Sicherheitsdienstleister: Auswahlkriterien prüfen

Ein Sicherheitsvorfall beginnt selten mit einem sichtbaren Angriff. Häufig fehlen zunächst nur Protokolle, ein Backup wurde nie getestet oder ein ehemaliger Mitarbeiter besitzt noch Zugriffsrechte. Wer Sicherheitsdienstleister Auswahlkriterien prüfen will, sollte deshalb nicht bei Produktnamen oder Monatsgebühren stehen bleiben. Entscheidend ist, ob ein Partner Risiken nachvollziehbar erkennt, Verantwortung eindeutig regelt und den Betrieb auch unter Belastung absichert.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die IT-Sicherheitslage in Deutschland weiterhin als angespannt bis kritisch. Im Lagebericht 2024 verweist das BSI auf durchschnittlich rund 309.000 neue Schadprogrammvarianten pro Tag. Für mittelständische Unternehmen ist diese Zahl kein abstrakter Wert: Ein erfolgreicher Angriff kann Produktion, Auftragsabwicklung, Buchhaltung und Kundenkommunikation gleichzeitig beeinträchtigen. Die Auswahl eines Dienstleisters ist damit eine geschäftskritische Entscheidung.

Warum Preis und Produktliste nicht ausreichen

Viele Angebote wirken auf den ersten Blick vergleichbar: Firewall, Virenschutz, Backup und Monitoring werden als Paket genannt. Was dahinter tatsächlich geleistet wird, bleibt jedoch oft offen. Wird die Firewall nur eingerichtet oder fortlaufend überwacht? Reagiert ein Mensch auf verdächtige Ereignisse? Werden Backups täglich geprüft und eine Wiederherstellung regelmäßig getestet? Und wer informiert die Geschäftsführung, wenn ein kritischer Vorfall außerhalb der Bürozeiten auftritt?

Ein günstiger Vertrag kann sinnvoll sein, wenn die IT-Landschaft klein, klar strukturiert und intern fachkundig betreut ist. Bei gewachsenen Umgebungen mit mehreren Standorten, Homeoffice, Produktionssystemen oder personenbezogenen Daten reicht eine reine Werkzeugbereitstellung meist nicht aus. Dann zählt die laufende Betreuung – mit festgelegten Reaktionswegen, verständlichen Berichten und klaren Ansprechpartnern.

Auch die Kosten eines Ausfalls gehören in die Entscheidung. ENISA beschreibt Ransomware weiterhin als eine der folgenreichsten Bedrohungen für Organisationen. Der Schaden entsteht nicht allein durch Lösegeldforderungen. Stillstand, Wiederherstellung, Vertragsstrafen, Reputationsverlust und interne Mehrarbeit summieren sich oft deutlich schneller als erwartet.

Sicherheitsdienstleister Auswahlkriterien prüfen: Diese Fragen schaffen Klarheit

Ein geeigneter Partner muss keine Angst vor konkreten Fragen haben. Im Gegenteil: Transparente Antworten zeigen, ob Leistungen, Verantwortlichkeiten und Datenschutz belastbar geregelt sind. Für mittelständische Unternehmen haben sich sechs Prüffelder bewährt:

• Analyse vor dem Angebot: Werden vorhandene Systeme, Zugänge, Backup-Stand und Risiken erhoben, oder folgt das Angebot nach einem kurzen Verkaufsgespräch? Ohne Bestandsaufnahme bleibt jede Empfehlung eine Annahme.
• Kontinuierliche Überwachung: Ist klar definiert, welche Systeme überwacht werden, zu welchen Zeiten und welche Ereignisse eine Reaktion auslösen? Monitoring ohne geregelte Bearbeitung schafft vor allem mehr Meldungen, nicht mehr Sicherheit.
• Nachweisbare Wiederherstellung: Fragt der Dienstleister nach Wiederanlaufzielen und testet er Wiederherstellungen? Ein Backup ist erst dann ein Ausfallschutz, wenn Daten und Systeme innerhalb eines realistischen Zeitfensters zurückgespielt werden können.
• Datenschutz und Datenstandort: Wo werden Logdaten, Sicherungen und Administrationsdaten verarbeitet? Welche Unterauftragnehmer sind eingebunden? Diese Punkte müssen im Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nachvollziehbar dokumentiert sein.
• Berechtigungen und Fernzugriff: Wer erhält administrative Rechte, wie werden diese geschützt und protokolliert, und was geschieht bei Personalwechsel? Dauerhafte Sammelkonten oder nicht dokumentierte Fernzugänge sind vermeidbare Risiken.
• Krisenfähigkeit: Gibt es einen Notfallplan mit Eskalationsstufen, Erreichbarkeit und Zuständigkeiten? Die ersten Stunden eines Vorfalls entscheiden häufig darüber, ob sich ein Angriff begrenzen lässt.

Die Antworten sollten konkret sein. Formulierungen wie „wir kümmern uns darum“ reichen nicht. Besser sind Vereinbarungen zu Reaktionszeiten, Betriebszeiten, Berichtsinhalten, Testintervallen und Verantwortlichen auf beiden Seiten.

DSGVO-Konformität bedeutet kontrollierbare Datenwege

Datenschutz ist bei Managed Security kein Zusatzkapitel. Sicherheitsdienstleister verarbeiten häufig besonders sensible Informationen: Protokolle über Benutzeraktivitäten, Konfigurationsdaten, IP-Adressen, Sicherungskopien und im Einzelfall Inhalte von Systemen. Deshalb müssen Unternehmen wissen, wohin diese Daten fließen und wer darauf zugreifen kann.

Die DSGVO verlangt nicht, dass jede Sicherheitslösung zwingend in Deutschland betrieben wird. Sie verlangt aber eine rechtmäßige, transparente und abgesicherte Verarbeitung. Bei internationalen Cloud- und Sicherheitsplattformen können Unterauftragnehmer, Drittlandtransfers und wechselnde Vertragsstrukturen die Prüfung erheblich erschweren. Für viele mittelständische Unternehmen ist eine Datenverarbeitung nach deutschen Standards deshalb ein praktischer Vorteil: Zuständigkeiten bleiben verständlich, Vertragswege kürzer und Kontrollmöglichkeiten besser greifbar.

Fragen Sie gezielt nach dem Hosting von Backups und Management-Systemen, nach dem Sitz von Support-Teams sowie nach eingesetzten US-Anbietern. Eine pauschale Aussage wie „DSGVO-konform“ ersetzt keine Dokumentation. Ein verlässlicher Dienstleister legt die Architektur offen und erklärt auch Grenzen oder verbleibende Restrisiken verständlich.

Praxisfall: Das Backup war vorhanden, die Wiederherstellung nicht

In einer anonymisierten Sicherheitsanalyse bei einem mittelständischen Handelsunternehmen mit rund 80 Arbeitsplätzen zeigte sich ein typisches Bild. Es gab eine Firewall, Endpoint-Schutz und tägliche Sicherungen. Die Geschäftsführung ging daher von einem guten Schutzniveau aus.

Die Prüfung ergab jedoch, dass die Sicherungen zwar regelmäßig liefen, aber seit mehr als einem Jahr keine vollständige Wiederherstellung des zentralen Warenwirtschaftssystems getestet worden war. Zusätzlich war das Backup-System mit einem dauerhaft privilegierten Administratorkonto verbunden. Bei einem Ransomware-Angriff hätte genau dieses Konto den Zugriff auf die Sicherungen erleichtern können.

Die Lösung bestand nicht im Austausch aller Systeme. Zuerst wurden Zugriffsrechte getrennt, unveränderbare Sicherungskopien ergänzt und verbindliche Wiederherstellungstests eingeführt. Danach erhielt die Geschäftsleitung einen kurzen Bericht mit dem erreichten Wiederanlaufziel und den noch offenen Maßnahmen. Der entscheidende Fortschritt war nicht mehr Technik, sondern mehr Kontrolle über den Ernstfall.

Service-Level müssen zum Geschäftsrisiko passen

Ein Handwerksbetrieb mit zehn Büroarbeitsplätzen benötigt nicht dieselbe Überwachungsarchitektur wie ein Zulieferer mit Schichtbetrieb. Dennoch braucht jedes Unternehmen eine klare Antwort auf eine einfache Frage: Wie lange darf ein zentraler Dienst ausfallen, bevor ein wirtschaftlicher Schaden entsteht?

Davon leiten sich Service-Level ab. Wenn Aufträge nur tagsüber verarbeitet werden, kann eine Reaktion am nächsten Werktag in einzelnen Bereichen vertretbar sein. Bei E-Commerce, Produktion, Logistik oder kritischer Fernwartung sind kürzere Reaktionszeiten und eine geregelte Rufbereitschaft häufig angemessen. Wichtig ist, zwischen einer Eingangsbestätigung und tatsächlicher Bearbeitung zu unterscheiden. Ein Ticket, das automatisch bestätigt wird, löst noch kein Sicherheitsproblem.

Achten Sie außerdem auf die Abgrenzung zwischen Prävention, Erkennung und Reaktion. Endpoint Protection kann Schadsoftware blockieren. Eine Managed Firewall kann verdächtige Verbindungen erkennen. Für die Bewertung eines komplexen Vorfalls braucht es jedoch qualifizierte Menschen, nachvollziehbare Abläufe und die Befugnis, im Notfall Maßnahmen einzuleiten.

Berichte sollten Entscheidungen ermöglichen

Viele IT-Reports sind technisch korrekt, aber für Geschäftsführung und kaufmännische Verantwortliche kaum nutzbar. Lange Listen mit IP-Adressen oder Warnmeldungen beantworten nicht die Fragen, die im Unternehmen zählen: Was ist kritisch? Was wurde erledigt? Welche Risiken bleiben? Welche Entscheidung steht an?

Ein guter Sicherheitsdienstleister übersetzt technische Befunde in betriebliche Auswirkungen. Ein monatlicher Bericht darf kompakt sein, sollte aber den Schutzstatus, relevante Ereignisse, erledigte Maßnahmen, offene Punkte und konkrete Empfehlungen enthalten. Das schafft eine belastbare Grundlage für Investitionen und dokumentiert zugleich, dass die Geschäftsleitung ihren Organisationspflichten nachkommt.

Das BSI betont in seinen Empfehlungen regelmäßig die Bedeutung von Informationssicherheitsmanagement, Notfallvorsorge und klaren Zuständigkeiten. Für den Mittelstand muss daraus kein schwerfälliges Großprojekt werden. Schon feste Verantwortliche, dokumentierte Kernsysteme, geprüfte Backups und regelmäßige Sicherheitsgespräche reduzieren blinde Flecken deutlich.

Die Sicherheitsanalyse als Entscheidungsgrundlage nutzen

Bevor ein langfristiger Vertrag geschlossen wird, sollte eine Sicherheitsanalyse den tatsächlichen Ausgangspunkt klären. Dazu gehören mindestens externe Angriffsflächen, Patch-Stand, Schutz von Endgeräten, Firewall-Konfiguration, Berechtigungen, Backup-Qualität, Monitoring und Datenflüsse. Ebenso wertvoll ist die Frage, welche Systeme den Betrieb wirklich tragen und in welcher Reihenfolge sie nach einem Ausfall wieder verfügbar sein müssen.

Achten Sie darauf, dass die Ergebnisse nicht nur als technische Mängelliste übergeben werden. Sie sollten priorisiert sein: Was muss kurzfristig geschlossen werden, was kann geplant werden und welche Maßnahme senkt welches Risiko? Diese Transparenz verhindert, dass Unternehmen unnötig investieren oder akute Schwachstellen übersehen.

Eine kostenlose Sicherheitsanalyse kann hierfür ein sinnvoller erster Schritt sein, wenn Umfang, Prüfmethode und Ergebnisdokumentation klar benannt sind. Am Ende sollte nicht das Gefühl stehen, möglichst viele Produkte kaufen zu müssen, sondern die Gewissheit, die eigene Sicherheitslage zu verstehen. Genau diese Klarheit macht aus IT-Sicherheit eine verlässliche Grundlage für den täglichen Geschäftsbetrieb.