SecOps Toolkit

Kostenrechner für Log-Speicherung: SIEM vs. Cloud Storage

Wo Sicherheits-Logs gespeichert werden, ist eine der am schwersten zu budgetierenden Positionen im SOC. Dieser Rechner vergleicht in USD pro Monat und pro Jahr, was es kostet, Ihre Logs in Objektspeicher (AWS S3, Glacier, Cloudflare R2, Backblaze B2 und Wasabi) zu halten, im Vergleich zu einer Referenz für Splunk Cloud und AWS CloudWatch Logs.

Die Berechnung berücksichtigt Hot- und Cold-Aufbewahrung, Kompression, monatliche Suchen sowie Egress- und Abrufgebühren, und Sie können alle Preise an Ihre eigenen Angebote anpassen.

Warum Log-Kosten schneller wachsen als die Infrastruktur

In den meisten Organisationen verdoppelt sich das Volumen an Sicherheits- und Anwendungs-Logs alle paar Monate: mehr Microservices, mehr Endpunkte, mehr Authentifizierungsereignisse und mehr Netzwerkverkehr. Klassische SIEM-Produkte rechnen nach Ingest-Volumen ab, sodass jedes aufgenommene Gigabyte Geld kostet, ganz gleich, ob es später abgefragt wird. Dieselben Daten in Objektspeicher abzulegen kostet nur einen Bruchteil, bringt aber Kostenpositionen mit, die häufig übersehen werden: Abrufgebühren und Datenausgangsgebühren (Egress).

Berechnungsmodell und Formeln

Der Rechner arbeitet mit einem Modell im Beharrungszustand, das heißt, die Aufbewahrung ist bereits voll und jeder Monat hat 30 Tage. Hot- und Cold-Tier werden anhand komprimierter Daten dimensioniert:

  • Roh-Ingest pro Monat: I = GB_Tag × 30
  • Komprimiertes Tagesvolumen: Vk = GB_Tag / r, wobei r die Kompressionsrate ist.
  • Hot- und Cold-Speicher: H = Vk × Tage_Hot und K = Vk × Tage_Cold
  • Speicherkosten: H × Preis_Hot + K × Preis_Cold, mit Preisen in USD pro GB-Monat.
  • Gelesene Daten pro Monat: L = Suchen × GB_pro_Suche / r. Fragt ein Anteil p der Suchen das Cold-Archiv ab, gilt L_Cold = L × p und L_Hot = L − L_Cold.
  • Egress: max(0, L − g × (H + K)) × Preis_Egress, wobei g der kostenlose Egress als Vielfaches der gespeicherten Daten ist (3 bei Backblaze B2, 0 bei den übrigen).
  • Glacier-Abruf: L_Cold × Preis_Abruf
  • Splunk Cloud (Referenz): I × Preis_pro_GB_Ingest zuzüglich Cold-Archiv.
  • CloudWatch Logs: I × Preis_Ingest + H × Preis_Speicher + (L_Hot × r) × Preis_Insights

Rechenbeispiel mit den Standardwerten

Bei 200 GB pro Tag unkomprimiert, 30 Tagen Hot, 335 Tagen Cold und einer Kompressionsrate von 8:1 beträgt der Roh-Ingest 6.000 GB pro Monat, das komprimierte Tagesvolumen 25 GB, und es werden rund 750 GB im Hot-Tier und 8.375 GB im Cold-Tier gespeichert. Mit den mitgelieferten ungefähren Listenpreisen liegt S3 Standard mit Glacier bei etwa 115 USD pro Monat, Backblaze B2 bei rund 55 USD, Wasabi bei etwa 64 USD, Cloudflare R2 bei rund 137 USD und S3 nur mit Standard bei etwa 277 USD. Die Referenzschätzungen für CloudWatch Logs und Splunk Cloud, die nach Ingest abrechnen, liegen bei rund 3.100 beziehungsweise 24.000 USD pro Monat. Die konkreten Werte hängen von den Preisen ab, die Sie anpassen.

Was Sie über die einzelnen Anbieter wissen sollten

  • AWS S3 Standard: hochverfügbarer Objektspeicher ohne Abrufgebühr, aber mit Egress ins Internet.
  • S3 Glacier Flexible Retrieval: sehr günstig pro GB, mit Abrufgebühr, Abruflatenz und 90 Tagen Mindestspeicherdauer. Ideal für das Cold-Archiv.
  • Cloudflare R2: S3-API-kompatibel und ohne Egress-Gebühr, was häufige Lesezugriffe begünstigt.
  • Backblaze B2: niedriger Speicherpreis und kostenloser Egress bis zum Dreifachen der gespeicherten Daten.
  • Wasabi: pauschaler Speicherpreis ohne Egress im Rahmen der Fair-Use-Richtlinie, mit Mindestspeicherdauer.
  • Splunk Cloud und CloudWatch Logs: enthalten Indexierung und Suche, werden aber vor allem nach aufgenommenem Volumen abgerechnet und sind daher die teure Referenz in der Tabelle.

Referenzarchitektur: gestufte Speicherung

Eine gängige Architektur zur Kostensenkung trennt die interaktive Suche von der Compliance-Aufbewahrung. Collector senden die Ereignisse an eine Pipeline, die sie nach Kritikalität verteilt: Wertvolle Ereignisse (Authentifizierung, EDR, Firewall) landen für 30 bis 90 Tage im SIEM, während das gesamte Volumen komprimiert (gzip oder Parquet) und nach Datum und Quelle partitioniert im Objektspeicher archiviert wird. Für historische Untersuchungen liest eine Abfrage-Engine nur die benötigten Partitionen. So indexiert das SIEM weniger Daten, und das Archiv erfüllt die geforderte Aufbewahrung; PCI DSS verlangt beispielsweise, die Audit-Log-Historie mindestens 12 Monate aufzubewahren, davon drei Monate sofort verfügbar.

Im DACH-Raum kommen weitere Aspekte hinzu: Protokolldaten mit IP-Adressen sind personenbezogene Daten, für die der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO gilt. Außerdem wählen viele Organisationen bewusst EU-Regionen wie Frankfurt, um Anforderungen an den Datenstandort zu erfüllen. Das BSI empfiehlt im IT-Grundschutz-Baustein zur Protokollierung (OPS.1.1.5), Umfang und Dauer der Protokollierung systematisch festzulegen.

Praxisbeispiele

  • SIEM-Migration budgetieren: die jährlichen Kosten für durchgehend heiße Speicherung mit einem gestuften Modell vergleichen.
  • Aufbewahrungspflichten erfüllen: ein Archiv für 12 Monate oder mehr dimensionieren, ohne Indexierung für Daten zu bezahlen, die kaum abgefragt werden.
  • MSSP und FinOps-Teams: die Kosten pro Kunde schätzen und den Punkt erkennen, an dem Egress die Speicherersparnis übersteigt.
  • Archiv-Anbieter auswählen: abwägen, wie stark Egress ins Gewicht fällt, wenn Suchen außerhalb des Anbieternetzes laufen.

Grenzen des Modells

Das Werkzeug berücksichtigt keine Anfragegebühren (PUT, GET, LIST), keine Rechenkosten der Abfrage-Engine, keine Rabatte für Mindestabnahmen und keine Steuern. Die Preise sind ungefähre Listenpreise, die sich häufig ändern, und die tatsächliche Kompressionsrate hängt von Format und Wiederholungsgrad Ihrer Logs ab. Nutzen Sie die Ergebnisse für Größenordnungsvergleiche und ersetzen Sie sie vor Kaufentscheidungen durch reale Angebote.

Häufig gestellte Fragen

Welche Kompressionsrate ist bei Logs typisch?
Textbasierte Logs sind sehr repetitiv und lassen sich mit gzip oder zstd meist gut komprimieren. Üblich sind Raten von 5:1 bis 10:1, bei stark strukturierten Logs auch deutlich mehr. Spaltenformate wie Parquet können das Ergebnis weiter verbessern. Logs mit binären Nutzdaten, zufälligen Kennungen oder bereits verschlüsselten Daten komprimieren dagegen schlechter. Kennen Sie Ihre tatsächliche Rate nicht, komprimieren Sie eine repräsentative Tagesprobe und messen Sie den Größenunterschied, bevor Sie sich auf den Standardwert verlassen.
Was sind Egress-Gebühren und warum sind sie bei Log-Archiven relevant?
Egress bezeichnet die Gebühr, die ein Anbieter für Daten erhebt, die sein Netzwerk Richtung Internet oder in eine andere Cloud verlassen. Läuft Ihr SIEM oder Ihre Abfrage-Engine außerhalb des Speicheranbieters, erzeugt jede Suche im Archiv Egress. Bei Anbietern wie AWS kann diese Gebühr bei intensiver Nutzung die Speicherkosten übersteigen, während Cloudflare R2 keine erhebt und Backblaze B2 ein Freikontingent bietet. Laufen Ihre Suchen in derselben Cloud und Region, können Sie den Egress-Schalter deaktivieren.
Sind die Preise im Rechner offiziell?
Nein. Es handelt sich um ungefähre öffentliche Listenpreise, die sich für Größenordnungsvergleiche eignen und sich inzwischen geändert haben können. Die tatsächlichen Kosten hängen von Region, Volumen, Mengenrabatten und dem Vertrag mit dem jeweiligen Anbieter ab. Deshalb lassen sich im Rechner alle Einzelpreise im entsprechenden Bereich bearbeiten. Ersetzen Sie sie vor einer Entscheidung durch Angebote oder die offiziellen Preisrechner der Anbieter und betrachten Sie die Zeilen für Splunk Cloud und CloudWatch als Referenzschätzungen.
Wie lange sollte ich Logs im Hot- und im Cold-Tier aufbewahren?
Das hängt von Ihrem Anwendungsfall und den geltenden Vorgaben ab. Für Erkennung und Incident Response halten viele Teams 30 bis 90 Tage sofort durchsuchbar vor. Für Audit und Compliance lässt sich das Cold-Archiv auf 12 Monate oder mehr erweitern; PCI DSS verlangt beispielsweise mindestens 12 Monate Audit-Log-Historie, davon drei Monate sofort verfügbar. Bei Logs mit personenbezogenen Daten gilt zusätzlich der Grundsatz der Speicherbegrenzung der DSGVO. Klären Sie die exakten Fristen mit Ihrer Compliance- und Datenschutzstelle.
Werden meine Angaben zum Log-Volumen an einen Server gesendet?
Nein. Die Berechnung läuft vollständig in Ihrem Browser per JavaScript. Die eingegebenen Werte, etwa tägliche GB, Aufbewahrungstage oder angepasste Preise, werden weder an Server des SecOps Toolkit übertragen noch dort gespeichert. Sie können daher reale Zahlen Ihrer Organisation verwenden, ohne sie preiszugeben.