IT-Sicherheit als Dienstleistung spart Geld

Die Verantwortlichen in der Business-IT sehen sich einer wachsenden Flut an Cyberschädlingen ausgesetzt. Die Sicherheitsexperten von Panda Security, Sophos, Check Point und anderen identifizieren bis zu 500.000 neue Bedrohungen täglich. Vor zwei Jahren waren es im Durchschnitt noch 82.000. Die schiere Zahl an Angriffsvektoren ist jedoch nur ein Aspekt, der die Absicherung von IT-Systemen zunehmend schwieriger macht. Hinzu kommen neue, immer raffiniertere Methoden, mit denen Internetverbrecher die Schutzmaßnahmen eines Unternehmens überwinden oder untertunneln.

So nutzen Cyberkriminelle vermehrt internetfähige Kleingeräte wie Router oder Settop-Boxen, um DDoS-Attacken (Distributed Denial of Service) zu verüben oder greifen mit sogenannten Advanced Persistent Threats (APT) Unternehmen ganz gezielt und auf verschiedensten Wegen an, ohne dabei Spuren zu hinterlassen (siehe dazu auch „Neue Gefahren erzwingen neue Abwehrstrategien“).

Als sei dies nicht genug, müssen die Sicherheitsfachleute in den Firmen auch noch an immer neuen Fronten kämpfen. So hat beispielsweise der Trend zu Cloud-Computing eine Schatten-IT entstehen lassen, die von den Fachabteilungen an der Unternehmens-IT vorbei aufgebaut wurde. „Aus Unternehmenssicht wächst mit der Nutzung von Cloud-Services und -Applications auch das Bedrohungspotenzial“, stellt Georgios Salustros, Sales Leader Security Services IBM DACH, fest. Zudem greifen Mitarbeiter vermehrt mit mobilen Endgeräten wie Smartphones und Tablets – oft ihren privaten – auf Firmenressourcen zu. Komplett unübersichtlich wird die Sicherheitslage für die Verantwortlichen schließlich durch das Internet der Dinge und den Trend zu Industrie 4.0. „Die zunehmende echtzeitfähige Vernetzung von Menschen, Maschinen und Objekten erhöht das Angriffspotenzial enorm“, warnt Jan-Frank Müller, Solution Director Secure Information bei dem IT-Dienstleister Computacenter.

IT-Verantwortliche müssen also immer mehr Systeme vor immer komplexer werdenden Gefahren schützen. Entwicklungen wie Cloud-Computing, Schatten-IT in den Fachabteilungen und Bring Your Own Device (BYOD) haben zudem zur Folge, dass die Sicherheitsspezialisten in den IT-Abteilungen gar nicht mehr alle Geräte und Applikationen kennen, die sie schützen sollen. Deshalb kommt der möglichst schnellen Aufdeckung erfolgter Einbrüche immer größere Bedeutung zu.

Dafür ist jedoch ein Team von Experten notwendig, das in einem sogenannten Security Operation Center (SOC) 24 Stunden am Tag alle Ereignisse im Firmennetz registriert und bewertet – und das im Schadensfall sofort eingreifen kann.

Für einen Mittelständler ist dies kaum zu bezahlen. „Ein eigenes SOC rechnet sich in der Regel höchstens für DAX-Unternehmen“, sagt Lars Kroll, Cyber Security Strategist bei Symantec. Selbst wenn ein Unternehmen bereit und in der Lage ist, erhebliche Summen in den Ausbau seiner IT-Sicherheitsinfrastruktur und -Mannschaft zu investieren, sind geeignete Security-Spezialisten kaum zu finden. Cisco beispielsweise schätzt in seinem Security Threat Report von 2014, dass in diesem Segment weltweit eine Million Fachleute fehlen. „Angesichts des Fachkräftemangels stehen Unternehmen vor der Herausforderung, geeignetes und spezialisiertes Security-Personal zur Absicherung ihrer Daten und Strukturen zu finden“, bekräftigt Computacenter-Manager Müller.

Es liegt also nahe, nach einer Alternative zum Eigenbetrieb zu suchen. „IT-Sicherheit ist nicht die Kernkompetenz vieler Organisationen. Es ist daher sinnvoll, diese an Dritte auszulagern“, rät Alexander Schellong, General Manager Global Cybersecurity Central & Eastern Europe, Italy and Turkey bei CSC. Das sehen viele Anwender wohl genauso, denn der Markt für Security-Services wächst kräftig.

Dem aktuellen Information Security Forecast von Gartner zufolge wird sich der Umsatz für Security-Services von 15 Milliarden Dollar 2015 auf 27 Milliarden Dollar im Jahr 2019 fast verdoppeln. Ganz ähnlich sehen das die Analysten von Allied Market Research. Sie prognostizieren für das Jahr 2020 eine Marktgröße von knapp 30 Milliarden Dollar bei einem durchschnittlichen jährlichen Wachstum von rund 16 Prozent.

In Deutschland ist die Zunahme zwar nicht ganz so groß, aber dennoch signifikant. Der Branchenverband Bitkom etwa geht auf Basis von Prognosen des Marktforschungsunternehmens IDC für 2015 von einem Umsatzwachstum von 6,5 Prozent für Security-Software und -Services aus. Von den insgesamt 3,7 Milliarden Euro sollen über 2,9 Milliarden, und damit mehr als 78 Prozent, durch Dienstleistungen erwirtschaftet werden – im Vergleich zum Jahr zuvor bedeutet das ein Plus von fast 200 Millionen Euro.

Noch kräftiger fällt das prognostizierte Wachstum im „Security Vendor Benchmark 2015“ von Experton aus. Deren Marktforscher haben errechnet, dass der Markt für IT-Security-Lösungen und -Dienstleistungen in Deutschland 2015 im Jahresvergleich um rund 9 Prozent zulegt. Sie gehen dabei von einem Marktvolumen in Höhe von über 4 Milliarden Euro aus. Davon entfallen 1,64 Milliarden Euro auf Security-Services und 2,4 Milliarden Euro auf Security-Produkte.

Was genau ein Managed Security Service (MSS) ist, dafür gibt es keine allgemeingültige Definition. „Hinter dem Begriff können sich vielfältige Dienstleistungen verbergen“, erklärt Markus Müller, Bereichsleiter Managed Security Services, Division Operational Services, bei der secunet Security Networks AG. Die Bandbreite reiche von eher unterstützenden Dienstleistungen über Penetrationstests bis hin zur vollständigen Bereitstellung von Sicherheitsinfrastrukturen wie Firewalls oder VPN als Service, so Müller weiter. „Dazwischen werden diverse Schattierungen angeboten.“

Tatsächlich verschwimmen die Grenzen zwischen Managed Security Service und Security as a Service aus der Cloud immer mehr. Typische Cloud-Services zeichnen sich durch eine höhere Standardisierung, Selfservice und den Bezug im Abo-Modell aus. Managed Services sind dagegen in der Regel sehr viel individueller auf den Kunden zugeschnitten und werden im Rahmen von Dienstleistungs- oder Outsourcing-Verträgen abgerechnet. Alle möglichen Zwischenstufen sind denkbar und werden auch angeboten. So kann der Service-Provider beispielsweise das Management der Cloud-Applikation übernehmen oder aus verschiedenen Cloud-Services in Kombination mit seinen eigenen Dienstleistungen eine Komplettlösung generieren.

Viele Anbieter haben mittlerweile neben klassischen Managed Services auch Cloud-Varianten im Angebot, etwa Deutsche Telekom, IBM oder SSP Europe. Oder sie ergänzen ihr Produktportfolio mit entsprechenden Service-Varianten wie die Antivirenspezialisten AVG, Avira und F-Secure.

Ob aus der Cloud und von der Stange oder maßgeschneidert, es gibt viele gute Gründe, warum Unternehmen ihre IT-Sicherheit ganz oder teilweise fremden Händen anvertrauen sollten:

Auch wenn das Auslagern von IT-Security-Aufgaben viele Vorteile bringt – über die Schattenseiten sollte man sich ebenfalls im Klaren sein. Schließlich gibt man sensible Informationen, wichtige Systeme, ja womöglich die komplette Infrastruktur aus der Hand. „Für Unternehmen kann es gefährlich sein, zu viel Wissen und Prozesse auszulagern und dadurch in extreme Abhängigkeit von einem Dienstleister zu geraten“, warnt Jan-Frank Müller von Computacenter. „Die Security komplett auszulagern ist daher nicht zu empfehlen.“

Müller rät zu einem „Co-Sourcing-Modell“, bei dem das Know-how im Unternehmen mitwachsen kann: „Das Erkennen eines Sicherheitsvorfalls und weitere vorgelagerte Stufen sind Aufgaben, die guten Gewissens an Security-Service-Provider vergeben werden können. Aber die weitere Verarbeitung und Analyse sollte nach wie vor intern verantwortet und gegebenenfalls von außen unterstützt werden.“ Nicht alle Experten sind jedoch dieser Meinung. Matthias Zacher, Senior Consultant beim Marktforschungsunternehmen IDC Central Europe, rät von einem hybriden Modell, also der Kombination eigener Ressourcen mit externen Services, ab: „Das kann relativ teuer werden.“ (Siehe auch Interview auf der letzten Seite dieses Beitrags)

Das Auslagern von IT-Sicherheitsaufgaben berührt die sen­sibelsten Bereiche im Unternehmen und muss sehr sorgfältig vorbereitet werden. „Ein ausführliches Beratungsgespräch mit dem zukünftigen MSSP ist unerlässlich“, sagt secunet-Bereichsleiter Markus Müller.

Die Auswahl an Anbietern ist groß. Im Security Vendor Benchmark 2015 hat Experton 25 davon im Bereich Managed Secu­rity Services, 28 unter Security Consulting und 22 im Segment Cloud und Datacenter Security aufgelistet, die nach Ansicht der Marktforscher für den deutschen Markt besonders relevant sind.

Dazu kommen lokale Systemhäuser und Dienstleister, die häufig auch als Wiederverkäufer von Security-Services auftreten, sowie Start-ups, die mit innovativen Cloud-Produkten Speziallösungen anbieten.

„Der Markt für Security ist sehr unübersichtlich geworden. Organisationen werden es immer schwerer haben, hier eine Auswahl zu treffen und zu kontrollieren, dass sie nicht zu viel ausgeben oder auf die ‚falsche‘ Technologie setzen“, sagt CSC-Manager Schellong und empfiehlt, vor der Entscheidung externe Experten mit einer Risikoanalyse zu beauftragen, um eine unabhängige Sicht auf vorhandene Gefahren und notwendigen Maßnahmen zu erhalten.

Sind die grundsätzlichen Punkte geklärt, lässt sich das Feld potenzieller Service-Partner anhand der folgenden Fragen eingrenzen:

Ohne Sicherheits-Profis dürfte kaum noch ein Unternehmen auskommen, dazu sind die Gefahrenquellen zu komplex und die zu sichernden Infrastrukturen zu unübersichtlich geworden. Mit dem Cloud-Computing ist in den Secu­rity-Services-Markt eine enorme Dynamik und Vielfalt gekommen, die es nicht gerade einfacher macht, das richtige Angebot zu finden.

Um so wichtiger ist es, eine klare Vorstellung vom eigenen Gefährdungsgrad, den unbedingt notwendigen und den nur wünschenswerten Maßnahmen zu haben. Nur dann lässt sich bei der Suche und Beauftragung eines Managed-Security-Service-Providers ein befriedigendes Ergebnis erzielen.

Von einer Vorstellung muss man sich auf jeden Fall verabschieden: Hundertprozentige Sicherheit kann auch der beste MSSP nicht garantieren. Wer dies verspricht, handelt unseriös. Der MSSP der Wahl sollte deshalb nicht nur Abwehrmaßnahmen definieren, sondern auch klar darlegen können, was er im Fall eines erfolgten Cybereinbruchs zu tun gedenkt.