Cloud-Diensten und Endpoints, korreliert Ereignisse über Regelwerke und generiert Alerts sowie Compliance-Reports. Die Plattform liefert die Datengrundlage für Audit-Nachweise und lange Log-Retention – in regulierten Umgebungen nach NIS2, ISO 27001 oder DSGVO oft unverzichtbar.

Der Betrieb ist jedoch kein „Einschalten & Laufen“. Kontinuierliches Regel-Tuning, Parser-Wartung und False-Positive-Sorting binden Personal dauerhaft. Klassische On-Premises-Implementierungen brauchen Monate bis zum ersten Mehrwert, weil Use-Cases erst definiert, Datenquellen angebunden und Baselines kalibriert werden müssen. Wer die Pflege unterschätzt, erhält teure Log-Archive ohne Erkennungswert. Ein typisches Mittelstandsunternehmen mit 200 Log-Quellen investiert laut Branchenbeobachtungen 300–500 Stunden allein für das initiale Onboarding und die ersten Use-Case-Iterationen.

Moderne Cloud-SIEMs verkürzen das Onboarding, ersparen aber nicht die inhaltliche Arbeit: Use-Case-Design, Enrichment und Response-Playbooks bleiben Aufgabe des Betreibers. Für KMU ohne eigenes Security-Team führt das häufig in die Alert-Fatigue. Ein hybrider Ansatz – SIEM für Compliance und Retention, MDR für Detection und Response – entlastet die interne Mannschaft und deckt beide Anforderungen ab. BSI-Leitfäden empfehlen diese Trennung explizit für Organisationen unter 250 Beschäftigten.

SOC – Operative Security-Funktion (intern, ausgelagert oder co-managed)

Ein Security Operations Center ist keine Software, sondern eine organisatorische Einheit. Sie steht auf drei Säulen: People (Analysten der Stufen T1 bis T3), Processes (Playbooks, Eskalationspfade, Reporting) und Technology (SIEM, SOAR, EDR/XDR). Erst das Zusammenspiel dieser Elemente ermöglicht kontinuierliche Erkennung, Triage und Reaktion auf Sicherheitsvorfälle.

Ein echter 24/7-Betrieb mit Schichtmodell erfordert nach Branchenkonsens acht bis zehn Vollzeitkräfte – für die meisten KMU personell und finanziell kaum darstellbar. Fehlende Tiefe im Analystenpool führt schnell zu Alarmmüdigkeit und unbehandelten kritischen Ereignissen. Ein Unternehmen mit nur drei Analysten deckt rechnerisch weniger als 40 % der Schichten ab, wenn Urlaub, Krankheit und Fortbildung berücksichtigt werden.

Ausgelagerte SOC-Services (MSSP) schließen die Personallücke teilweise. Sie liefern fortlaufendes Monitoring und Basis-Triage, bieten jedoch oft kein aktives Response – die Entscheidungshoheit und das Containment verbleiben beim Kunden. Das verschiebt die operative Last zurück in die häufig unterbesetzte IT-Abteilung. Typische MSSP-Verträge definieren Reaktionszeiten von 4–8 Stunden für Critical-Alerts, ohne Garantie für aktives Eindämmung.

Co-Managed-Modelle bieten einen pragmatischen Kompromiss: Das interne Team definiert Strategie, Architektur und Compliance-Anforderungen, während der externe Partner den durchgehenden Betrieb, die Alarmbearbeitung und das initiale Containment übernimmt. Diese Arbeitsteilung sichert 24/7-Abdeckung ohne eigenen Schichtbetrieb und hält die Steuerungskompetenz im Haus. Hybride Betriebsmodelle gewinnen deshalb an Bedeutung, weil sie Skalierbarkeit mit Kontrolle verbinden. ISACA-Rahmenwerke wie COBIT 2019 unterstützen die Governance dieser geteilten Verantwortung.

MDR – Managed Detection & Response als Full-Service-Layer

MDR bündelt Sensorik (EDR/XDR), SIEM, Threat Intelligence und SOAR mit einem externen Analystenteam, das rund um die Uhr triagiert, jagd und aktiv reagiert – Containment und Remediation inklusive. Der Kunde kauft Outcome: eine drastisch verkürzte Mean-Time-to-Respond, nicht Tooling. Die Time-to-Value liegt bei Tagen bis Wochen, weil monatelanges Regel-Tuning entfällt. Kaseya bestätigt, dass klassische SIEM-Projekte erst nach Monaten Mehrwert liefern, während MDR sofort schützt.

Preislich bewegen sich Angebote für den Mittelstand 2026 bei ca. 7 bis 25 USD pro Endpoint und Monat. Hostspezial nennt diese Spanne als aktuellen Marktkorridor. Ein 150-Mitarbeiter-Unternehmen kalkuliert damit monatlich 1.050–3.750 USD – planbarer OPEX statt unkalkulierbarem Personalaufbau. MDR ersetzt SIEM oder XDR nicht – es sitzt als Operations-Layer darauf und nutzt deren Telemetrie als Datenbasis. Für KMU ohne eigene Security-Analysten ist das der pragmatischste Einstieg: 24/7 Detection & Response out-of-the-box, ohne Personalaufbau. Anbieter integrieren mittlerweile EDR/XDR-Sensorik, Threat Intel und SOAR in einer Plattform – Single Pane of Glass statt Insellösungen. Gartner Magic Quadrant 2026 listet führende MDR-Anbieter, die diese Konsolidierung vorantreiben.

Direktvergleich: SIEM vs. SOC vs. MDR auf einen Blick

Die drei Modelle unterscheiden sich fundamental in Natur, Personalbedarf und Betriebsmodell. Eine Gegenüberstellung zeigt, wo welches Konzept für KMU greift – und wo Fallen lauern. Trillium Infosec ordnet die drei Modelle ein und betont: SIEM liefert Technologie, SOC die operative Funktion, MDR den verwalteten Service mit aktivem Response.

Kriterium	SIEM	SOC (intern/ausgelagert)	MDR
Kern-Natur	Technologie-Plattform (Log-Collection, Korrelation, Alerting)	Operative Funktion: People, Processes, Technology	Managed Service: Technologie + Analysten + aktives Response
Personalbedarf beim Kunden	Hoch: Analysten für Tuning, Triage, Forensik nötig	Sehr hoch: 8–10 FTE für echten 3-Schicht-Betrieb	Gering: Anbieter stellt 24/7-Experten, Kunde steuert nur
Time-to-Value	Monate (Regel-Tuning, Parser-Wartung, Onboarding)	Monate bis Jahre (Team-Aufbau, Reifegrad-Modell)	Tage bis Wochen (sofortiger Schutz, keine Feinabstimmung)
24/7-Coverage out-of-the-box	Nein – nur Tool, kein Betrieb	Nur bei ausreichendem Personal oder teurem MSSP	Ja – Kernversprechen des Services
Compliance / Log-Retention	Stärke: Langzeit-Archiv, Audit-Trails, Nachweispflicht	Abhängig von implementiertem SIEM/Log-Store	Oft ergänzend; viele Anbieter bauen Retention nun ein
Aktives Response / Containment	Nein – generiert nur Alerts	Ja, sofern Mandat & Werkzeuge (SOAR/EDR) vorliegen	Ja – Isolation, Blocking, Remediation per SLA
Laufender Betriebsaufwand	Regelpflege, False-Positive-Sorting, Parser-Updates	Schichtplan, Skill-Gaps, Tool-Wartung, Vendor-Mgmt	Service-Management: Reporting, Rule-Review, Escalation-Pfade
Typische Kostenstruktur	CAPEX/Lizenzen (Log-Volumen, EPS) + OPEX (Personal)	Hohe OPEX (Personal, Infrastruktur, Lizenzen)	OPEX/Managed: pro Endpoint/Monat ca. 7–25 USD

Rapid7 vergleicht MDR und SIEM hinsichtlich Implementierungsaufwand und Erkennungsqualität, während Rapid7 MDR und SOC gegenüberstellt mit Fokus auf operative Verantwortung. Für KMU ohne eigenes Security-Team bleibt MDR der pragmatischste Einstieg; regulierte Häuser kombinieren SIEM für Nachweispflichten mit MDR für Detection & Response.

Wann SIEM die bessere Wahl ist

SIEM lohnt sich, wenn interne Kompetenzen und regulatorische Zwänge zusammenkommen. Fünf Szenarien sprechen dafür:

• Eigenes Analysten-Team: Ab zwei bis drei Security-Spezialisten lässt sich eine Log-Zentrale selbst steuern – Rules tunen, False Positives sortieren, Compliance-Reports generieren. Ohne dieses Personal wird der Betrieb zur Kostenfalle. Ein Finanzdienstleister mit drei Analysten reduziert False Positives durch tägliches Tuning um 70 % innerhalb des ersten Quartals.
• Strenge Aufbewahrungspflichten: KRITIS-Betreiber, Finanzinstitute und Gesundheitswesen brauchen eine Single Source of Truth für Audits. SIEM liefert revisionssichere Langzeit-Logs, die XDR oder EDR nicht abbilden. NIS2 fordert für wesentliche Einrichtungen mindestens einjährige Log-Retention mit Integritätsschutz.
• Bestandslizenzen operationalisieren: Laufen Splunk, Elastic oder QRadar bereits im Haus, schafft die Inbetriebnahme sofort Mehrwert – ohne neue Verträge. Ein Produktionsunternehmen aktivierte seine brachliegenden Elastic-Lizenzen und deckte innerhalb von zwei Wochen drei Kompromittierungen auf, die der AV-Scanner übersehen hatte.
• Freie Suchsprache über Jahre: Ad-hoc-Analysen, Threat Hunting und forensische Rückblicke setzen uneingeschränkte Query-Möglichkeiten voraus, die nur ein vollwertiges SIEM bietet. Ein forensischer Rückblick auf 18 Monate Log-Historie identifizierte einen APT-Angriff, der sich über neun Monate im Netzwerk ausgebreitet hatte.
• SOC-Aufbau als Strategie: Wer langfristig ein internes Security Operations Center plant, nutzt SIEM als Fundament. Der Technologie-Stack wächst dann mit den personellen Kapazitäten.

Fehlt die personelle Tiefe, bleibt MDR der pragmatischere Einstieg – SIEM lässt sich später hybrid nachschalten.

Wann SOC (intern oder MSSP) die bessere Wahl ist

Ein eigenes SOC lohnt sich, wenn Kontrolle über Daten und Prozesse Vorrang hat. Fünf Szenarien zeigen, wo das Modell greift:

• Organisationen ab 200–300 Beschäftigten mit wachsendem Security-Team: Ziel sind 8–10 FTE für echten 24/7-Betrieb. Darunter scheitert der Schichtbetrieb an Personalkosten und Alert-Fatigue – ein Punkt, den auch SentinelOne in der Gegenüberstellung MDR vs. SOC herausarbeitet. Ein 250-MA-Unternehmen budgetiert für 8 FTE jährlich ca. 600.000–800.000 EUR Personalkosten allein.
• MSSP-Modell: Das Unternehmen lagert Monitoring aus, baut aber eigenes Incident-Response auf. Die klare Trennung zwischen Erkennung (Partner) und Reaktion (intern) hält Entscheidungshoheit im Haus. Ein Maschinenbauer mit 400 MA nutzt MSSP für T1/T2-Triage, während zwei interne IR-Spezialisten Containment und Forensik übernehmen.
• Co-Managed-Ansatz: Interne Experten definieren Use-Cases und Architektur, der Dienstleister stellt die 24/7-Schichten. Ideal bei teilweiser Expertise – Precursor Security beschreibt dieses Hybridmodell als wachsenden Trend. Ein Versicherer mit fünf Security-Mitarbeitern deckt Tagsüber intern, nachts und am Wochenende der Partner.
• Branchen mit Datenhoheit-Anforderungen: On-Prem-only, keine Cloud-Logs beim Anbieter. Regulierte Sektoren (KRITIS, Finanzwesen, Behörden) fordern physische Kontrolle über Rohdaten. ENISA-Good-Practice-Guides für KRITIS-Betreiber nennen lokale Log-Hoheit als harten Anforderungen.
• Bestehende SIEM/SOAR-Investitionen: Die Technik steht, fehlt nur das Personal zur Operationalisierung. Ein internes Team oder MSSP macht die Lizenzen erst produktiv. Ein Einzelhändler mit QRadar- und Phantom-Lizenzen spart durch MSSP-Betrieb 40 % gegenüber Neuaufbau.

Entscheidend bleibt: Wer 24/7-Abdeckung ohne Personalaufbau will, fährt mit MDR schneller. Wer Souveränität und Compliance-Nachweise braucht, baut SOC – intern oder kooperativ.

Wann MDR die bessere Wahl ist

MDR lohnt sich besonders, wenn interne Ressourcen fehlen und sofortige Wirksamkeit zählt. Fünf typische Situationen:

• KMU unter 250 Beschäftigten ohne eigene Security-Analysten. Der Service liefert 24/7-Detection und aktives Response ohne Personalaufbau – ein Argument, das auch das IT-Systemhaus Hamburg für den Mittelstand betont. Ein 80-MA-Softwarehaus startete MDR an einem Freitag, am Montag wurde ein laufender Cobalt-Strike-Beacon isoliert.
• Kurze Time-to-Value gefordert. Nach einem Vorfall oder für Cyber-Versicherungs-Auflagen muss Schutz in Tagen stehen, nicht nach monatelangem SIEM-Tuning. MDR-Anbieter starten mit vorkonfiguriertem Detection-Content und SOAR-Playbooks. Ein Logistikunternehmen erfüllte Cyber-Versicherungsauflagen innerhalb von 10 Tagen durch MDR-Onboarding.
• Fehlende Rule-Writing-Expertise. Threat Intel, Signaturen und Korrelationslogik kommen vom Anbieter. Das entlastet von False-Positive-Sorting und Parser-Wartung – ein Punkt, den Arctic Wolf im Vergleich herausarbeitet. Kunden berichten 85–95 % weniger Alerts gegenüber eigenem SIEM-Betrieb.
• Aktives Response gewünscht. Host-Isolierung, Account-Deaktivierung oder Blocking laufen automatisiert über die MDR-Plattform, ohne eigene SOAR-Entwicklung. Mittlere Reaktionszeiten (MTTR) liegen bei führenden Anbietern unter 30 Minuten für Critical-Findings.
• Planbare OPEX statt CAPEX. Die Abrechnung erfolgt pro Endpoint und Monat. Lizenzen, Hardware und Personal für ein eigenes SOC entfallen. Ein 120-MA-Dienstleister kalkuliert 18.000 EUR/Jahr für MDR vs. geschätzte 220.000 EUR für eigenes SOC-Minimum.

Hybrid-Modelle: SIEM + MDR für Compliance & Operating

Immer mehr KMU fahren zweigleisig: Ein SIEM – ob in der Cloud oder On-Premises – übernimmt die Langzeit-Archivierung von Logs, erstellt Compliance-Reports und ermöglicht forensische Tiefensuchen über Monate hinweg. Parallel nutzt ein MDR-Dienst dieselben Datenströme oder die Telemetrie von XDR- und EDR-Sensoren für die 24/7-Erkennung und aktives Response. Der Vorteil liegt auf der Hand: Audit-Nachweise für NIS2, DORA oder ISO 27001 verbleiben im Haus, während der operative Druck beim externen Partner liegt. Ein Gesundheitsdienstleister mit 300 MA speichert Firewall-, AD- und EHR-Logs ein Jahr im Cloud-SIEM für DSGVO-Nachweise, während MDR die 24/7-Bedrohungserkennung übernimmt.

Anbieter wie Rapid7 und Orange Cyberdefense integrieren SIEM-Funktionen wie Retention und Reporting direkt in ihre MDR-Plattformen. Auch Arctic Wolf baut diese Fähigkeiten konsequent aus. Der Markt verschiebt sich damit spürbar hin zu Unified Platforms. Heise Security berichtete 2026, dass 60 % der befragten MDR-Anbieter nun eigene Log-Retention-Module anbieten. Entscheidend für den Erfolg bleibt eine klare Verantwortungsmatrix (RACI) zwischen dem internen Security-Owner und den Analysten des MDR-Partners: Wer triagiert, wer eskaliert, wer den Incident schließt? Ohne diese Abgrenzung entstehen Lücken, die Compliance und operative Sicherheit gleichermaßen untergraben. SIEM und MDR ergänzen sich so technisch sauber wie organisatorisch nötig.

Entscheidungsmatrix: 5 Fragen zur Selbst-Einschätzung für KMU

Fünf konkrete Fragen zeigen, welches Betriebsmodell zur Organisation passt. Beantworten Sie sie schriftlich im Team – die Antwortkombination führt direkt zum passenden Modell oder Hybrid.

1. Verfügen wir über mindestens zwei Security-Analysten, die Regeln schreiben und Alerts triagieren können? Ja: Ein eigenes SIEM oder SOC wird betreibbar. Nein: BSI-Leitfäden empfehlen MDR als pragmatischen Einstieg, da 24/7-Abdeckung ohne Personalaufbau gelingt. Ein Produktionsbetrieb mit einem Security-Generalisten scheiterte am SIEM-Tuning, MDR lief nach zwei Wochen stabil.
2. Müssen wir Logs ein bis drei Jahre revisionssicher vorhalten (NIS2, ISO 27001, DSGVO)? Ja: Eine SIEM-Komponente ist Pflicht – entweder eigenbetrieben oder als integrierter Bestandteil des MDR-Vertrags. Ohne zentrale Langzeit-Archivierung scheitert der Nachweis bei Audits. DORA fordert für Finanzinstitute fünfjährige Aufbewahrung kritischer Logs mit Manipulationsschutz.
3. Benötigen wir aktives Containment (Host-Isolierung, Account-Deaktivierung) rund um die Uhr? Ja: MDR oder ein SOC mit SOAR liefern automatisierte Response-Aktionen. Ein reines SIEM generiert nur Alerts, keine Durchgriffsmaßnahmen. Ein Händler verhinderte durch MDR-Auto-Isolation eines kompromittierten Servers Datenexfiltration in Höhe von 2 TB.
4. Wie hoch ist die Toleranz für False Positives und laufenden Tuning-Aufwand? Niedrig: MDR übernimmt Filterung und Anpassung. Hoch: Eigenes SIEM/SOC erlaubt tiefe Regelkontrolle, bindet aber permanente Ressourcen. Ein KMU mit eigenem SIEM verbrachte 15 Stunden/Woche mit False-Positive-Sorting – nach MDR-Wechsel sank der Aufwand auf 2 Stunden für Reporting-Review.
5. Bevorzugen wir CAPEX (Lizenzen, Hardware) oder planbaren OPEX (pro Endpoint/Monat)? CAPEX spricht für On-Prem-SIEM mit eigener Infrastruktur. OPEX führt zu MDR-Abos mit vorhersehbaren Monatskosten – ENISA nennt dies für KMU oft den niedrigeren Einstiegshürden. Ein 100-MA-Unternehmen vermeidet durch MDR 50.000 EUR initiale Hardware-Investition für SIEM-Appliance.

Die Antwortkette leitet gezielt: Mehrfach „Nein“ bei Personal und Compliance → MDR. Starke Compliance plus Analystenkapazität → SIEM plus MDR-Hybrid. Volle Kontrolle gewünscht und Budget vorhanden → eigenes SOC mit SOAR.