Alarm ohne Antwort: Wann externes Sicherheitsmonitoring für ein 25-Personen-Unternehmen trägt – und wann nicht

Es ist ein wiederkehrendes Muster in Beratungsgesprächen: Ein Unternehmen mit 25 Beschäftigten erhält ein Angebot über Managed Detection and Response. Achtzig Euro pro Endpunkt und Monat, 24/7-Überwachung, garantiertes Eingreifen binnen fünfzehn Minuten. Auf dem Papier sieht das nach einem angemessenen Sicherheitsniveau aus. In der Praxis stellt sich nach drei Monaten Ernüchterung ein – nicht weil der Dienstleister schlecht arbeitet, sondern weil das Betriebsmodell nicht zur Organisation passt.

Was MDR tatsächlich leistet

Managed Detection and Response bündelt drei Aufgaben: das Sammeln und Auswerten von Protokolldaten, das Erkennen von Auffälligkeiten und die Reaktion darauf. Der Reaktionsteil ist der entscheidende. Ein reiner Monitoring-Dienst schickt E-Mails; ein MDR-Dienst greift ein – isoliert Endpunkte, sperrt Konten, beendet Prozesse.

Damit dieser Eingriff funktioniert, braucht es drei Voraussetzungen: eine Telemetriequelle auf den Geräten, eine klare Vollmacht für den Anbieter und einen Menschen im Unternehmen, der Entscheidungen freigibt, wenn es über die definierten Standardschritte hinausgeht. Fehlt die dritte Voraussetzung, verpufft die Wirkung.

Drei Betriebsmodelle im Vergleich

Modell A: Co-Managed Monitoring. Ein regionales Systemhaus überwacht die vorhandene Schutzsoftware und die Server-Protokolle, meldet sich während der Geschäftszeiten. Nachts läuft eine Rufbereitschaft mit pauschaler Abrechnung. Geeignet für Häuser, die bereits eine engere Beziehung zu einem Dienstleister haben.

Modell B: MDR mit Standard-Playbooks. Ein überregionaler Anbieter übernimmt Erkennung und Erstresponse nach festen Abläufen. Kritische Entscheidungen bleiben beim Kunden. Typisch sind Verträge mit Alarmbudget und Eskalationsmatrix.

Modell C: Voll umfängliches SOC mit Incident-Response-Team. Der Anbieter übernimmt auch die Nachbearbeitung, die Forensik und die Kommunikation. Für 25 Mitarbeiter ist das in der Regel überdimensioniert – es sei denn, das Unternehmen arbeitet in einem regulierten Umfeld mit hohem Schutzbedarf.

Die ehrliche Einschätzung: Modell A und B sind für diese Größenklasse realistisch, Modell C nur bei besonderen Anforderungen.

Was ein externes SOC bei 25 Mitarbeitern abfangen kann

• Verschlüsselungsversuche durch bekannte Schadsoftware-Familien, bevor sie sich im Netzlaufwerk ausbreiten.
• Auffällige Anmeldungen mit gestohlenen Zugangsdaten, insbesondere außerhalb der Arbeitszeiten.
• Missbräuchliche Nutzung von Administrationskonten.
• Datenabfluss über bekannte Cloud-Dienste, sofern die Protokolle entsprechend konfiguriert sind.

Was ein externes SOC nicht abfängt:

• Phishing mit sorgfältig präparierter Zielseite, bei der ein Mitarbeiter selbst die Anmeldung durchführt.
• Fehlkonfigurationen, die seit Jahren bestehen und niemandem auffallen.
• Schäden durch unsachgemäße Berechtigungsvergabe im Fachbereich.
• Alles, was auf Geräten ohne installierten Sensor passiert.

Diese Liste ist wichtig, weil sie den Erwartungsrahmen setzt. MDR ersetzt keine IT-Hygiene, sondern setzt sie voraus.

Der Kostenrahmen, nüchtern betrachtet

Orientierungswerte für den deutschen Markt im Jahr 2026, ohne Gewähr: Modell A liegt häufig bei 900 bis 1.800 Euro monatlich für ein Haus dieser Größe. Modell B bewegt sich je nach Endpunktzahl zwischen 20 und 45 Euro pro Gerät und Monat, bei 25 bis 40 Geräten also grob 600 bis 1.500 Euro monatlich, hinzu kommen einmalige Einrichtungskosten. Modell C beginnt üblicherweise im vierstelligen Monatsbereich.

Diesen Beträgen steht ein Nutzen gegenüber, der sich schwer beziffern lässt. Deshalb lohnt der Vergleich mit den Alternativen: Was würde es kosten, zwei interne Mitarbeiter für Alarmbearbeitung zu qualifizieren? Was kostet ein Ausfall von zwei Tagen? Und wie hoch ist die Wahrscheinlichkeit eines Vorfalls, der ohne Monitoring später entdeckt würde?

Sieben Kriterien für den Vertrag

1. Reaktionszeit versus Wiederherstellungszeit. Ein SLA auf die Erstreaktion sagt wenig über die Wiederherstellung aus.
2. Alarmbudget. Wie viele Meldungen sind pro Monat inklusive, was kostet jede weitere?
3. Vollmachten. Welche Maßnahmen darf der Anbieter eigenständig auslösen?
4. Datenhaltung. Wo liegen die Protokolldaten, wie lange, nach welchem Recht?
5. Subunternehmer. Wer arbeitet tatsächlich im SOC – und ist das transparent?
6. Exit-Klausel. Bekommt das Unternehmen bei Vertragsende Rohdaten und Konfigurationen?
7. Haftung. Welche Deckungssumme steht hinter einem Fehler des Dienstleisters?

Punkt zwei wird in der Praxis am häufigsten unterschätzt. Ein SOC, das 40 Meldungen pro Woche erzeugt, bindet interne Kapazität, die in einem Betrieb ohne Sicherheitsteam schlicht nicht existiert.

Wann es teures Theater ist

Warnsignale, die für ein zu großes Modell sprechen:

• Das Angebot enthält keine Aussage darüber, wer im Unternehmen Entscheidungen freigibt.
• Es gibt keine Dokumentation der eigenen Netzwerk- und Asset-Struktur, die der Anbieter übernehmen könnte.
• Der Anbieter verspricht vollständige Abdeckung ohne Angabe der Telemetriequellen.
• Die Vertragslaufzeit beträgt drei Jahre bei gleichzeitig geringem Leistungsumfang.
• Es existiert kein Plan für den Fall, dass der Alarm um zwei Uhr nachts eintrifft und niemand erreichbar ist.

Wer diese Punkte nicht beantworten kann, kauft keine Sicherheit, sondern eine Beruhigungspille mit Rechnung.

Fazit

Externes Sicherheitsmonitoring ist für kleine und mittlere Unternehmen sinnvoll – aber nur als Teil eines Gesamtbildes. Vor dem Vertrag sollten Asset-Inventar, Netzsegmente und Berechtigungen geklärt sein. Danach ist MDR eine echte Entlastung, weil es die Aufmerksamkeit dorthin lenkt, wo sie fehlt: in die Nachtstunden und Wochenenden. Ohne diese Vorarbeit bleibt es ein teurer Alarmmelder an einer Wand, die niemand ansieht.