Managed Detection & Response Wo setzen Unternehmen auf professionelle Cybersecurity-Hilfe?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Viele Unternehmen können ihre IT-Infrastruktur nicht vollständig aus eigener Kraft schützen. Welche Security-Angebote werden besonders häufig genutzt und welche Fallstricke lauern beim Outsourcing?

Professionelle Cybersecurity-Angebote stehen bei deutschen Unternehmen hoch im Kurs. Die Online-Plattform Statista zeigt für 2024 eine Umsatzprognose von 2,75 Mrd. Euro. Das entspricht etwa einem Drittel der vom Branchenverband Bitkom geschätzten Gesamtausgaben für die IT-Sicherheit. In den nächsten fünf Jahren soll das Marktvolumen um knapp fünf Prozent auf 3,5 Mrd. Euro steigen, was einer Verdoppelung gegenüber 2018 entspricht. Woher kommt dieses rasante Wachstum?

Bildergalerie

Den Unternehmen fehlen Ressourcen

Der Hauptgrund für die zunehmende Auslagerung von IT-Sicherheitsaufgaben liegt auf der Hand: Den Unternehmen fehlen schlicht die Ressourcen und Kapazitäten, um interne Teams aufzubauen, die sich rund um die Uhr mit dem Thema Cybersicherheit beschäftigen. Vor allem KMU haben dafür nicht das nötige Budget oder finden nicht die erforderlichen Mitarbeiter. Die im Verhältnis zum Bedarf zu wenigen Fachkräfte gehen eher zu Spezialisten oder Großunternehmen, die besser bezahlen oder interessantere Perspektiven bieten.

Outsourcing

Lohnt sich eine Compliance-Überwachung durch einen MSSP?

Wer seine IT-Infrastruktur 24x7 aus eigener Kraft überwachen möchte, muss viel Geld in den Aufbau von Fachpersonal stecken. Die hohen Gehälter inklusive Schichtzulagen dauerhaft zu finanzieren, ist meist erst ab einer bestimmten Unternehmensgröße wirtschaftlich sinnvoll. IT-Dienstleister, die ihren Nachwuchs systematisch ausbilden und ihre Fachkräfte besser auszulasten können, habe es da leichter, zumal der abwechslungsreiche „Fronteinsatz“ bei verschiedenen Kunden auch ein gutes Karrieresprungbrett darstellt. Last but not least erhöhen Regulierungen wie NIS2 oder das BSI-Gesetz (BSIG) für Unternehmen der kritischen Infrastruktur (KRITIS) den Druck auf viele kleine und mittlere Unternehmen, umfassende Schutzmaßnahmen zu ergreifen.

Bessere Abdeckung zu vertretbaren Kosten

Ganzheitliche Dienstleistungsangebote ermöglichen es den Unternehmen, ihr Sicherheitsniveau sukzessive zu erhöhen, d.h. Angriffe schnell zu erkennen und Gegenmaßnahmen einzuleiten. Sind beispielsweise interne Sicherheitstechnologien wie EDR (Endpoint Detection & Response), NDR (Network Detection and Response) oder ein SIEM (Security Information & Event Management) vorhanden, kann dieser Basisschutz im Rahmen eines Co-Managed SoC (gemeinsam betriebenes Security Operations Center) auf eine 24x7-Abdeckung ausgeweitet oder auf ein regelkonformes Niveau gebracht werden. Auf diese Weise kann sich das interne Sicherheitsteam die Arbeit mit den externen Experten teilen und das Monitoring kosteneffizient ausweiten, um den Schutz auch in den Randzeiten des Geschäftsbetriebs zu gewährleisten. Darüber hinaus gibt es viele Unternehmen, die in erster Linie einen „Betreiber“ für ihr bestehendes Sicherheitssystem suchen.

Open-Source-Security im Praxis-Check

Wazuh im Test: Flexibles SIEM mit XDR-Funktionen

Verlängerte Arme und „Bediener“

Dieser „verlängerte Arm“ der eigenen IT-Abteilung gehört zu den am meisten nachgefragten Dienstleistungen, da er den Kunden ein hohes Maß an Flexibilität und Unterstützung beim Auf- und Ausbau ihres Sicherheitsnetzes bietet. Daneben gibt es natürlich auch Unternehmen, die den Betrieb ihrer IT-Infrastruktur inklusive Sicherheit an einen allgemeinen IT-Dienstleister auslagern. Hier ist jedoch Vorsicht geboten: IT-Generalisten können zwar gewisse Basisaufgaben, bei weitem jedoch nicht alle relevanten Sicherheitsthemen übernehmen. Teilweise sind die Anbieter bereits mit dem Aufbau oder der fachgerechten Konfiguration eines EDR-Systems überfordert. Außerdem fehlt ihnen – ohne ein SIEM, das Meldungen, Alarme und Logfiles verschiedener Geräte, Netzkomponenten, Anwendungen und Security-Systeme sammelt und aufbereitet – die notwendige Informationsbasis, um Bedrohungen zu erkennen und entsprechend zu reagieren.

Pentests und Red Teaming

Ebenfalls stark nachgefragt sind IT-Sicherheits-Penetrationstests, um das Angriffspotenzial auf eine IT-Infrastruktur, ein einzelnes IT-System oder eine (Web-)Anwendung zu ermitteln und bestehende Sicherheitslücken aufzudecken. Einen Schritt weiter geht das Red Teaming, bei dem ethische Hacker die Taktiken, Techniken und Verfahren echter Angreifer imitieren, um sich Zugang zu unternehmenseigenen Systemen und Netzwerken zu verschaffen. Beide Ansätze sind durchaus effektiv, haben aber einen Haken: Nicht selten folgen der Schwachstellenanalyse zu wenig Taten. Wenn die gewonnenen Ergebnisse nicht umfassend in die Praxis umgesetzt werden, zahlt sich die Investition nur teilweise aus.

CISOs schützen Systeme mit Simulationen

Das bringen Red-Team- und Blue-Team-Übungen

Incident Management und digitale Forensik

Viele Unternehmen, die einen ganzheitlichen und nachhaltigen Schutzansatz verfolgen, erweitern ihr Portfolio um ergänzende Angebote wie Incident Response und Digital Forensics sowie Compromise und Data Breach Assessments. Beim Letzterem durchsuchen Experten das Dark Web nach gestohlenen Daten wie Verkaufs-, Patent- oder Personendaten, um bereits erfolgte Angriffe aufzuspüren und die dabei ausgenutzten Schwachstellen anhand verschiedener Indikatoren automatisiert zu finden. Anschließend werden die Ergebnisse bewertet und Handlungsempfehlungen ausgesprochen oder nach Absprache direkt eingeleitet, um die Mean Time to Respond zu verkürzen und den Schaden einzudämmen“. Der Begriff „Mean Time to Respond“ bezeichnet die durchschnittliche Reaktionszeit zwischen dem ersten Alarm bzw. der Entdeckung eines möglichen Sicherheitsvorfalls bis zum Einleiten erster Gegenmaßnahmen.

Da geeignete Spezialisten für Unternehmen weder leicht zu finden noch schnell verfügbar sind, werden häufig Rahmenverträge mit Dienstleistern abgeschlossen, die definierte Reaktionszeiten für externe Forensiker enthalten, auch viele kleinere Kunden nutzen. Ein typisches Szenario: Nach einem erfolgreichen Phishing-Angriff konnten die Cyberkriminellen eine Ransomware einschleusen, sensible Daten exfiltrieren und verschlüsseln. Aufgabe der Forensiker ist es nun, das Einfallstor zu finden und zu untersuchen, welche kriminellen Handlungen noch gestoppt oder verhindert werden können. Auch große Unternehmen greifen hier auf externe Unterstützung zurück.

Eine weitere forensische Dienstleistung ist das Compromise Assessment. Mit diesem Verfahren stellen die Analysten anhand verschiedenster relevanter Artefakte auf IT-Systemen fest, ob eine Kompromittierung stattgefunden hat und demnach ein Angriff stattfindet oder stattgefunden hat.

IT-Sicherheit und künstliche Intelligenz

Lösen KI-Tools alle Probleme der Security-Teams?

SOC und Security Assessments

Größere Unternehmen beauftragen häufig auch SOC Assessments für das interne Security Operations Center, in dessen Rahmen das SOC systematisch überprüft und bewertet wird, um die Effektivität, Effizienz und Reife der Sicherheitsoperationen zu beurteilen, Schwachstellen zu identifizieren und Verbesserungspotenziale aufzuzeigen. Darüber hinaus kann ein solches Audit auch Aufschluss darauf geben, welche Schwachstellen von Angreifern ausgenutzt werden können, welche Technologien sinnvoll zu ergänzen und welche Einstellungen für einen optimalen Schutz anzupassen sind.

Welche Dienstleistung am Ende die wichtigste ist, hängt freilich von der individuellen Ausgangssituation und den jeweiligen Anforderungen ab. Aus Expertensicht kommt jedoch dem externen Security-Monitoring jedoch eine besondere Bedeutung zu, da es intern nur mit hohem Aufwand und - mangels Fachpersonal - häufig mit unbefriedigendem Ergebnis abgebildet werden kann. Grundsätzlich sollten Unternehmen bei der Auswahl externer Sicherheitsdienstleistungen darauf achten, dass diese einen echten Mehrwert bieten. Technische Lösungen wie EDR- oder NDR-Systeme sind gut, aber auch die Analyse und Kontextualisierung der entsprechenden Meldungen ist unerlässlich, um die immer stiller werdenden Angriffe zu erkennen und einen effektiven Schutz zu gewährleisten.

SOAR und KI

Macht künstliche Intelligenz SOAR überflüssig?

Fachliche Expertise inklusive

Wer bereits Sicherheitstechnologien wie ein SIEM, EDR/XDR oder NDR betreibt, hat gute Voraussetzungen für einen wirksamen Schutz, immer vorausgesetzt, es gibt die notwendigen Experten, die die Ergebnisse analysieren, interpretieren und geeignete Gegenmaßnahmen einleiten können. Als Rundum-Sorglos-Paket, insbesondere im Hinblick auf KRITIS und NIS2, können daher MDR-Services angesehen werden, die als ganzheitliches Konzept mit einer gut abgestimmten Kombination aus Technik und menschlicher Analyse Sicherheitsvorfälle erkennen und darauf reagieren können. Während auch hier die fachliche Expertise inklusive Forensik den entscheidenden Unterschied macht, kann die technologische Basis relativ flexibel gestaltet werden. So können auch externe Dienstleister verschiedene Ansätze für unterschiedliche Szenarien anbieten - vom KMU bis zum Konzern, von cloud-basiert über on-premise mit externem Zugriff bis hin zum Co-Managed SOC.

Fazit

Das Portfolio der Cybersecurity-Dienstleister umfasst verschiedene Disziplinen, die jeweils einen Beitrag zur Erhöhung des Sicherheitsniveaus leisten können. Der schnellste, effektivste und kosteneffizienteste Weg ist ein umfassender MDR-Service, das auch die erforderliche personelle Expertise umfasst. Für viele Unternehmen ist diese relativ einfache und flexible Lösung am kostengünstigsten, wobei auch bei einem Komplettangebot stets ein gewisser Eigenanteil im Unternehmen verbleiben muss, um im Ernstfall schnell und angemessen reagieren zu können.

Über den Autor: Felix Gutjahr ist Cyber Defense Advisor bei SECUINFRA.

(ID:50432514)