Es gibt im Security-Markt niemanden, der dafür bezahlt wird, dir zu sagen: Das reicht. Der Vendor lebt vom nächsten Modul, der MSP vom nächsten Service, der Auditor vom nächsten Finding. Alle Anreize zeigen in dieselbe Richtung, und die heisst mehr.
Deshalb wird die Frage, wie du deine IT-Sicherheit richtig dimensionierst, praktisch nie gestellt. Dabei ist sie beantwortbar. Nur eben selten von jemandem, der dir im selben Gespräch etwas verkaufen will.
Warum die Standardantwort immer mehr ist
Unterdimensionierung hat eine Lobby. Jeder Vorfall in den Medien, jede Studie eines Herstellers, jede Renewal-Präsentation erzählt dieselbe Geschichte: Die Bedrohung wächst, also muss dein Stack mitwachsen. Die Geschichte stimmt sogar zur Hälfte. Die Bedrohungslage entwickelt sich weiter, das bestreitet niemand.
Der zweite Teil folgt daraus aber nicht. Aus einer wachsenden Bedrohung folgt, dass deine Massnahmen zu deinem Risiko passen müssen. Es folgt daraus nicht, dass jedes Jahr ein Produkt dazukommt.
Überdimensionierung hat dagegen keine Lobby und keine Schlagzeile. Sie taucht in keinem Lagebericht auf. Sie steht als Lizenzposten in der Buchhaltung, verteilt auf ein Dutzend Verträge, und fällt erst auf, wenn jemand die Gesamtsumme neben die Funktionen legt, die davon in Betrieb sind. In unserer Erfahrung passiert genau das in den wenigsten Unternehmen, weil niemand dafür zuständig ist, es zu tun.
Dazu kommt ein stiller Treiber: der Vergleich. Was haben andere in unserer Branche? Was empfiehlt das Framework? Ein Framework wie ISO 27001 ist aber ein Katalog möglicher Massnahmen und war als Einkaufsliste nie gedacht. Wer den Katalog als Soll-Zustand liest, baut die Sicherheitsarchitektur eines Konzerns in ein Unternehmen mit 120 Mitarbeitenden. Das fühlt sich gründlich an. Es ist vor allem teuer.
Wie ein Stack auf diese Grösse kommt
Kein Unternehmen beschliesst an einem Montagmorgen, zwölf Sicherheitsprodukte zu betreiben. Der Zustand entsteht in Schichten, und jede Schicht hatte im Moment ihrer Entstehung einen guten Grund.
Nach dem Phishing-Vorfall vor vier Jahren kam das E-Mail-Security-Gateway. Der Auditor bemängelte fehlendes Logging, also kam ein SIEM. Der neue MSP brachte sein eigenes Endpoint-Produkt mit, das alte lief wegen der Restlaufzeit des Vertrags weiter. Die Cyber-Versicherung verlangte MFA und ein Schwachstellen-Scanning, der Broker empfahl praktischerweise gleich einen Anbieter. Dann wechselte der IT-Leiter, und der neue kannte aus seiner letzten Firma ein besseres Backup-Tool.
Jede dieser Entscheidungen ist für sich genommen nachvollziehbar. Das Muster dahinter fällt erst mit Abstand auf: Jedes Produkt hat eine Eintrittsgeschichte. Eine Austrittsgeschichte hat fast keines. Es gibt im Unternehmen einen Anlass, ein Budget und einen Fürsprecher für jeden Neuzugang. Für das Abschalten gibt es nichts davon, nur das diffuse Unbehagen, dass man ein Sicherheitsprodukt besser nicht anfasst. Also wächst der Bestand, Jahr für Jahr, eine Renewal-Unterschrift nach der anderen.
Was in den meisten KMU als Dimensionierung dasteht, hat darum nie jemand entschieden. Es ist die Summe von Anlässen. Das erklärt auch, warum sie sich mit dem Geschäft so selten deckt: Es hat schlicht nie jemand nachgemessen.
Überdimensioniert heisst nicht auf der sicheren Seite
Das wäre alles halb so schlimm, wenn zu viel Sicherheit einfach nur zu viel Geld kosten würde. Ein Puffer, unnötig, aber harmlos. So funktioniert es leider nicht.
Jedes Werkzeug, das du kaufst, braucht jemanden, der es konfiguriert, pflegt und auf seine Meldungen reagiert. Das ist die unbequeme Konstante hinter jedem Security-Budget: Schutz entsteht im Betrieb einer Massnahme, die Lizenz allein leistet nichts. Ein KMU mit 50 bis 500 Mitarbeitenden hat kein SOC-Team im Keller. Es hat eine IT, die daneben noch den Laptop-Ersatz und das ERP-Upgrade stemmt.
Wenn diese IT zwölf Sicherheitsprodukte verantwortet, passiert Vorhersehbares. Zwei oder drei laufen sauber. Der Rest ist installiert, halb konfiguriert und meldet in ein Postfach, das niemand liest. Auf dem Papier bist du breit abgedeckt. Praktisch hast du dir eine Fassade gekauft, und die Fassade hat einen doppelten Preis: die Lizenzkosten und das falsche Gefühl, versorgt zu sein.
Der dritte Preis ist der leiseste. Das Geld und die Aufmerksamkeit, die in der Fassade stecken, fehlen an den Stellen, die am Ende tragen. Wir sehen regelmässig Umgebungen mit fortgeschrittener Detection-Ausstattung, in denen seit Jahren niemand eine Wiederherstellung aus dem Backup geprobt hat. Oder in denen Austritte von Mitarbeitenden Wochen später noch aktive Konten haben. Dasselbe Unternehmen ist dann überdimensioniert und unterdimensioniert zugleich, und beides aus demselben Grund: Gekauft wird, was sich gut anfühlt, statt was der eigene Betrieb hergibt.
Wie du einen gewachsenen Stack konkret zurückbaust, haben wir im Beitrag zu Sicherheitstools konsolidieren beschrieben. Hier geht es um die Frage davor: Woran erkennst du überhaupt, welche Grösse für dich stimmt?
Der Massstab liegt in deinem Geschäft, nicht im Angebot
Richtig dimensionieren heisst: Die Grösse deiner Sicherheitsmassnahmen leitet sich aus drei Bezugsgrössen ab, und keine davon steht in einem Prospekt.
Die erste ist deine Exposure. Was betreibst du, was von aussen erreichbar ist? Wer hängt an dir, als Kunde oder als Datenempfänger? Wofür wäre dein Unternehmen für einen Angreifer brauchbar, auch ohne dass er es auf dich abgesehen hat? Ein Produktionsbetrieb mit Fernwartungszugängen und angebundenen Maschinen hat eine andere Exposure als ein Treuhandbüro mit Mandantendaten, und beide haben eine andere als der Software-Anbieter, dessen Plattform bei dreissig Kunden im Einsatz ist. Dieselbe Toolliste für alle drei ist mit Sicherheit für zwei davon falsch.
Die zweite ist dein Geschäftsrisiko. Welche drei Szenarien würden dich am meisten kosten? Meistens sind es erstaunlich unspektakuläre: mehrere Tage Betriebsstillstand, der Abfluss von Kunden- oder Konstruktionsdaten, ein blockiertes Bankkonto nach einem Zahlungsbetrug. Massnahmen, die auf keines deiner teuren Szenarien einzahlen, sind Kandidaten für die Streichliste, egal wie gut ihre Demo war. Wie du das vorhandene Budget entlang dieser Szenarien ordnest, zeigt unser Beitrag zum Security-Budget richtig verteilen.
Die dritte ist deine Betriebskapazität, und sie ist die härteste Grenze. Die richtige Menge Sicherheit ist die, die dein Team vollständig betreiben kann. Vollständig heisst: konfiguriert, aktuell, mit einem Menschen, der auf Alarme reagiert und dafür Zeit im Kalender hat. Eine Massnahme, die diese Bedingung nicht erfüllt, verlängert nur deine Inventarliste.
Aus diesen drei Grössen ergibt sich eine Dimensionierung, die mit dem Branchendurchschnitt wenig zu tun haben muss. Vielleicht brauchst du weniger Produkte als dein Mitbewerber und dafür einen sauber geprobten Notfallprozess. Vielleicht brauchst du an einer Stelle sogar mehr, als du heute hast. Beides ist in Ordnung. Falsch ist nur, die Frage dem Angebot zu überlassen.
Drei Prüffragen für die Standortbestimmung
Du brauchst kein Projekt, um herauszufinden, ob deine IT-Sicherheit richtig dimensioniert ist. Eine Stunde reicht, zusammen mit der Bereitschaft, drei Antworten auszuhalten, die vermutlich unbequem ausfallen.
Erstens: Welche unserer Massnahmen betreibt im Alltag jemand? Geh die Liste durch und markiere nur, was konfiguriert ist, gepflegt wird und wo auf Meldungen reagiert wird. Frag dabei nach Namen statt nach Zuständigkeiten auf dem Papier. "Das macht der MSP" zählt nur, wenn du weisst, was der MSP laut Vertrag tut und was er zuletzt gemeldet hat. Alles Unmarkierte ist Bestand.
Zweitens: Zahlen unsere Ausgaben auf unsere teuersten Szenarien ein? Nimm die drei Szenarien, die dich am meisten kosten würden, und prüfe, welche deiner Massnahmen dagegen konkret etwas ausrichtet. Konkret heisst: Du kannst in einem Satz sagen, wie das Produkt das Szenario verhindert, verkürzt oder abfedert. Wenn der grösste Budgetposten auf keines der drei einzahlt, hast du deine Antwort.
Drittens: Was könnten wir abschalten, ohne dass unser Risiko messbar steigt? Wenn die Antwort bei mehr als zehn Produkten im Einsatz "nichts" lautet, ist das selten ein Zeichen von Präzision. Häufiger ist es ein Zeichen dafür, dass niemand die Frage je gestellt hat. Allein sie zu stellen verändert das nächste Renewal-Gespräch spürbar.
Genug ist eine Entscheidung
Es gibt einen Grund, warum diese Fragen so selten gestellt werden, und er ist menschlich. Für ein zusätzlich gekauftes Sicherheitsprodukt ist noch nie jemand kritisiert worden. Für ein abgeschaltetes schon, nämlich dann, wenn danach etwas passiert, ganz gleich, ob das Produkt es verhindert hätte. Diese Asymmetrie sorgt dafür, dass ohne bewussten Gegenimpuls jede Organisation Richtung Überdimensionierung driftet. Vorsicht sieht aus wie kaufen. Verantwortung sieht anders aus: Sie hält fest, welche Risiken man trägt, welche man abdeckt und warum, und steht dann zu der Liste, auch wenn sie kürzer ist als die des Mitbewerbers.
Die Dimensionierung deiner IT-Sicherheit ist darum eine Führungsentscheidung und gehört als solche behandelt. Jemand im Unternehmen muss den Massstab setzen, die Begründung dokumentieren und beides gegen den Dauerdruck des Marktes verteidigen. In grösseren Firmen macht das ein CISO. In einem KMU braucht diese Rolle keine Vollzeitstelle, aber sie braucht einen Namen (was diese Rolle kostet, haben wir hier aufgeschlüsselt).
Wenn du diese Standortbestimmung mit jemandem machen willst, der nichts davon hat, dass am Ende mehr auf deiner Liste steht: Genau dafür sind wir da, ohne Produkt im Rücken. Ein Erstgespräch ist unverbindlich, und öfter, als man meint, steht am Ende eine kürzere Liste als vorher.
Und weil wir es ehrlicherweise selbst wissen wollen: Wann hat bei euch zum letzten Mal jemand eine Sicherheitsmassnahme bewusst abgeschaltet?
