TheHive vs. Splunk SOAR vs. XSOAR: 0 bis 400.000 $ [2026]

Wenn ein Sicherheitsteam nachts um drei Uhr einen Alarm bekommt, entscheidet die eingesetzte Incident-Response-Software darüber, ob daraus ein Fünf-Minuten-Vorgang oder eine Nachtschicht wird. Genau hier setzen SOAR-Plattformen an: Sie bündeln Fallmanagement, Automatisierung und Team-Kommunikation an einem Ort. Drei Namen tauchen in den meisten Ausschreibungen deutscher SOC-Teams auf: das quelloffene TheHive von StrangeBee, Splunk SOAR (früher Phantom) und Cortex XSOAR von Palo Alto Networks. Die Preise reichen dabei von 0 € für eine Community-Instanz bis zu Verträgen im hohen sechsstelligen Dollar-Bereich pro Jahr. Dieser Vergleich zeigt, welches Tool zu welchem Team passt, was die Lizenzmodelle 2026 tatsächlich kosten und wie ein Wechsel zwischen den Plattformen in der Praxis abläuft.

Was SOAR-Plattformen für die Incident Response leisten

SOAR steht für Security Orchestration, Automation and Response. Die Idee dahinter: Statt dass Analysten jeden Alarm einzeln in zehn verschiedenen Tools nachschlagen, bündelt eine SOAR-Plattform Fallakten, Playbooks und Integrationen in einer Oberfläche. Ein Alarm aus dem SIEM landet automatisch als Fall in der Plattform, angereichert mit Kontext aus Threat-Intelligence-Feeds, und ein Playbook schlägt die nächsten Schritte vor oder führt sie gleich selbst aus.

Ohne eine solche Plattform verteilt sich Wissen über einen laufenden Vorfall häufig auf E-Mail-Ketten, Chat-Nachrichten und lokale Notizen einzelner Analysten. Das funktioniert bei einem einzelnen, klar abgrenzbaren Vorfall noch einigermaßen, wird aber schnell unübersichtlich, sobald mehrere Vorfälle parallel laufen oder ein Analyst im Urlaub ist und ein Kollege übernehmen muss. Ein zentrales Fallmanagement-System löst genau dieses Problem, indem jeder Schritt an einer Stelle protokolliert wird und jederzeit nachvollziehbar bleibt, wer wann welche Entscheidung getroffen hat.

Für deutsche und europäische Unternehmen ist das Thema 2026 kein Nice-to-have mehr. Das NIS-2-Umsetzungsgesetz verpflichtet rund 29.500 Firmen in Deutschland zu dokumentierten Meldeprozessen bei Sicherheitsvorfällen, und auch das KRITIS-Dachgesetz verlangt nachvollziehbare Reaktionszeiten. Ein SOC ohne strukturiertes Fallmanagement kann diese Fristen kaum zuverlässig einhalten, weshalb SOAR-Tools zunehmend Teil der Compliance-Architektur werden und nicht nur ein Werkzeug für Großkonzerne sind.

Die drei hier verglichenen Produkte lösen das Problem mit unterschiedlichen Schwerpunkten. TheHive kommt aus der Open-Source-Welt und positioniert sich explizit als “Collaborative Case Management Platform”. Splunk SOAR ist eng an die Splunk-SIEM-Suite gekoppelt und lebt von playbook-zentrierter Automatisierung. Cortex XSOAR wiederum verschmilzt Fallmanagement mit Threat-Intelligence-Verwaltung und richtet sich stark an Enterprise- und MSSP-Kunden. Welches Modell am Ende passt, hängt weniger von der reinen Feature-Liste ab als vom bestehenden Tool-Stack und Budget.

TheHive: Open-Source-Fallmanagement von StrangeBee

TheHive begann als reines Open-Source-Projekt und wird inzwischen kommerziell von StrangeBee weiterentwickelt. Auf GitHub steht das Kern-Repository bei 3.949 Sternen und 694 Forks (Stand: Anfang September 2026), geschrieben überwiegend in Scala. Das ist deutlich weniger als bei reinen SIEM-Projekten, aber für eine so spezialisierte Nische im Incident-Response-Bereich ein solides Zeichen aktiver Nutzung.

Die Lizenzstruktur läuft über drei Stufen: Community, Gold und Platinum. Die Community-Edition ist laut StrangeBee kostenlos, aber auf zwei Nutzer und eine Organisation begrenzt und muss über eine formlose Lizenzanfrage aktiviert werden. Gold richtet sich an interne Response-Teams mit erweiterten Fall-Lebenszyklen, Platinum an große, mehrmandantenfähige Umgebungen mit Clustering und dediziertem Support.

StrangeBee wurde von ehemaligen Kernentwicklern des ursprünglichen TheHive-Projekts gegründet, um dem Open-Source-Werkzeug ein tragfähiges kommerzielles Fundament zu geben, nachdem rein spendenbasierte Wartung auf Dauer nicht ausreichte. Dieses Modell ist im Sicherheitsmarkt nicht ungewöhnlich: Auch andere bekannte Open-Source-Sicherheitsprojekte finanzieren ihre Weiterentwicklung über kommerzielle Support-Verträge, während der Kern frei bleibt. Für Anwender bedeutet das konkret, dass kritische Sicherheitslücken im Kern-Code öffentlich nachvollziehbar behoben werden, während erweiterte Enterprise-Funktionen wie Clustering oder erweiterte Zugriffskontrollen den zahlenden Stufen vorbehalten bleiben.

Der Cortex-Namenskonflikt, den niemand erwähnt

Ein Detail sorgt in Foren regelmäßig für Verwirrung: TheHive nutzt historisch eine eigene Analyzer-Engine namens Cortex, um Beobachtungen wie IP-Adressen oder Hashes automatisiert anzureichern. Das hat nichts mit Palo Alto Networks Cortex XSOAR zu tun, dem dritten Produkt in diesem Vergleich. Beide Projekte haben sich den Namen unabhängig voneinander gegeben, was bei Recherchen und Ausschreibungen leicht zu Verwechslungen führt. Wer TheHive einführt, sollte in internen Dokumenten daher konsequent zwischen “TheHive-Cortex-Analyzer” und “Palo-Alto-Cortex-XSOAR” unterscheiden.

Splunk SOAR: Playbook-Automatisierung im Splunk-Ökosystem

Splunk SOAR, früher unter dem Namen Phantom bekannt, ist heute Teil von Splunks Security-Portfolio unter Cisco. Die offizielle Produktseite beschreibt visuelle, Python-basierte Playbooks, die Aktionen über verschiedene Integrationen hinweg orchestrieren. Das Produkt ist besonders stark, wenn ein Unternehmen bereits Splunk Enterprise Security als SIEM betreibt, weil Alarme dann ohne zusätzliche Konnektor-Entwicklung direkt als Fälle in SOAR ankommen.

Das Lizenzmodell ist überwiegend seat-basiert: Es wird pro Analysten-Sitzplatz abgerechnet, mit einer Mindestabnahme von fünf Sitzplätzen und Erweiterungen in 5er-Schritten. Eine kostenlose Community Edition existiert, ist aber auf 100 Aktionen pro Tag gedeckelt, was für den Produktivbetrieb eines SOC nicht ausreicht. Alternativ gibt es ein Modell, das nach Events pro Tag abrechnet, was für Umgebungen mit wenigen, aber sehr aktiven Analysten interessant sein kann.

Wichtig für die Budgetplanung: Splunk veröffentlicht auf der Hauptseite keine Listenpreise für SOAR. Konkrete Zahlen tauchen vor allem in öffentlichen Beschaffungsdokumenten auf, etwa im britischen G-Cloud-14-Preisblatt, das Staffelpreise für Nutzer-Lizenzen mit und ohne Premium-Support zeigt. Für ein SOC mit zehn Analysten und Standard-Support liegt der Richtwert dort bei rund 284.625 US-Dollar für eine Vertragslaufzeit, was sich mit unabhängigen Marktschätzungen von 150.000 bis 400.000 US-Dollar Jahreskosten für ein typisches Enterprise-Deployment deckt.

Seit der Übernahme durch Cisco ist Splunk formal Teil eines deutlich größeren Netzwerksicherheits-Portfolios geworden, zu dem unter anderem Cisco XDR und Cisco Secure Firewall gehören. Für Bestandskunden bedeutet das mittelfristig potenziell tiefere Integrationen zwischen Splunk SOAR und der Cisco-Sicherheitswelt, kurzfristig aber auch Unsicherheit über die künftige Preisgestaltung und Produktroadmap, wie sie bei größeren Übernahmen im Softwaremarkt üblich ist. SOC-Verantwortliche, die einen Splunk-SOAR-Vertrag verlängern oder neu abschließen, sollten die Roadmap-Kommunikation von Cisco für das Produkt aktiv im Auge behalten, bevor sie sich langfristig binden.

Cortex XSOAR: SOAR trifft Threat Intelligence Management

Cortex XSOAR von Palo Alto Networks verfolgt einen breiteren Ansatz als die anderen beiden Kandidaten. Neben Orchestrierung und Automatisierung bringt es ein integriertes Threat Intelligence Management mit, sodass Analysten Indikatoren nicht in einem separaten Tool pflegen müssen. Fälle werden über sogenannte “War Rooms” bearbeitet, in denen Playbook-Schritte, manuelle Aktionen und Chat-Kommunikation zusammenlaufen.

Laut Herstellerdokumentation verlangt Cortex XSOAR eine jährliche Lizenz pro Nutzer, mit optionalen Mehrjahresverträgen. Reseller-Preislisten aus dem Kanal zeigen für 2025 unter anderem ein Starter-Perpetual-Paket für 312.500 US-Dollar, ein volles Automatisierungs-, Orchestrierungs- und Threat-Intelligence-Paket für 250.000 US-Dollar sowie einzelne Enterprise-Nutzerlizenzen ab 20.000 US-Dollar pro Nutzer. Für MSSPs (Managed Security Service Provider) existiert eine günstigere Nutzerlizenz von rund 16.600 US-Dollar, was das Produkt für Dienstleister mit vielen Kundenumgebungen interessanter macht als für ein einzelnes internes SOC.

Der Vorteil des integrierten Threat-Intelligence-Moduls zeigt sich vor allem in Umgebungen, die bereits andere Palo-Alto-Produkte wie Cortex XDR oder Next-Generation-Firewalls einsetzen. Die Integrationsarbeit zwischen den eigenen Produkten ist naturgemäß enger als bei Drittanbieter-Konnektoren, was Implementierungszeit spart, aber auch eine gewisse Bindung an das Palo-Alto-Ökosystem schafft.

Palo Alto Networks positioniert Cortex XSOAR zudem als Baustein einer größeren Plattformstrategie rund um Cortex XSIAM, die SIEM-, SOAR- und XDR-Funktionen schrittweise in einer gemeinsamen Oberfläche zusammenführen soll. Für Neukunden lohnt sich deshalb die Nachfrage, ob ein separater XSOAR-Vertrag oder ein gebündeltes XSIAM-Paket wirtschaftlicher ist, weil sich die Lizenzlogik zwischen den beiden Produktlinien unterscheidet und sich Rabatte je nach gewähltem Bündel stark unterscheiden können.

Architektur und Deployment: Container, Cloud und Self-Hosting

Die drei Plattformen unterscheiden sich auch darin, wie und wo sie überhaupt laufen. TheHive lässt sich klassisch per Docker-Compose oder in einem Kubernetes-Cluster selbst betreiben, was für Behörden und Unternehmen mit strikten Data-Residency-Vorgaben oft den Ausschlag gibt. StrangeBee bietet zusätzlich eine gehostete Cloud Platform an, für Teams, die keine eigene Infrastruktur pflegen wollen, aber trotzdem serverseitig auf europäischen Standards bestehen.

Splunk SOAR wird sowohl als On-Premise-Appliance als auch als Cloud-Variante angeboten, wobei die Cloud-Version eng an die übrige Splunk-Cloud-Infrastruktur gekoppelt ist. Für Unternehmen, die ohnehin schon Splunk-Cloud-Kunden sind, bedeutet das einen einzigen Vertragspartner und eine gemeinsame Rechnung für SIEM und SOAR. Wer dagegen strikt on-premises bleiben muss, etwa aus regulatorischen Gründen im Finanzsektor, braucht zusätzliche Server-Kapazität und eigenes Patch-Management für die Appliance.

Cortex XSOAR folgt einem ähnlichen Muster mit On-Premise- und Cloud-Optionen, wobei die Cloud-Variante als Teil der breiteren Cortex-Plattform von Palo Alto Networks vermarktet wird. Wichtig für die Planung: Wer Cortex XSOAR und Cortex XDR gemeinsam in der Cloud betreibt, profitiert von gemeinsamer Nutzerverwaltung und einem einzigen Log-Pfad, verliert aber im Gegenzug etwas Flexibilität, wenn später ein anderer EDR-Anbieter gewählt werden soll.

Datenschutz und Datenresidenz in der DACH-Region

Für Unternehmen in Deutschland, Österreich und der Schweiz ist die Frage, wo Falldaten physisch gespeichert werden, oft genauso wichtig wie die reine Funktionalität. Incident-Response-Fälle enthalten häufig hochsensible Informationen: Namen betroffener Mitarbeiter, interne Netzwerkpläne, manchmal sogar Auszüge aus personenbezogenen Datenbanken, die im Rahmen eines Vorfalls kompromittiert wurden. Wer diese Daten in einer Cloud-Instanz außerhalb der EU verarbeitet, muss zusätzliche Absicherungen wie Standardvertragsklauseln oder ein Angemessenheitsbeschluss-Konstrukt berücksichtigen.

TheHive punktet hier durch die Möglichkeit, die Plattform komplett selbst und ausschließlich in einem deutschen oder europäischen Rechenzentrum zu betreiben, ohne dass ein US-Mutterkonzern im Hintergrund steht. Splunk SOAR und Cortex XSOAR bieten zwar ebenfalls europäische Cloud-Regionen an, die Muttergesellschaften Cisco (Splunk) und Palo Alto Networks unterliegen jedoch US-Recht, was in einigen Vergabeverfahren des öffentlichen Sektors zu zusätzlichen Prüfschritten führt. Für rein interne SOC-Teams ohne Behördenbezug ist dieser Unterschied meist zweitrangig, für Kommunen, Universitäten und KRITIS-Betreiber kann er dagegen entscheidend sein.

Technische Spezifikationen im direkten Vergleich

Die folgende Tabelle fasst die wichtigsten technischen und lizenzrechtlichen Eckdaten zusammen, basierend auf Herstellerdokumentation, AWS-Marketplace-Einträgen und öffentlich zugänglichen Preisblättern.

Merkmal	TheHive (StrangeBee)	Splunk SOAR	Cortex XSOAR
Grundmodell	Fallmanagement, Open-Source-Kern	Playbook-Automatisierung	SOAR + Threat Intelligence
Kostenlose Stufe	Community, bis 2 Nutzer / 1 Org	Community, 100 Aktionen/Tag	kein dauerhaft freier Tarif
Lizenzbasis	Nutzer und Organisationen	Analysten-Sitzplätze / Events pro Tag	Nutzer pro Jahr
Bereitstellung	On-Premise und Cloud Platform	On-Premise und Cloud (SaaS)	On-Premise und Cloud
Programmiersprache Kern	Scala	Python-Playbooks	Python-Playbooks
GitHub-Sterne (Kern-Repo)	3.949 (Sept. 2026)	kein offenes Kern-Repo	kein offenes Kern-Repo
Mindestabnahme kommerziell	ab 5 Nutzern (Cloud Platform)	5 Analysten-Sitzplätze	ab 2 Nutzern (Starter Enterprise)
Threat-Intel-Modul integriert	über externe Analyzer	über Add-ons/Integrationen	nativ integriert
Case-Management-Fokus	sehr hoch (Kernprodukt)	sekundär zur Automatisierung	hoch, mit War Rooms
Typische Zielgruppe	KMU, Behörden, Open-Source-affine SOCs	bestehende Splunk-Kunden	Enterprise, MSSPs
Mehrmandantenfähigkeit	ja (Platinum-Stufe)	eingeschränkt, meist separate Instanzen	ja, über MSSP-Lizenzmodell

Preise und Lizenzmodelle 2026 im Detail

Alle drei Anbieter verstecken ihre tatsächlichen Enterprise-Preise hinter individuellen Angeboten. Öffentlich einsehbare Zahlen stammen daher aus unterschiedlichen Quellen: TrustRadius-Preisübersichten, AWS-Marketplace-Listings und offizielle Beschaffungsdokumente wie das britische G-Cloud-14-Preisblatt. Die folgende Tabelle zeigt die am besten belegten, öffentlich zugänglichen Richtwerte für 2025/2026. Wichtig ist dabei der Hinweis, dass ältere Preislisten teils weiterhin in aktuellen Reseller-Katalogen zirkulieren, weshalb ein frisches Angebot vor jeder Kaufentscheidung eingeholt werden sollte, statt sich allein auf gedruckte oder archivierte Preisblätter zu verlassen.

Produkt / Stufe	Preis (öffentlich dokumentiert)	Quelle
TheHive Community	0 € (Lizenzanfrage nötig, max. 2 Nutzer)	StrangeBee
TheHive Gold (On-Prem)	ab 17.000 $/Jahr pro Installation	TrustRadius
TheHive Platinum (On-Prem)	ab 23.000 $/Jahr pro Installation	TrustRadius
TheHive Cloud Platform Large	52.440 $ / 12 Monate	AWS Marketplace
TheHive Cloud Platform X-Large	58.530 $ / 12 Monate	AWS Marketplace
Splunk SOAR, Community	0 € (100 Aktionen/Tag Limit)	SOAR-Pricing-Aggregator
Splunk SOAR, 10 Sitzplätze, Standard-Support	284.625 $ (Vertragslaufzeit)	UK G-Cloud 14
Splunk SOAR, 15 Sitzplätze, Premium-Support	552.000 $ (Vertragslaufzeit)	UK G-Cloud 14
Splunk SOAR, typisches Enterprise-Deployment	150.000–400.000 $/Jahr	Marktschätzung, mehrere Quellen
Cortex XSOAR, Starter Enterprise (2 Nutzer)	125.000 $ (Listenpreis)	Reseller-Preisliste
Cortex XSOAR, Enterprise Full User	20.000 $ pro Nutzer (Listenpreis)	Reseller-Preisliste
Cortex XSOAR, MSSP Full User	16.600 $ pro Nutzer	Reseller-Preisliste

Auffällig: TheHive ist das einzige der drei Produkte, bei dem konkrete Cloud-Preise direkt über einen öffentlichen Marktplatz (AWS Marketplace) einsehbar sind, statt ausschließlich über Vertriebskontakt. Splunk SOAR und Cortex XSOAR bleiben bei ihren Kernpaketen quote-only, das heißt, der tatsächliche Preis hängt stark von Verhandlungsgeschick, Vertragslaufzeit und Rabattstufen ab. Für die Budgetplanung lohnt es sich, mindestens zwei konkurrierende Angebote einzuholen, bevor eine Testinstanz aufgesetzt wird.

Performance und Praxis-Benchmarks

Klassische Frames-per-Second-Benchmarks gibt es bei SOAR-Software naturgemäß nicht, aber es existieren belastbare Vergleichspunkte aus mehreren unabhängigen Quellen, die sich auf Time-to-Value, Automatisierungstiefe und Betriebskosten konzentrieren.

Bei der Time-to-Value, also der Zeit bis zu den ersten verwertbaren Ergebnissen nach der Installation, schneiden TheHive und vergleichbare agentenlose Ansätze in mehreren 2026er-Vergleichsberichten mit Stunden bis maximal einem Tag ab, weil das Onboarding über einfache Konnektoren läuft. Cortex XSOAR benötigt für den vollen Funktionsumfang inklusive Threat-Intelligence-Anbindung häufig Tage bis Wochen, abhängig vom Integrationsumfang. Splunk SOAR liegt dazwischen, wobei die Geschwindigkeit stark davon abhängt, ob bereits eine Splunk-ES-Instanz im gleichen Unternehmen läuft.

Ein zweiter Vergleichspunkt betrifft die Automatisierungstiefe im laufenden Betrieb. Preisanalysen von SOAR-Vergleichsportalen koppeln die Vertragskosten bei Splunk SOAR explizit an die Zahl der Automatisierungsknoten und unterstützten Integrationen, was bedeutet: Je mehr ein Team automatisiert, desto höher der Preis, aber auch desto größer die Zeitersparnis pro Alarm. Bei Cortex XSOAR wird ein ähnlicher Zusammenhang beobachtet, allerdings gekoppelt an die Anzahl lizenzierter Nutzer statt an Automatisierungsknoten. TheHive rechnet dagegen rein nach Nutzern und Organisationen ab, unabhängig davon, wie viele Playbooks oder Analyzer im Hintergrund laufen, was bei automatisierungsintensiven Teams einen klaren Kostenvorteil bedeuten kann.

Ein dritter Aspekt aus Vergleichsberichten betrifft die Skalierbarkeit des Lizenzmodells selbst: Seat-basierte Modelle wie bei Splunk SOAR werden in unabhängigen Analysen kritisiert, weil das Wachstum eines Teams direkt und linear die Lizenzkosten erhöht, ohne dass zusätzliche Automatisierung notwendig wäre. Dieser Effekt betrifft Cortex XSOAR in abgeschwächter Form ebenfalls, da auch dort pro Nutzer abgerechnet wird. TheHives Abrechnung nach Organisationen statt reiner Kopfzahl kann bei wachsenden, aber schlank besetzten SOC-Teams günstiger skalieren.

Herstellerseitige Fallstudien aller drei Anbieter berichten regelmäßig von einer spürbaren Reduzierung der manuellen Bearbeitungszeit pro Alarm nach der Einführung automatisierter Playbooks. Solche Zahlen stammen naturgemäß aus Marketingmaterial der jeweiligen Hersteller und lassen sich nicht unabhängig gegenprüfen, weshalb sie in diesem Vergleich bewusst nicht als exakte Prozentwerte übernommen werden. Als grober Richtwert gilt in der Branche jedoch: Je repetitiver ein Alarmtyp ist, etwa bei Phishing-Meldungen oder bekannten Malware-Signaturen, desto größer der Automatisierungsgewinn, unabhängig davon, welches der drei Produkte eingesetzt wird. Der entscheidende Unterschied liegt weniger in der grundsätzlichen Automatisierungsfähigkeit als in der Geschwindigkeit, mit der ein Team neue Playbooks selbst bauen und pflegen kann.

Was ein dreijähriger Betrieb tatsächlich kostet

Einmalige Lizenzpreise sagen wenig darüber aus, was eine Plattform über die typische Nutzungsdauer eines SOC-Vertrags kostet. Rechnet man die oben genannten Richtwerte auf drei Jahre hoch, ohne Preissteigerungen oder Rabattstaffeln einzurechnen, ergibt sich für ein Team von zehn Analysten folgendes Bild: TheHive Platinum über AWS Marketplace landet bei rund 100.620 US-Dollar (33.540 $ pro Jahr), ein Splunk-SOAR-Vertrag im Standard-Support-Modell bei etwa 853.875 US-Dollar (284.625 $ pro Jahr) und ein Cortex-XSOAR-Enterprise-Deployment mit zehn Vollnutzern bei rund 600.000 US-Dollar zuzüglich der einmaligen Starter-Plattformgebühr.

Diese Rechnung ist bewusst vereinfacht und ersetzt kein individuelles Angebot, zeigt aber die Größenordnung: Zwischen dem günstigsten und dem teuersten Modell liegt für dieselbe Teamgröße ein Faktor von rund acht. Wer ausschließlich auf den Anschaffungspreis schaut, übersieht dabei leicht, dass Splunk SOAR und Cortex XSOAR im Gegenzug Integrationsaufwand sparen können, wenn das übrige SIEM- oder EDR-Ökosystem bereits vom selben Hersteller stammt. Eine seriöse Kostenrechnung muss daher immer die Integrationskosten des bestehenden Stacks mit einbeziehen, nicht nur die reine Softwarelizenz.

Ein weiterer Punkt, der in reinen Lizenzvergleichen oft fehlt, sind die Kosten für zusätzliches Personal, das eine Automatisierungsplattform pflegt. Je mächtiger die Playbook-Engine, desto eher lohnt sich eine dedizierte Automatisierungs-Rolle im Team, die Playbooks kontinuierlich weiterentwickelt und an neue Bedrohungslagen anpasst. Bei TheHive lässt sich diese Rolle oft nebenbei von erfahrenen Analysten mit übernehmen, weil die Automatisierungstiefe geringer ist. Bei Splunk SOAR und Cortex XSOAR rechnet sich dagegen ab einer gewissen Teamgröße häufig eine eigene Stelle oder zumindest ein fester Zeitanteil, was in der Gesamtkostenrechnung nicht vergessen werden sollte.

Schulung, Support und Onboarding im Vergleich

Ein oft unterschätzter Kostenfaktor ist die Einarbeitungszeit neuer Analysten. Bei TheHive profitieren Teams von einer großen Zahl frei verfügbarer Dokumentationen, Community-Foren und Schulungsvideos, weil das Projekt seit Jahren quelloffen ist. Der Support-Level hängt dabei stark von der gewählten Lizenzstufe ab: Community-Nutzer sind auf die Community angewiesen, während Gold- und Platinum-Kunden direkten Zugriff auf das StrangeBee-Supportteam erhalten.

Splunk SOAR und Cortex XSOAR bringen dagegen strukturierte, herstellerseitige Zertifizierungsprogramme mit, die sich gut in HR-Weiterbildungspläne einbauen lassen. Das ist besonders in größeren Organisationen mit Personalfluktuation von Vorteil, weil neue Mitarbeiter über standardisierte Kurse eingearbeitet werden können, statt sich Wissen ausschließlich aus Community-Beiträgen zusammenzusuchen. Der Preis dafür sind zusätzliche Schulungskosten, die in den reinen Lizenzzahlen oben noch nicht enthalten sind und je nach Anbieter mehrere Tausend Euro pro Analyst und Jahr ausmachen können.

Für kleinere Teams ohne dediziertes Schulungsbudget kann das den Ausschlag zugunsten von TheHive geben, weil dort ein Großteil des Wissensaufbaus über kostenlose Community-Ressourcen erfolgen kann. Größere Organisationen mit strukturierten Onboarding-Prozessen ziehen dagegen häufig die formalisierten Zertifizierungspfade der kommerziellen Anbieter vor, weil sie Wissen unabhängig von einzelnen Personen im Team verankern.

Case Management und Playbooks im Detail

Der Kern jeder SOAR-Plattform ist die Frage, wie ein Fall von der ersten Meldung bis zum Abschlussbericht durch das System wandert. TheHive bildet das über Fälle, Tasks und Observables ab: Ein Fall enthält mehrere Aufgaben, jede Aufgabe kann wiederum Beobachtungen wie IP-Adressen oder Datei-Hashes enthalten, die über Analyzer automatisch angereichert werden. Dieses Modell ist bewusst schlank gehalten und eignet sich gut für Teams, die vor allem strukturierte Zusammenarbeit statt komplexer Automatisierungslogik brauchen.

Splunk SOAR setzt dagegen auf visuelle, im Baukasten-Prinzip zusammengesteckte Playbooks, die in Python ausführbar sind. Ein Playbook kann zum Beispiel automatisch eine IP-Adresse gegen eine Sperrliste prüfen, bei Treffer eine Firewall-Regel setzen und den zuständigen Analysten per Chat benachrichtigen, alles ohne manuelles Eingreifen. Diese Tiefe macht Splunk SOAR mächtig, aber auch komplexer in der Pflege, wenn sich Playbooks über die Zeit verzweigen.

Cortex XSOAR kombiniert beide Ansätze: Fälle laufen über sogenannte War Rooms, in denen automatisierte Playbook-Schritte und manuelle Analysten-Eingaben im selben Protokoll erscheinen. Das erleichtert die spätere forensische Nachvollziehbarkeit, weil jeder Schritt, ob Mensch oder Maschine, chronologisch dokumentiert ist. Für Unternehmen mit Prüfungspflichten nach NIS-2 oder DORA kann diese lückenlose Protokollierung ein handfestes Argument sein.

curl -X POST "https://the-hive-instance.example.com/api/v1/case" \
  -H "Authorization: Bearer $THEHIVE_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "title": "Phishing-Kampagne gegen Buchhaltung",
    "description": "Mehrere Mitarbeiter meldeten verdächtige Rechnungs-Mails",
    "severity": 2,
    "tlp": 2,
    "tags": ["phishing", "email", "de-dach"]
  }'

Dieses Beispiel zeigt, wie ein Fall über die TheHive-API programmatisch angelegt werden kann, etwa direkt aus einer SIEM-Alarmregel heraus. Splunk SOAR und Cortex XSOAR bieten vergleichbare REST-Schnittstellen, die sich in der Regel in bestehende Alarmierungs-Workflows einbinden lassen, allerdings mit produktspezifischer Authentifizierung und Feldstruktur.

Integrationen und Ökosystem

Keines der drei Produkte veröffentlicht eine exakt vergleichbare, geprüfte Integrationszahl, aber die grundsätzliche Ausrichtung unterscheidet sich deutlich. Splunk SOAR profitiert von der breiten Basis an Splunk-Add-ons und der engen Kopplung an Splunk Enterprise Security, was besonders für Unternehmen zählt, die SIEM und SOAR aus einer Hand beziehen wollen.

Cortex XSOAR ist tief mit dem übrigen Palo-Alto-Portfolio verzahnt, etwa mit Cortex XDR für Endpoint Detection oder mit Next-Generation-Firewalls. Für Unternehmen, die bereits auf Palo Alto als Kernlieferanten setzen, verkürzt das die Integrationsarbeit spürbar. Wer dagegen einen heterogenen Tool-Stack aus verschiedenen Herstellern betreibt, muss stärker auf generische Konnektoren zurückgreifen.

TheHive setzt traditionell auf sein Analyzer-Ökosystem für Anreicherung sowie auf offene REST-Schnittstellen für die Anbindung an SIEM- und Ticketing-Systeme. Da die Kernplattform quelloffen ist, lassen sich fehlende Integrationen im Zweifel selbst entwickeln oder aus der Community übernehmen, was bei kommerziellen Alternativen ohne Sourcecode-Zugriff nicht in der gleichen Form möglich ist. In der Praxis bedeutet das etwa, dass ein Team eine fehlende Anbindung an ein selten genutztes deutsches Ticketing-System selbst nachbauen kann, statt auf eine Produkt-Roadmap eines Herstellers warten zu müssen, die eine solche Nischen-Integration möglicherweise nie priorisiert.

SOC-Stack-Kompatibilität auf einen Blick

• Splunk SOAR: beste Wahl bei bestehendem Splunk-ES-SIEM
• Cortex XSOAR: beste Wahl bei bestehendem Palo-Alto-Portfolio (Cortex XDR, NGFW)
• TheHive: herstellerunabhängig, beste Wahl bei heterogenem oder Open-Source-lastigem Stack

Häufige Fehler bei der Einführung von SOAR-Plattformen

Ein wiederkehrender Fehler bei allen drei Produkten ist die Erwartung, dass eine SOAR-Plattform von Tag eins an vollautomatisch arbeitet. In der Praxis müssen Playbooks zunächst manuell entworfen, getestet und über Wochen beobachtet werden, bevor sie ohne menschliche Freigabe laufen dürfen. Teams, die diesen Testzeitraum überspringen, riskieren automatisierte Fehlentscheidungen, etwa das versehentliche Sperren eines legitimen internen Dienstes durch ein zu aggressiv konfiguriertes Playbook.

Ein zweiter typischer Fehler betrifft die Lizenzplanung: Wird die Nutzerzahl bei Splunk SOAR oder Cortex XSOAR zu knapp kalkuliert, entstehen im Nachhinein teure Nachverhandlungen unter Zeitdruck, weil zusätzliche Sitzplätze meist nicht zum ursprünglichen Rabattsatz nachgekauft werden können. Bei TheHive wiederum unterschätzen manche Teams die Zwei-Nutzer-Grenze der Community-Edition und stellen erst nach dem Onboarding fest, dass sie bereits am ersten Tag auf eine kostenpflichtige Stufe wechseln müssen.

Ein dritter Punkt betrifft die Dokumentation selbst: Playbooks und Analyzer-Konfigurationen, die nur eine einzelne Person im Team versteht, werden schnell zum Betriebsrisiko, sobald diese Person das Unternehmen verlässt. Unabhängig vom gewählten Produkt sollte daher von Anfang an eine zweite Person jede neue Automatisierung mit aufbauen oder zumindest gegenlesen, um genau dieses Wissenssilo zu vermeiden.

Typische Einsatzszenarien in der Praxis

Die folgenden fünf Szenarien sind keine konkreten Fallstudien einzelner benannter Unternehmen, sondern typische Konstellationen, wie sie in Ausschreibungen und Erfahrungsberichten deutscher und europäischer SOC-Teams immer wieder auftauchen.

Managed Security Service Provider mit mehreren Mandanten: Ein MSSP, der für zehn bis zwanzig Kunden gleichzeitig Alarme triagiert, profitiert vom MSSP-Lizenzmodell von Cortex XSOAR, das pro Nutzer statt pro Mandant abrechnet und so bei wachsender Kundenzahl planbar bleibt. Gerade bei stark schwankender Kundenzahl über das Jahr verhindert dieses Modell, dass für jeden neu gewonnenen Kunden ein komplett neuer Lizenzblock verhandelt werden muss.

Bank oder Versicherung mit strengen Meldepflichten: Unternehmen unter DORA- oder NIS-2-Aufsicht benötigen lückenlose Protokolle über jeden Bearbeitungsschritt. Die War-Room-Struktur von Cortex XSOAR mit integrierter Threat-Intelligence-Verwaltung erleichtert die spätere Nachweisführung gegenüber Prüfern, insbesondere wenn ein Vorfall über mehrere Wochen hinweg mit wechselnden Bearbeitern läuft und jeder Übergabepunkt dokumentiert sein muss.

Mittelständisches Systemhaus mit Splunk-Bestandskunden: Wer für Kunden bereits Splunk Enterprise Security betreibt, spart mit Splunk SOAR die doppelte Konnektor-Pflege, weil Alarme ohne Umweg als Fälle im selben Ökosystem landen.

Öffentliche Verwaltung oder Hochschule mit begrenztem Budget: Für Institutionen, die keine sechsstelligen Jahresverträge budgetieren können, ist die TheHive Community Edition ein realistischer Einstieg, auch wenn die Zwei-Nutzer-Grenze ein Upgrade auf Gold ab einem gewissen Wachstum nötig macht.

Schlankes internes SOC mit drei bis fünf Analysten: Kleinere interne Teams, die vor allem strukturierte Zusammenarbeit statt komplexer Automatisierungsketten brauchen, kommen mit TheHive Gold über AWS Marketplace für rund 25.620 US-Dollar pro Jahr deutlich günstiger weg als mit den Einstiegspaketen der beiden kommerziellen Alternativen.

Für wen eignet sich welches Tool?

Die Wahl der passenden Plattform hängt stärker vom bestehenden Umfeld ab als von reinen Feature-Listen. Fünf konkrete Empfehlungen für typische Ausgangslagen:

• Betreiben Sie bereits Splunk Enterprise Security? Dann ist Splunk SOAR fast immer der Weg des geringsten Widerstands, weil Alarme ohne zusätzliche Middleware ankommen.
• Sind Sie MSSP mit vielen Kundenmandaten? Prüfen Sie zuerst das MSSP-Lizenzmodell von Cortex XSOAR, das bei 16.600 US-Dollar pro Nutzer beginnt und mandantenübergreifend skaliert.
• Haben Sie ein festes Budget unter 30.000 US-Dollar pro Jahr? TheHive Gold oder Platinum über AWS Marketplace deckt diesen Bereich ab, ohne auf professionellen Support zu verzichten.
• Brauchen Sie lückenlose Audit-Trails für Aufsichtsbehörden? Die War-Room-Protokollierung von Cortex XSOAR ist dafür historisch am stärksten ausgelegt.
• Wollen Sie erst evaluieren, bevor Sie Budget beantragen? Starten Sie mit der TheHive Community Edition oder der 100-Aktionen-Grenze von Splunk SOAR, bevor Sie in eine kostenpflichtige Stufe wechseln.
• Arbeiten Sie stark mit Palo-Alto-Sicherheitsprodukten wie Next-Generation-Firewalls oder Cortex XDR? Dann liefert Cortex XSOAR durch die native Verzahnung wahrscheinlich den schnellsten Automatisierungserfolg ohne zusätzliche Konnektor-Entwicklung.
• Müssen Falldaten aus regulatorischen Gründen ausschließlich in einem selbst kontrollierten, europäischen Rechenzentrum liegen? Dann ist ein selbst gehostetes TheHive-Deployment die risikoärmste Option gegenüber den beiden US-Cloud-Anbietern.

Migrationsleitfaden: Zwischen SOAR-Plattformen wechseln

Ein Plattformwechsel im laufenden SOC-Betrieb ist riskant, weil während der Umstellung reale Alarme weiterlaufen. Anders als bei einem internen Fachtool kann ein SOAR-Wechsel nicht einfach über ein Wochenende durchgezogen werden, ohne dass in dieser Zeit ein Sicherheitsvorfall unbemerkt bleibt. Die folgenden Schritte haben sich in der Praxis als Grundgerüst bewährt, unabhängig davon, in welche Richtung gewechselt wird.

1. Bestandsaufnahme aller aktiven Playbooks, Automatisierungen und Integrationen im Altsystem erstellen, inklusive Verantwortlichkeiten.
2. Historische Fälle und Beobachtungen exportieren, idealerweise über die REST-API statt über manuelle CSV-Exporte, um Feldbezüge zu erhalten.
3. Zielsystem in einer isolierten Testumgebung aufsetzen und mit den Lizenzstufen abgleichen, die tatsächlich benötigt werden.
4. Kritische Integrationen (SIEM, Firewall, Ticketing) einzeln neu anbinden und mit synthetischen Testalarmen validieren.
5. Playbook-Logik übersetzen: Visuelle Playbooks aus Splunk SOAR oder Cortex XSOAR lassen sich nicht automatisch importieren und müssen Schritt für Schritt nachgebaut werden.
6. Parallelbetrieb von zwei bis vier Wochen einplanen, in dem beide Systeme Alarme empfangen, aber nur eines aktiv Aktionen ausführt.
7. Team-Schulung durchführen, bevor das neue System die alleinige Entscheidungsgrundlage wird.
8. Cut-over an einem alarmarmen Tag durchführen, mit einem definierten Rollback-Plan für die ersten 48 Stunden.
9. Altsystem erst nach mindestens einem vollständigen Berichtszyklus (zum Beispiel Monatsabschluss) stilllegen, damit rückwirkende Audits noch möglich sind.

Der aufwendigste Schritt ist fast immer die Übersetzung der Playbook-Logik, weil jede Plattform eigene Bausteine und Datenmodelle verwendet. Teams, die von Splunk SOAR zu Cortex XSOAR wechseln, berichten in Foren regelmäßig, dass komplexe Playbooks komplett neu entworfen statt nur übertragen werden müssen. Wer von einer kommerziellen Plattform zu TheHive wechselt, gewinnt dafür den Vorteil, künftige Anpassungen selbst im Quellcode vornehmen zu können.

Vor- und Nachteile im direkten Überblick

Nach der detaillierten Betrachtung von Preisen, Architektur und Praxiseinsatz lassen sich die Stärken und Schwächen der drei Plattformen kompakt gegenüberstellen. Diese Übersicht eignet sich als schnelle Gedächtnisstütze für interne Entscheidungsrunden, ersetzt aber nicht den detaillierten Blick in die Tabellen weiter oben.

Produkt	Vorteile	Nachteile
TheHive	Kostenloser Einstieg, Quelloffenheit, transparente Cloud-Preise über AWS Marketplace	Kleinere Automatisierungstiefe als die kommerziellen Konkurrenten, begrenzte kostenlose Nutzerzahl
Splunk SOAR	Nahtlose Anbindung an Splunk-SIEM, mächtige Python-Playbooks	Seat-basierte Lizenz skaliert linear mit Teamwachstum, kaum öffentliche Listenpreise
Cortex XSOAR	Integriertes Threat-Intelligence-Management, günstiges MSSP-Modell, tiefe Palo-Alto-Integration	Hohe Einstiegskosten im Enterprise-Paket, stärkere Bindung an ein Herstellerökosystem

Unser Urteil: Welches Tool 2026 die Nase vorn hat

Eine pauschale Kaufempfehlung gibt es bei SOAR-Software nicht, weil sich die Anschaffungskosten je nach Team- und Lizenzgröße um den Faktor zehn oder mehr unterscheiden können. Wer bereits Splunk als SIEM betreibt, sollte zuerst ein Angebot für Splunk SOAR einholen, weil die Integrationsersparnis oft die höheren Lizenzkosten aufwiegt. MSSPs mit vielen Mandanten fahren mit dem nutzerbasierten Cortex-XSOAR-Modell rechnerisch günstiger als mit mandantenbasierten Alternativen, sobald die Kundenzahl zweistellig wird.

Für alle anderen, insbesondere für kleinere interne SOCs, öffentliche Einrichtungen und Teams mit begrenztem Budget, ist TheHive der wirtschaftlichste Startpunkt. Die öffentlich einsehbaren Preise von 17.000 bis 58.530 US-Dollar pro Jahr, je nach Stufe und Nutzerzahl, lassen sich deutlich präziser budgetieren als die quote-only-Modelle der Konkurrenz, bei denen die tatsächlichen Kosten erst nach einem Vertriebsgespräch feststehen. Wer zusätzlich Wert auf Quelloffenheit und Unabhängigkeit von einem einzelnen Hersteller legt, findet in TheHive über 2026 hinaus die risikoärmste Basis für den Aufbau einer Incident-Response-Fähigkeit.

Am Ende entscheidet meist nicht die Tabelle mit den Preisen, sondern eine ehrliche Bestandsaufnahme des eigenen Teams: Wie viele Analysten bearbeiten heute Alarme, wie viele werden es in zwei Jahren sein, und wie viel Zeit kann das Team realistisch in den Aufbau eigener Playbooks investieren. Ein kleines Team mit wenig Automatisierungs-Know-how gewinnt mit einer einfacheren, günstigeren Plattform oft mehr als mit einem mächtigen, aber ungenutzten Funktionsüberschuss. Wer dagegen bereits ein eingespieltes Automatisierungsteam hat, kann die höheren Lizenzkosten von Splunk SOAR oder Cortex XSOAR über eingesparte Analystenstunden häufig wieder hereinholen.

Unabhängig von der gewählten Plattform gilt: Die Software ersetzt keinen dokumentierten Reaktionsplan. Wer sich am NIST Cybersecurity Framework orientiert oder die Vorgaben des BSI zur Basis nimmt, schafft die organisatorische Grundlage, auf der jedes der drei Tools erst seinen vollen Nutzen entfaltet.

Häufig gestellte Fragen zu TheHive, Splunk SOAR und Cortex XSOAR

Ist TheHive wirklich komplett kostenlos nutzbar?
Nur in der Community-Edition, die auf zwei Nutzer und eine Organisation begrenzt ist und eine formlose Lizenzanfrage bei StrangeBee voraussetzt. Für größere Teams werden die kostenpflichtigen Stufen Gold oder Platinum benötigt.

Kann ich Splunk SOAR ohne Splunk-SIEM einsetzen?
Technisch ja, praktisch verliert das Produkt dann einen Großteil seines Vorteils, da die enge Kopplung an Splunk Enterprise Security ein zentrales Verkaufsargument ist.

Was kostet Cortex XSOAR für ein kleines Team?
Das Starter-Enterprise-Paket für zwei Nutzer liegt laut Reseller-Preislisten bei rund 125.000 US-Dollar, was Cortex XSOAR für sehr kleine Teams tendenziell unwirtschaftlich macht.

Warum tauchen bei allen drei Produkten kaum offizielle Listenpreise auf?
Alle drei Hersteller verhandeln Enterprise-Verträge individuell. Öffentlich zugängliche Zahlen stammen meist aus Beschaffungsdokumenten, Reseller-Katalogen oder Marktplätzen wie AWS Marketplace, nicht von den Herstellerseiten selbst. Wer eine belastbare Hausnummer für die eigene Budgetplanung braucht, sollte diese öffentlichen Quellen als Ausgangspunkt nutzen und darauf aufbauend mindestens zwei Angebote parallel einholen.

Ist TheHive-Cortex dasselbe wie Cortex XSOAR?
Nein. TheHives Analyzer-Engine heißt zufällig ebenfalls Cortex, hat aber keinerlei Verbindung zu Palo Alto Networks oder Cortex XSOAR. Es handelt sich um eine reine Namensgleichheit zweier unabhängiger Projekte.

Welches Tool eignet sich am besten für NIS-2-Compliance?
Alle drei können die dokumentierten Prozesse abbilden, die NIS-2 verlangt. Cortex XSOAR hat durch die War-Room-Protokollierung einen leichten Vorteil bei der lückenlosen Nachvollziehbarkeit, TheHive und Splunk SOAR erfüllen die Anforderungen aber ebenfalls, wenn Playbooks und Fallakten sauber dokumentiert werden.

Lohnt sich ein Wechsel von Splunk SOAR zu TheHive, um Kosten zu sparen?
Rein preislich oft ja, insbesondere bei Teams unter zehn Analysten. Der Wechsel erfordert aber, dass bestehende Playbooks komplett neu aufgebaut werden, was den kurzfristigen Migrationsaufwand erhöht.

Bieten alle drei Anbieter Testphasen an?
TheHive lässt sich über die Community Edition dauerhaft kostenlos evaluieren. Splunk SOAR und Cortex XSOAR bieten in der Regel zeitlich befristete Testzugänge über den Vertrieb, aber keine dauerhaft nutzbare kostenlose Vollversion für den Produktivbetrieb. Wer eine Testphase plant, sollte den Vertriebskontakt frühzeitig nach der genauen Laufzeit und dem Funktionsumfang des Testzugangs fragen, da dieser je nach Region und Kontingent unterschiedlich ausfallen kann.