Open-Source-SIEM 2026: Wazuh, ELK oder autonomer Agent?

Das SIEM bleibt das Rückgrat jedes Sicherheitsprogramms. Aber 2026 lautet die Frage nicht mehr "Welches SIEM?", sondern "Was kommt obendrauf?". Ich habe Wazuh, ELK und Graylog in Produktionsumgebungen von 50 bis 5 000 Maschinen bereitgestellt. Hier eine ehrliche Bilanz.

Wazuh: das Open-Source-Schweizer-Taschenmesser

Wazuh ist zum Referenz-SIEM/XDR im Open-Source-Bereich geworden, und das aus guten Gründen.

Stärken von Wazuh

• Leichtgewichtiger Agent: Bereitstellung auf Linux, Windows, macOS mit einem Agenten <50 MB RAM

• Native Erkennung: MITRE ATT&CK-gemappte Regeln, Rootkit-Erkennung, File Integrity Monitoring (FIM)

• Integrierte Compliance: PCI DSS-, HIPAA-, GDPR-, NIST 800-53-Berichte sofort einsatzbereit

• Schwachstellenerkennung: CVE-Scanning installierter Pakete, CVSS-Scoring

• Kibana/OpenSearch-Dashboard: leistungsstarke Visualisierung, aktive Community (18 000+ GitHub-Sterne)

Grenzen von Wazuh

• Indexer-Skalierung: Ab 500 Agenten erfordert der Elasticsearch/OpenSearch-Cluster ernsthaftes Tuning (Heap Size, Sharding, Retention). Rechnen Sie mit einem dedizierten Administrator.

• Statische Regeln: Die Erkennung basiert auf Regeln. Kein natives ML, keine Verhaltensanalyse. Ein Angreifer, der unter den Regelschwellen bleibt, wird nicht erkannt.

• Keine automatisierte Reaktion: Wazuh erkennt und alarmiert. Die Reaktion obliegt Ihnen. Um 3 Uhr morgens.

• Begrenzte Korrelation: Korrelationsregeln sind im Vergleich zu kommerziellen SIEMs einfach. Komplexe Angriffsketten erfordern individuelle Regeln.

ELK Stack (Elasticsearch, Logstash, Kibana)

ELK ist im eigentlichen Sinne kein SIEM. Es ist eine Log-Management-Plattform, auf der man ein SIEM aufbaut. Dieser Unterschied ist wichtig.

Stärken von ELK

• Totale Flexibilität: Sie können alles über Logstash/Beats/Elastic Agent aufnehmen

• Elastic Security: Seit Elastic 8.x sind SIEM-Erkennungsregeln integriert (800+ vorgefertigte Regeln)

• Leistung: Verteilte Suchmaschine, für Volumen konzipiert

• Elastic AI Assistant: LLM-Integration für die Analyse (neu, noch unreif)

Grenzen von ELK

• Operative Komplexität: Einen Elasticsearch-Cluster in Produktion zu betreiben, ist ein Beruf für sich. Index Lifecycle Management, Cold/Warm/Hot-Architektur, Snapshots, Cluster-Monitoring...

• Versteckte Kosten: "Open Source" heißt nicht kostenlos. Rechnen Sie mit mindestens 2-3 Servern, einem Elasticsearch-erfahrenen Ingenieur, und erweiterte Funktionen (ML, RBAC) stehen hinter kostenpflichtigen Lizenzen.

• Keine Reaktion: Wie Wazuh erkennt ELK, reagiert aber nicht.

Graylog: der Außenseiter

Graylog verdient Erwähnung für Umgebungen, die strukturiertes Log-Management priorisieren.

• Stärken: Leistungsstarke Processing-Pipeline, flexibles Alerting, aufgeräumte Oberfläche, bessere Multi-Tenant-Unterstützung als ELK

• Schwächen: Kleinere Community, weniger SIEM-Erkennungsregeln als Wazuh, Abhängigkeit von MongoDB + Elasticsearch, die Security-Version ist kommerziell

Warum das SIEM allein nicht mehr ausreicht

Hier liegt das eigentliche Problem. Egal ob Sie Wazuh, ELK oder Graylog wählen, Sie erhalten:

• Log-Sammlung ✓

• Regelbasierte Erkennung ✓

• Alerting ✓

• Compliance-Reporting ✓

Aber Sie erhalten nicht:

• Intelligente Korrelation: Eine abnormale SSH-Verbindung + eine verdächtige DNS-Abfrage + eine ungewöhnliche Dateiübertragung zu einem einzigen Vorfall verknüpfen

• Verhaltensbasierte Erkennung: Erkennen, dass ein Benutzer ohne vordefinierte Regel von seiner Baseline abweicht

• Automatisierte Reaktion: Isolieren, Blockieren, Erfassen ohne menschliches Eingreifen

• Kontextbezogene Priorisierung: Einen kritischen Alarm auf einem Produktionsserver von einem identischen Alarm in einer Entwicklungsumgebung unterscheiden

Diese Lücke zwischen Erkennung und Handeln erklärt die 194 Tage Verweildauer (IBM 2025). Das SIEM sagt Ihnen, dass etwas passiert. Niemand tut 6 Monate lang etwas.

ThreatClaw: Die Intelligenzschicht über dem SIEM

ThreatClaw ersetzt nicht Ihr SIEM. Es verbindet sich damit und fügt hinzu, was fehlt:

• Alarm-Ingestion von Wazuh/ELK/Graylog via API oder Syslog

• Reasoning-basierte Korrelation: Der KI-Agent verknüpft Ereignisse, die statische Regeln nicht korrelieren können

• Verhaltens-Baseline: 14 Tage Lernphase, dann ML-gestützte Anomalieerkennung

• Abgestufte Reaktion: Sentinel (Alarm), Hybrid (genehmigte Empfehlung), Autonom (sofortiges Handeln)

• 49 spezialisierte Skills: Kontinuierliches Auditing mit Lynis, Trivy, OWASP ZAP, Nmap, CIS Benchmarks

Die Architektur ist einfach: Ihr SIEM macht das, was es gut kann (sammeln, indexieren, suchen). ThreatClaw macht das, was er gut kann (denken, entscheiden, handeln). Beide ergänzen sich.

Welche Kombination wählen?

Hier meine pragmatische Empfehlung nach Größe:

• KMU <100 Maschinen: Wazuh + ThreatClaw. Wazuh übernimmt Sammlung und Compliance, ThreatClaw die erweiterte Erkennung und Reaktion. Kontrollierte Kosten.

• Mittelstand 100-1000 Maschinen: Wazuh oder ELK je nach internen Kompetenzen + ThreatClaw. Wenn Sie einen Elasticsearch-Admin haben, bietet ELK mehr Flexibilität.

• Großunternehmen >1000 Maschinen: Ihr bestehendes kommerzielles SIEM (Splunk, QRadar, Sentinel) + ThreatClaw als Denk- und Reaktionsschicht.

FAQ

Ist Wazuh wirklich kostenlos?

Die Software ist 100% Open Source (GPLv2). Die tatsächlichen Kosten sind Infrastruktur (Server für den Indexer, Speicher) und die menschliche Administrationszeit. Für 100 Agenten rechnen Sie mit 1-2 dedizierten Servern und etwa 10-15 Stunden/Monat Administration. Wazuh bietet auch einen kostenpflichtigen Cloud-Service an.

Kann man ThreatClaw ohne SIEM nutzen?

Ja. ThreatClaw kann Logs direkt über eigene Agenten und Integrationen sammeln. Die Kombination mit einem SIEM wird jedoch für die Langzeit-Aufbewahrung und das Compliance-Reporting empfohlen. Das SIEM ist Ihr Gedächtnis; ThreatClaw ist Ihr Gehirn.

ELK oder OpenSearch 2026?

Seit dem Fork von 2021 hat OpenSearch bei den meisten Funktionen zu Elasticsearch aufgeschlossen. Wenn Sie bereits Wazuh nutzen, ist OpenSearch standardmäßig enthalten. Für eine neue eigenständige Bereitstellung sind beide vergleichbar. Die OpenSearch-Community ist offener; Elastic hat mehr kommerzielle Features. Pragmatische Wahl, nicht dogmatisch.

Wie lange dauert die Bereitstellung von Wazuh + ThreatClaw?

Wazuh: 1-2 Tage für den Server, wenige Minuten pro Agent (automatisierbar via Ansible/Puppet). ThreatClaw: unter 48 Stunden. Die Verhaltens-Baseline ist nach 14 Tagen betriebsbereit. Rechnen Sie mit insgesamt 3 Wochen, bis ein voll funktionsfähiger Stack steht.