Ein verschlüsselter Fileserver am Montagmorgen, ein fehlgeschlagenes Backup oder ein ehemaliger Mitarbeiter mit weiter aktivem Zugang: Bei solchen Vorfällen entscheidet nicht allein die eingesetzte Technik. Entscheidend ist, ob Verantwortung, Zuständigkeiten und Reaktionswege geklärt sind. Die Frage Inhouse Security oder Outsourcing betrifft deshalb nicht nur die IT-Abteilung, sondern die Geschäftsführung, den Datenschutz und die Lieferfähigkeit des gesamten Unternehmens.
Für mittelständische Unternehmen ist eine pauschale Antwort selten sinnvoll. Wer ausschließlich auf interne Ressourcen setzt, behält viel Kontrolle, muss aber Fachwissen, Vertretungen und die dauerhafte Überwachung selbst sicherstellen. Wer Sicherheit auslagert, gewinnt spezialisierte Betreuung und klare Betriebsprozesse – sofern Datenschutz, Datenstandort und Verantwortlichkeiten sauber geregelt sind.
Warum die Entscheidung geschäftskritisch ist
Cyberangriffe treffen längst nicht mehr nur große Konzerne. Der Digitalverband Bitkom bezifferte den jährlichen Gesamtschaden durch Cyberangriffe für die deutsche Wirtschaft 2024 auf 178,6 Milliarden Euro. Gerade im Mittelstand sind die Folgen oft besonders spürbar: Produktionsstillstand, nicht erreichbare Auftragsdaten, Verzögerungen in der Buchhaltung oder der Verlust sensibler Kundeninformationen können den Betrieb unmittelbar belasten.
Das Bundesamt für Sicherheit in der Informationstechnik, BSI, empfiehlt deshalb einen systematischen Umgang mit Informationssicherheit. Dazu gehören Risikoanalysen, geregelte Berechtigungen, aktuelle Schutzmaßnahmen, Notfallvorsorge und eine regelmäßige Überprüfung. Sicherheit ist kein Projekt, das nach der Einführung einer Firewall abgeschlossen ist. Sie ist eine Betriebsaufgabe.
Auch rechtlich bleibt die Geschäftsführung in der Verantwortung. Artikel 32 DSGVO fordert technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Wird ein externer Dienstleister eingesetzt, verlangt Artikel 28 DSGVO zusätzlich eine belastbare Auftragsverarbeitung. Outsourcing verlagert Aufgaben, nicht die Rechenschaftspflicht.
Inhouse Security oder Outsourcing: Die realistische Abwägung
Eine interne Sicherheitsorganisation funktioniert besonders gut, wenn das Unternehmen über ausreichend qualifizierte Mitarbeitende, dokumentierte Prozesse und belastbare Vertretungsregelungen verfügt. Das betrifft nicht nur einen Administrator, der Systeme kennt. Es braucht Kapazitäten für Patch-Management, Ereignisprüfung, Berechtigungsverwaltung, Backup-Tests, Sicherheitsmeldungen und Notfälle außerhalb der üblichen Arbeitszeit.
In vielen gewachsenen IT-Landschaften liegt genau hier das Risiko. Einzelne Personen kennen die Infrastruktur sehr gut, sind jedoch zugleich für Helpdesk, Server, Anwendungen und Projekte zuständig. Sicherheitswarnungen konkurrieren dann mit dem Tagesgeschäft. Eine Alarmmeldung am Wochenende bleibt möglicherweise bis Montag ungesehen. Ein Backup läuft zwar technisch durch, wurde aber seit Monaten nicht auf Wiederherstellbarkeit geprüft.
Outsourcing kann diese Lücke schließen, wenn es als betreute Sicherheitsarchitektur verstanden wird. Managed Endpoint Protection, Firewall-Betrieb, Backup und Monitoring schaffen feste Prüfprozesse und geregelte Reaktionswege. Der Nutzen entsteht nicht durch ein zusätzliches Dashboard, sondern durch die Frage: Wer sieht eine Auffälligkeit, wer bewertet sie und wer handelt in welcher Zeit?
| Entscheidungskriterium | Eigene Sicherheitsorganisation | Betreute externe Sicherheitsleistungen | |—|—|—| | Fachwissen | Muss intern aufgebaut und gehalten werden | Spezialwissen steht über feste Ansprechpartner bereit | | Verfügbarkeit | Hängt von Personal, Urlaub und Vertretung ab | Kann über definierte Betriebs- und Eskalationsprozesse abgesichert werden | | Kontrolle | Direkter Zugriff, aber hoher eigener Steuerungsaufwand | Erfordert transparente Verträge, Berichte und Zugriffsregeln | | Kosten | Personalkosten plus Weiterbildung, Tools und Ausfallrisiken | Planbare monatliche Leistungen, abhängig vom Leistungsumfang | | Datenschutz | Interne Prozesse müssen konsequent dokumentiert sein | AV-Vertrag, Datenverarbeitung und Unterauftragnehmer müssen prüfbar sein |
Die beste Lösung ist häufig ein Mischmodell. Die Geschäftsentscheidung, die Freigabe kritischer Zugriffe und das Wissen über Kernprozesse bleiben im Unternehmen. Laufende Überwachung, Pflege von Schutzsystemen und erste Reaktion auf Sicherheitsereignisse werden durch einen spezialisierten Partner ergänzt. So bleibt die Kontrolle beim Unternehmen, ohne dass jede operative Aufgabe intern abgedeckt werden muss.
Der Datenschutz entscheidet mit
Nicht jedes Outsourcing-Angebot erfüllt die Anforderungen eines deutschen Mittelständlers. Besonders kritisch wird es, wenn unklar bleibt, wo Protokolldaten, Sicherungen oder Endpunktdaten verarbeitet werden. Sicherheitsdaten können personenbezogene Informationen enthalten, etwa Benutzernamen, IP-Adressen, Zugriffszeiten oder Inhalte aus technischen Ereignismeldungen.
Vor der Beauftragung sollte daher eindeutig geklärt sein, welche Daten verarbeitet werden, in welchem Land sie liegen und welche weiteren Dienstleister eingebunden sind. Ein Vertrag zur Auftragsverarbeitung ist notwendig, aber allein nicht ausreichend. Unternehmen brauchen nachvollziehbare technische und organisatorische Maßnahmen, klare Löschkonzepte sowie einen transparenten Umgang mit Fernzugriffen und Administratorrechten.
Für viele Mittelständler ist eine Datenverarbeitung nach deutschen Standards ein entscheidender Vorteil. Sie reduziert rechtliche und organisatorische Unklarheiten, vor allem wenn keine schwer nachvollziehbaren internationalen Cloud-Strukturen oder Abhängigkeiten von US-Anbietern entstehen sollen. Transparenz ist dabei kein Marketingbegriff. Sie zeigt sich in verständlichen Leistungsbeschreibungen, dokumentierten Zugriffsrechten und regelmäßigen Berichten.
Die ENISA weist in ihren Bedrohungsanalysen regelmäßig auf Ransomware als eine der prägendsten Gefahren für Organisationen hin. Gegen diese Gefahr hilft nicht nur Prävention. Ein belastbares Konzept benötigt getrennte, überwachte und regelmäßig getestete Backups. Wer Sicherungen bei einem externen Partner betreiben lässt, sollte deshalb nicht nur nach Speicherplatz fragen, sondern nach Wiederherstellungszielen, Verschlüsselung, Aufbewahrung und Testnachweisen.
Praxisfall: Wenn ein Administrator nicht rund um die Uhr verfügbar ist
In einer anonymisierten Sicherheitsanalyse eines mittelständischen Handelsunternehmens mit rund 85 Arbeitsplätzen zeigte sich ein typisches Bild: Eine Firewall war vorhanden, die Endpoint-Schutzlösung lief auf den meisten Rechnern und Backups wurden täglich erstellt. Auf den ersten Blick wirkte die Umgebung solide.
Die Prüfung machte jedoch drei stille Risiken sichtbar. Sieben ehemalige Benutzerkonten waren noch aktiv, auf 18 Endgeräten fehlten aktuelle Schutzupdates und die Datensicherung war seit über einem Jahr nicht testweise zurückgespielt worden. Zusätzlich gingen Sicherheitsmeldungen ausschließlich an ein einzelnes internes Postfach. Bei Abwesenheit des Administrators war keine verbindliche Reaktion vorgesehen.
Statt die interne IT zu ersetzen, wurde die Zuständigkeit geteilt. Das Unternehmen behielt Freigaben, Prozesswissen und die Kontrolle über Berechtigungen. Extern betreut wurden die Überwachung der Schutzsysteme, das Patch-Reporting, die Alarmierung und regelmäßige Backup-Wiederherstellungstests. Nach acht Wochen waren die offenen Konten bereinigt, die Update-Quote dokumentiert und ein Eskalationsplan für kritische Ereignisse eingeführt.
Der entscheidende Effekt war nicht ein einzelnes Produkt. Das Unternehmen konnte erstmals nachvollziehen, welche Risiken offen waren, wer sie bearbeitete und wie der Status geprüft wurde.
Woran Sie einen geeigneten Partner erkennen
Ein externer Sicherheitsdienstleister sollte keine Blackbox betreiben. Fragen Sie konkret, welche Systeme überwacht werden, welche Ereignisse einen Alarm auslösen und welche Reaktionszeiten gelten. Ebenso wichtig ist die Abgrenzung: Übernimmt der Dienstleister nur die Meldung oder auch die erste technische Maßnahme? Welche Eingriffe darf er ohne vorherige Freigabe durchführen?
Achten Sie zudem auf nachvollziehbare Datenverarbeitung, deutsche Ansprechpartner und eine verständliche Dokumentation. Ein monatlicher Bericht sollte nicht mit technischen Meldungen überladen sein. Er muss für IT-Verantwortliche und Geschäftsführung erkennbar machen, ob Schutzsysteme funktionieren, welche Maßnahmen durchgeführt wurden und wo Entscheidungen erforderlich sind.
Vorsicht ist angebracht, wenn ein Anbieter pauschale Sicherheit verspricht, Datenflüsse nicht offenlegt oder ausschließlich mit einem Tool argumentiert. Eine Firewall ohne Monitoring, ein Backup ohne Wiederherstellungstest oder ein Virenschutz ohne zentrale Kontrolle sind keine vollständige Sicherheitsstrategie. Sie sind einzelne Bausteine.
Die Entscheidung beginnt mit Transparenz
Bevor Unternehmen Personal aufbauen oder Leistungen auslagern, sollten sie den eigenen Ausgangspunkt kennen. Welche Systeme sind kritisch? Wo liegen personenbezogene Daten? Welche Zugänge bestehen noch? Wie schnell wäre der Betrieb nach einem Verschlüsselungsangriff wieder arbeitsfähig? Und wer wird informiert, wenn nachts ein kritischer Alarm eingeht?
Eine strukturierte IT-Sicherheitsanalyse beantwortet diese Fragen ohne technische Überforderung. Sie schafft die Grundlage für eine Entscheidung, die zum Unternehmen passt: mehr interne Kompetenz, gezielte externe Betreuung oder ein kontrolliertes Mischmodell. Sicherheit wird dann nicht zur Frage, wer das lauteste Versprechen macht, sondern zu einer nachvollziehbaren Grundlage für einen stabilen Geschäftsbetrieb.
Comments are closed