Zuletzt aktualisiert: 4.11.2026 · Lesezeit: 8-11 Minuten
Wazuh vs Elastic: Beide sammeln Logs, erkennen verdächtige Aktivitäten und lassen sich selbst hosten. Der eigentliche Unterschied liegt darin, wo die Auswertung passiert und welche Daten du später noch durchsuchen kannst. Dieser Vergleich zeigt Architektur, Funktionsumfang, Kosten und den Aufwand im Betrieb.
Wazuh vs. Elastic: Das Wichtigste im Überblick
- Wazuh wertet Events auf dem Manager aus und speichert standardmäßig nur Alerts. Elastic legt die Rohdaten in den Index, dort kannst du auch Wochen später noch suchen.
- Ohne Lizenzkosten bringt Wazuh mehr mit: Schwachstellenscan, CIS-Checks, Inventar, File Integrity Monitoring und Compliance-Reports sind komplett frei.
- Elastic Security ist bei Untersuchung, Abfragesprachen und EDR weiter, für Machine Learning und viele Response-Aktionen brauchst du aber eine kostenpflichtige Lizenz.
- Ein kleiner Wazuh-Server läuft lange ohne viel Pflege, ein Elastic-Cluster mit viel Datenvolumen braucht regelmäßige Betreuung. Kombinieren lassen sich beide auch.
Die Frage taucht immer wieder auf: Wazuh oder Elastic? Auf den ersten Blick wirken die zwei fast austauschbar. Wer genauer hinschaut, merkt aber schnell, dass sie aus ganz unterschiedlichen Richtungen kommen. Ich habe mir angesehen, wie die beiden arbeiten, was sie kosten und was der Betrieb im Alltag bedeutet.
Wie hängen Wazuh und Elastic zusammen?
Wazuh lief früher direkt auf dem Elastic Stack, mit Elasticsearch für Speicherung und Suche und Kibana als Oberfläche. Anfang 2021 hat Elastic dann die Lizenz von Apache 2.0 auf SSPL und Elastic License umgestellt. Wazuh ist daraufhin 2022 mit Version 4.3 auf OpenSearch gewechselt, den Fork, den Amazon aus der letzten Apache-Version von Elasticsearch gebaut hat. Seit 2024 gibt es Elasticsearch zusätzlich unter der AGPL, damit ist es wieder offiziell Open Source.
Heute besteht Wazuh aus Manager, Indexer und Dashboard. Indexer und Dashboard sind angepasste Versionen von OpenSearch und OpenSearch Dashboards. Technisch sind die beiden also ziemlich enge Verwandte.
Beim Grundprinzip gibt es allerdings einen Unterschied, der im Alltag eine große Rolle spielt. Bei Wazuh passiert die Auswertung auf dem Manager, und im Indexer landen standardmäßig nur die fertigen Alerts. Bei Elastic wandern die Rohdaten in den Index und die Detection Rules laufen als regelmäßige Abfragen direkt darauf. Mit Elastic kannst du also auch Wochen später noch in allen Events suchen. Bei Wazuh geht das nur, wenn du das Archiv aktiviert hast, sonst siehst du nur, was eine Regel ausgelöst hat.
Wazuh: Viel passiert direkt auf dem Host
Bei Wazuh macht der Agent einen großen Teil der Arbeit. Er überwacht Dateien auf Änderungen, prüft die Konfiguration gegen CIS-Benchmarks, erfasst installierte Pakete und offene Ports und gleicht das Ganze mit bekannten Schwachstellen ab. Wenn du willst, reagiert Wazuh auch selbst und sperrt zum Beispiel eine IP, von der gerade ein Brute-Force-Angriff kommt.
Auf dem Manager laufen die Daten durch Decoder und Regeln, beides in XML. Das wirkt am Anfang etwas altmodisch, ist aber gut nachvollziehbar und lässt sich leicht erweitern.
Richtig praktisch finde ich die Compliance-Mappings. Viele Regeln sind schon PCI DSS, DSGVO, HIPAA oder NIST zugeordnet. Steht ein Audit an, hast du damit eine gute Grundlage.
Elastic Security: Eine Plattform für alles
Elastic Security installierst du nicht separat. Es ist ein Teil der Elastic-Plattform. Die Daten kommen über den Elastic Agent rein, den du zentral über Fleet verwaltest, oder über eine der zahlreichen Integrationen.
Für die Erkennung bringt Elastic über 1.000 fertige Regeln mit, eigene schreibst du in KQL, EQL oder ES|QL. Seine Stärken zeigt Elastic vor allem bei der Untersuchung. Schlägt etwa eine Regel wegen einer ungewöhnlichen Anmeldung an, öffnest du den Alert in einer Timeline. Dort siehst du, welche Prozesse danach auf dem Host gestartet wurden und wohin sie Verbindungen aufgebaut haben, vorausgesetzt Elastic Defend oder Sysmon liefern diese Daten. Ist es ein echter Vorfall, wird daraus ein Case, in dem du mit deinen Kollegen weiterarbeitest. Elastic Defend selbst ist ein EDR, das Malware und Ransomware nicht nur meldet, sondern auch blockiert.
Seit einiger Zeit setzt Elastic stark auf KI. Mit dem AI Assistant und den Workflows sollen sich Triage und Reaktion automatisieren lassen, ein eigenes SOAR-Tool wäre dann nicht mehr nötig. Ob das in der Praxis wirklich reicht, habe ich nicht getestet. Interessant ist es vor allem, wenn du Elastic sowieso schon für Logs oder Monitoring nutzt.
Was kosten Wazuh und Elastic?
Wazuh: komplett Open Source
Wazuh ist Open Source unter GPLv2, und zwar wirklich vollständig. Eine Enterprise Edition mit zusätzlichen Features gibt es nicht. Geld verdient Wazuh mit Support und mit Wazuh Cloud, der gehosteten Variante. Für die findet man im Netz Preise ab etwa 571 $ im Monat für bis zu 100 Agents. Die Angaben schwanken allerdings, frag im Zweifel direkt bei Wazuh nach.
Elastic: Basic Tier, Lizenzen und Cloud
Bei Elastic wird es komplizierter. Selbst gehostet ist der Basic Tier kostenlos, und der kann schon einiges. Für Machine Learning oder die erweiterten Response-Funktionen brauchst du aber eine Platinum- oder Enterprise-Lizenz. Was die kostet, erfährst du nur über den Vertrieb.
In der Cloud hast du die Wahl zwischen Hosted und Serverless. Bei Hosted zahlst du für die Ressourcen deines Clusters, bei Serverless nach Datenmenge. In der Stufe Essentials sind das ab 0,09 $ pro GB Ingest und 0,017 $ pro GB und Monat für die Speicherung, in der Stufe Complete etwas mehr. Eine Gebühr pro Endpoint gibt es seit März 2026 nicht mehr. Support kostet je nach Level bis zu 15 % extra.
Das sind allerdings Einstiegspreise, die oft an ein Mindestvolumen gebunden sind. Bei kleinen Umgebungen solltest du lieber etwas mehr einplanen.
Wazuh und Elastic selbst hosten
Selbst betreiben kannst du beide. Ich habe beide einmal nach der offiziellen Anleitung auf der jeweiligen Website aufgesetzt, und der Unterschied fällt sofort auf.
Installation von Wazuh
Bei Wazuh lädst du ein Installationsskript herunter und startest es mit der Option für die All-in-One-Installation. Das Skript installiert Indexer, Manager und Dashboard auf einer Maschine, erzeugt die Zertifikate und gibt dir am Ende das Admin-Passwort aus. Danach meldest du dich im Dashboard an und kannst die ersten Agents hinzufügen. Für ein paar hundert Agents reicht oft eine einzige VM. Alternativ gibt es eine OVA, Docker Compose und Kubernetes-Manifeste. Ernsthaft mit dem Indexer beschäftigen musst du dich erst, wenn die Umgebung wächst.
Installation von Elastic
Bei Elastic sind es deutlich mehr einzelne Schritte. Zuerst installierst du Elasticsearch, das sich seit Version 8 beim ersten Start selbst mit TLS absichert und dir das Passwort für den elastic User sowie ein Enrollment Token ausgibt. Mit dem Token verbindest du anschließend Kibana. Ein SIEM hast du damit aber noch nicht. Für die Agents brauchst du zusätzlich einen Fleet Server, erst danach kannst du Elastic Agents mit der Integration für Elastic Defend ausrollen. Das ist gut dokumentiert, die Anleitung ist aber auf mehrere Seiten der Doku verteilt. Statt über Pakete kannst du Elastic auch mit Docker oder ECK auf Kubernetes installieren.
Der Aufwand im laufenden Betrieb
Die eigentliche Arbeit kommt aber erst im laufenden Betrieb. Die Index-Lifecycle-Policies müssen zum Datenvolumen passen, sonst läuft entweder der Speicher voll oder alte Daten verschwinden früher als gedacht. Zu viele kleine Shards bremsen den Cluster aus, zu große machen Recovery und Rebalancing zäh. Und ein Snapshot ist erst etwas wert, wenn du das Restore auch einmal ausprobiert hast. Bei mehreren hundert GB pro Tag brauchst du dafür jemanden, der Elasticsearch wirklich kennt.
Das betrifft den Wazuh-Indexer genauso. Weil dort normalerweise nur Alerts landen, fallen solche Probleme aber meist erst viel später auf.
Du planst ein SIEM mit Wazuh oder Elastic?
Wir begleiten Projekte mit beiden Systemen, von der Auswahl über den Aufbau bis zum Betrieb.
Mehr zu SIEM & Threat Detection →
Wazuh vs Elastic: Wer bringt mehr mit?
Ohne Lizenzkosten bekommst du bei Wazuh mehr. Schwachstellenscan, CIS-Checks, Inventar, File Integrity Monitoring und Compliance-Reports sind in der freien Version komplett drin. Bei Elastic gibt es im Basic Tier zwar das SIEM und Elastic Defend, für Machine Learning, viele Response-Aktionen und Teile der Automatisierung zahlst du aber.
Schaut man darauf, was technisch insgesamt möglich ist, sieht es anders aus. Mit ES|QL und EQL holst du deutlich mehr aus den Daten heraus, das EDR ist weiter und die Liste der Integrationen länger. Wenn du Security und Observability ohnehin auf einer Plattform haben willst, führt an Elastic kaum ein Weg vorbei.
Man muss sich auch nicht zwingend für eins entscheiden. Manche setzen Wazuh-Agents für die Host-Daten ein und schicken alles an Elastic zur Auswertung. Elastic hat dafür sogar eine eigene Wazuh-Integration.
Wazuh vs. Elastic im direkten Vergleich
| Kriterium | Wazuh | Elastic Security |
|---|---|---|
| Lizenz | GPLv2, vollständig Open Source | Elasticsearch unter AGPL, SSPL und Elastic License; Basic Tier kostenlos, Platinum und Enterprise kostenpflichtig |
| Komponenten | Agent, Manager, Indexer und Dashboard (Indexer und Dashboard basieren auf OpenSearch) | Elasticsearch, Kibana, Fleet Server und Elastic Agent |
| Auswertung | Auf dem Manager, Decoder und Regeln in XML | Detection Rules als regelmäßige Abfragen auf den Rohdaten |
| Gespeicherte Daten | Standardmäßig nur Alerts, alle Events nur mit aktiviertem Archiv | Rohdaten im Index, auch Wochen später durchsuchbar |
| Regeln und Abfragen | Ruleset mit Compliance-Mappings (PCI DSS, DSGVO, HIPAA, NIST) | Über 1.000 fertige Regeln, eigene in KQL, EQL oder ES|QL |
| Endpoint | File Integrity Monitoring, CIS-Checks, Inventar, Schwachstellen, automatische Reaktion wie IP-Sperre | Elastic Defend als EDR, blockiert Malware und Ransomware |
| Ohne Lizenzkosten | Voller Funktionsumfang | SIEM und Elastic Defend; Machine Learning, viele Response-Aktionen und Teile der Automatisierung kostenpflichtig |
| Cloud | Wazuh Cloud | Elastic Cloud Hosted oder Serverless |
| Installation | All-in-One-Skript, OVA, Docker Compose oder Kubernetes | Pakete, Docker oder ECK; mehrere Schritte inklusive Fleet Server |
| Betriebsaufwand | Kleiner Server läuft lange ohne viel Pflege | Bei viel Datenvolumen regelmäßige Betreuung (ILM, Shards, Snapshots) |
Ohne Lizenzkosten bringt Wazuh den größeren Funktionsumfang mit und macht im Betrieb meist weniger Arbeit. Elastic Security ist bei Untersuchung, Abfragesprachen und EDR weiter, braucht für einen Teil der Funktionen aber eine kostenpflichtige Lizenz und mehr Betreuung, sobald das Datenvolumen wächst.
Entscheidungshilfe: Wann passt Wazuh, wann Elastic?
| Wenn du Angriffe auf dem Endpoint aktiv stoppen willst, nimm Elastic mit Elastic Defend oder ein separates EDR. Wazuh kann das in diesem Umfang nicht. |
| Wenn es dir um Härtung, Schwachstellen und Nachweise fürs Audit geht, nimm Wazuh. CIS-Checks, Schwachstellenscan und Compliance-Mappings sind ohne Lizenzkosten dabei, damit bist du oft schneller produktiv. |
| Wenn dein Team wenig Zeit für den Betrieb hat, nimm Wazuh oder Elastic in der Cloud. Ein kleiner Wazuh-Server läuft lange ohne viel Pflege, ein selbst betriebener Elastic-Cluster mit viel Datenvolumen will regelmäßig betreut werden. Alternativ gibst du Elastic in die Cloud und zahlst dafür. |
| Wenn du auch Wochen später noch in allen Events suchen willst, nimm Elastic. Dort landen die Rohdaten im Index, bei Wazuh geht das nur mit aktiviertem Archiv. |
| Wenn Elastic bei dir schon für Logs läuft, nimm Elastic Security. Know-how und Infrastruktur sind dann schon da und der Schritt ist klein. |
Fazit: Wann passt Wazuh, wann Elastic?
Welches System besser passt, hängt vor allem davon ab, was du brauchst. Soll ein EDR Angriffe auf dem Endpoint aktiv stoppen, landest du bei Elastic Defend oder einem separaten EDR. In dem Umfang kann Wazuh das nicht. Geht es dir eher um Härtung, Schwachstellen und Nachweise fürs Audit, bist du mit Wazuh oft schneller produktiv.
Dazu kommt die Frage, wie viel Zeit dein Team für den Betrieb hat. Ein kleiner Wazuh-Server läuft lange ohne viel Pflege, ein Elastic-Cluster mit viel Datenvolumen will regelmäßig betreut werden. Alternativ gibst du ihn in die Cloud und zahlst dafür. Und wenn Elastic bei dir schon für Logs läuft, sind Know-how und Infrastruktur da und der Schritt zu Elastic Security ist klein.
Wazuh kannst du kostenlos testen, für Elastic gibt es eine Testphase. Nimm dafür am besten echte Daten aus deiner eigenen Umgebung.
