Sentinel vs. Wazuh vs. Graylog: 45.000 $ Unterschied [2026]

Wer 2026 ein SIEM (Security Information and Event Management) sucht, landet fast automatisch bei drei Namen: Microsoft Sentinel, Wazuh und Graylog. Alle drei sammeln Logs, korrelieren Ereignisse und sollen einen Angriff erkennen, bevor er zum Datenleck wird. Die Preismodelle könnten aber kaum weiter auseinanderliegen. Sentinel rechnet nach verbrauchtem Datenvolumen ab, Wazuh ist als Kernplattform komplett kostenlos, und Graylog verlangt für seine SIEM-Funktionen eine Jahreslizenz ab 15.000 US-Dollar. Für IT-Verantwortliche in Deutschland, Österreich und der Schweiz kommt seit 2024 noch ein weiterer Faktor dazu: NIS2, DORA und die BSI-Vorgaben für KRITIS-Betreiber verlangen zunehmend nachweisbare Protokollierung und Angriffserkennung. Dieser Vergleich zeigt, was die drei Plattformen technisch, preislich und regulatorisch tatsächlich unterscheidet, inklusive konkreter Rechenbeispiele und einer Migrationsanleitung.

Warum SIEM 2026 zur Pflichtaufgabe wird

Der IBM Cost of a Data Breach Report 2025 beziffert die durchschnittlichen weltweiten Kosten eines Datenlecks auf 4,44 Millionen US-Dollar, in Deutschland liegt der Wert bei 4,03 Millionen US-Dollar (umgerechnet rund 3,87 Millionen Euro). Besonders auffällig: Unternehmen, die Sicherheits-KI und Automatisierung intensiv einsetzen, kommen im Schnitt mit 3,85 Millionen US-Dollar pro Vorfall davon, während Unternehmen ohne oder mit geringem Einsatz solcher Werkzeuge 4,90 Millionen US-Dollar zahlen. Das ist eine Differenz von 1,05 Millionen US-Dollar oder rund 21 Prozent. Die kombinierte Zeit, um einen Angriff zu erkennen und einzudämmen, lag laut demselben Bericht 2025 bei 241 Tagen weltweit.

Diese Zahlen erklären, warum SIEM-Systeme nicht mehr nur ein Thema für Konzerne sind. Ein SIEM sammelt Logs aus Servern, Firewalls, Endpunkten und Cloud-Diensten an einer Stelle und schlägt Alarm, sobald ein Muster verdächtig aussieht. Ohne diese zentrale Sicht bleiben Angreifer im Schnitt monatelang unentdeckt im Netzwerk. Genau hier setzen Sentinel, Wazuh und Graylog an, allerdings mit sehr unterschiedlichen Architekturen und Zielgruppen.

Bemerkenswert an den IBM-Zahlen ist außerdem, wie stark sich der Effekt von Automatisierung inzwischen misst: Ein Unterschied von 1,05 Millionen US-Dollar zwischen intensiver und schwacher Automatisierung reicht bei vielen Mittelständlern aus, um ein komplettes Sicherheitsbudget für mehrere Jahre zu finanzieren. Damit verschiebt sich die zentrale Frage: Nicht mehr ob ein SIEM sinnvoll ist, sondern welches SIEM zum eigenen Budget, zur eigenen Infrastruktur und zu den eigenen Compliance-Pflichten passt. Genau diese drei Kriterien, Kosten, Architektur und Regulatorik, bilden die Struktur dieses Vergleichs.

Die drei Plattformen im Überblick

Microsoft Sentinel ist ein cloud-natives SIEM, das ausschließlich auf Azure läuft und über den Log Analytics Workspace Daten aufnimmt. Microsoft bewirbt es als KI-gestützte SIEM- und SOAR-Lösung für Multi-Cloud-Umgebungen. Es gibt keine klassische Versionsnummer, da Sentinel als verwalteter Dienst laufend aktualisiert wird.

Wazuh ist eine Open-Source-XDR/SIEM-Plattform unter der GPL-Lizenz. Der Kern kostet nichts, egal wie viele Agenten oder wie viel Datenvolumen im Einsatz sind. Laut offiziellen Release Notes erschien Version 4.14.0 am 23. Oktober 2025, gefolgt von mehreren Wartungs-Releases bis Version 4.14.7 am 29. Juli 2026. Auf GitHub zählt das Repository wazuh/wazuh aktuell 16.782 Sterne.

Graylog positioniert sich als Log-Management- und SIEM-Anbieter für den Mittelstand. Die kostenlose Variante heißt Graylog Open, während Graylog Security die SIEM-Funktionen wie MITRE-ATT&CK-Mapping, UEBA und Sigma-Regeln mitbringt. Graylog 7.0 erschien am 3. November 2025 mit neuen Explainable-AI-Funktionen für SOC-Teams, die Nachfolgeversion 7.1 kam am 4. Mai 2026, mit Wartungs-Release 7.1.9 am 2. September 2026. Das Repository Graylog2/graylog2-server steht bei 8.123 Sternen.

Architektur: Cloud-nativ, Open Source oder hybrid

Der grundlegendste Unterschied liegt in der Architektur. Sentinel läuft ausschließlich in Azure. Das bedeutet wenig Betriebsaufwand, aber auch eine feste Bindung an Microsofts Cloud und deren Regionen. Für Unternehmen, die ohnehin Microsoft 365 und Azure nutzen, ist die Integration ein klarer Vorteil, weil Signale aus Entra ID, Defender for Endpoint und Microsoft 365 automatisch einfließen.

Wazuh läuft dagegen überall dort, wo Linux läuft: on-premises, in einem eigenen Rechenzentrum, bei einem deutschen Hoster oder in beliebigen Cloud-Umgebungen. Das macht Wazuh attraktiv für KRITIS-Betreiber, die ihre Daten aus Datenschutz- oder Souveränitätsgründen nicht in einer US-Hyperscaler-Cloud speichern wollen. Wer lieber direkt loslegt, findet in unserer Schritt-für-Schritt-Anleitung zur Wazuh-Installation den praktischen Einstieg.

Graylog nimmt eine Mittelposition ein. Die Software lässt sich selbst hosten (Open, Enterprise, Security), es gibt aber auch Graylog Cloud als verwalteten Dienst. Damit eignet sich Graylog für Teams, die zwar volle Kontrolle über die Infrastruktur behalten wollen, aber nicht komplett auf einen verwalteten Cloud-Dienst verzichten möchten.

Integrationen und Ökosystem: Konnektoren, Agenten und APIs

Ein SIEM ist nur so gut wie die Datenquellen, die es tatsächlich erreicht. Microsoft Sentinel bringt vorgefertigte Datenkonnektoren für praktisch alle Microsoft-Produkte mit, dazu Vorlagen für gängige Drittanbieter wie Palo Alto Networks, Cisco oder AWS CloudTrail. Der Vorteil zeigt sich vor allem am ersten Tag: Ein Azure-Administrator kann Entra-ID-Anmeldedaten oder Defender-Alarme oft in wenigen Minuten anbinden, ohne eigenen Code zu schreiben.

Wazuh setzt auf leichtgewichtige Agenten, die auf Linux, Windows und macOS laufen und Dateiintegritätsprüfung, Schwachstellen-Scans und Log-Sammlung in einem Prozess bündeln. Für Cloud-Dienste gibt es Module für AWS, Azure und Google Cloud, die über APIs Konfigurationsdaten abrufen, statt einen klassischen Agenten zu benötigen. Graylog wiederum punktet mit einer großen Bibliothek an Eingabe-Plugins für Syslog, Beats, GELF und Kafka, dazu kommen vorgefertigte Content-Packs für gängige Firewalls und Webserver. Wer stark heterogene Infrastruktur betreibt, etwa eine Mischung aus alten On-Premises-Systemen und neuen Kubernetes-Clustern, profitiert von Graylogs breiter Sammlung an Community-Plugins, muss aber selbst prüfen, wie gut einzelne Plugins gepflegt werden.

Ein Detail, das in Angebotsvergleichen oft übersehen wird: Sentinel-Konnektoren laufen als verwalteter Dienst und benötigen keine eigene Wartung, während Wazuh-Agenten und Graylog-Eingabe-Plugins Teil der eigenen Update-Routine werden. Wer viele Legacy-Systeme ohne moderne Log-Ausgabe betreibt, etwa ältere Industriesteuerungen, muss bei allen drei Plattformen zusätzlich einen Syslog-Relay oder Log-Shipper zwischenschalten, weil keines der drei Systeme proprietäre Legacy-Protokolle nativ versteht.

Funktionsvergleich im Detail

Die folgende Tabelle fasst die wichtigsten technischen und kommerziellen Merkmale zusammen. Die Daten stammen aus den offiziellen Preis- und Produktseiten der Hersteller sowie aus unabhängigen Kostenanalysen von 2026.

Merkmal	Microsoft Sentinel	Wazuh	Graylog
Typ	Cloud-natives SIEM/SOAR	Open-Source XDR/SIEM	Log-Management + SIEM
Lizenzmodell	Nutzungsbasiert (pay-as-you-go)	GPL, Kern kostenlos	Freemium (Open) + Enterprise/Security-Lizenz
Aktuelle Version (Stand 09/2026)	laufend aktualisierter Dienst	4.14.7 (29.07.2026)	7.1.9 (02.09.2026)
Hosting	Nur Microsoft Azure	On-Premises, Cloud, Hybrid	On-Premises, Hybrid, Graylog Cloud
Einstiegspreis	ab 4,30 $/GB (PAYG, US East)	0 $ (Kernplattform)	0 $ (Open) / ab 15.000 $/Jahr (Enterprise)
GitHub-Sterne	proprietär, kein Repo	16.782	8.123
Datenresidenz	abhängig von Azure-Region	volle Kontrolle, auch lokal	volle Kontrolle, auch lokal
KI-/UEBA-Funktionen	Fusion ML, Copilot for Security	Community-Regeln, keine native KI	Explainable AI seit Version 7.0, UEBA
Regelbasis	Analytics Rules, Fusion	Community- und CIS-Regeln	Sigma-Regeln, MITRE-ATT&CK-Mapping
Skalierung	elastisch, automatisch	manuelles Cluster-Setup nötig	manuelles Cluster-Setup nötig
Support-SLA (bezahlt)	Microsoft Premier/Unified	Standard: 8h SLA / Premium: 4h SLA	Enterprise-Support inklusive
Typische Zielgruppe	Azure-native Konzerne	KRITIS, Mittelstand, preissensibel	SOC-Teams im Mittelstand

Auffällig ist, dass nur Sentinel echte KI-Funktionen wie Fusion Machine Learning und eine Copilot-Integration bietet, weil Microsoft hier auf die eigene Azure-KI-Infrastruktur zurückgreifen kann. Graylog hat mit Version 7.0 im November 2025 nachgezogen und bewirbt seine Security-Fall-2025-Version explizit mit erklärbarer KI für SOC-Analysten. Wazuh setzt dagegen auf klassische regelbasierte Erkennung über Community- und CIS-Benchmark-Regeln, was weniger Rechenkosten verursacht, aber auch weniger automatisierte Kontextanreicherung bietet.

Bei der Regelverwaltung zeigt sich ein weiterer Unterschied. Sentinel nutzt Analytics Rules, die sich in der Kusto Query Language schreiben lassen und über die Fusion-Engine automatisch mehrere Einzelalarme zu einem Vorfall zusammenfassen können. Graylog Security setzt auf das offene Sigma-Regelformat, das inzwischen von vielen Sicherheitsteams als De-facto-Standard genutzt wird, weil sich Regeln zwischen verschiedenen SIEM-Produkten austauschen lassen. Wazuh liefert eine große Sammlung vorgefertigter Erkennungsregeln mit, die sich an den CIS-Benchmarks orientieren, erlaubt aber auch eigene Regeln im XML-Format. Für Teams ohne eigenes Regel-Engineering ist das ein Vorteil, weil sie mit sinnvollen Standardeinstellungen starten können, statt bei null anzufangen.

Auch die Abfrageerfahrung selbst unterscheidet sich deutlich. KQL bei Sentinel gilt unter Analysten als vergleichsweise leicht erlernbar, weil die Syntax an SQL erinnert und Microsoft umfangreiche Dokumentation sowie fertige Abfragevorlagen mitliefert. Wazuh und Graylog bauen beide auf Elasticsearch beziehungsweise OpenSearch auf, was für Teams mit vorhandener Elastic-Erfahrung einen Vorteil bringt, für Einsteiger aber eine steilere Lernkurve bedeutet, weil die Abfragesprache stärker auf Indizes und Feldtypen achtet. In der täglichen SOC-Arbeit wirkt sich das vor allem beim Erstellen eigener Dashboards und benutzerdefinierter Suchen aus, weniger bei vordefinierten Standardregeln.

Preismodelle: Wie die drei Anbieter tatsächlich abrechnen

Microsoft Sentinel berechnet nach Gigabyte aufgenommener Daten. Laut Azure Retail Prices API kostete die Sentinel-Analyse im Pay-as-you-go-Modell im Sommer 2026 rund 4,30 US-Dollar pro Gigabyte in der Region US East. Wer sich auf einen Commitment-Tarif festlegt, zahlt deutlich weniger: Bei einer Verpflichtung auf 100 Gigabyte pro Tag sinkt der effektive Preis auf 2,96 US-Dollar pro Gigabyte, ein Rabatt von rund 31 Prozent. Bei 50.000 Gigabyte pro Tag fällt der Preis sogar auf 2,05 US-Dollar pro Gigabyte, ein Nachlass von etwa 52 Prozent. Seit November 2025 gibt es zusätzlich einen 50-Gigabyte-Commitment-Tarif in der Public Preview, mit Aktionspreisen für Neukunden zwischen Oktober 2025 und Ende Dezember 2026.

Wazuh verlangt für die Software selbst nichts. Kosten entstehen ausschließlich durch Infrastruktur und optionalen Support. Eine 2026er-Kostenanalyse für eine AWS-Bereitstellung mit 100 Gigabyte Tagesvolumen kommt je nach Cluster-Größe auf 7.800 bis 47.256 US-Dollar Infrastrukturkosten pro Jahr. Rechnet man Implementierungsdienstleistungen von 5.000 bis 15.000 US-Dollar sowie einen kommerziellen Supportvertrag dazu, liegt eine vollständig betreute Wazuh-Umgebung bei 12.800 bis 62.256 US-Dollar im Jahr. Zum Vergleich nennt dieselbe Analyse für eine vergleichbare Splunk-Umgebung 300.000 bis 600.000 US-Dollar jährlich, was Wazuh dort auf 52 bis 76 Prozent Ersparnis gegenüber Splunk kommen lässt. Für kleinere Teams bietet Wazuh Cloud gestaffelte Monatspreise nach Agentenzahl: rund 571 US-Dollar im Monat für bis zu 100 Agenten mit einem Monat Datenspeicherung, etwa 923 US-Dollar für bis zu 250 Agenten mit drei Monaten Speicherung und ungefähr 1.467 US-Dollar für bis zu 500 Agenten, ebenfalls mit drei Monaten Speicherung.

Graylog trennt scharf zwischen der freien und den bezahlten Editionen. Graylog Open kostet nichts und erlaubt unbegrenzte Datenaufnahme, bietet aber keine SIEM-spezifischen Funktionen. Graylog Enterprise startet laut offizieller Preisseite bei 15.000 US-Dollar pro Jahr für 10 Gigabyte Tagesvolumen oder 100 Graylog Consumption Units. Graylog Security, die SIEM-Variante mit MITRE-ATT&CK-Mapping, UEBA und Sigma-Regeln, beginnt bei 18.000 US-Dollar pro Jahr, ebenfalls ab 10 Gigabyte pro Tag. Wer die verwaltete Cloud-Variante bevorzugt, zahlt für Graylog Cloud Security rund 1.550 US-Dollar im Monat bei 10 Gigabyte Tagesvolumen, was etwa 18.600 US-Dollar im Jahr entspricht.

Wichtig für die Budgetplanung sind auch die Nebenkosten, die in reinen Lizenzvergleichen oft untergehen. Bei Sentinel zählt neben der Analyse-Gebühr auch die Speicherung im Log Analytics Workspace, wobei die ersten 90 Tage Aufbewahrung im Analyse-Tarif bereits enthalten sind, längere Retention aber separat berechnet wird. Bei Wazuh entfällt zwar die Lizenz, dafür muss ein Team selbst für Backups, Patch-Management und Kapazitätsplanung des Indexer-Clusters sorgen, was in der Praxis mindestens einen Teilzeit-Administrator bindet. Graylog-Kunden sollten beachten, dass Consumption Units nicht linear mit dem Rohdatenvolumen skalieren, sondern je nach gebuchter Edition unterschiedlich stark verbraucht werden, weshalb sich ein Angebot immer auf das tatsächlich erwartete Tagesvolumen beziehen sollte, nicht auf Schätzwerte aus der Testphase.

Preisvergleich in Zahlen: Was 100 Gigabyte pro Tag wirklich kosten

Um die drei Preismodelle greifbar zu machen, lohnt sich ein Rechenbeispiel bei einem realistischen mittleren Datenvolumen von 100 Gigabyte pro Tag, einer Größenordnung, die ein mittelständisches Unternehmen mit mehreren hundert Endpunkten und einigen Dutzend Servern typischerweise erzeugt.

Szenario	Microsoft Sentinel	Wazuh	Graylog
10 GB/Tag (PAYG bzw. Einstiegstarif)	~15.695 $/Jahr (4,30 $/GB, PAYG)	0 $ Lizenz + Infrastruktur	15.000–18.000 $/Jahr (Enterprise/Security)
100 GB/Tag (Commitment-Tarif)	~108.040 $/Jahr (296 $/Tag)	12.800–62.256 $/Jahr (voll betreut)	individuelles Angebot (GCU-Modell)
200 GB/Tag (Commitment-Tarif)	~200.020 $/Jahr (548 $/Tag)	individuelle Kalkulation	individuelles Angebot
500 GB/Tag (Commitment-Tarif)	~461.725 $/Jahr (1.265 $/Tag)	individuelle Kalkulation	individuelles Angebot
1 TB/Tag (Commitment-Tarif)	~905.200 $/Jahr (2.480 $/Tag)	individuelle Kalkulation	individuelles Angebot

Bei 100 Gigabyte Tagesvolumen liegt Sentinel im Commitment-Modell bei rund 108.040 US-Dollar pro Jahr. Eine vollständig betreute Wazuh-Umgebung derselben Größenordnung kostet laut der zitierten 2026er-Analyse zwischen 12.800 und 62.256 US-Dollar. Selbst am oberen Ende dieser Spanne bleibt eine Lücke von mindestens 45.784 US-Dollar pro Jahr zwischen beiden Plattformen, eine Differenz, die für viele Mittelständler über den gesamten Sicherheitsetat entscheidet. Graylog lässt sich bei diesem Volumen nicht direkt vergleichen, weil der Hersteller oberhalb der Einstiegsstufe individuelle Angebote auf Basis von Consumption Units erstellt und diese Zahlen nicht öffentlich listet. Alle genannten Sentinel-Preise basieren auf der Region US East, konkrete Preise für deutsche Azure-Regionen können abweichen.

Eine typische Kostenfalle bei Sentinel entsteht, wenn ein Unternehmen einen zu hohen Commitment-Tarif bucht, um von einem besseren Gigabyte-Preis zu profitieren, das tatsächliche Volumen aber darunter bleibt. Nicht genutztes Kontingent verfällt in der Regel und wird nicht in den Folgemonat übertragen, wodurch der rechnerische Rabatt in der Praxis verpufft. Umgekehrt sollten Wazuh-Betreiber ihre Infrastrukturkosten nicht nur anhand des Tagesvolumens, sondern auch anhand der Abfragehäufigkeit kalkulieren, weil viele parallele Suchanfragen durch mehrere SOC-Analysten den benötigten Indexer-Cluster größer machen, als reines Speichervolumen vermuten lässt.

Entwicklungstempo: Wer liefert wie oft neue Versionen

Ein oft unterschätzter Faktor bei Open-Source-Sicherheitssoftware ist die Release-Frequenz, weil sie zeigt, wie schnell Schwachstellen geschlossen und neue Angriffstechniken abgedeckt werden. Wazuh veröffentlichte laut offiziellen Release Notes allein zwischen Januar 2025 und Juli 2026 mehr als ein Dutzend 4.x-Versionen, darunter 4.10.0 am 9. Januar 2025, 4.11.0 am 20. Februar 2025, 4.12.0 am 7. Mai 2025, 4.13.0 am 18. September 2025 und 4.14.0 am 23. Oktober 2025, gefolgt von mehreren Wartungs-Releases bis 4.14.7 am 29. Juli 2026.

Graylog hat im selben Zeitraum einen größeren Versionssprung vollzogen: von 6.2 (28. April 2025) über 6.3 (30. Juni 2025) zu 7.0 (3. November 2025) und schließlich 7.1 (4. Mai 2026), zuletzt gepflegt mit dem Wartungs-Release 7.1.9 am 2. September 2026. Microsoft Sentinel veröffentlicht keine klassischen Versionsnummern, da neue Funktionen laufend in den verwalteten Dienst einfließen, darunter im August 2026 die allgemeine Verfügbarkeit von API-Erkennung und Sicherheitsstatus-Management für Azure Functions und Logic Apps im Defender-CSPM-Plan.

Für IT-Teams bedeutet dieses Muster unterschiedliche Update-Routinen. Wazuh-Administratoren sollten mit einem Patch-Zyklus von vier bis sechs Wochen rechnen und Testumgebungen einplanen, bevor ein neues Release produktiv ausgerollt wird. Graylog-Nutzer erleben seltenere, dafür größere Sprünge, was Änderungen an Konfigurationen und Plugins nach sich ziehen kann, etwa beim Wechsel von 6.x auf 7.x. Sentinel-Kunden merken von der Update-Frequenz im Alltag am wenigsten, weil Microsoft neue Funktionen ohne Zutun des Kunden in den Dienst einspielt, was einerseits Aufwand spart, andererseits aber auch bedeutet, dass sich Verhalten oder Kosten eines Features ohne Vorankündigung des Kunden ändern können.

Was unabhängige Daten über SIEM-Wirkung sagen

Direkte Analysten-Rankings wie ein Gartner Magic Quadrant oder eine Forrester Wave, die alle drei Produkte gemeinsam einordnen, liegen für 2025/2026 nicht vor. Trotzdem gibt es mehrere belastbare Datenpunkte, die sich für eine Einordnung heranziehen lassen. Erstens die bereits erwähnten IBM-Zahlen zu Erkennungszeit und Kosten: 241 Tage kombinierte Erkennungs- und Eindämmungszeit im weltweiten Durchschnitt 2025, mit einer Kostenersparnis von rund 21 Prozent für Unternehmen, die Sicherheitsautomatisierung intensiv nutzen.

Zweitens die GitHub-Aktivität als Indikator für Community-Reichweite und Vertrauen: Wazuh kommt auf 16.782 Sterne, Graylogs offenes Kernrepository auf 8.123 Sterne, Stand September 2026. Beide Zahlen wachsen kontinuierlich und zeigen, dass Open-Source-SIEM-Lösungen in den vergangenen Jahren deutlich an Zugkraft gewonnen haben, auch weil viele Unternehmen nach Alternativen zu teuren proprietären Lizenzen suchen. Drittens die bereits zitierte TCO-Analyse von 2026, die für Wazuh eine Ersparnis von 52 bis 76 Prozent gegenüber Splunk bei vergleichbarem Datenvolumen berechnet, ein Muster, das sich in abgeschwächter Form auch im Vergleich zu Sentinel zeigt, wie die Rechnung im vorherigen Abschnitt belegt.

Automatisierung und Reaktionszeit: Was SOAR-Funktionen bringen

Die IBM-Zahl von 241 Tagen kombinierter Erkennungs- und Eindämmungszeit zeigt, wie viel Spielraum es bei der Reaktionsgeschwindigkeit noch gibt. Alle drei Plattformen bieten inzwischen Automatisierungsfunktionen, die über reines Alarmieren hinausgehen, allerdings mit unterschiedlicher Tiefe. Sentinel bündelt SOAR-Funktionen direkt im Produkt: Playbooks auf Basis von Azure Logic Apps können verdächtige Konten automatisch sperren, Tickets in Drittsystemen anlegen oder Firewall-Regeln anpassen, sobald eine Analytics Rule anschlägt.

Graylog Security bringt seit der Security-Fall-2025-Version ebenfalls Automatisierungsbausteine mit, die auf Risikobewertung basieren und Vorfälle nach Schweregrad priorisieren, sodass SOC-Analysten zuerst die Alarme mit dem höchsten geschätzten Schaden bearbeiten. Wazuh selbst liefert Active-Response-Skripte, die etwa eine IP-Adresse automatisch blockieren oder einen Prozess beenden können, sobald eine Regel auslöst. Diese Skripte laufen lokal auf dem Agenten und benötigen keine Cloud-Anbindung, was sie auch für Umgebungen mit eingeschränkter Internetverbindung praktikabel macht, etwa in industriellen Steuerungsnetzen. Für ein vollwertiges SOAR mit Fallmanagement und Drittanbieter-Integrationen setzen viele Wazuh-Anwender zusätzlich auf spezialisierte Open-Source-Werkzeuge, was den Betriebsaufwand gegenüber der integrierten Sentinel-Lösung erhöht.

NIS2, DORA und BSI: Was die DACH-Regulatorik verlangt

Für Unternehmen in Deutschland, Österreich und der Schweiz ist die technische Entscheidung längst auch eine Compliance-Frage. Das BSI verlangt im IT-Grundschutz-Kompendium und in der Konkretisierung der KRITIS-Anforderungen ausdrücklich, dass alle sicherheitsrelevanten Ereignisse von IT-Systemen und Anwendungen protokolliert werden. Ergänzend existiert ein eigener BSI-Mindeststandard zur Protokollierung und Erkennung von Cyberangriffen, der genau diese Anforderung aus dem IT-Grundschutz aufgreift und konkretisiert. Eine wörtliche Pflicht zum Einsatz eines SIEM-Systems im Wortlaut des deutschen NIS2-Umsetzungsgesetzes lässt sich aus den verfügbaren Materialien nicht ableiten, faktisch erfüllen aber nur zentrale Log- und Erkennungssysteme wie Sentinel, Wazuh oder Graylog die geforderte kontinuierliche Überwachung praktikabel.

Für Banken und Versicherer kommt die DORA-Verordnung hinzu, die ein zentrales IKT-Risikomanagement mit nachvollziehbarem Reporting und testbaren Kontrollen fordert. Alle drei hier verglichenen Plattformen bieten zentrale Dashboards und exportierbare Berichte, die sich für Audits nutzen lassen, wobei Wazuh und Graylog den Vorteil haben, dass Daten wahlweise vollständig innerhalb der EU oder sogar lokal in Deutschland gespeichert werden können. Bei Sentinel hängt die Datenresidenz von der gewählten Azure-Region ab, Microsoft bietet dafür eigene Rechenzentren in Deutschland an.

Für die Audit-Vorbereitung lohnt sich eine kurze Checkliste, unabhängig vom gewählten System: Werden alle sicherheitsrelevanten Systeme tatsächlich erfasst, nicht nur ein Teil der Infrastruktur? Existiert eine dokumentierte Aufbewahrungsfrist für Logs, die zu branchenspezifischen Vorgaben passt? Lassen sich Alarme und deren Bearbeitung nachträglich lückenlos nachvollziehen, etwa für eine Meldung an das BSI im Rahmen der NIS2-Meldepflichten? Und ist die Zugriffskontrolle auf das SIEM selbst so eng gefasst, dass nur berechtigtes Personal Logs einsehen oder verändern kann? Wer diese vier Punkte für Sentinel, Wazuh oder Graylog sauber beantworten kann, hat den größten Teil der regulatorischen Anforderungen bereits technisch abgedeckt.

Fünf Praxisszenarien: Welche Plattform zu wem passt

Da keiner der drei Hersteller öffentlich benannte Kundenreferenzen mit Kennzahlen veröffentlicht, beschreibt dieser Abschnitt typische Einsatzmuster, wie sie in Herstellerunterlagen, Partnerdokumentation und Branchenanalysen 2025/2026 wiederkehrend beschrieben werden.

• Azure-natives Fertigungsunternehmen im Mittelstand: Wer bereits Microsoft 365 E5 und Azure AD/Entra ID im Einsatz hat, profitiert bei Sentinel von automatisch verfügbaren Signalen aus Defender for Endpoint, ohne eigene Konnektoren bauen zu müssen. Der Kostenhebel liegt in einem frühen Commitment-Tarif, um nicht in der teuren Pay-as-you-go-Stufe zu bleiben.
• KRITIS-Betreiber mit strikter Datenhoheit: Energieversorger, Wasserwerke oder Krankenhäuser, die aus BSI-Sicht besonders strengen Anforderungen unterliegen, setzen häufig auf Wazuh, weil die komplette Infrastruktur inklusive Log-Speicherung im eigenen Rechenzentrum verbleiben kann und keine Lizenzkosten pro Gigabyte anfallen.
• Managed Security Service Provider (MSP): Dienstleister, die für mehrere Kunden gleichzeitig SOC-Betrieb anbieten, nutzen laut Wazuh-eigener Preisdokumentation gestaffelte Agenten-Tarife, um planbare Margen pro Kunde zu kalkulieren, statt variable Gigabyte-Kosten weiterzureichen.
• Regionale Bank unter DORA-Pflicht: Finanzinstitute mit definiertem, relativ stabilem Log-Volumen bevorzugen oft Graylog Security, weil die Jahreslizenz ab 18.000 US-Dollar planbare Kosten erzeugt und MITRE-ATT&CK-Mapping direkt für Auditberichte nutzbar ist.
• Wachsendes SaaS-Start-up mit Multi-Cloud-Architektur: Junge Unternehmen, die Workloads über AWS, GCP und Azure verteilen, kombinieren laut Branchenpraxis nicht selten Wazuh als kostengünstige Basis-Erkennung mit punktuellem Sentinel-Einsatz für Azure-spezifische Ressourcen, um Lizenzkosten am Wachstum vorbeizusteuern.

Alle fünf Szenarien lassen sich mit den Zahlen aus der Preistabelle weiter oben gegenrechnen. Wer sein tatsächliches Tagesvolumen kennt, sollte die eigene Situation der passendsten Zeile zuordnen und von dort aus die drei Angebote gezielt anfragen, statt sich allein auf Listenpreise zu verlassen.

Migrationsleitfaden: Von einem alten SIEM zu Sentinel, Wazuh oder Graylog wechseln

Ein SIEM-Wechsel ist selten in wenigen Tagen erledigt, weil Log-Quellen, Alarmregeln und Compliance-Nachweise mitwandern müssen. Erfahrungsgemäß dauert eine vollständige Migration bei einem mittelgroßen Unternehmen zwischen sechs und zwölf Wochen, abhängig davon, wie viele Alarmregeln aus dem Altsystem übernommen werden müssen und wie stark die neue Plattform vom bisherigen Datenmodell abweicht. Die folgenden Schritte gelten unabhängig davon, welches der drei Zielsysteme gewählt wird.

1. Bestandsaufnahme aller aktuellen Log-Quellen erstellen, inklusive Firewalls, Endpunkten, Cloud-Diensten und Anwendungen.
2. Tatsächliches Datenvolumen pro Tag über mindestens zwei bis vier Wochen messen, um die Preismodelle realistisch zu vergleichen.
3. Kritische Alarmregeln und Use Cases aus dem Altsystem dokumentieren, bevor sie im neuen System nachgebaut werden.
4. Parallelbetrieb (Alt- und Neusystem gleichzeitig) für mindestens 30 Tage einplanen, um Fehlalarme und blinde Flecken zu erkennen.
5. Bei Wazuh: Manager-Server und Indexer-Cluster aufsetzen, danach Agenten schrittweise nach Kritikalität der Systeme ausrollen.
6. Bei Sentinel: Log Analytics Workspace anlegen, Datenkonnektoren aktivieren und zunächst mit dem 50-Gigabyte-Commitment-Tarif starten, um Kosten zu testen.
7. Bei Graylog: Zunächst mit Graylog Open evaluieren, danach bei Bedarf auf Graylog Security upgraden, um MITRE-ATT&CK-Regeln zu aktivieren.
8. Compliance-Reports (NIS2, DORA, BSI) im neuen System nachbilden und mit dem Auditor oder der internen Revision abstimmen.
9. Altsystem erst abschalten, wenn alle kritischen Alarmregeln im neuen System nachweislich funktionieren.
10. Schulung des SOC-Teams einplanen, da sich Abfragesprachen (KQL bei Sentinel, Elasticsearch-Query bei Wazuh und Graylog) deutlich unterscheiden.

Der größte Stolperstein in der Praxis ist meist nicht die Technik, sondern unterschätztes Datenvolumen. Teams, die ihr Log-Aufkommen vor der Migration nicht sauber messen, landen bei Sentinel oft in der teuren Pay-as-you-go-Stufe, weil der gebuchte Commitment-Tarif zu niedrig angesetzt wurde. Bei Wazuh wiederum führt ein unterschätztes Volumen dazu, dass der Indexer-Cluster zu klein dimensioniert ist und Abfragen im Ernstfall spürbar langsamer werden. Eine realistische Messung über mehrere Wochen, wie in Schritt zwei beschrieben, verhindert beide Probleme zuverlässig. Für ein mittelgroßes Unternehmen mit einigen hundert Log-Quellen sind insgesamt sechs bis zwölf Wochen bis zur vollständigen Ablösung des Altsystems realistisch, größere Konzerne mit tausenden Endpunkten und mehreren Rechenzentren sollten entsprechend mehr Zeit für Tests und Schulungen einplanen.

Codebeispiel: Log-Quelle mit Wazuh anbinden

Die Anbindung eines Linux-Servers an einen Wazuh-Manager erfolgt über eine einfache Konfigurationsdatei auf dem Agenten. Das folgende Beispiel zeigt den minimalen Eintrag, um Systemlogs an den zentralen Manager zu senden.

<ossec_config>
  <client>
    <server>
      <address>10.0.0.5</address>
      <port>1514</port>
      <protocol>tcp</protocol>
    </server>
  </client>
  <localfile>
    <log_format>syslog</log_format>
    <location>/var/log/auth.log</location>
  </localfile>
</ossec_config>

Nach einem Neustart des Wazuh-Agenten erscheinen die Ereignisse im Manager-Dashboard und lassen sich dort mit Regeln aus der CIS-Benchmark-Sammlung oder eigenen Erkennungsregeln korrelieren. Der Aufwand für eine vergleichbare Anbindung unterscheidet sich zwischen den drei Plattformen deutlich: Bei Graylog reicht in der Regel ein Syslog- oder Beats-Input, der über die Weboberfläche in wenigen Klicks angelegt wird, ganz ohne manuelle Konfigurationsdatei. Bei Sentinel übernimmt der Azure Monitor Agent die Anbindung, gesteuert über eine zentrale Data Collection Rule, die für viele Server gleichzeitig gilt, statt jede Maschine einzeln zu konfigurieren. Wazuh bleibt damit die Plattform mit dem granularsten, aber auch manuellsten Ansatz auf Dateiebene.

Vor- und Nachteile von Microsoft Sentinel

Sentinel punktet bei Teams, die bereits tief in Azure investiert sind und keine eigene Infrastruktur betreiben wollen.

• Vorteil: Elastische Skalierung ohne eigenes Server-Management.
• Vorteil: Tiefe native Integration mit Microsoft 365, Entra ID und Defender.
• Vorteil: KI-gestützte Erkennung über Fusion ML und Copilot for Security.
• Vorteil: Integriertes SOAR über Logic-Apps-Playbooks, ohne separates Werkzeug.
• Nachteil: Kosten steigen linear mit dem Datenvolumen, ohne Obergrenze nach oben.
• Nachteil: Feste Bindung an Azure als einzige Hosting-Plattform.
• Nachteil: Ohne aktives Kosten-Controlling drohen bei Datenspitzen unerwartet hohe Rechnungen.

Vor- und Nachteile von Wazuh

Wazuh überzeugt bei Budgetdruck und dem Wunsch nach voller Datenkontrolle.

• Vorteil: Keine Lizenzkosten für die Kernplattform, unabhängig vom Datenvolumen.
• Vorteil: Volle Kontrolle über Hosting-Ort, wichtig für Datenhoheit und BSI-Konformität.
• Vorteil: Sehr aktive Entwicklung mit häufigen Sicherheits-Updates.
• Vorteil: Active-Response-Skripte laufen lokal, auch ohne Internetanbindung.
• Nachteil: Betrieb und Skalierung erfordern eigenes Know-how oder Support-Vertrag.
• Nachteil: Weniger native KI-/UEBA-Funktionen als die kommerziellen Alternativen.
• Nachteil: Ohne Supportvertrag liegt die Verantwortung für Patches komplett beim eigenen Team.

Vor- und Nachteile von Graylog

Graylog eignet sich für Teams, die eine planbare Lizenz statt variabler Cloud-Kosten bevorzugen.

• Vorteil: Planbare Jahreslizenz statt schwankender Gigabyte-Abrechnung.
• Vorteil: Sigma-Regeln und MITRE-ATT&CK-Mapping direkt in Graylog Security enthalten.
• Vorteil: Wahlweise Selbstbetrieb oder Graylog Cloud.
• Vorteil: Große Plugin-Bibliothek für heterogene, historisch gewachsene Infrastruktur.
• Nachteil: SIEM-Funktionen sind kostenpflichtig, die freie Version bleibt reines Log-Management.
• Nachteil: Preise oberhalb der Einstiegsstufe werden individuell verhandelt, was Kostenvergleiche erschwert.
• Nachteil: Consumption-Unit-Modell erfordert genaue Vorabschätzung des Datenvolumens.

Skalierung in der Praxis: Vom Kleinunternehmen zum Konzern

Wie gut eine Plattform mitwächst, zeigt sich am deutlichsten an den öffentlich dokumentierten Stufenmodellen. Wazuh Cloud staffelt seine Tarife nach Agentenzahl: Bis zu 100 Agenten mit einem Monat Speicherung kosten rund 571 US-Dollar im Monat, bis zu 250 Agenten mit drei Monaten Speicherung rund 923 US-Dollar, und bis zu 500 Agenten ebenfalls mit drei Monaten Speicherung rund 1.467 US-Dollar. Größere Umgebungen jenseits von 500 Agenten verhandelt Wazuh individuell, was für sehr große Konzerne mehr Flexibilität, aber auch weniger Preistransparenz bedeutet.

Sentinel skaliert dagegen über Commitment-Tiers, die bei 50 Gigabyte pro Tag beginnen und bis in den fünfstelligen Gigabyte-Bereich reichen, wobei der Rabatt mit steigendem Volumen wächst, von rund 31 Prozent bei 100 Gigabyte pro Tag bis etwa 52 Prozent bei 50.000 Gigabyte pro Tag. Das Modell eignet sich gut für Unternehmen, deren Datenvolumen organisch mit dem Geschäft wächst, weil sich der Tarif jederzeit anpassen lässt. Graylog wiederum bindet Wachstum an Consumption Units, die sich mit der gebuchten Edition unterschiedlich verbrauchen, weshalb ein Wachstumsszenario immer mit dem Vertriebsteam durchgerechnet werden sollte, statt es aus den Listenpreisen hochzurechnen. Für kleine Teams mit klar abgegrenztem Log-Volumen unter 10 Gigabyte pro Tag bleibt in allen drei Fällen die Einstiegsstufe ausreichend, größere Sprünge im Datenvolumen, etwa durch eine Firmenübernahme oder eine neue Cloud-Migration, sollten aber vorab mit dem jeweiligen Anbieter abgestimmt werden.

Datenschutz und DSGVO: Worauf DACH-Unternehmen achten sollten

Logs enthalten häufig personenbezogene Daten, etwa IP-Adressen, Benutzernamen oder E-Mail-Adressen in Fehlermeldungen. Damit unterliegt auch ein SIEM-System der DSGVO. Bei Wazuh und selbst gehosteten Graylog-Installationen bleibt die Datenverarbeitung vollständig unter eigener Kontrolle, was Verträge zur Auftragsverarbeitung vereinfacht. Bei Sentinel und Graylog Cloud ist dagegen ein Auftragsverarbeitungsvertrag mit Microsoft beziehungsweise Graylog notwendig, und Unternehmen sollten die gewählte Azure-Region beziehungsweise den Graylog-Cloud-Standort explizit auf EU-Verortung prüfen. Für Betreiber, die zusätzlich mit sensiblen Gesundheits- oder Finanzdaten arbeiten, empfiehlt sich eine Rücksprache mit dem Datenschutzbeauftragten, bevor Logs mit Klardaten in ein Cloud-SIEM fließen.

Ein häufiger Fehler in der Praxis: Teams aktivieren zunächst alle verfügbaren Log-Quellen, ohne vorher zu prüfen, welche Felder tatsächlich personenbezogene Daten enthalten. Sinnvoller ist es, vor dem produktiven Start ein Feld-Mapping zu erstellen und dort festzulegen, welche Werte maskiert, pseudonymisiert oder gar nicht erst aufgenommen werden. Bei Wazuh und Graylog lässt sich das direkt in der Pipeline-Konfiguration umsetzen, bei Sentinel über sogenannte Data Collection Rules, die bereits vor dem Speichern im Log Analytics Workspace greifen. Diese Vorarbeit reduziert nicht nur das Datenschutzrisiko, sondern senkt bei Sentinel auch direkt die Kosten, weil weniger irrelevante Felder abgerechnet werden.

Unser Verdict: Welche Plattform gewinnt 2026

Es gibt keinen einzelnen Gewinner, dafür aber eine klare Zuordnung nach Ausgangslage. Wer bereits vollständig auf Microsoft 365 und Azure setzt und Wert auf minimalen Betriebsaufwand legt, fährt mit Microsoft Sentinel am besten, muss dafür aber ein Datenvolumen-Controlling einführen, weil die Kosten sonst schnell auf sechsstellige Jahresbeträge klettern, wie das Rechenbeispiel mit 108.040 US-Dollar bei 100 Gigabyte pro Tag zeigt.

Wer Datenhoheit, KRITIS-Konformität oder ein knappes Budget als Priorität hat, kommt an Wazuh kaum vorbei. Bei identischem Datenvolumen liegt die Ersparnis gegenüber Sentinel bei mindestens 45.784 US-Dollar pro Jahr, selbst wenn man die teuerste vollständig betreute Wazuh-Variante ansetzt. Wer dagegen eine planbare Jahreslizenz mit fertigen SIEM-Regeln ohne viel Eigenbetrieb sucht und ein stabiles, mittleres Log-Volumen hat, findet in Graylog Security einen Mittelweg zwischen den beiden Extremen. Für die meisten deutschen Mittelständler mit gemischter On-Premises- und Cloud-Infrastruktur ist eine Kombination aus Wazuh als Basis-Erkennung und punktuellem Sentinel-Einsatz für reine Azure-Workloads die kosteneffizienteste Variante, die sich 2026 in der Praxis durchsetzt.

Die IBM-Zahlen liefern dabei den eigentlichen Maßstab, an dem sich jede Entscheidung messen lassen muss: 4,03 Millionen US-Dollar durchschnittlicher Schaden pro Datenleck in Deutschland und 241 Tage bis zur vollständigen Eindämmung eines Angriffs sind Werte, die kein Unternehmen ignorieren sollte, unabhängig vom gewählten SIEM. Ob ein Team am Ende 15.000 US-Dollar für Graylog Security, sechsstellige Beträge für Sentinel oder überwiegend Personalkosten für eine Wazuh-Umgebung einplant, entscheidend ist, dass die Protokollierung überhaupt zentral, durchsuchbar und mit klaren Alarmregeln aufgesetzt wird. Genau das, und nicht der Markenname auf der Rechnung, macht 2026 den Unterschied zwischen einem entdeckten und einem monatelang unbemerkten Angriff.

Häufig gestellte Fragen

Ist Wazuh wirklich komplett kostenlos?
Die Kernplattform ja, unter der GPL-Lizenz und ohne Beschränkung bei Agentenzahl oder Datenvolumen. Kosten entstehen nur für die eigene Infrastruktur (Server, Speicher) und optional für kommerziellen Support mit garantierten Reaktionszeiten.

Wie viel kostet Microsoft Sentinel für ein kleines Unternehmen?
Bei 10 Gigabyte Tagesvolumen im Pay-as-you-go-Modell liegt der Richtwert bei rund 15.695 US-Dollar pro Jahr, basierend auf 4,30 US-Dollar pro Gigabyte in der Region US East. Seit November 2025 existiert zusätzlich ein günstigerer 50-Gigabyte-Commitment-Tarif in der Vorschauphase.

Erfüllt eines der drei Systeme automatisch NIS2 oder DORA?
Nein. Keine Software erfüllt Regulierung automatisch. Alle drei Plattformen liefern aber die technische Grundlage (zentrale Protokollierung, Alarmierung, Reporting), die BSI-Vorgaben und die DORA-Anforderungen an IKT-Risikomanagement praktisch verlangen.

Kann man Wazuh und Graylog gleichzeitig einsetzen?
Technisch möglich, aber in der Praxis selten sinnvoll, da beide ähnliche Funktionen abdecken. Üblicher ist eine Kombination aus Wazuh oder Graylog als primärem SIEM mit spezialisierten Zusatztools für einzelne Bereiche wie Endpunktschutz.

Wo werden die Daten bei Microsoft Sentinel gespeichert?
In dem Azure Log Analytics Workspace, dessen Region beim Einrichten festgelegt wird. Microsoft betreibt eigene Rechenzentren in Deutschland, sodass sich eine Speicherung innerhalb der EU konfigurieren lässt.

Welche Abfragesprache nutzen die drei Systeme?
Sentinel verwendet die Kusto Query Language (KQL), Wazuh und Graylog basieren beide auf Elasticsearch beziehungsweise OpenSearch und nutzen entsprechende Abfragesyntax. Teams, die zwischen den Systemen wechseln, müssen also auch neue Abfragesprachen lernen.

Was passiert, wenn das Datenvolumen bei Sentinel unerwartet steigt?
Ohne festen Commitment-Tarif wird jedes zusätzliche Gigabyte automatisch zum Pay-as-you-go-Satz abgerechnet, was zu unerwartet hohen Rechnungen führen kann. Ein Budget-Alarm in Azure Cost Management gilt deshalb als Pflicht für jede Sentinel-Einführung.

Lohnt sich Graylog Security gegenüber der kostenlosen Graylog-Open-Version?
Nur, wenn tatsächlich SIEM-Funktionen wie MITRE-ATT&CK-Mapping, UEBA oder automatisierte Risikobewertung gebraucht werden. Für reines Log-Management ohne Compliance-Anforderungen reicht Graylog Open meist aus.