Ein mittelst\u00e4ndisches Unternehmen mit 50 GB Logdaten pro Tag zahlt f\u00fcr Splunk zwischen 235.000 und 250.000 Dollar im Jahr. Der ELK Stack kostet in der Open-Source-Version keinen Cent Lizenzgeb\u00fchren. Diesen Preisunterschied sp\u00fcren Security-Teams in Deutschland t\u00e4glich, wenn sie die Budgetplanung f\u00fcr ihr SIEM aufstellen. Dieser Vergleich zeigt, wann welche Plattform die bessere Wahl ist, was die Benchmarks wirklich bedeuten, und wie eine Migration in acht Schritten gelingt.<\/p>\n\n\n\n
Splunk Enterprise Security<\/strong> ist die kommerzielle All-in-One-Plattform f\u00fcr Log-Management, SIEM und UEBA. Sie \u00fcberzeugt durch sofort einsetzbare Detektionsregeln, ein ausgereiftes SOAR-\u00d6kosystem und erstklassigen Enterprise-Support. Der Preis daf\u00fcr liegt bei 1.800 bis 2.500 Dollar pro GB\/Tag j\u00e4hrlich.<\/p>\n\n\n\n Der ELK Stack<\/strong> (Elasticsearch, Logstash, Kibana, Beats) ist eine Open-Source-Plattform, die seit August 2024 wieder unter AGPLv3 verf\u00fcgbar ist. Elasticsearch z\u00e4hlt laut DB-Engines zu den meistgenutzten Enterprise-Suchmaschinen weltweit, mit \u00fcber 500.000 Downloads pro Monat. Die aktuelle Stable-Version ist 9.4.2 (Stand: 28. Mai 2026), unterst\u00fctzt bis Oktober 2027.<\/p>\n\n\n\n Das Fazit vorab:<\/strong> Splunk gewinnt bei Compliance, UEBA und schl\u00fcsselfertiger SIEM-Erfahrung. ELK gewinnt bei Kosten, Flexibilit\u00e4t und DevOps-naher Observability. F\u00fcr SOC-Teams in Deutschland mit NIS-2-Anforderungen gibt es kein universell richtiges Ergebnis, sondern eine Entscheidung nach Datenmenge, Budget und internem Know-how.<\/p>\n\n\n\n Splunk wurde 2003 gegr\u00fcndet und hat sich seitdem als dominante kommerzielle Plattform f\u00fcr Security Information and Event Management etabliert. Die Architektur besteht aus drei Hauptkomponenten: dem Universal Forwarder (Datensammlung), dem Indexer (Speicherung und Indizierung) und dem Search Head (Abfrage und Visualisierung). Splunk indiziert Daten in einem propriet\u00e4ren Format, das prim\u00e4r in C++ entwickelt wurde.<\/p>\n\n\n\n Das Besondere am Splunk-Ansatz ist das Prinzip “Schema on Read”: Daten werden beim Einlesen unkomprimiert gespeichert, das Schema wird erst bei der Abfrage angewendet. Das erm\u00f6glicht schnelle, flexible Suchanfragen ohne aufwendige Datenvorverarbeitung. Die Abfragesprache hei\u00dft SPL (Search Processing Language) und ist bei erfahrenen Analysten weit verbreitet.<\/p>\n\n\n\n Die Marktposition von Splunk ist stark: Die Plattform meldet 12.000 Unternehmenskunden und bietet mehr als 200 APIs sowie \u00fcber 1.000 vorgefertigte Anwendungen in den Kategorien DevOps, IT-Support und IT-Security. Dieser \u00d6kosystemreichtum macht Splunk zur bevorzugten Wahl in hochregulierten Branchen wie Finanzdienstleistungen, Gesundheitswesen und kritischer Infrastruktur.<\/p>\n\n\n\n Cisco \u00fcbernahm Splunk im M\u00e4rz 2024 f\u00fcr 28 Milliarden Dollar, was Splunk zus\u00e4tzliche Ressourcen f\u00fcr Produktentwicklung und globale Expansion verschaffte. Seitdem hat Splunk sein KI-Portfolio mit Funktionen wie UEBA (User and Entity Behavior Analytics), Mission Control und SOAR-Integration (Security Orchestration, Automation and Response) ausgebaut. F\u00fcr Unternehmen, die SOAR und UEBA nativ aus einer Hand brauchen, bleibt Splunk der Referenzstandard.<\/p>\n\n\n\n Splunk Cloud, die SaaS-Variante, erleichtert den Betrieb erheblich, \u00e4ndert aber nichts an der Preisstrategie. Das Lizenzmodell basiert auf dem t\u00e4glichen Datenvolumen (GB\/Tag), was f\u00fcr wachsende Organisationen zu \u00fcberraschend schnell steigenden Kosten f\u00fchren kann. F\u00fcr viele mittelst\u00e4ndische deutsche Unternehmen ist der Preispunkt ein ernsthaftes Hindernis, weshalb der ELK Stack in den letzten Jahren massiv Marktanteile gewonnen hat.<\/p>\n\n\n\n Der ELK Stack besteht aus vier Open-Source-Komponenten: Elasticsearch<\/strong> (Such- und Analysemaschine), Logstash<\/strong> (Datenverarbeitung und -routing), Kibana<\/strong> (Visualisierung und Dashboard) und Beats<\/strong> (leichtgewichtige Datenversender). Offiziell hei\u00dft das \u00d6kosystem heute “Elastic Stack”, im Sprachgebrauch hat sich ELK Stack durchgesetzt.<\/p>\n\n\n\n Elasticsearch basiert auf Apache Lucene und wurde in Java entwickelt. Im April 2025 erschien Elasticsearch 9.0 als erstes Major-Release der neuen Generation, das auf Lucene 10 und Java 21 aufsetzt. Die aktuelle Stable-Version 9.4.2 (ver\u00f6ffentlicht am 28. Mai 2026) bringt verbesserte ES|QL-Abfragen, native KI-Integration und performance-optimierte Shard-Verwaltung. Die 8.x-Linie (aktuell 8.19.16) wird parallel bis Juli 2027 unterst\u00fctzt.<\/p>\n\n\n\n Ein zentraler Unterschied zu Splunk liegt im Parsing-Ansatz: ELK arbeitet nach dem Prinzip “Schema on Write”, d. h., Daten werden beim Einlesen geparst und in einem strukturierten Format abgelegt. Das erfordert mehr Vorarbeit bei der Konfiguration, beschleunigt aber h\u00e4ufig Wiederholungsabfragen erheblich. F\u00fcr Teams, die bekannte Log-Formate (nginx, Apache, syslog) verarbeiten, ist dieser Ansatz vorteilhaft.<\/p>\n\n\n\n Seit August 2024 ist Elasticsearch ab Version 8.16.0 wieder unter der AGPLv3-Lizenz verf\u00fcgbar, zus\u00e4tzlich zu SSPL 1.0 und Elastic License 2.0. Das bedeutet: F\u00fcr selbst gehostete Installationen sind keine Lizenzgeb\u00fchren f\u00e4llig. Kommerzielle Funktionen wie Advanced Security Features, Machine Learning oder Elastic SIEM sind weiterhin an bezahlte Subscriptions gebunden. Elastic Cloud (die SaaS-Variante) wird nach verbrauchten Ressourcen abgerechnet.<\/p>\n\n\n\n Elastic Security, die SIEM-Komponente des ELK Stacks, w\u00e4chst schnell. Sie bietet vorgefertigte Detektionsregeln auf Basis von MITRE ATT&CK, Bedrohungsintelligenz-Feeds und Anomalie-Erkennung. Laut unabh\u00e4ngigen SOC-Analysten fehlen ihr jedoch noch ausgereiftes UEBA und eine native SOAR-Integration, wie sie Splunk Enterprise Security bietet. Wer diese Funktionen braucht, muss bei Elastic auf externe L\u00f6sungen oder Drittanbieter zur\u00fcckgreifen.<\/p>\n\n\n\n Die folgende Tabelle fasst die technischen Kernmerkmale beider Plattformen zusammen. Die Daten stammen aus offiziellen Vendor-Dokumentationen und unabh\u00e4ngigen SOC-Analysen (Stand: Juni 2026).<\/p>\n\n\n\nWas ist Splunk? Geschichte, Architektur und Marktposition<\/h2>\n\n\n\n
Was ist der ELK Stack? Elasticsearch, Logstash, Kibana und Beats<\/h2>\n\n\n\n
Technischer Vergleich: Spezifikationen auf einen Blick<\/h2>\n\n\n\n