Lösung · SIEM & SOC

SIEM-Export für IhrE-Mail-Security-Gateway.Ohne Datensilo.

Phishing-, Malware-, DLP-, Quarantäne- und Mailflow-Events aus MailGuard fließen als normalisierter Stream in Ihr SIEM. Per Pull-API, in CEF, LEEF, ECS oder JSON, an Splunk, Microsoft Sentinel, IBM QRadar oder Elastic.

Demo anfragen MailGuard im Detail

DMARC Reports

Berichte ausgewertet

Warum E-Mail-Security-Events ins SIEM gehören

E-Mail ist der häufigste Angriffsweg. Wer die Gateway-Verdicts nicht korreliert, sieht den Angriff erst zu spät.

Bedrohungen bleiben im Gateway-Silo

Phishing, BEC und Malware werden am Gateway erkannt, aber ohne Export erscheinen sie nie im zentralen SOC-Dashboard. Die Korrelation mit Endpoint-, Firewall- und Identity-Logs fehlt.

NIS2 und DSGVO verlangen Nachweise

NIS2 fordert Protokollierung und Nachweisbarkeit sicherheitsrelevanter Ereignisse, die DSGVO ein Verzeichnis nach Art. 30. Ohne durchgängigen Event-Export bleibt der Nachweis lückenhaft.

Proprietäre Exporte oder teure Add-ons

Viele Gateways liefern Logs nur über kostenpflichtige Enterprise-Stufen, unvollständige Formate oder einen US-Cloud-Umweg. Das erschwert die Anbindung und die Datenresidenz.

Push-Syslog ist fragil

Reines Syslog-Push über UDP verliert Events bei Lastspitzen und ist schwer durch Firewalls zu führen. Ein cursor-basierter Pull ist robuster und lückenlos.

Wie Conbool die Events ins SIEM bringt

Ein append-only Event-Stream, den jedes SIEM abholt. Kein Datensilo, kein Vendor-Lock-in.

1. Cursor-basierte Pull-API

Ihr SIEM oder Collector pollt einen authentifizierten HTTPS-Endpunkt und blättert per Cursor lückenlos durch neue Events. Firewall-freundlich, wiederaufsetzbar, mit 30-Tage-Fenster und Replay.

2. Vier Formate, jedes SIEM

CEF für Splunk und ArcSight, LEEF für IBM QRadar, ECS für Elastic und Kibana, JSON generisch. Pro Zugang wählbar, ohne dass Sie selbst konvertieren müssen.

3. Mandantenfähig und aus der EU

Jedes Event trägt die Mandanten-Zuordnung, sensible Felder lassen sich hashen oder entfernen. Verarbeitung in europäischen Rechenzentren, kein US-Cloud-Zwischenlayer.

Was der SIEM-Export liefert

In jeder MailGuard-Lizenz enthalten, kein Enterprise-Aufpreis.

Vollständige Event-Palette

Mailflow, Threat-Detection, Malware-Verdikte, DLP-Vorfälle, Quarantäne und Freigaben, Link-Klicks. SecureFiles- und SecureMail-Ereignisse sind in Vorbereitung.

CEF, LEEF, ECS, JSON

Alle vier Industriestandards nativ, pro API-Zugang einstellbar. Keine eigene Transformations-Pipeline nötig.

DSGVO-Modus für Payloads

Betreffzeilen und Adressen wahlweise im Klartext, als sha256-Hash oder entfernt. Korrelierbar bleibt es trotzdem.

Push per Webhook oder Syslog

Alternativ zum Abruf schickt Conbool neue Ereignisse selbst: HMAC-signiert an Ihre URL, oder als Syslog nach RFC 5424 über TCP mit TLS an Ihren eigenen Sammler. Rahmung nach RFC 6587 mit Zählung, damit keine Nachricht an einem Zeilenumbruch zerfällt.

Audit-Modus abgebildet

Jedes Verdict zeigt, ob es geblockt oder nur beobachtet wurde. So unterscheidet Ihr SOC echte Blocks von reiner Audit-Erkennung.

Konfigurierbare Aufbewahrung

Retention pro Mandant zwischen 7 und 365 Tagen, plus IP-Allowlist und Rate-Limit je Zugang für kontrollierten Zugriff.

Konfigurationsänderungen im Strom

Wer eine Richtlinie abschwächt, war im Sammler bisher unsichtbar. Jede Änderung liegt jetzt als eigenes Ereignis im Strom, mit Modul, Handlung und handelnder Person — genau die Handlung, die einem Vorfall oft vorausgeht.

Conbool gegen das übliche Gateway

Was ein SIEM-tauglicher Export können muss.

	Conbool MailGuard	Übliches E-Mail-Gateway
SIEM-Export inklusive	In jeder Lizenz enthalten	Oft nur teures Enterprise-Add-on
Formatabdeckung	CEF, LEEF, ECS, JSON	Häufig nur ein oder zwei Formate
Abrufmodell	Abruf mit Cursor, Webhook-Push und Syslog über TCP mit TLS	Meist nur Abruf, Syslog gegen Aufpreis
Datenresidenz	EU-Hosting, EU-Rechtsraum	Häufig US-Cloud-Umweg
DSGVO-Modus für Events	Klartext, Hash oder Redaktion	Selten steuerbar
Mandantenfähigkeit	Pro-Mandant-Tagging und Retention	Meist global, nicht getrennt

Stand Oktober 2026. Die rechte Spalte beschreibt das übliche Vorgehen ohne Conbool, keinen einzelnen Anbieter.

FAQ zum SIEM-Export

An welche SIEM-Systeme lässt sich Conbool anbinden?

An praktisch jedes SIEM, das einen authentifizierten HTTPS-Endpunkt pollen kann. Splunk, Microsoft Sentinel, IBM QRadar und Elastic werden über ihre Standard-Collector angebunden, generische Ziele über curl oder einen Cron-Job. Alternativ sendet Conbool die Events per Webhook-Push.

Welche Formate werden unterstützt?

CEF für Splunk und ArcSight, LEEF für IBM QRadar, ECS für Elastic und Kibana sowie JSON generisch. Das Format ist pro API-Zugang wählbar, eine eigene Konvertierung ist nicht nötig.

Welche Ereignisse werden exportiert?

Mailflow-Status, Threat-Detection, Malware-Verdikte, DLP-Vorfälle, Quarantäne und Freigaben sowie Link-Klicks aus MailGuard. SecureFiles- und SecureMail-Ereignisse sind in Vorbereitung.

Ist der Export DSGVO-konform?

Ja. Die Verarbeitung erfolgt in europäischen Rechenzentren ohne US-Cloud-Zwischenlayer. Sensible Felder wie Betreff und Adressen lassen sich pro Mandant im Klartext übertragen, als sha256-Hash oder vollständig entfernen. Ein Recht-auf-Vergessen-Endpunkt entfernt Spuren gezielt.

Kostet der SIEM-Export extra?

Nein. Der SIEM-Export ist Teil von MailGuard und in der Lizenz enthalten, ohne Enterprise-Aufpreis.

Warum Pull statt Push?

Ein cursor-basierter Pull ist firewall-freundlich, wiederaufsetzbar und verliert keine Events bei Lastspitzen. Wer Push bevorzugt, nutzt zusätzlich den HMAC-signierten Webhook mit Retry.

E-Mail-Security-Events in Ihrem SIEM.

In jeder MailGuard-Lizenz enthalten. Aus der EU, mandantenfähig, revisionssicher.