Wazuh vs Microsoft Sentinel vs Google SecOps: Das SIEM, das Sie wählen, ist die Rechnung, die Sie bekommen

Die meisten SIEM-Vergleiche sind Feature-Tabellen. Sie sind auch nutzlos, weil die Funktionen konvergieren und die Preismodelle nicht.

Wazuh, Microsoft Sentinel und Google SecOps nehmen alle Logs auf, erkennen alle Bedrohungen und stehen alle im Zentrum eines Security-Operations-Workflows. Was sie trennt, ist, was jedes von ihnen zählt — und diese Wahl entscheidet still darüber, was Ihr Team zu loggen bereit ist, und damit, was Sie um drei Uhr nachts untersuchen können.

Hier sind die drei Zähler, aus der Anbieterdokumentation, geprüft im August 2026.

Sentinel zählt Ihre Gigabyte

Microsoft Sentinel rechnet nach dem aufgenommenen Datenvolumen ab, bepreist nach der Stufe, in der die Daten landen.

Die Analytics-Stufe kennt zwei Modi:

• Pay-as-you-go — der Standard, basierend auf dem gespeicherten Datenvolumen. Microsoft misst ein GB hier als 10⁹ Bytes; anders als bei S3 sind das dezimale Gigabyte.
• Commitment Tiers — vorab gekaufte Kapazität ab 100 GB pro Tag zu einem vergünstigten effektiven Satz. Nutzung darüber hinaus wird zum selben effektiven Satz berechnet, nicht zum Pay-as-you-go-Preis.

Die ersten 90 Tage Aufbewahrung sind enthalten. Danach zahlen Sie die Log-Analytics-Preise.

Ein Vorbehalt zu den Zahlen in diesem Artikel: Microsoft hält die tatsächlichen Preise pro GB auf der Preisseite und im Kostenrechner fest, nicht in der Abrechnungsdokumentation, und sie variieren nach Region und Commitment Tier. Dokumentiert ist — und architektonisch entscheidend — die Struktur weiter unten. Für den für Sie geltenden Satz rechnen Sie Ihr Volumen durch den Sentinel-Kostenrechner.

Neu ist zudem eine Data-Lake-Stufe, die vier Dinge getrennt misst: Aufnahme, Verarbeitung, Speicherung und Abfragen. Der Speicherwert wird mit einer festen Kompressionsrate von 6:1 berechnet — 600 GB Rohdaten werden als 100 GB abgerechnet. Abfragen dagegen kosten pro GB unkomprimiert gescannter Daten. Beide Angaben stehen in der Doku nebeneinander und werden beim Schätzen leicht verwechselt.

Eine wirklich nützliche Menge an Quellen ist kostenlos: Azure-Activity-Logs, Sentinel Health, Office-365-Audit-Logs für SharePoint, Exchange und Teams sowie Sicherheitswarnungen der Defender-Familie. Der Vorbehalt ist scharf — die Warnungen sind kostenlos, die Rohlogs hinter mehreren dieser Produkte nicht.

Die Falle in den Commitment Tiers

Sie können eine Stufe jederzeit erhöhen. Senken können Sie sie nur alle 31 Tage.

Diese Asymmetrie sollte man einplanen. Legen Sie sich auf ein Niveau fest, das Ihr Logvolumen nicht hält — weil eine laute Quelle abgeschaltet wurde oder eine Migration endete — zahlen Sie diese Kapazität den Rest des Monats.

Ein Datum für den Kalender

Nach dem 31. März 2027 wird Microsoft Sentinel im Azure-Portal nicht mehr unterstützt und ist nur noch im Microsoft-Defender-Portal verfügbar. Wenn Ihre Runbooks, Schulungsunterlagen oder Automatisierungen auf Azure-Portal-Pfade verweisen, ist das eine terminierte Migrationsaufgabe, keine optionale.

Google SecOps zählt Ihre Detection-Regeln

Google veröffentlicht drei Pakete und überhaupt keine Preise. Bei jeder Stufe steht “contact sales for pricing”.

Öffentlich ist die Form der Grenzen, und sie ist ungewöhnlich: Die Obergrenzen sind in Detection-Regeln ausgedrückt, nicht in Gigabyte.

Alle drei enthalten 12 Monate Hot-Retention, über 700 Parser und über 300 SOAR-Integrationen. Enterprise Plus ergänzt fortgeschrittenes Data-Pipeline-Management, 12 Monate Routing an ein anderes Ziel zur Unterstützung von SIEM-Migrationen sowie kostenlosen BigQuery-Speicher für UDM-Exporte.

Zwei Beobachtungen, eine günstige und eine nicht.

Für Google: Zwölf Monate Hot-Retention als Standard sind eine andere Haltung als 90 Tage inklusive und danach monatliche Zahlung. Wenn Ihre Compliance oder Ihre Vorfallszeiträume ein Jahr durchsuchbarer Daten voraussetzen, ist das ein struktureller Unterschied, kein Rabatt.

Gegen Google: Ohne Vertriebsgespräch lässt sich kein Budget modellieren. Für ein Plattformteam, das drei Optionen in einer Tabelle vergleichen will, ist “contact sales” selbst ein Kostenfaktor — Wochen Beschaffung, bevor überhaupt klar ist, ob die Option je infrage kam.

Wazuh zählt Ihre Agenten — oder nichts

Wazuh ist der Open-Source-Vertreter, und seine Bepreisung teilt sich sauber in zwei Hälften.

Selbst gehostet kostet keine Lizenzgebühr. Das ist wirklich kostenlos in dem Sinn, dass die Software nichts kostet, und wirklich nicht kostenlos in dem Sinn, dass Sie nun einen Indexer-Cluster betreiben, dessen Speicher mit jeder angebundenen Logquelle wächst — plus Upgrades, plus Kapazitätsplanung, plus die Person, die das versteht.

Wazuh Cloud startet bei 571 $ pro Monat für die Small-Stufe: bis zu 100 aktive Agenten, ein Monat indizierte Aufbewahrung und drei Monate Archivaufbewahrung, mit Standard-Support. Größere Stufen skalieren von dort. Die Plattform ist PCI-DSS- und SOC-2-zertifiziert, mit 14-tägiger Testphase.

Schauen Sie genau auf diesen Zähler, denn er ist der entscheidende Teil: Wazuh Cloud zählt aktive Agenten und Aufbewahrungsfenster, nicht aufgenommene Gigabyte. Ein gesprächiger Endpunkt kostet so viel wie ein stiller.

Das dreht den Anreiz komplett um. Unter Sentinel erhöht eine ausführliche Audit-Richtlinie auf einem Server Ihre Rechnung. Unter Wazuh Cloud nicht.

Der Vergleich, auf den es ankommt

Der Teil, den niemand in den Vergleich schreibt

Ein Volumenzähler erzeugt einen perversen Anreiz, und man sollte ihn klar benennen: Je besser Ihr Logging, desto höher Ihre Rechnung.

Aktivieren Sie ausführliches Audit-Logging auf einem Domain Controller, bewegt sich die Rechnung. Binden Sie eine laute, aber gelegentlich entscheidende Quelle an — DNS-Abfragelogs etwa oder Prozesserstellungs-Events — fragt jemand aus dem Controlling nach dem Warum. Die rationale Teamreaktion ist Filtern: Debug-Level senken, laute Quellen samplen, Anbindung verschieben.

Jede dieser Entscheidungen bleibt unsichtbar bis zum Vorfall. Dann stellt sich die fehlende Telemetrie als genau das heraus, was die Untersuchung gebraucht hätte, und niemand erinnert sich, dass es eine Budgetentscheidung von vor acht Monaten war.

Das ist kein Argument dagegen, dass Pro-GB-Preise legitim sind. Es ist ein Argument dafür, den Zähler als architektonische Randbedingung zu behandeln:

• Wirklich hochwertige Sicherheitstelemetrie in die teure Analytics-Stufe leiten, wo die Detections laufen.
• Volumenstarke, geringwertige Daten in einer günstigeren Stufe halten, die Sie im Bedarfsfall trotzdem durchsuchen können — Sentinels Lake-Stufe existiert genau dafür, und Googles Enterprise-Plus-Paket enthält Routing an ein anderes Ziel.
• Aufschreiben, welche Quellen Sie nicht aufgenommen haben, und warum. Dieses Dokument werden Sie beim ersten ernsten Vorfall sehen wollen.

Die Wahl

Nehmen Sie Sentinel, wenn Sie ohnehin ein Microsoft-Security-Haus sind. Die kostenlosen Datenquellen — Office-365-Audit-Logs, Defender-Warnungen, Azure Activity — sind ein realer wirtschaftlicher Vorteil, den kein Wettbewerber für diesen Bestand erreicht, und das Defender-Portal ist erkennbar die Richtung, in die Microsoft geht.

Nehmen Sie Google SecOps, wenn Aufbewahrungstiefe und Detection-Qualität mehr zählen als planbare Budgets. Zwölf Monate Hot-Daten als Standard sind eine andere Betriebshaltung, und die Mandiant-Intelligence in Enterprise Plus lässt sich nicht selbst zusammenbauen. Kalkulieren Sie die Beschaffungszeit ein.

Nehmen Sie Wazuh, wenn Sie die Ingenieurskapazität haben und den Zähler loswerden wollen. Selbst gehostet, keine Lizenzkosten, keine Pro-GB-Angst, volle Kontrolle über die Aufbewahrung. Sie tauschen eine Softwarerechnung gegen eine Betriebsrechnung — ein guter Tausch für manche Teams und ein schlechter für Teams ohne Plattformfunktion.

Und prüfen Sie den Zähler gegen Ihre eigene Form. Wenige Endpunkte mit riesigen Logs? Volumenpreise sind Ihr Feind. Zehntausende stille Endpunkte? Agentenpreise sind es. Komplexe Korrelationslogik? Dann sind die Regel-Obergrenzen die Randbedingung, vor der Sie niemand gewarnt hat.

Eine kurze Checkliste

1. Messen Sie Ihr aktuelles tägliches Logvolumen in GB und Ihre Endpunktzahl. Sie brauchen beide Zahlen, weil verschiedene Anbieter jeweils eine davon abrechnen.
2. Listen Sie Ihre Quellen nach Wert, nicht nach Volumen. Die teure Stufe ist für die wertvollen.
3. Prüfen Sie, welche Ihrer Quellen auf der erwogenen Plattform kostenlos sind — bei Microsoft-Beständen auf Sentinel kann das ein großer Anteil sein.
4. Modellieren Sie die Aufbewahrung ausdrücklich: 90 Tage inklusive ist ein ganz anderes Budget als 12 Monate inklusive.
5. Wenn Sie ein Commitment Tier erwägen, modellieren Sie den Monat, in dem Ihr Volumen sinkt. Senken geht nur alle 31 Tage.
6. Für Google: Beginnen Sie das Vertriebsgespräch früh — was man nicht bepreisen kann, kann man nicht bewerten.
7. Schreiben Sie auf, welche Quellen Sie nicht aufgenommen haben. Prüfen Sie diese Liste nach jedem Vorfall.

Der eigentliche Punkt

Jeder SIEM-Anbieter wird Ihnen sagen, seine Plattform erkenne mehr mit weniger Aufwand. Sie konkurrieren mit denselben Detections, denselben Integrationen, zunehmend denselben KI-Assistenten.

Wirklich unterscheiden sie sich darin, was sie zählen — und was sie zählen, wird zu dem, wogegen Ihr Team optimiert. Ein Pro-Gigabyte-Zähler erzeugt eine Organisation, die Logs filtert. Ein Agentenzähler erzeugt eine, die die Endpunktabdeckung begrenzt. Eine Regel-Obergrenze erzeugt eine, die Detections zu wenigen, breiteren Regeln zusammenfasst.

Wählen Sie die Randbedingung, mit der Sie leben können, und gestalten Sie bewusst um sie herum — statt sie auf einer Rechnung zu entdecken.

---

Weiterlesen: Was überhaupt in ein SIEM fließt, steht in Falco in Produktion und Eigenes CSPM auf GCP. Dieselbe Ökonomie beim Speicher: Was Egress wirklich kostet.

Quellen: Alle Angaben stammen aus der Anbieterdokumentation, geprüft im August 2026 — Microsoft Sentinel Billing (Stand Juni 2026), die Produktseite Google Security Operations und Wazuh Cloud. Preise ändern sich; prüfen Sie vor jeder Budgetzusage.