Managed Security Services: Wann sich das Auslagern für KMU lohnt

Die kurze Antwort: Wann sich Auslagern lohnt

Den Betrieb der IT-Sicherheit auszulagern lohnt sich, wenn Sicherheitsaufgaben regelmäßig anfallen, im Unternehmen aber niemand die Zeit oder das Fachwissen hat, sie verlässlich zu erledigen. Typische Anzeichen sind fehlendes Sicherheitspersonal, eine wachsende Zahl an Werkzeugen und Warnmeldungen sowie Anforderungen aus NIS2, von Versicherungen oder von Kunden, die Nachweise verlangen.

Bei Managed Security Services übernimmt ein Dienstleister, oft als MSSP (Managed Security Service Provider) bezeichnet, den laufenden Betrieb und die Überwachung Ihrer Sicherheitssysteme in einem vereinbarten Umfang. Was er nicht übernimmt, ist die Verantwortung für Ihre Risiken. Sie bleibt im Unternehmen, und ein guter Vertrag macht diese Aufteilung ausdrücklich.

Fünf Anzeichen, dass sich Auslagern lohnt

• Kein eigenes Sicherheitspersonal: Die IT wird nebenbei von jemandem mit einer anderen Hauptaufgabe betreut, oder Ihr IT-Dienstleister kümmert sich vor allem um den Benutzersupport.
• Mehr Werkzeuge, mehr Meldungen: Firewall, Endpoint-Schutz, Backup und Microsoft 365 senden jeweils eigene Meldungen, und niemand hat den Gesamtüberblick.
• Updates werden verschoben: Es gibt keinen festen Zeitplan, Patches werden eingespielt, wenn gerade jemand Zeit hat.
• Anforderungen von außen: NIS2, Fragebögen von Cyber-Versicherungen oder Lieferantenaudits Ihrer Kunden verlangen Nachweise, die Sie nicht ohne Weiteres liefern können.
• Wachstum oder ein Beinahe-Vorfall: Neue Standorte, mehr Personal oder ein Vorfall, der nur mit Glück glimpflich ausging, haben Lücken sichtbar gemacht.

Treffen mehrere Punkte zu, lohnt sich ein genauer Blick auf das Auslagern. Ziel ist nicht, alles abzugeben, sondern sicherzustellen, dass wiederkehrende Aufgaben zuverlässig erledigt werden.

Was Managed Security Services typischerweise umfassen

Der Umfang unterscheidet sich von Anbieter zu Anbieter, die meisten Angebote setzen sich aber aus denselben Bausteinen zusammen:

• Monitoring: Firewall, Endpoint-Schutz und Backup werden überwacht, einschließlich Zustand, Lizenzen und Konfiguration.
• Bewertung von Warnmeldungen: Meldungen werden nach Relevanz sortiert, Verdachtsfälle geprüft und vereinbarte Schritte eingeleitet. Wie sich die Erkennungstechniken unterscheiden, erklärt unser Beitrag zu Antivirus, EDR, XDR und MDR.
• Patch-Management: Betriebssysteme, Anwendungen und Firmware werden nach Plan aktualisiert. Worauf es dabei ankommt, lesen Sie im Beitrag zum Patch-Management.
• Backup-Kontrolle: Datensicherungen werden überwacht und Wiederherstellungen regelmäßig getestet.
• Schwachstellen-Scans: Wiederkehrende Scans zeigen neue Lücken, die anschließend nach Priorität geschlossen werden.
• Berichte: Regelmäßige, verständliche Berichte zeigen, was passiert ist und was noch offen ist.

Häufige Erweiterungen sind MDR rund um die Uhr durch spezialisierte Anbieter, eine zentrale Protokollauswertung mit einem SIEM, Awareness-Schulungen sowie die Einbindung von Kameras oder Zutrittssystemen im Netzwerk. Eine Überwachung rund um die Uhr ist ein eigener Leistungsbaustein. Fragen Sie ausdrücklich danach, wenn Sie sie brauchen.

Was beim Unternehmen bleibt

Auslagern überträgt Aufgaben, nicht die Verantwortung. Die Geschäftsleitung bleibt für die Informationssicherheit verantwortlich, und für Unternehmen im Anwendungsbereich von NIS2 ist diese Verantwortung der Leitungsorgane sogar ausdrücklich geregelt. In der Praxis bleiben bei Ihnen:

• Entscheidungen über Risiken, Prioritäten und Budget.
• Die Freigabe von Wartungsfenstern und von Änderungen, die den laufenden Betrieb betreffen.
• Die Information an den Dienstleister, wer eintritt, austritt oder andere Zugriffsrechte braucht.
• Entscheidungen im Notfall, etwa Systeme vom Netz zu nehmen oder Versicherung und Polizei einzubinden. Auch Meldepflichten, zum Beispiel nach der DSGVO, bleiben bei Ihnen als Verantwortlichem.
• Das Sicherheitsbewusstsein der Belegschaft und die Einhaltung interner Regeln.

So bewerten Sie einen Managed-Security-Anbieter

Ein gutes Angebot beantwortet die folgenden Punkte schriftlich und konkret:

1. Klarer Leistungsumfang: Welche Systeme, Standorte und Geräte sind enthalten, und welche ausdrücklich nicht?
2. Service-Level im Vertrag: Betreuungszeiten, Reaktionszeiten nach Schweregrad und Kontaktwege stehen im Vertrag und sind nicht nur mündlich zugesagt.
3. Eskalation: Es gibt eine Notfallkontaktliste, eine klare Reihenfolge, wer wann informiert wird, und eine Vereinbarung, welche Maßnahmen der Anbieter ohne Rückfrage ergreifen darf, etwa die Isolation eines Geräts.
4. Berichte: Inhalt, Häufigkeit und Sprache sind festgelegt. Ein Musterbericht vor Vertragsabschluss zeigt, ob die Geschäftsführung damit tatsächlich arbeiten kann.
5. Sicherheit des Anbieters: Fernzugriffe sind mit MFA geschützt, einzelnen Personen zugeordnet und protokolliert. Ein Dienstleister mit Zugang zu vielen Kunden ist selbst ein attraktives Ziel.
6. Datenschutz: Ein Auftragsverarbeitungsvertrag nach der DSGVO regelt, wie der Anbieter mit personenbezogenen Daten umgeht.
7. Ausstieg: Bei Vertragsende werden Dokumentation, Konfigurationen, Zugangsdaten und Lizenzen geordnet übergeben. Administratorkonten und Lizenzen sollten auf Ihr Unternehmen laufen.

Vollständig oder gemeinsam: zwei Betriebsmodelle

Beim vollständig ausgelagerten Modell übernimmt der Dienstleister den gesamten Sicherheitsbetrieb. Das passt zu Unternehmen ohne eigenes IT-Personal. Beim gemeinsamen Modell, oft Co-Managed genannt, bleibt der Alltagssupport bei der internen IT oder Ihrem bisherigen IT-Dienstleister, und der Sicherheitsanbieter übernimmt definierte Sicherheitsaufgaben. In beiden Fällen sollten die Zuständigkeiten schriftlich festgehalten sein, am besten in einer einfachen Tabelle, wer was erledigt.

Ein sinnvoller Start ist eine Bestandsaufnahme. Dringende Lücken wie fehlende MFA oder ein ungetestetes Backup werden zuerst geschlossen. Danach wird der Umfang vereinbart und schrittweise erweitert, beginnend mit den wichtigsten Systemen.

Fazit: Aufgaben auslagern, Verantwortung behalten

Managed Security Services helfen, wenn sich Sicherheitsaufgaben stapeln und niemand die Zeit hat, sich ordentlich darum zu kümmern. Am besten funktionieren sie, wenn Umfang, Service-Level und Zuständigkeiten klar vereinbart sind und das Unternehmen eingebunden bleibt. Wenn Sie wissen möchten, welche Aufgaben sich in Ihrem Fall zum Auslagern eignen, beginnt Q-entra mit einer Bestandsaufnahme und vereinbart den Umfang von Managed Security danach gemeinsam mit Ihnen.