Die Verlängerung kommt als Mail, dreissig Tage vor Ablauf. Der Anbieter schreibt etwas von Partnerschaft, der Preis ist etwas höher als letztes Jahr, und im Anhang liegt ein Dokument, das nur noch jemand unterschreiben muss. In den meisten Firmen passiert dann genau das: Jemand unterschreibt.
Sicherheitstools konsolidieren klingt dagegen nach einem Projekt. Nach Workshop und Zielbild. In unserer Erfahrung findet dieses Projekt nie statt, und zwar aus einem einfachen Grund: Es gibt im Jahr keinen Moment, in dem es dran wäre. Doch, einen gibt es. Er steht in dieser Mail.
Warum Konsolidierung als Projekt nicht stattfindet
Mitten in der Laufzeit ein funktionierendes Tool abzulösen ist unattraktiv, und das zu Recht. Die Lizenz ist bezahlt, die Migration kostet Zeit, und wer das anstösst, trägt die Verantwortung, falls danach etwas durchrutscht. Also bleibt alles, wie es ist. Das ist keine Faulheit, das ist eine nachvollziehbare Abwägung.
Nur kippt diese Abwägung an einem einzigen Tag im Jahr: dem Tag, an dem der Vertrag ausläuft. An diesem Tag kostet das Weglassen nichts. Keine Restlaufzeit, kein verlorenes Geld. Du musst nichts kündigen, du musst nur nicht verlängern.
Und ausgerechnet dieser Tag wird in den meisten KMU als Administrativvorgang behandelt. Die Mail geht an die Person, die den Vertrag damals unterschrieben hat, oder an die Buchhaltung, und die Frage lautet «Budget vorhanden?» statt «Brauchen wir das noch?». Der Stack wächst nicht, weil jemand zu viele Tools kaufen will. Er wächst, weil das Nicht-Verlängern selten ein Traktandum ist.
Dazu kommt, dass selten jemand den Gesamtbestand verantwortet. Die Firewall-Verlängerung liegt beim MSP, das Backup bei der IT, die Awareness-Plattform bei HR, die Cyber-Versicherung beim CFO. Jeder sieht seinen Vertrag, den ganzen Stapel sieht selten jemand. So entsteht der Zustand, den wir in Assessments regelmässig antreffen: Ein Unternehmen kann auf Anhieb nicht sagen, wie viele Sicherheitswerkzeuge es bezahlt. Nicht, weil die Zahl geheim wäre. Weil sie nirgends steht.
Deshalb ist unser Rat unspektakulär: Behandle jede Verlängerung eines Sicherheitstools als das, was sie ist, eine Kaufentscheidung in voller Höhe. Drei Fragen reichen dafür. Sie dauern zusammen vielleicht eine Stunde, und sie gehören zu den bestbezahlten Stunden im ganzen Security-Budget.
Frage 1: Welches Risiko deckt das Tool heute ab, und wer kann das zeigen?
Nicht: Wofür haben wir es gekauft? Die Begründung von vor drei Jahren ist Geschichte. Die Frage ist, was das Tool heute leistet, und ob das jemand belegen kann.
Belegen heisst konkret: Wer hat zuletzt auf eine Meldung aus diesem Tool reagiert, und was ist daraus geworden? Wer hat die Konfiguration angeschaut, seit es eingeführt wurde? Welche der bezahlten Module sind überhaupt aktiviert?
Ein Bild dazu, das wir in Assessments immer wieder antreffen: ein System, dessen Meldungen seit Jahren in ein Sammelpostfach laufen, das seit einem Personalwechsel niemand mehr öffnet. Das Tool tut, was es soll. Es meldet. Nur hört niemand zu. Auf dem Papier ist das Risiko abgedeckt. In der Realität ist es das seit dem Austritt einer einzelnen Person nicht mehr, und das hat niemand gemerkt, weil die Rechnung ja weiter bezahlt wurde.
Wenn die Antworten aus Lizenzzahlen bestehen statt aus Vorfällen, Meldungen oder Konfigurationsständen, dann bezahlst du nicht für Schutz. Du bezahlst für das Gefühl, etwas zu haben. Ein Tool, dessen Alarme niemand liest, senkt kein einziges Risiko, es dekoriert dein Budget. Wie du dein Geld dorthin lenkst, wo es Risiko senkt, haben wir im Beitrag zur Verteilung des Security-Budgets beschrieben.
Wichtig: Ein «weiss nicht» auf diese Frage ist kein Grund für Panik und auch kein automatisches Kündigungsurteil. Es ist ein Auftrag, es vor der Unterschrift herauszufinden. Genau dafür sind die dreissig Tage da.
Frage 2: Was davon kann ein Werkzeug, das wir schon bezahlen?
Security-Stacks in KMU haben eine typische Geschichte. Jedes Tool kam als Antwort auf eine damals akute Frage: ein Audit-Befund, ein Vorfall beim Mitbewerber, ein überzeugender Vertriebler. Jede Antwort war für sich vernünftig. Zusammen ergeben sie drei Produkte für einen Job.
Was sich in der Zwischenzeit still verändert hat: die Plattformen, die du ohnehin bezahlst. Die grossen Anbieter haben in den letzten Jahren viel von dem eingebaut, was früher ein eigenes Produkt war. Endpoint-Schutz, Gerätemanagement, Mail-Filterung, Mehrfaktor-Authentisierung stecken heute oft schon in der Lizenz, die auf einer anderen Rechnung längst läuft. Das Spezialtool von damals konkurriert heute gegen etwas, das du bereits besitzt.
Die Frage vor der Verlängerung lautet darum: Welchen Teil dieser Leistung haben wir inzwischen doppelt? Und ist der Unterschied, den das Spezialtool noch bietet, den vollen Preis wert?
Manchmal ist er das. Ein spezialisiertes Produkt kann besser sein als die Bordmittel, und für ein spezifisches Risiko kann sich das lohnen. Aber diese Rechnung muss jemand aufmachen, mit Blick auf euer Risiko statt auf das Datenblatt.
Die Grenze dieser Frage gehört ebenfalls dazu: Es geht nicht darum, alles zum einen grossen Plattformanbieter zu schieben. Ein Klumpenrisiko ist auch ein Risiko, und an einer kritischen Stelle kann ein bewusst gewähltes Zweitprodukt genau richtig sein. Der Punkt ist die Entscheidungsdisziplin. Doppelungen darf es geben, wo jemand sie begründet hat. Nur liegen die meisten Doppelungen, die wir sehen, nicht aus Gründen da, sie sind historisch liegen geblieben. Warum weniger, dafür sauber konfigurierte Werkzeuge in unserer Erfahrung mehr schützen als ein breiter Stack, steht im Beitrag zu pragmatischer Cybersicherheit.
Ein Nebeneffekt dieser Frage, den wir immer wieder sehen: Sie deckt Lizenzen auf, die gar niemand mehr nutzt. Konten von Ausgetretenen, Module aus einem alten Bundle, Testinstallationen mit Jahresvertrag. Dieses Aufräumen hat einen eigenen Namen und einen eigenen Beitrag über Lizenzmanagement als Kostentreiber.
Frage 3: Was passiert, wenn wir es abschalten?
Das ist die unbequemste der drei Fragen, und die ehrlichen Antworten fallen fast immer in eine von drei Kategorien.
Erste Kategorie: nichts. Niemand würde es merken, kein Prozess hängt daran, die Alarme liefen ohnehin ins Leere. Das ist die einfachste Entscheidung im ganzen Security-Budget, und trotzdem trifft sie kaum jemand, weil die Frage vorher fehlt.
Zweite Kategorie: Dann müsste jemand etwas von Hand tun, oder ein Risiko wäre offen. Das ist die gute Antwort. Sie heisst, das Tool leistet etwas, und jetzt kannst du über den Preis reden statt über die Existenz. Verlängern ist dann keine Kapitulation, sondern eine Entscheidung, und beim Verhandeln hilft es, wenn der Anbieter merkt, dass ihr die Alternative geprüft habt. In diese Kategorie fällt übrigens auch der Fall, in dem das Tool eine vertragliche Anforderung erfüllt, etwa aus einem Kundenvertrag oder einer Versicherungspolice. Dann lautet die Frage nur noch, ob sich dieselbe Anforderung günstiger erfüllen lässt.
Dritte Kategorie: Wir wissen es nicht. Diese Antwort sollte dich mehr interessieren als jede Sicherheitslücke im Datenblatt. Ein Tool, von dem niemand weiss, was es tut, wird auch von niemandem gepflegt. Es hat einen Zugang zu deinen Systemen, ein Admin-Konto, das selten jemand anschaut, und einen Hersteller mit Update-Zyklus. Es ist damit weniger Schutzschicht als zusätzliche Angriffsfläche, und zwar eine, für die du Geld bezahlst.
Ehrlicherweise ist die dritte Kategorie keine Ausnahme, sie ist der Normalfall. Und sie ist der eigentliche Grund, warum Konsolidierung ein Sicherheitsgewinn ist und nicht bloss ein Sparprogramm.
Vier Entscheidungen und ein Kalender
Aus den drei Fragen fallen am Ende vier mögliche Entscheidungen heraus, und alle vier sind legitim.
Verlängern, weil das Tool nachweisbar ein Risiko deckt, das sonst offen wäre. Dann aber bewusst, und mit einer Verhandlung, denn der Verlängerungsmoment ist auch der einzige Moment, in dem der Anbieter dir zuhört.
Verkleinern: weniger Nutzer, weniger Module, kürzere Laufzeit. Oft ist nicht das Tool das Problem, sondern der Ausbau, der mit einem alten Wachstumsplan mitbestellt wurde.
Überführen in die Plattform, die du schon bezahlst. Das braucht ein kleines Migrationsfenster, und darum stellst du die Fragen dreissig Tage vor Ablauf und nicht drei Tage. Solche Überführungen haben in unserer Erfahrung einen stillen Nebeneffekt: Bei der Migration tauchen Lizenzen auf, die vorher niemand angefasst hätte, und der grösste Gewinn des Projekts ist am Ende die Liste der Verträge, die danach niemand mehr verlängern muss.
Auslaufen lassen. Kein Drama, kein Projekt. Der Vertrag endet einfach.
Und der erste Schritt, bevor irgendeine dieser Entscheidungen fällt: Zieh die Verlängerungsdaten aller Security-Verträge in einen einzigen Kalender, mit einer Erinnerung sechzig Tage vorher. Heute, nicht nächstes Quartal. Ohne diesen Kalender entscheiden die Anbieter über deinen Stack, mit ihm entscheidest du.
Die nächste Verlängerungsmail
Irgendwo in einem Postfach deiner Firma liegt vermutlich gerade so eine Mail. Freundlicher Ton, etwas höherer Preis, Anhang zum Unterschreiben.
Wenn du die drei Fragen an diesen einen Vertrag stellst, weisst du in einer Stunde mehr über dein Security-Budget als aus jedem Dashboard. Und falls du dabei merkst, dass du die Antworten für den halben Stack nicht kennst, ist das kein Grund zur Scham. Gewachsene Umgebungen sehen fast immer so aus. Genau solche Bestandsaufnahmen machen wir in unseren Mandaten, nüchtern und ohne neue Tool-Liste am Schluss. Ein Erstgespräch kostet nichts und ist unverbindlich.
Uns interessiert die Gegenprobe: Welches deiner Tools würde die drei Fragen heute nicht überleben?
