Wazuh: Ein kostenloses SIEM, das auch ins Homelab passt

Was ich gefunden habe: Wazuh — eine Open-Source-Sicherheitsplattform, über die ich per Zufall in einem YouTube-Video gestolpert bin. Kannte ich vorher überhaupt nicht, obwohl sie im Firmenumfeld offenbar längst etabliert ist. Wazuh nennt sich selbst „SIEM und XDR" — und weil diese Abkürzungen erstmal nach Behördendeutsch klingen, fangen wir genau da an.

Moment — was ist überhaupt ein SIEM? #

SIEM steht für Security Information and Event Management. Hinter dem sperrigen Namen steckt eine einfache Idee: eine zentrale Stelle, an der die sicherheitsrelevanten Ereignisse aller deiner Geräte zusammenlaufen.

Jeder Server, jede VM, jeder Container schreibt ständig Logs — wer sich eingeloggt hat, welche Dienste gestartet wurden, was fehlgeschlagen ist. Solange diese Logs verstreut auf zehn Systemen liegen, schaut da niemand rein. Ein SIEM sammelt sie ein, wertet sie aus und schlägt Alarm, wenn etwas verdächtig aussieht: fünfzig fehlgeschlagene SSH-Logins in zwei Minuten, ein neuer Benutzer um drei Uhr nachts, eine Konfigurationsdatei, die sich plötzlich geändert hat.

Wenn du schon Uptime-Monitoring wie Uptime Kuma kennst, hilft dieser Vergleich: Uptime Kuma beantwortet „läuft es noch?" — ein SIEM beantwortet „ist es noch sicher?".

Und XDR? #

XDR heißt Extended Detection and Response — der Nachfolgebegriff dessen, was früher Virenscanner-Territorium war. Statt nur Logs zu lesen, sitzt dabei ein kleiner Agent direkt auf jedem System, beobachtet, was dort passiert (Prozesse, Dateiänderungen, installierte Pakete) und kann im Ernstfall auch reagieren — zum Beispiel eine IP-Adresse blocken, die gerade Passwörter durchprobiert. Also: SIEM = zentral sammeln und erkennen, XDR = auf den Geräten selbst hinschauen und eingreifen. Wazuh macht beides.

Was Wazuh konkret kann #

• Logs zentral auswerten — die Agents schicken alles an einen Server mit Web-Dashboard, Regeln erkennen bekannte Angriffsmuster.
• File Integrity Monitoring — Wazuh merkt sich Prüfsummen wichtiger Dateien und meldet, wenn sich z. B. /etc/passwd oder eine Docker-Compose-Datei ändert.
• Schwachstellen-Erkennung — die installierten Pakete werden gegen bekannte Sicherheitslücken (CVEs) abgeglichen. Du siehst also, welche deiner VMs verwundbare Software fährt, bevor es jemand anderes merkt.
• Agents für Linux, Windows und macOS — auch der Windows-Gaming-PC im selben Netz kann mitüberwacht werden.

Und das Beste: komplett Open Source, keine Lizenzkosten, kein Vendor-Lock-in. Die Enterprise-Welt zahlt für solche Funktionen sonst richtig Geld.

Die ehrliche Einschränkung #

Ein SIEM ist kein Leichtgewicht. Die Server-Komponente (Wazuh-Server plus Such-Index plus Dashboard) will spürbar RAM — als Richtwert solltest du eher 4–8 GB einplanen. Das ist nichts für den Pi neben dem Router, sondern etwas für den Proxmox-Host mit Reserven. Und: Ein SIEM entfaltet seinen Wert erst, wenn man die Alarme auch anschaut — ein Dashboard, das niemand öffnet, ist nur ein weiterer Stromverbraucher.

Für wen ist das was? #

Wenn du gerade erst mit dem Homelab anfängst: erstmal nicht ablenken lassen. Die Basics — Backups, Updates, Uptime-Monitoring — bringen dir mehr Sicherheit pro investierter Stunde. Wazuh ist der Schritt danach: für alle, deren Setup stabil läuft und die wissen wollen, was in ihrem Netz eigentlich vor sich geht.

Bei mir steht Wazuh jetzt auf der Projektliste — sobald es läuft, gibt es hier echte Zahlen (RAM-Verbrauch inklusive) und vermutlich einen Guide.