Managed Security Services: Was Schweizer Unternehmen wissen müssen

MSS, MSSP, MSP, MDR: die Begriffe kurz geordnet

Die Abkürzungen werden häufig vermischt. Eine kurze Einordnung:

MSS steht für die Dienstleistung selbst, MSSP für den Anbieter, der sie erbringt.

MSP bezeichnet einen Managed Service Provider ohne Sicherheitsspezialisierung. Ein MSP betreibt IT-Infrastruktur: Server, Netzwerke, Arbeitsplätze. Sicherheit ist dabei ein Nebenaspekt. Ein MSSP hat Sicherheit als Kerngeschäft. Viele MSP bieten inzwischen Sicherheitsleistungen an. Die Frage bei der Auswahl ist, ob dahinter ein durchgehend besetztes Team steht oder ein zusätzliches Produkt im Portfolio.

MDR steht für Managed Detection and Response und bezeichnet einen Teilbereich von MSS: das Erkennen von Angriffen und die unmittelbare Reaktion darauf. MDR ist damit enger gefasst als Managed Security Services insgesamt.

Was ein MSSP konkret übernimmt

Der Umfang variiert je nach Anbieter und Vertrag. Typischerweise gehören folgende Bereiche dazu:

Managed SOC. Zentrale Überwachung aller sicherheitsrelevanten Ereignisse. Logdaten aus Systemen, Anwendungen und Netzwerken laufen zusammen, werden korreliert und bewertet. Auffälligkeiten werden von Analystinnen und Analysten geprüft, bevor sie an das Unternehmen gemeldet werden.

Managed Detection and Response. Erkennung von Angriffen auf Endgeräten und in Netzwerken sowie die Reaktion darauf. Bei einem bestätigten Vorfall werden betroffene Systeme isoliert und Gegenmassnahmen eingeleitet, ohne dass das Unternehmen selbst eingreifen muss.

Managed Firewall und Netzwerksicherheit. Betrieb, Regelwerkspflege und Überwachung der Perimetersicherheit.

Applikationssicherheit. Schutz von Webanwendungen und APIs vor Angriffen, die klassische Perimetersicherheit nicht abdeckt, etwa gegen Angriffe auf die Anwendungslogik selbst.

Managed Cloud Security. Überwachung von Cloud-Umgebungen und deren Konfiguration. Fehlkonfigurationen in Cloud-Diensten gehören zu den häufigsten Ursachen für Datenabflüsse.

Identitäts- und Zugriffsschutz. Betrieb von Multi-Faktor-Authentifizierung und die Überwachung von Anmeldevorgängen auf verdächtige Muster.

Schwachstellenmanagement. Regelmässige Prüfung der Systeme auf bekannte Schwachstellen und eine priorisierte Übersicht darüber, was zuerst behoben werden sollte.

Internes SOC oder MSSP?

Die Entscheidung hängt weniger an der Unternehmensgrösse als an drei Fragen.

Wie viele Personen stehen für den Betrieb zur Verfügung? Ein durchgehend besetztes SOC braucht ein Team, das Schichten, Ferien und Ausfälle abdecken kann. Wer diese Zahl nicht erreicht, hat kein 24/7-SOC, sondern ein SOC mit Lücken. Angriffe finden bevorzugt ausserhalb der Bürozeiten statt.

Wie spezifisch ist die eigene Umgebung? Unternehmen mit stark individualisierten Systemen, etwa in der Industrie mit gewachsener OT-Landschaft, profitieren von internem Wissen, das ein externer Anbieter erst aufbauen muss.

Wie schnell muss die Fähigkeit vorhanden sein? Der Aufbau eines eigenen SOC dauert realistisch mehrere Jahre, von der Rekrutierung über die Werkzeuge bis zu eingespielten Prozessen. Ein MSSP ist innerhalb von Wochen betriebsbereit.

Es gibt Fälle, in denen ein internes SOC die richtige Antwort ist. Grosse Organisationen mit eigener Sicherheitsabteilung, hoher Regulierungsdichte und der Möglichkeit, entsprechendes Personal langfristig zu binden, fahren damit gut. Verbreitet ist auch das hybride Modell: Das Unternehmen behält Steuerung, Risikobewertung und Entscheidungen im Haus und lagert die Überwachung im Dauerbetrieb aus.

Vertragsmodelle und Service Level

Entscheidend ist weniger der Preis als die Frage, was vertraglich tatsächlich zugesichert wird. Drei Punkte lohnen genaue Prüfung:

Reaktionszeiten. Ein zugesichertes Service Level sollte zwischen der Meldung eines Vorfalls und dem Beginn der Bearbeitung unterscheiden. Eine Reaktionszeit von 15 Minuten ist wenig wert, wenn danach lediglich ein Ticket eröffnet wird.

Handlungsbefugnis. Darf der Anbieter im Ernstfall selbstständig eingreifen, etwa ein Endgerät vom Netz nehmen? Wenn nicht, verlängert sich die tatsächliche Reaktionszeit um die interne Freigabe.

Abgrenzung des Leistungsumfangs. Wo endet die Überwachung und wo beginnt die Incident Response? Viele Verträge decken die Erkennung ab, die eigentliche Aufarbeitung eines grösseren Vorfalls ist separat zu beauftragen.

Betriebsmodell. Betreibt der Anbieter das SOC mit eigenem Personal oder kauft er die Überwachung bei einem Drittanbieter ein und verkauft sie unter eigenem Namen weiter? Beides ist verbreitet und beides kann funktionieren. Bei zugekauften Leistungen sollten Sie aber wissen, wer der Drittanbieter ist, wo er sitzt und ob das zugesicherte Service Level auch ihm gegenüber gilt. Nicht zu verwechseln ist das mit der eingesetzten Technologie: Praktisch alle Anbieter arbeiten mit Plattformen etablierter Hersteller. Die Frage ist, wer die Alarme auswertet.

Worauf Schweizer Unternehmen zusätzlich achten sollten

Für Unternehmen mit Sitz in der Schweiz kommen Anforderungen dazu, die internationale Anbieter oft nicht abbilden.

Standort der Daten. Sicherheitsüberwachung bedeutet, dass Logdaten das Unternehmen verlassen. Diese Daten enthalten regelmässig Personendaten im Sinne des revidierten Datenschutzgesetzes. Wo diese Daten verarbeitet und gespeichert werden, ist keine technische Nebensache, sondern eine datenschutzrechtliche Frage. Bei Anbietern mit Konzernsitz ausserhalb der Schweiz stellt sich zusätzlich die Frage nach behördlichen Zugriffsmöglichkeiten im jeweiligen Land.

Regulatorische Vorgaben. Beaufsichtigte Institute unterliegen den Anforderungen der FINMA an das Outsourcing, einschliesslich Prüfrechten und Anforderungen an die Weiterdelegation an Subunternehmen. Betreiber kritischer Infrastrukturen orientieren sich am IKT-Minimalstandard des Bundes. Unternehmen mit Geschäft in der EU sind je nach Branche zusätzlich von NIS2 betroffen, auch ohne Sitz in der EU.

Sprache und Erreichbarkeit. Im Ernstfall wird unter Zeitdruck kommuniziert. Ob das Team in der Landessprache erreichbar ist und in derselben Zeitzone arbeitet, entscheidet mit darüber, wie schnell ein Vorfall eingegrenzt wird.

Managed Security Services bei CLUE

CLUE ist ein Schweizer Anbieter mit eigenem, rund um die Uhr besetztem Security Operations Center in der Schweiz. Überwachung, Analyse und Reaktion liegen bei einem Team vor Ort, nicht bei wechselnden Standorten in verschiedenen Zeitzonen. Kundinnen und Kunden erhalten einen eigenen Eskalationsweg für Vorfälle ausserhalb der Geschäftszeiten.

Die einzelnen Leistungen lassen sich einzeln oder kombiniert beziehen:

Logdaten werden ausschliesslich in Schweizer Rechenzentren verarbeitet und gespeichert. Sie verlassen die Schweiz nicht. Für Unternehmen, die dem revidierten Datenschutzgesetz unterliegen oder gegenüber einer Aufsichtsbehörde nachweisen müssen, wo ihre Daten liegen, entfällt damit eine Reihe von Fragen, die bei Anbietern mit Verarbeitung im Ausland zu klären wären.

Sprechen Sie mit uns

Ob Managed Security Services für Ihre Situation sinnvoll sind, hängt von Ihrer Umgebung, Ihrem Team und Ihren regulatorischen Anforderungen ab. Wir klären das in einem Gespräch, ohne Vorbedingungen.