Dank Managed Services in sicheren Händen

Die IT-Sicherheitslage spitzt sich auch in Deutschland immer weiter zu. So bleiben laut Bundesamt für Sicherheit in der Informationstechnik (BSI) insbesondere Angriffe mit Ransomware die Hauptbedrohung für hiesige Unternehmen. Aber nicht nur diese werden schnell zum Ziel von solchen Attacken, wie z.B. der folgenschwere Angriff auf eine Landkreisverwaltung in Sachsen-Anhalt im Juli 2021 gezeigt hat: Erstmals wurde wegen eines Cyberangriffs der Katastrophenfall ausgerufen. Bürgernahe Dienstleistungen waren über mehrere Wochen nicht oder nur eingeschränkt verfügbar.

Die verschärfte Bedrohungslage führt dazu, dass viele Security-Teams überlastet sind. Hinzu kommen der allgegenwärtige Fachkräftemangel und eine steigende Komplexität der IT-Infrastruktur, bedingt durch den Siegeszug von Remote Work, Multi Cloud und dem Internet der Dinge (IoT). Die enge Vernetzung begünstigt die Entstehung neuer, mannigfaltiger Schwachstellen, was den Druck auf die internen Security-Teams nur noch weiter verstärkt. Vor diesem Hintergrund fragen sich nicht nur Unternehmen, wie sie die IT vereinfachen. Auch Managed Service Provider (MSP) stehen unter hohem Druck, die Komplexität der IT-Systeme und Security-Herausforderungen ihrer Kunden zu reduzieren.

Für IT-Sicherheit zu sorgen, wird immer schwieriger

„IT-Dienstleister können eine Menge dazu beitragen, die internen IT-Teams von Unternehmen zu entlasten. Der Kern hierbei sind Managed Services“, erläutert Michael Bölk, Head of Professional Services DACH bei ADN. „So befähigen wir IT-Dienstleister dazu, sich als Managed (Security) Service Provider (MSSP) am Markt zu positionieren und als solche die IT ihrer Kunden zu betreuen, zu überwachen und den Betrieb weiterzuführen.“ Diese Aufgabe übernimmt das Unternehmen auf Wunsch auch im Namen seiner Partner, etwa durch Penetration Tests, um zu erkunden, wo sich noch potenzielle Sicherheitslücken in der IT der Kunden verbergen. „Im Rahmen von Health Checks überprüfen unsere zertifizierten Consultants die jeweilige Konfiguration und sprechen Empfehlungen aus, damit der Kunde sicher sein kann, dass alles State of the Art ist, also höchsten Qualitätsstandards entspricht.“ Laut DSGVO seien Unternehmen sogar dazu verpflichtet, ihre IT-Umgebungen durch zertifizierte Consultants betreuen zu lassen, betont Bölk.

Kann IT-Sicherheit einfach ausgelagert werden?

Die Frage, ob sich IT-Sicherheitsaufgaben grundsätzlich an externe Dienstleister auslagern lassen, würde Frank Reiländer, Head of Cybersecurity Scandinavia & Central Europe bei CGI, eher umdrehen: „Inwieweit lässt sich IT-Sicherheit überhaupt noch ohne externe Unterstützung gewährleisten?“ Im Tagesgeschäft kämen die IT-Teams kleinerer Betriebe oftmals kaum dazu, Lösungen zu evaluieren und zu implementieren. Aber auch die IT-Administratoren von großen Unternehmen und Konzernen seien dankbar über kompetente Hilfe in Sachen Security. „Systemhäuser und Integratoren unterstützen generell auf zwei Ebenen: auf der strategischen und der operativen“, so Reiländer. Auf beiden seien die internen IT-Abteilungen häufig auf Hilfe angewiesen, weil nicht nur die Komplexität der eigenen Infrastruktur, sondern auch die der Bedrohungen enorm gewachsen sind. „Beides zusammenzubringen wird immer schwieriger. Entsprechend groß ist der Bedarf an Beratung, Know-how, Lösungen und personellen Ressourcen“, meint der Experte. Wichtig für Michael Bölk ist es festzuhalten, dass Managed Security Services „kein Outsourcing sind, sondern eher eine Art smarte Arbeitsteilung darstellen, bei der Kompetenzen und verfügbare Ressourcen optimal genutzt werden“. Während der Kunde beim Outsourcing den IT-Betrieb komplett abgebe, übernehme der Partner bei den Managed Services hingegen eine Dienstleistung. „Der Managed Security Service Provider liefert einem Endkunden Know-how und bietet ihm eine Dienstleistung an, um die IT-Infrastruktur auf dem neuesten Stand zu halten und rechtskonform zu gestalten“, erläutert Bölk. „Entscheidend ist, dass ein IT-Dienstleister ausgewählt wird, der dem Endkunden ein ganzheitliches Konzept liefern kann inklusive der Fähigkeit, dynamisch auf Neuerungen und neue Anforderungen zu reagieren.“

Die Vorteile liegen auf der Hand

„Ein guter MSSP arbeitet wie der verlängerte Security-Arm der IT-Abteilung in enger Abstimmung auf der Basis von gemeinsam definierten Service Level Agreements (SLAs)“, sagt Reiländer. Die Rollenverteilung ist damit genauso klar wie der Service-Umfänge. Ein MSSP beschäftigt sich mit der aktuellen Bedrohungslage, neuesten Angriffsvektoren und Tools zu deren Erkennung und Abwehr. Er ist in der Lage, Routineaufgaben wie etwa die Protokollüberwachung mit einem Security Information and Event Management (SIEM) zu übernehmen oder die permanente Schwachstellenüberwachung im Netz – und im Fall eines Vorfalls – dessen Ersteinschätzung bis hin zu einer forensischen Analyse zu leisten. „Das Service Level Agreement stellt sicher, dass alle notwendigen Dienstleistungen rund um die IT-Infrastruktur bestmöglich und regelkonform erbracht werden“, so Bölk. „Man steht als Unternehmen also nicht der unmöglichen Herausforderung gegenüber, eine riesige Expertenabteilung zum Thema ,Security‘ aufbauen zu müssen. Fehlende Ressourcen und Fachkräftemangel werden dank externer Partner sehr gut kompensiert und die monatlichen Betriebskosten, für die man aufkommen muss, sind transparent und vorhersehbar.“

Hacker nehmen KRITIS-Betreiber ins Visier

Die Angriffe durch Hacker werden immer besser, zum Teil nutzen die Cyberkriminellen auch Künstliche Intelligenz, um ihre Angriffe gezielter, schneller und koordinierter auszuführen. In Zusammenhang mit Russlands Angriffskrieg gegen die Ukraine geraten die Betreiber kritischer Infrastrukturen (KRITIS) verstärkt ins Visier von ausländischen Hackergruppen. Daher sind sie in besonderem Maße dazu verpflichtet, ihre IT-Infrastruktur gegen Angriffe zu wappnen und auf dem neuesten Stand zu halten. „Die oberste Maxime lautet, die umfangreichen Vorgaben gemäß BSI-Gesetz (BSIG) einzuhalten“, mahnt Stefan Beck, stellvertretender Leiter Cybersecurity Public Sector bei Sopra Steria. „Unternehmen tun zudem gut daran, den Punkt ,Stand der Technik‘ einzuhalten, etwa bei der automatisierten Erkennung von Cyber­angriffen durch ein SIEM und Intrusion-Detection-Systeme (IDS). Hier drohen sonst Konsequenzen.“ Neue Vorschriften des BSI verlangen seit Mai dieses Jahres außerdem, dass KRITIS-Unternehmen Systeme zur Angriffserkennung (SzA) einsetzen und dies auch gegenüber dem BSI nachweisen. Frank Reiländer rät KRITIS-Betreibern bei der Auswahl eines MSSP „darauf zu achten, dass dieser das ganze Security-Spektrum von Datenschutz über Notfallvorsorge bis hin zu Erfahrungen in Prozessleitsystemen (OT-Security) abdeckt“.

Dies ist ein Artikel aus unserer Print-Ausgabe 5/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Managed Services sind ein spannender Wachstumsmarkt

„Es ist nicht abzusehen, dass wir in naher Zukunft einen Rückgang der Bedrohungen oder auch nur eine Beruhigung der Lage erleben werden“, ist sich Frank Reiländer sicher. „In unserer mehr und mehr digitalisierten Gesellschaft ist der Schutz der IT-Infrastruktur wie der Daten elementar für unsere Sicherheit und Prosperität.“ Der Markt für Managed Security Services werde weiterhin wachsen. Davon geht auch Stefan Beck aus, „weil die Anforderungen immer komplexer und die Outsourcing-Vorteile eher größer als kleiner werden.“ Die Unternehmen müssten sich aber bereits im Vorfeld Gedanken um die relevanten KPIs und SLAs machen – also eine konkrete Vorstellung davon entwickeln, was sie genau wollten, sagt Reiländer. „Das klingt profan, ist aber essenziell.“ Und weil Sicherheit ein sensibles Geschäft ist, müsse auch die Chemie stimmen. „Ohne Vertrauen geht es nicht. Unser Ansatz ist daher eine Partnerschaft auf Augenhöhe, die sich am gemeinsamen Erfolg orientiert“, betont der Experte.

Bildquelle:Getty Images / iStock / Getty Images Plus