MSSP Managed Security Service Provider: Worauf es bei der Auswahl ankommt

Anbieter zum Thema

d.velop AG

xSuite Group GmbH

Yorizon GmbH & Co. KG

„Nutzt Dienstleister“, empfahl BSI-Vizepräsident Gerhard Schabhüser im vergangenen Jahr auf einer Konferenz zur Cybersicherheit, um die komplexer werdenden Aufgaben im Bereich IT-Security zu bewältigen. Für Auswahl und Zusammenarbeit mit einem Managed Security Service Provider müssen Unternehmen allerdings einiges beachten.

Weltweit gibt es rund 2.800 Anbieter von IT-Sicherheitslösungen für Unternehmen. Jährlich kommen Hunderte dazu – und sie verschwinden zum Teil wieder. Meistens werden sie verkauft und gehen in einem größeren Unternehmen auf. Das ist Teil der Entwicklungszyklen dieses Marktes und wichtig für die zügige Weiterentwicklung von Lösungen. Doch für Unternehmen, die diese Lösungen einsetzen, wird es dadurch schwierig, den Überblick zu behalten. Worauf sollten Unternehmen achten?

Managed Security Service Provider: Welcher passt zu mir?

Die Nachfrage ist da: Laut einer IDC-Studie* ziehen 43 Prozent der in Deutschland befragten Unternehmen in Erwägung, Security-Aufgaben an einen MSSP outzusourcen. Auf der anderen Seite gibt es immer mehr Spezialisten, die es sich zur Aufgabe gemacht haben, Cybersecurity-Bedrohungen im Blick zu behalten, deren Entwicklungen aufzugreifen und die Innovationen zum Schutz davor als Service anzubieten. Das sind spezialisierte Distributoren, sogenannte Value-Add-Distributoren, auf IT-Security spezialisierte Dienstleister und MSSPs. Gemeinsam übersetzen sie die Entwicklungen im weltweiten IT-Security-Markt in Services für Unternehmen – mit SLA (Service-Level-Agreement), unterschiedlichen Tarifen und Support-Modellen.

Jedoch die Auswahl des richtigen Managed Security Service Provider ist nicht einfach. Denn angesichts des IT-Fachkräftemangels in den Unternehmen ist die Frage „welcher MSSP passt zu mir?“ schwer zu beantworten. Die Antwort fällt zwar individuell aus, es gibt aber einige Punkte, die bei der Auswahl immer eine Rolle spielen.

Auswahlkriterien bei Managed Security Service Provider

Regionale Nähe und Branchenkompetenz gehören, wie bei klassischen Kauf-Entscheidungen für IT auch bei Managed Security Services dazu – auch wenn diese in der Regel remote erbracht werden. Und das gilt auch, wenn der bevorzugte regionale Dienstleister möglicherweise nicht alle geforderten Services selbst erbringen kann.

Immer mehr Dienstleister kooperieren miteinander, um die gesamte Service-Palette abdecken zu können. Sie greifen zudem auch immer häufiger auf Services von Value-Add-Distributoren (VAD) im Hintergrund zurück. Die beginnen bei der Auswahl der passenden Technologien und der Bereitstellung der passenden (etwa nutzungs- oder abo-basierenden) Abrechnungsmodelle. Sie können bis zur Unterstützung beim Deployment, der Bereitstellung und Optimierung sowie der Managed Services im laufenden Betrieb reichen.

So wie Unternehmen gewöhnlich die Kreditwürdigkeit ihrer Geschäftspartner prüfen, ist es bei der Auswahl eines MSSP sinnvoll, danach zu fragen, mit welchem Distributor dieser zusammenarbeitet und genau hinzuschauen.

So wie Unternehmen gewöhnlich die Kreditwürdigkeit ihrer Geschäftspartner prüfen, ist es bei der Auswahl eines Managed Security Service Provider sinnvoll, danach zu fragen, mit welchem Distributor dieser zusammenarbeitet und genau hinzuschauen: Welche Hersteller hat er im Portfolio? Wie breit und wie global ist er aufgestellt? Wie sieht es mit der personellen Ausstattung aus? Denn während der Vertragslaufzeit kann es vorkommen, dass bei einem bestimmten Service-Bestandteil ein Mitarbeiter des VADs im Namen des Dienstleistungspartners einspringt. Auch die gemeinsame weitere Entwicklung der Abwehr von Cybersecurity-Bedrohungen ist von entscheidender Bedeutung und funktioniert besonders gut, wenn die Breite passender Lösungen und Services gegeben ist.

Auf einer Wellenlänge

Unternehmen streben mit dem Einkauf von Managed Services auch eine Effizienzsteigerung durch Standardisierung und Automatisierung an. MSSPs haben den Vorteil, dass sie IT- und Security-Systeme für mehrere Kunden gleichzeitig managen können, ihr Personal damit besser und sinnvoller auslasten, eher Spezialisten gewinnen können und so von Skalen- und Kompetenzeffekten profitieren.

Dies kann aber nur gelingen, wenn Unternehmen und Dienstleister dabei dieselbe Sprache sprechen. Während der Dienstleister bei der Gestaltung seiner Services darauf achten muss, sie für den optimalen Betrieb für eine große Zahl an Kunden auszulegen, erwarten Unternehmen, dass die vom MSSP angebotenen Module (etwa „E-Mail-Security“ oder „VPN-Zugriff“) mit bisher intern erbrachten Leistungen identisch sind.

Ein guter MSSP bietet seinen Neukunden keine Services von der Stange, über den Webshop an, sondern er unterstützt mit seiner Erfahrung dabei, in einer Ist-Aufnahme die bereits vorhandenen IT-Services zu erfassen, zu kategorisieren und zu bewerten. Auf dieser Grundlage lassen sich dann die verfügbaren Managed Services gegenüberstellen und es wird deutlich, welche vorbereitenden Schritte eventuell noch erforderlich sind, um Services geordnet, mit definierten Übergabepunkten, zu befriedigenden SLAs und mit realistischen Erwartungen vergeben zu können. Auch das Thema „Roadmap“, also wohin soll es in den nächsten drei oder fünf Jahren gehen und wie können diese Herausforderungen gemeinsam angegangen werden, darf bei der Betrachtung nicht fehlen. Denn ansonsten arbeitet der Endkunde im Laufe der Zeit mit zu vielen MSSP-Partnern zusammen, was dem eigentlichen Zweck einer solchen Verbindung widerspricht.

Technologische Flexibilität und zuverlässige Servicequalität sichern

Nicht zuletzt achtet ein guter MSSP darauf, Services so zu konzipieren, dass im Lauf der Zeit die zugrundeliegende Technologie gegebenenfalls ausgetauscht werden kann, ohne den laufenden Betrieb zu stören. Denn während Firmen oft noch jahrelang an abgekündigten Produkten festhalten und trickreiche Workarounds erfinden, können MSSPs sich das nicht leisten, um konkurrenzfähig zu sein.

Für Auswahl und Zusammenarbeit mit einem Managed Security Service Provider müssen Unternehmen ein paar Dinge beachten. Denn nur so bekommen sie jederzeit zuverlässige Services auf Grundlage aktueller Technologie mit festen SLAs – ohne sich über die Entwicklungen auf dem dynamischen Markt für IT-Security einen Kopf machen zu müssen. 

*IDC-Studie