Ein eigenes Security-Team wirst du so bald nicht haben. Bei 50 bis 500 Mitarbeitenden gibt das Budget selten mehr her als eine IT, die ohnehin zu viel auf dem Tisch hat, und der Arbeitsmarkt für Security-Leute macht die Rechnung auch nicht besser. Wir schreiben das ohne Bedauern: IT-Sicherheit ohne eigenes Security-Team ist für die meisten Schweizer KMU der Normalfall, und sie lässt sich sauber betreiben. Die Lücke, die wir in Mandaten antreffen, ist fast immer dieselbe, und sie steht in keinem Stellenplan: Aufgaben, die es gibt, die aber niemandem gehören.
Der Reflex «dafür bräuchten wir mal jemanden»
Der Satz fällt meist nach einem konkreten Anlass. Ein Kundenfragebogen liegt auf dem Tisch, die Cyber-Versicherung will Antworten, oder ein Betrieb in der Nachbarschaft stand zwei Wochen still. Dann sagt jemand in der Geschäftsleitung: «Dafür bräuchten wir eigentlich mal jemanden.»
Hinter dem Satz steckt ein Bild aus der Konzernwelt: ein Security Operations Center, Schichtbetrieb, grosse Bildschirme. Die Anbieterseite pflegt dieses Bild gern, weil es Produkte und Personentage verkauft. Und wer trotzdem intern suchen will, merkt schnell, dass der Markt dasselbe Bild spielt: Die Profile, die du findest, wollen Konzernumgebungen, Konzernlöhne oder beides, und ein einzelner Spezialist im KMU hat ohnehin niemanden, mit dem er sich fachlich austauschen kann.
Nur beschreibt das Bild dein Problem nicht. Die Sicherheitsaufgaben in einem KMU existieren, aber sie füllen kein Vollzeitpensum. Ein Teil davon braucht ein paar Stunden pro Woche, ein anderer Teil eine Sitzung pro Quartal. Wir haben mehr als einmal gesehen, was passiert, wenn ein 100-Personen-Betrieb trotzdem eine Vollzeitstelle für Security schafft: Die Person hat zu wenig zu tun und beginnt, sich Arbeit zu bauen. Neue Richtlinien und neue Tools, die niemand verlangt hat. Das Sicherheitsniveau steigt dabei kaum, die Kosten schon. Du erkennst das Muster daran, dass die Sicherheitsarbeit vor allem Dokumente produziert und selten etwas, das ein Angreifer bemerken würde.
Ohne besetzte Zuständigkeiten passiert allerdings das Gegenteil. Sicherheit läuft dann als Nebeneffekt des IT-Betriebs: Die IT spielt Patches ein, wenn gerade Zeit ist. Meldungen der Systeme landen in einem Postfach, das niemand liest. Und Risikoentscheide fallen implizit, indem niemand etwas entscheidet. Das geht lange gut, bis zu dem Tag, an dem jemand fragt, wer zuständig war.
Die vier Jobs, die besetzt sein müssen
Wenn wir in einem Mandat den Sicherheitsbetrieb aufsetzen, sortieren wir alle Aufgaben in vier Jobs. Die Sortierung ist unspektakulär, aber sie macht sichtbar, was fehlt.
Entscheiden. Jemand legt fest, welche Risiken das Unternehmen bewusst trägt, wofür Geld ausgegeben wird und was Vorrang hat. Das ist der Kern dessen, was ein CISO tut, und die einzige Aufgabe auf dieser Liste, die zwingend Geschäftsleitungsnähe braucht. Ob du dafür eine eigene Person brauchst, haben wir im Beitrag Brauche ich einen CISO? auseinandergenommen.
Betreiben. Jemand hält das Fundament in Ordnung: Berechtigungen, Patches, Backups, die Konfiguration der Tools, die ihr längst besitzt. Kein Glamour, dafür der Teil mit der grössten Schutzwirkung pro eingesetztem Franken.
Hinschauen. Jemand sieht die Meldungen an, die eure Systeme erzeugen, verfolgt bekannte Schwachstellen und erkennt das ungewöhnliche Login am Sonntagabend. Hinschauen ist der Job, der in KMU am häufigsten unbesetzt ist, weil er im Alltag am leichtesten verdrängt wird.
Nachweisen. Jemand kann belegen, wie ihr Sicherheit betreibt: gegenüber Kunden, der Versicherung, dem Verwaltungsrat. Dieser Job wird unterschätzt, bis der erste Enterprise-Kunde einen Fragebogen schickt und die Antwort drei Wochen Recherche kostet.
Vier Jobs heisst ausdrücklich nicht vier Leute. Eine Person kann mehrere Hüte tragen, und für einzelne Hüte kannst du externe Hilfe holen. Aber jeder Job braucht einen Namen dahinter. «Das macht die IT» besetzt keinen Job, es verschiebt ihn nur, und meistens verschiebt es ihn ins Leere.
Hilfreich ist auch, die Grösse der Jobs realistisch einzuschätzen, bevor du über Modelle nachdenkst. Betreiben ist Alltagsarbeit und läuft bei den meisten Firmen bereits irgendwo mit, nur eben ohne Sicherheitsbrille. Hinschauen ist ein Bereitschaftsjob: an ruhigen Tagen Minuten, im Ernstfall alles auf einmal, und genau deshalb funktioniert er nicht nebenbei. Entscheiden und Nachweisen sind Taktarbeit, ein fester Termin pro Quartal reicht oft, aber er muss stattfinden und ein Protokoll hinterlassen. Wenn du die vier Jobs so nebeneinanderlegst, siehst du meist von selbst, welcher intern gut aufgehoben ist und welcher nicht.
Drei Modelle für IT-Sicherheit ohne eigenes Team
In der Praxis sehen wir drei Betriebsmodelle, die funktionieren. Alle drei haben Grenzen, und die beschreiben wir gleich mit.
Modell 1: Die IT trägt den Hut, mit Leitplanken. Die häufigste Variante. Der IT-Leiter oder die IT-Leiterin übernimmt Betreiben und Hinschauen, die Geschäftsleitung entscheidet. Das trägt, solange zwei Bedingungen erfüllt sind: Die Entscheide werden dokumentiert statt mündlich abgenickt, und es gibt einen fixen Rhythmus, in dem Sicherheit auf der Agenda der Geschäftsleitung steht. Eine Stunde pro Quartal mit drei Traktanden reicht dafür: Was ist passiert, was ist offen, was tragen wir bewusst als Risiko. Die Grenze des Modells ist strukturell. Die IT prüft sich selbst, und im Tagesgeschäft gewinnt Verfügbarkeit gegen Sicherheit fast immer; die Migration mit Termindruck schlägt das Patchfenster. Eine externe Prüfung in vernünftigen Abständen gleicht das aus.
Modell 2: Betrieb und Überwachung einkaufen. Ein Dienstleister übernimmt Teile von Betreiben und Hinschauen, etwa als Managed Detection oder als betreuter Sicherheitsbetrieb. Du kaufst damit Augen und Hände, und das kann sehr sinnvoll sein, gerade fürs Hinschauen rund um die Uhr. Was du nicht kaufst: Entscheide und Verantwortung. Wenn der Anbieter meldet, entscheidet trotzdem jemand bei euch, was es bedeutet und was geschieht. Die brauchbarste Frage an einen solchen Anbieter lautet darum: Was tut ihr, wenn ihr etwas findet, und was erwartet ihr in dem Moment von uns? Wenn die Antwort im Kern «wir schicken euch ein Ticket» lautet, weisst du, dass der Job Hinschauen nur zur Hälfte eingekauft ist und die andere Hälfte bei euch liegt, mit Namen. Ein zweiter Hinweis aus Erfahrung: Ein Dienstleister, der gleichzeitig Tools verkauft, hat bei jeder gefundenen Lücke einen eingebauten Interessenkonflikt. Bevor du auf eine Empfehlung hin zukaufst, lohnen sich die drei Fragen vor jeder Tool-Verlängerung auch für Neukäufe.
Modell 3: Führung einkaufen, Betrieb behalten. Ein externer Praktiker übernimmt Entscheidungsvorbereitung, Priorisierung und die Nachweise, an wenigen Tagen pro Monat. Betrieb und Hinschauen bleiben bei eurer IT oder beim bestehenden Dienstleister. Das Modell passt, wenn die operative Seite eigentlich funktioniert und die Lücke oben liegt: niemand priorisiert und niemand berichtet. So ist unser Security Management aufgebaut, und ehrlicherweise: Das ist unser Geschäft, rechne also damit, dass wir dieses Modell mögen. Der Massstab bleibt derselbe wie bei jedem Einkauf: Es muss eine benannte Lücke schliessen, sonst ist es Dekoration.
Was in allen drei Modellen gleich bleibt: Die Risikoentscheide gehören der Geschäftsleitung. Du kannst jeden Handgriff auslagern, die Verantwortung liefert kein Anbieter mit.
Der Test für einen Nachmittag
Ob euer Betrieb ohne Security-Team trägt, findest du ohne Audit heraus. Vier Fragen, eine pro Job, und die Antworten müssen Namen enthalten.
- Wer hat zuletzt entschieden, ein Sicherheitsrisiko bewusst zu tragen, und wo ist das festgehalten?
- Wer spielt Patches ein, in welchem Rhythmus, und wer merkt es, wenn es zwei Monate nicht passiert?
- Wenn heute Nacht eine Meldung aufläuft: Wer sieht sie zuerst, und weiss diese Person, dass sie zuständig ist?
- Könntest du einem Grosskunden innert einer Woche zeigen, wie ihr Sicherheit betreibt?
Viermal ein Name mit einer klaren Antwort: Ihr seid besser aufgestellt als viele Firmen mit deutlich grösserem Budget. Ein «die IT, irgendwie» dazwischen: Da liegt die Lücke, und sie kostet nichts, bis sie teuer wird.
Falls mehrere Antworten wacklig sind, hilft eine einfache Reihenfolge. Zuerst die dritte Frage, weil ein unbeobachtetes System dir jede andere Anstrengung entwertet; dann die erste, weil unentschiedene Risiken sich sonst von selbst entscheiden; die vierte hat Zeit, bis ein Kunde sie stellt, und dann plötzlich keine mehr. Wichtig ist nur, dass du die Reihenfolge bewusst wählst, statt dort anzufangen, wo gerade ein Angebot auf dem Tisch liegt.
Fang bei den Zuständigkeiten an, bevor du irgendetwas kaufst. In unserer Erfahrung ist die Klärung dieser vier Jobs der günstigste Sicherheitsgewinn, den es gibt. Sie kostet eine Sitzung und ein Blatt Papier, und sie schlägt in ihrer Wirkung so manches Tool-Abo, weil sie die Werkzeuge wirksam macht, die ihr schon habt.
Wenn du die vier Fragen durchgespielt hast und beim Ergebnis Sparring willst, ist ein Erstgespräch der einfachste Weg. Wir schauen mit dir auf die Lücken, ohne dass am Ende zwingend ein Mandat stehen muss.
Und weil uns die Antwort interessiert: Welcher der vier Jobs wäre bei euch heute unbesetzt, wenn du ehrlich hinschaust?
