Managed Security Service Provider in Deutschland: Auswahl mit System

Was ist ein Managed Security Service Provider?

Ein Managed Security Service Provider, kurz MSSP, betreibt definierte Sicherheitsfunktionen eines Unternehmens dauerhaft als Dienstleistung. Er liefert kein Produkt, sondern einen Betriebszustand: Systeme werden überwacht, Auffälligkeiten bewertet, Vorfälle nach vereinbarten Regeln bearbeitet.

Die Abgrenzung zu benachbarten Modellen ist wichtig, weil sie den Vertrag bestimmt. Ein klassisches Systemhaus verkauft Projekte und Lizenzen und rechnet Support nach Aufwand ab. Ein Managed Service Provider (MSP) betreibt IT-Infrastruktur, oft inklusive einzelner Sicherheitskomponenten, aber ohne dedizierte Analyse von Angriffsmustern. Ein MSSP stellt genau diese Analyse in den Mittelpunkt und hält dafür Personal, Prozesse und Werkzeuge vor.

Innerhalb der MSSP-Welt hat sich Managed Detection and Response (MDR) als eigener Zuschnitt etabliert. MDR konzentriert sich auf Erkennung und Reaktion an Endpunkten, in der Cloud und im Netzwerk, verzichtet aber häufig auf den Betrieb der Sicherheitsinfrastruktur. Wer eine Firewall, ein VPN oder eine SASE-Plattform ausgelagert haben möchte, braucht mehr als reines MDR.

Welche Leistungen umfasst ein MSSP konkret?

Managed Security ist ein Sammelbegriff, kein Leistungsumfang. Erst der Leistungsschein sagt, was Sie tatsächlich einkaufen. In der Praxis setzen sich Angebote aus diesen Bausteinen zusammen:

• Log-Sammlung und Korrelation (SIEM): Meldungen aus Firewalls, Servern, Cloud-Diensten und Endgeräten laufen zentral zusammen und werden zu einem Lagebild verdichtet.
• Security Operations Center (SOC): Analystinnen und Analysten bewerten Alarme, unterscheiden Fehlalarm von Vorfall und stoßen die Reaktion an.
• Detection and Response (MDR, XDR): Erkennung und aktive Eindämmung auf Endpunkten, in Identitäten und in Cloud-Workloads.
• Betrieb der Sicherheitsinfrastruktur: Firewalls, Secure Web Gateway, Zero Trust Network Access, SASE-Plattformen, E-Mail-Sicherheit.
• Schwachstellen- und Patch-Management: regelmäßige Scans, Priorisierung nach Ausnutzbarkeit, Nachverfolgung bis zur Behebung.
• Incident Response: Forensik, Eindämmung und Wiederanlauf im Ernstfall, häufig als separater Retainer verkauft.
• Compliance-Reporting: Nachweise für ISO 27001, BSI IT-Grundschutz oder die Meldepflichten nach BSIG.

Zwei Bausteine werden regelmäßig überschätzt. Erstens: Ein SIEM ohne abgestimmte Use Cases liefert Datenmenge statt Erkenntnis. Zweitens: Incident Response steckt selten im Grundpreis. Klären Sie vor der Unterschrift, ob im Ernstfall ein Team anrückt oder nur ein Ticket entsteht.

Make or Buy: Wann rechnet sich ein eigenes SOC?

Ein eigenes Security Operations Center rund um die Uhr zu besetzen erfordert realistisch acht bis zwölf Vollzeitstellen. Der Grund ist Arithmetik, nicht Technik: Drei Schichten an sieben Tagen ergeben rechnerisch bereits mehr als vier Vollzeitstellen, dazu kommen Urlaub, Krankheit, Weiterbildung und eine Zweitbesetzung, damit niemand allein Nachtdienst analysiert.

Hinzu kommt der Arbeitsmarkt. Erfahrene Security-Analystinnen und -Analysten sind knapp und teuer, die Fluktuation im Schichtbetrieb ist hoch. Für die meisten Unternehmen unterhalb von etwa tausend Mitarbeitenden ist ein eigenes Vollzeit-SOC deshalb wirtschaftlich nicht darstellbar, unabhängig vom Sicherheitsbedürfnis.

Der pragmatische Mittelweg ist ein hybrides Modell. Der Dienstleister übernimmt Monitoring, Erstanalyse und Nachtbereitschaft. Das interne Team behält Governance, Priorisierung und die Entscheidung über einschneidende Eingriffe wie das Abschalten eines Produktionssystems. Dieses Modell funktioniert allerdings nur, wenn beide Seiten schriftlich wissen, wer wann entscheidet.

Was NIS2 an der Anbieterauswahl ändert

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, und zwar ohne Übergangsfrist. Betroffen sind rund 29.500 Einrichtungen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in 18 Sektoren, zuvor standen nur wenige Tausend Betreiber unter BSI-Aufsicht.

Die gesetzliche Registrierungsfrist beim BSI endete am 6. März 2026. Weil bis Ende Mai 2026 erst rund 18.500 Einrichtungen registriert waren, hat das BSI eine Nachfrist bis zum 31. Juli 2026 kommuniziert. Diese Nachfrist ist kein neuer Stichtag, sondern Nachsicht bei der Durchsetzung. Allein die versäumte Registrierung kann mit bis zu 500.000 Euro geahndet werden, Verstöße gegen Risikomanagement- und Meldepflichten mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Für die MSSP-Auswahl folgen daraus zwei konkrete Konsequenzen. Erstens verlangt Paragraf 30 BSIG ausdrücklich Maßnahmen zur Sicherheit der Lieferkette. Ihr Dienstleister wird damit Teil Ihres eigenen Risikomanagements, seine Zertifikate und Prozesse gehören in Ihre Dokumentation. Zweitens verankert Paragraf 38 BSIG die persönliche Verantwortung der Geschäftsleitung. Sie können Aufgaben vergeben, die Pflicht zur Aufsicht bleibt bei Ihnen. Wie eng Regulierung und Netzarchitektur zusammenhängen, zeigt unser Beitrag zu NIS2, KRITIS und hochverfügbarem Internet.

Praktisch heißt das: Verlangen Sie im Angebot ein Kapitel dazu, wie der Anbieter Sie bei Meldepflichten unterstützt. Die 24-Stunden-Erstmeldung an das BSI wird zum Prozess, nicht zum Formular.

Welche Anbietertypen gibt es im deutschen Markt?

Der deutsche MSSP-Markt lässt sich in fünf Anbietertypen sortieren, die sich in Herkunft, Preislogik und Nähe zum Kunden unterscheiden. Kein Typ ist grundsätzlich besser, aber jeder passt zu einem anderen Bedarfsprofil.

Ein Hinweis zur Marktbeobachtung: Analystenhäuser wie ISG bewerten den deutschen Markt regelmäßig in eigenen Studien für das Mittelstandssegment. Solche Übersichten helfen bei der Vorauswahl, ersetzen aber keine Prüfung am eigenen Anforderungsprofil.

Was Managed Security Services kosten

Belastbare Listenpreise gibt es in diesem Markt nicht, wohl aber typische Größenordnungen. Für mittelständische Unternehmen bewegen sich umfassende Managed-Security-Pakete häufig zwischen 1.000 und 5.000 Euro monatlich. MDR-Angebote werden meist pro überwachtem Endpunkt kalkuliert und liegen je nach Anbieter und Leistungstiefe etwa zwischen 15 und 40 Euro pro Endpunkt und Monat.

Wichtiger als der Einstiegspreis ist das Abrechnungsmodell, weil es bestimmt, wie die Kosten mit Ihrem Wachstum skalieren. Verbreitet sind vier Logiken: pro Endpunkt, pro Nutzerkonto, pro Datenvolumen im SIEM und als Pauschale mit definiertem Mengengerüst. Volumenbasierte Modelle wirken günstig, solange wenige Log-Quellen angebunden sind, und werden teuer, sobald Cloud-Dienste dazukommen.

Achten Sie außerdem auf vier Positionen, die selten im Grundpreis stehen: Onboarding und Integration, Aufbewahrungsdauer der Logs über die Standardfrist hinaus, Incident Response als Retainer und Zusatzstunden für Sonderauswertungen. Diese Posten entscheiden über die tatsächlichen Gesamtkosten eines Vertrags.

Woran MSSP-Projekte in der Praxis scheitern

Die meisten Enttäuschungen entstehen nicht durch schlechte Technik, sondern durch unscharfe Absprachen. Fünf Muster tauchen immer wieder auf.

Die Leistungsgrenze bleibt offen. Der Anbieter erkennt einen Vorfall und meldet ihn. Wer das betroffene System isoliert, steht nirgends. Im Ernstfall vergehen Stunden mit der Klärung von Zuständigkeiten.

Alarme ohne Empfänger. Meldungen laufen in ein Postfach, das nachts und am Wochenende niemand liest. Eine Eskalationsmatrix mit Namen, Rufnummern und Vertretungen gehört in den Vertrag, nicht ins Wiki.

Reaktionszeiten ohne Definition. Eine zugesagte Reaktion innerhalb von 15 Minuten ist wertlos, solange nicht feststeht, ob damit die automatische Eingangsbestätigung oder die menschliche Analyse gemeint ist.

Das Netz wird vergessen. Erkennung und Reaktion setzen voraus, dass Standorte, Cloud-Zugänge und Fernzugriffe sauber angebunden sind. Wo die Anbindung instabil ist, produziert das SOC Lücken statt Sicherheit.

Kein Exit gedacht. Verträge mit 36 Monaten Laufzeit ohne geregelten Datenexport machen den Wechsel zum Projekt. Klären Sie vor der Unterschrift, in welchem Format Sie Ihre Logs und Konfigurationen zurückbekommen.