Auf dem Tisch liegt eine Offerte für ein Sicherheitsprodukt, und im Raum sitzen zwei Lager. Das eine rechnet vor, was ein Vorfall kosten würde. Das andere rechnet vor, was die Lizenz kostet. Beide haben Zahlen, beide argumentieren sauber, und keines der beiden Lager beantwortet die Frage, die über das Geld entscheidet: Wer betreibt das Ding nach der Unterschrift?
Security-Kosten optimieren ist unser eigenes Thema, wir schreiben seit Monaten darüber, dass Schweizer KMU in der Security zu viel ausgeben. Das hat eine Nebenwirkung, die wir hier mit verursacht haben. Aus «prüfe, bevor du kaufst» wird im Alltag schnell «kauf nichts mehr». Das ist der gleiche Reflex mit umgekehrtem Vorzeichen, und er kostet genauso.
Die zwei Reflexe überspringen dieselbe Frage
Der Kaufreflex ist der bekanntere von beiden. Nach einem Vorfall, nach dem Fragebogen eines Kunden oder nach einer guten Demo wächst der Stack um ein Produkt, weil Handeln sich besser anfühlt als Abwarten.
Der Sparreflex ist jünger und wirkt klüger. Du kürzt die Verlängerung oder lehnst das Angebot ab. Im Protokoll steht eine Einsparung, und niemand prüft zwölf Monate später, ob die Arbeit, die das Produkt gemacht hat, jetzt jemand anders macht. Meistens macht sie niemand.
Beide Reflexe behandeln ein Sicherheitsprodukt als Einkauf. Es ist aber eine Verpflichtung zum Betrieb. Das ist der Grund, warum zwei Firmen mit fast identischer Lizenzliste unterschiedlich gut geschützt sind, und auch der Grund, warum sich Sicherheitskosten nicht als Prozentsatz vom IT-Budget planen lassen. Wie du stattdessen rangehst, haben wir in Was kostet IT-Sicherheit im KMU aufgeschrieben.
Was in der Offerte nicht steht
In unserer Erfahrung bezahlt eine Firma bei einem Sicherheitsprodukt vier Dinge. Die Lizenz steht in der Offerte. Die Einrichtung manchmal. Die beiden anderen Posten stehen so gut wie nie drin.
Der dritte Posten sind die laufenden Entscheide. Jedes Produkt, das etwas blockiert, produziert Ausnahmen, und jede Ausnahme ist ein Entscheid: wer darf trotzdem, wie lange, mit welcher Begründung.
Das Muster dahinter sieht in vielen Häusern gleich aus. Die IT stellt eine Regel scharf, am zweiten Tag melden sich die ersten legitimen Fälle, und weil niemand benannt ist, der über Ausnahmen entscheidet, landet die Regel entweder dauerhaft im Modus «nur protokollieren» oder auf einer Ausnahmeliste, die danach niemand mehr durchgeht. Im Lizenzvertrag sehen beide Varianten aus wie der Normalfall.
Der vierte Posten sind die Nachweise. Was ein Produkt an Alarmen, Berichten und Protokollen erzeugt, ist erst dann eine Massnahme, wenn jemand darauf reagiert. Ein Alarm ohne Besitzer ist ein Eintrag in einem Protokoll und kein Schutz, und bei Monitoring-Werkzeugen ist das in unserer Erfahrung der häufigste stille Ausfall. Wir haben das in Security Monitoring im KMU auseinandergenommen.
Diese zwei Posten sind der eigentliche Preis, und sie tauchen in keinem Angebotsvergleich auf, weil sie nicht in Franken anfallen, sondern in Arbeitszeit und Zuständigkeit. Wer Security-Kosten vergleicht, vergleicht deshalb meistens die kleinere Hälfte.
Security-Kosten optimieren: die drei Bedingungen
Eine Sicherheitsausgabe trägt sich, wenn drei Dinge gleichzeitig zutreffen. Keine der drei ist ein Qualitätsurteil über das Produkt.
Erstens: Die Ausgabe ersetzt etwas. Wenn du nicht in einem Satz sagen kannst, was nach der Einführung abgeschaltet, gekündigt oder nicht verlängert wird, kaufst du eine Erweiterung und keine Verbesserung. Diese Zeile bleibt in unserer Erfahrung am häufigsten leer. Die drei Fragen, die wir vor jeder Verlängerung stellen, stehen in Sicherheitstools konsolidieren.
Zweitens: Es gibt einen Betreiber mit Namen. Nicht «die IT», nicht «der Dienstleister». Eine Person mit einem Zeitbudget und einem ersten Termin. Diese Bedingung entscheidet mehr über die Wirkung einer Sicherheitsausgabe als die Produktwahl. Wenn die Rolle intern niemand übernehmen kann, ist das ein Beschaffungsthema für sich, und zwar eher eine Sicherheitsverantwortung auf Zeit als ein weiteres Produkt.
Drittens: Der Auslöser ist eine Risikoentscheidung. ISO/IEC 27001 gibt diese Reihenfolge in Kapitel 6.1.3 vor: zuerst bestimmst du die Risiken und die Massnahmen, die sie behandeln, danach vergleichst du das Ergebnis mit dem Massnahmenkatalog in Anhang A. Umgekehrt gelesen wird aus jedem Katalog eine Einkaufsliste. Was dabei schiefgeht, steht in Gap-Analyse ISO 27001.
Zwei von drei reichen nicht. Ein gutes Produkt mit Betreiber, das nichts ersetzt, lässt den Stack wachsen. Ein gutes Produkt aus einer echten Risikoentscheidung ohne Betreiber wird zur Rechnungszeile. Beides sieht im Budget wie Sicherheit aus.
Wenn der Kunde den Kaufgrund liefert
Am zuverlässigsten löst ein Dokument eine Bestellung aus: der Sicherheitsfragebogen eines grossen Kunden. Eine Zeile darin liest jemand, als stünde dort ein Produktname, und zwei Wochen später liegt die Offerte dazu auf dem Tisch.
Gefragt ist in solchen Bögen meistens ein Zustand und kein Hersteller: ob Zugriffe kontrolliert sind, ob Daten zurückgeholt werden können, ob Vorfälle gemeldet werden. Diesen Zustand belegst du in vielen Fällen mit einer Konfiguration und einer benannten Zuständigkeit, und dann ist die Antwort ein Satz im Fragebogen statt eine neue Position im Budget.
Es gibt den Fall, in dem du kaufen musst, auch wenn die drei Bedingungen nicht sauber stehen. Ein Vertrag verlangt es, oder ein Kunde macht es zur Bedingung. Dann verschwinden die Bedingungen nicht, sie verschieben sich nach hinten: Es braucht trotzdem einen Betreiber, und es fällt trotzdem etwas dafür weg. Diese Reihenfolge ist unangenehmer und immer noch billiger als die Variante, in der das Produkt ein Jahr später unkonfiguriert im Abo steht.
Der Boden, der vor dem ersten Kauf steht
Was zuerst stehen muss, hat das Center for Internet Security öffentlich aufgeschrieben. CIS sortiert seine 18 Controls nach Implementation Groups. Die erste nennt CIS den «on-ramp to the CIS Controls» und beschreibt sie als «a foundational set of 56 cyber defense Safeguards» (CIS, Implementation Group 1). Gedacht ist sie für Firmen, die «typically small to medium-sized with limited IT and cybersecurity expertise» sind, und die Safeguards sollen «implementable with limited cybersecurity expertise» sein.
Plain übersetzt: Es gibt eine benannte Untergrenze, sie ist für Häuser ohne eigenes Security-Team geschrieben, und sie zielt laut CIS auf allgemeine, nicht gezielte Angriffe.
Interessanter als die Zahl 56 ist die Art der Punkte. Inventar, Konfiguration, Konten und Zugriffe, Datensicherung, Protokolle. Das ist in unserer Erfahrung überwiegend Konfigurations- und Zuständigkeitsarbeit an Dingen, die eine Firma schon besitzt, und genau deshalb sieht dieser Teil im Budget so unspektakulär aus. Er erzeugt keine Position, nur Aufwand.
Der schweizerische IKT-Minimalstandard geht einen Schritt weniger weit. Er listet seine Aufgaben, verweigert aber bewusst den Sollwert und verlangt, dass jede Organisation ihren Risikoappetit selbst festlegt. Wie du damit arbeitest, ohne daraus ein Audit über 106 Zeilen zu machen, steht in IKT-Minimalstandard im KMU.
Die vier Positionen, die nichts tragen
Vier Positionen stehen in unserer Erfahrung am häufigsten auf einer Security-Rechnung, ohne eine Entscheidung zu tragen. Wer Sicherheitskosten senken will, fängt hier an, bevor er die Massnahmen anfasst, die funktionieren.
Ein Produkt für ein Risiko, das nie bewertet wurde. Es ist nicht falsch konfiguriert, es beantwortet nur eine Frage, die niemand gestellt hat.
Eine Funktion, die im bestehenden Abo enthalten ist. Microsoft hält zum Beispiel fest, dass Microsoft 365 Business Premium Defender for Business einschliesst, ausgelegt für Organisationen mit bis zu 300 Nutzenden (Microsoft Learn). Wer daneben ein zweites Produkt für denselben Job bezahlt, bezahlt zweimal. Welche Stufe was enthält, haben wir in Business Premium vs E5 sortiert.
Ein Bericht, den niemand liest. Monatliche Auswertungen, die seit einem Jahr unverändert durchlaufen, sind ein Abo auf Papier.
Ein Mehrjahresvertrag für ein Produkt, das noch niemand betrieben hat. Die Laufzeit senkt den Stückpreis und nimmt dir das Entscheidungsfenster, in dem du gemerkt hättest, dass die zweite Bedingung fehlt.
Behalten solltest du dagegen alles, was im Vorfall den Unterschied macht und wofür eine Person zuständig ist, auch wenn es teuer aussieht. Dass sich der Nutzen davon nur begrenzt in eine Zahl bringen lässt, ist unangenehm und trotzdem kein Argument gegen die Ausgabe. Was messbar ist und was Theater, steht in Cyber Security ROI messen.
Zwei Zeilen auf der nächsten Offerte
Nimm das Angebot, das als nächstes auf deinem Tisch liegt, und schreib zwei Zeilen daneben. «Ersetzt:» und «Betreiber:». Dann füll sie aus, bevor jemand über den Preis spricht.
Stehen beide Zeilen, ist der Preis eine Verhandlung. Bleibt eine leer, hast du keine Kaufentscheidung vor dir, sondern eine offene Frage im Betrieb, und die löst keine Lizenz. Die saubere Form davon ist ein Nein mit Datum: nicht jetzt, Wiedervorlage, sobald die Zuständigkeit geklärt ist.
Dieselbe Übung lohnt sich rückwärts über die laufenden Positionen. Das ist der Teil, den wir in Mandaten am häufigsten machen, und dabei entsteht selten ein Sparprogramm. Es entsteht eine Verschiebung: weniger Produkte und mehr betriebene Massnahmen, unter dem Strich oft weniger Geld. Wenn du dabei eine zweite Meinung brauchst, lohnt sich ein kurzes Erstgespräch vor der Unterschrift mehr als danach. Wie wir ohne Aufstocken auf die passende Grösse kommen, steht in IT-Sicherheit richtig dimensionieren.
Bleibt eine Frage, die wir jedem neuen Mandat stellen: Welche Position auf deiner Security-Rechnung hat heute keinen Betreiber mit Namen?
Häufige Fragen
Wie kann ein KMU Security-Kosten optimieren, ohne Schutz zu verlieren?
Indem es bei den Positionen anfängt, die keine Entscheidung tragen: ein Produkt für ein nie bewertetes Risiko, eine Funktion, die im bestehenden Abo schon enthalten ist, ein Bericht, den niemand liest, und ein Mehrjahresvertrag für ein Produkt, das noch niemand betrieben hat. Massnahmen mit zuständiger Person bleiben stehen.
Wann ist der Kauf eines Security-Tools die richtige Entscheidung?
Wenn drei Bedingungen gleichzeitig zutreffen: Die Ausgabe ersetzt etwas Bestehendes, es gibt einen Betreiber mit Namen und Zeitbudget, und der Auslöser ist eine Risikoentscheidung statt eine Zeile in einem Massnahmenkatalog. Fehlt eine davon, entsteht aus dem Kauf eine Rechnungszeile und keine Massnahme.
Welche Kosten eines Sicherheitsprodukts stehen nicht in der Offerte?
Zwei von vier Posten. Die laufenden Entscheide über Ausnahmen, also wer trotzdem darf, wie lange und mit welcher Begründung. Und die Nachweise, also die Arbeit mit Alarmen und Berichten. Beide fallen nicht in Franken an, sondern in Arbeitszeit und Zuständigkeit.
