Die Lücke, die man nicht sieht

Ein SIEM (Security Information and Event Management) ist das Auge der eigenen Infrastruktur: Es sammelt Logs, erkennt Angriffsmuster, korreliert Ereignisse über alle Dienste. In einem gut gepflegten Self-Hosting-Setup überwacht es die Server bis in die Container-Runtime.

Und trotzdem klafft eine Lücke: die Endgeräte. Der Laptop, von dem aus man administriert. Der Arbeitsrechner mit den Entwicklungswerkzeugen. Genau die Geräte, die am ehesten Ziel von Phishing, Schadsoftware oder einem verlorenen CVE sind — sie tauchen im SIEM gar nicht auf. Symptom: Die Endpoint-Dashboards (Dateiintegrität, Schwachstellen, Härtungs-Checks) sind leer. Nicht kaputt — einfach unbestückt, weil niemand berichtet.

Die Lösung heißt Agent: ein kleiner Dienst auf jedem Endgerät, der Dateiänderungen, installierte Software (samt CVEs), Konfigurations-Härtung und verdächtige Prozesse an das SIEM meldet.

Der naive Weg — und warum er gefährlich ist

Damit ein Agent berichten kann, muss er den SIEM-Server erreichen. Der naheliegende Weg: den Empfangs-Port des SIEM-Servers nach außen (bzw. ins private VPN) öffnen — direkt am Server-Container.

Das hat eine unangenehme Nebenwirkung. Bindet man einen Container-Port an eine Adresse, die erst spät beim Systemstart verfügbar ist (etwa die Adresse eines VPN, das nach einem Reboot ein paar Sekunden zum Verbinden braucht), dann kann der Container beim Boot gar nicht erst starten — die Adresse ist noch nicht da, die Portbindung schlägt fehl. Und ausgerechnet der Wächter, der Ausfälle melden soll, liegt selbst am Boden.

Die entkoppelte Lösung

Der bessere Ansatz trennt die beiden Anliegen: Der SIEM-Server bleibt völlig unangetastet und lauscht wie bisher nur lokal. Davor setzt man einen winzigen, eigenständigen Weiterleiter, der Verbindungen vom Endgerät annimmt und lokal an den SIEM-Server durchreicht.

Der Clou: Dieser Weiterleiter ist ein eigener, unkritischer Baustein. Ist die VPN-Adresse beim Booten noch nicht da, versucht es nur der Weiterleiter erneut — der SIEM-Server merkt davon nichts und läuft unbeirrt weiter. Zwei Vorteile auf einmal:

• Keine Ausfallzeit beim Einrichten (der Wächter wird nicht neu gestartet).
• Keine neue Sollbruchstelle für den kritischen Dienst.

Endgerät ──▶ [ kleiner Weiterleiter ] ──▶ SIEM-Server (lauscht nur lokal)
                     ▲
        scheitert die VPN-Adresse beim Boot,
        retryt NUR dieser Baustein — der Wächter bleibt oben.

Ein weiterer bewusster Verzicht: Der Registrierungs-Dienst (über den sich neue Agents selbst anmelden) wird gar nicht erst nach außen geöffnet. Bei einer Handvoll Geräte registriert man sie manuell am Server und hinterlegt den Schlüssel direkt — ein offener Anmelde-Endpunkt weniger.

Datenschutz auf privaten Geräten

Ein Arbeits-Laptop ist auch ein privates Gerät. Ein Agent, der alles mitliest, wäre ein Eigentor — selbst wenn die Daten „nur" ins eigene SIEM fließen. Die Regel muss lauten: so viel Sicherheit wie nötig, so wenig Privatsphäre-Eingriff wie möglich.

Konkret heißt das für die Dateiintegritäts-Überwachung:

• Überwacht: System-Verzeichnisse, Programme, Autostart-/Persistenz-Orte (die typischen Verstecke von Schadsoftware).
• Explizit ausgeschlossen: das Benutzerverzeichnis — Dokumente, Desktop, Mail, Browser-Profile. Kein Datei-Inhalt aus diesen Bereichen verlässt jemals das Gerät.

Und, wichtig: nachprüfen statt vertrauen. Nach dem Rollout fragt man das SIEM gezielt, ob auch nur ein einziges Ereignis aus dem Benutzerverzeichnis eingetroffen ist. Die erwartete Antwort ist eine glatte Null — und genau die sollte man sich bestätigen lassen.

„Leeres Dashboard" heißt oft „gesund"

Eine Lektion zieht sich durch das ganze Thema: Ein leeres Sicherheits-Dashboard bedeutet selten „kaputt". Vor dem Rollout war die Dateiintegritäts-Übersicht spärlich — nicht, weil etwas fehlte, sondern weil die überwachten Server-Pfade sich schlicht nicht verändern (was gut ist). Wenige Ereignisse = wenig passiert = gesund.

Was man mitnimmt

• Endgeräte sind der blinde Fleck. Ein SIEM ohne Endpoint-Agents überwacht die halbe Angriffsfläche nicht.
• Kritische Dienste entkoppeln. Ein kleiner, eigenständiger Weiterleiter ist robuster als ein Port, der den Wächter an eine fragile Boot-Abhängigkeit kettet.
• Privatsphäre ist Teil des Designs. Sicherheits-Telemetrie auf privaten Geräten muss den persönlichen Bereich aussparen — und man sollte das messbar belegen.
• Ruhe ist ein Signal. Ein stilles Dashboard ist kein Fehler, sondern oft die beste Nachricht des Tages.

Sicherheit in Tiefe endet nicht am Server-Rand. Sie reicht bis auf das Gerät in der Hand — aber mit Augenmaß, das das Wichtigste sieht und das Private in Ruhe lässt.