Das zweite "S" gibt’s nicht geschenkt

Laut Studie des Marktforschungs- und Beratungshauses ISG Information Services Group soll der deutsche IT-Security-Markt von 2018 bis 2020 um gut 15 Prozent wachsen - von 5,7 auf knapp 6,6 Milliarden Euro. Mit elf Prozent werden Managed-Security-Dienstleistungen inklusive Cloud-Services einen großen Anteil daran haben.

Angesichts dieses Potenzials ist davon auszugehen, dass viele Managed Service Provider (MSP) ihr Portfolio 2019 um ein weiteres "S" ausbauen. Es sollte jedoch beachtet werden, dass der Weg zum Managed Security Service Provider (MSSP) nicht nur Vorteile verspricht, sondern es auch Stolpersteine gibt. Dabei gibt es drei wichtige Herausforderungen, denen sich MSSP stellen müssen: Den Schutz vor fortschrittlichen Bedrohungen zu gewährleisten, ein passendes Schulungs- beziehungsweise Trainingsangebot aufzubauen, sowie die Skalierbarkeit der Services zu ermöglichen.

Schutz vor fortschrittlichen Bedrohungen

In den vergangenen Jahren hat sich die Bedrohungslandschaft weltweit massiv verändert. Bekannte Angriffsszenarien wurden von neuen, weitaus ausgefeilteren abgelöst. Hacker setzen beispielsweise Ransomware- und Ransomworm-basierende Methoden ein, die gleichermaßen auf Einzelpersonen wie kleine und mittlere Unternehmen sowie Konzerne zielen. Millionen von Computern und mobilen Geräten auf der ganzen Welt fielen ihnen in der Vergangenheit zum Opfer und werden es wohl auch künftig tun.

Die negativen Folgen eines erfolgreichen Angriffs sind weit über die direkt betroffenen Ziele hinaus spürbar: In der jüngeren Vergangenheit lähmten Varianten wie WannaCry, Petya und NotPetya nicht nur das Tagesgeschäft privater Unternehmen, sondern auch von Krankenhäusern oder Behörden. Ransomware ist ein eindrucksvolles Beispiel für die neue Art von Chaos, das fortgeschrittene Bedrohungen verursachen können.

Um die Bedenken ihrer Kunden bezüglich Ransomware und anderen hochentwickelten Angriffen auszuräumen, bieten viele Partner im Channel mittlerweile Business Continuity Services an. Neben Cloud-Backups und weiteren Wiederherstellungsoptionen gehören dabei auch manuelle Reaktionsmöglichkeiten mit unterschiedlicher Dringlichkeit im Tagesgeschäft sowie nach Geschäftsschluss oder am Wochenende zum Spektrum.

Die Herausforderungen bei diesem Ansatz sind vielfältig: Neben der gestiegenen Komplexität im Umgang mit sensiblen Kundendaten stehen - in Abhängigkeit von der Schwere des Vorfalls - zudem höhere Kosten beim direkten Personaleinsatz außerhalb der Geschäftszeiten ins Haus. Die Gefahr von fortgeschrittenen Bedrohungen wie Zero-Day-Attacken oder Ransomware, die keinen Feierabend kennen, sollte also bereits im Keim erstickt werden.

Dazu braucht es einen mehrschichtiger Security-Ansatz, der unterschiedlichste Sicherheitsservices umfasst. Diese bieten eine Kombination aus dynamischer Analyse und automatisierter Erkennung sowie spezifischer Reaktion in Abhängigkeit von der Art des Angriffs - an sieben Tagen in der Woche. Ein solch aufeinander abgestimmtes, intelligentes Gesamtpaket, das sowohl interne wie auch externe Bedrohungsanzeichen berücksichtigt, erfüllt die Sicherheitsbedürfnisse der Kunden auf breiter Basis.

Aufbau eines Schulungs- beziehungsweise Trainingsangebots

Da sich IT-Anwendungen und das damit verbundene Nutzerverhalten im Laufe der Zeit weiterentwickelt haben, stellt die Schulung der Endbenutzer eine der wichtigsten Komponenten in der Abwehrstrategie gegenüber neuen Bedrohungen dar. Viele Überlegungen auf Channel-Seite ranken sich darum, wie man Kunden effektiv über aktuelle Angriffe und damit verbundene Sicherheitsvorkehrungen informiert.

Eine Studie von Forschern des MIT ergab beispielsweise, dass Probleme bei der Abwehr von Cyberangriffen im Gesundheitswesen vor allem auf die mangelnde Bereitschaft und das fehlende Verständnis der medizinischen Mitarbeiter zurückzuführen sind. Laut den Forschern "hat wohl niemand eine geringere Meinung zu Computersicherheitskontrollen als Menschen in Gesundheitsberufen". Nicht nur in dieser Branche stellt das für MSSP eine ernsthafte Hürde dar.

Lesetipp: Managed Security Services: nicht einfach, aber unumgänglich

Im Hinblick auf das Sicherheitsbewusstsein und ein langfristig positives Engagement der Mitarbeiter auf Kundenseite spielt es eine entscheidende Rolle, dass der MSSP das Arbeitsumfeld jedes einzelnen berücksichtigt. Der Endanwender muss die relevanten Angriffsvektoren kennen und beispielsweise wissen, was Phishing bedeutet und wie es sich in der Praxis erkennen lässt. Die Wahrscheinlichkeit einer Gefährdung verringert sich, sobald Mitarbeiter sich zu Änderungen in ihrem Verhalten beziehungsweise bei bestimmten Prozessen bekennen. Aus diesem Grund sind Schulungen immens wichtig. Sie informieren grundsätzlich über das Thema und schärfen darüber hinaus das Sicherheitsbewusstsein der Anwender.

Innerhalb eines Managed-Security-Angebots gehören solche Trainingsangebote zu den Eckpfeilern. MSSP sollten entsprechende Initiativen von Anfang an berücksichtigen. Das durch Schulungen geweckte "neue Bewusstsein für Security" muss allerdings auch von den Führungskräften mitgetragen werden, damit sie das Sicherheitsverhalten ihrer Mitarbeiter entsprechend beeinflussen können.

Im Rahmen der Umsetzung bieten sich beispielsweise interaktive, computergestützte Webinare an. Für ein stimmiges Gesamtkonzept sollten die Schulungsinhalte fest in die restliche Security-Strategie eingewoben sein - sowohl hinsichtlich der eingesetzten Hardware- wie auch Softwarelösungen.

Skalierbarkeit der Services

Ganz gleich, wie sich die Sicherheitsbedürfnisse der Kunden in Abhängigkeit ihrer Größe, Branche und Organisation unterscheiden: Zentralisierte, skalierbare Verwaltungs- und Kontrollmöglichkeiten senken die Kosten für Managed Security deutlich. Die Integration von Lösungen mehrerer Anbieter bietet die Möglichkeit, ein effektives Sicherheitsnetz gegen unterschiedliche Bedrohungen aufzubauen. In diesem Zusammenhang sollten die Vertriebspartner jedoch stets die Gesamtbetriebskosten im Auge behalten. Das gilt insbesondere dann, wenn es um Fragen der Skalierung geht - etwa, ob und wie sich neue Mitarbeiter oder Filialen einbinden oder neben stationären Clients auch mobile Endgeräte absichern lassen.

Lesetipp: Kunden fahren auf Managed Security ab

Um ihre Services effizienter und planbarer zu gestalten, setzen Partner oftmals auf vordefinierte Abläufe im Zuge wiederkehrender Aufgaben - wie Bereitstellung, Kundenabstimmung, Fernwartung und Überwachung. Daher sollten MSSP nach Security-Plattformen suchen, die einzelne Leistungsbausteine effektiv automatisieren können und eine zentrale Verwaltung bieten. Auf diese Weise lassen sich die Bedürfnisse eines Kunden quasi auf Knopfdruck erfüllen - ohne Mehraufwand auf beiden Seiten. In dem Zusammenhang bieten sich Cloud-Lösungen an. Diese verringern nicht nur die initialen Bereitstellungs- und Onboarding-Kosten deutlich, sondern reduzieren auch die laufenden Infrastrukturkosten.

MSP, die ihr bestehendes Portfolio um "Managed Security"-Pakete erweitern möchten, sollten sich mit Lösungsangeboten auseinandersetzen, die unterschiedlichsten IT-Anforderungen Rechnung tragen. Es gilt, jeden sicherheitsrelevanten Aspekt in einer IT-Infrastruktur ins Kalkül zu ziehen - von Netzwerkschutz und Endgeräteabsicherung über WLAN bis hin zu Benutzerverwaltung oder Applikationskontrolle.

Lesetipp: Managed Security Services boomen

Hierbei sind MSP gut beraten, wenn sie das jeweilige Aufgabenspektrum mit Lösungen von wenigen Anbietern abdecken. Die bereits angesprochenen, mehrschichtigen, integrierten Ansätze bieten sich in diesem Fall an, da sie nicht nur die Bereitstellung, Verwaltung und Kontrolle erleichtern, sondern auch ein solides Fundament für darüberhinausgehende Leistungen wie Schulungen legen. Aufgrund von Skalierbarkeit und symbiotischer Effekte ergeben sich nicht nur Vorteile im Hinblick auf Kosten und Aufwand. Die Kunden profitieren ebenfalls von einem weitreichenden Lösungsangebot, das die jeweiligen Sicherheitsbedürfnisse adäquat erfüllt.

Fazit

Natürlich kann an dieser Stelle nicht auf alle Einflussgrößen im Rahmen eines MSSP-Angebots eingegangen werden - dafür ist die Materie zu komplex und gestalten sich die Anforderungen der Kunden zu individuell. Nichtsdestotrotz ergibt sich ein guter Einblick zu den wichtigsten Prämissen eines erfolgreichen MSSP-Modells: Schutz vor fortschrittlichen Bedrohungen, Etablierung von Kundenschulungen und Skalierbarkeit im Angebot.

Nimmt ein MSSP diese drei Hürden, kann er die sicherheitstechnischen Anforderungen seiner Kunden heute und sicherlich auch morgen erfüllen. Mit dem richtigen Ansatz versprechen Managed-Security-Services in jedem Fall großes Potenzial für neue Geschäftsmöglichkeiten und eine noch engere Bindung an bereits bestehende Kunden.