Die Frage kommt fast immer gleich
"Was kostet uns so ein Security Assessment eigentlich?"
Meistens kommt sie am Ende eines Gesprächs, ein bisschen zögerlich, so als wäre die Antwort peinlich hoch. Und ehrlich gesagt verstehen wir das. Du hast wahrscheinlich schon ein paar Angebote gesehen, die sich um den Faktor fünf unterscheiden, für scheinbar dasselbe. Der eine will drei Tage, der andere drei Wochen. Da fragst du dich zu Recht, ob du gerade übers Ohr gehauen wirst.
Also lass uns das gerade rücken. Wir reden hier über die echten Security Assessment Kosten für ein Schweizer KMU, woraus sie sich zusammensetzen, und wie du erkennst, ob ein Angebot fair ist oder nur teuer. Kein Verkaufsgespräch, sondern das, was wir dir auch am Küchentisch erzählen würden.
Warum es keine Preisliste gibt
Ein Security Assessment ist keine Standardleistung wie ein Ölwechsel. Es ist eine Untersuchung, und die Tiefe der Untersuchung bestimmt den Preis.
Stell dir zwei Firmen vor. Die eine hat zwanzig Mitarbeitende, alles läuft über Microsoft 365, kein eigener Server im Keller, keine eigene Software. Die andere hat hundertfünfzig Leute, drei Standorte, eine selbst entwickelte Applikation und einen Produktionsbetrieb mit Maschinen, die ans Netz hängen. Beide fragen nach einem Security Assessment. Beide bekommen völlig unterschiedliche Zahlen, und das ist auch richtig so.
Der Preis folgt der Angriffsfläche, nicht der Firmengrösse allein. Je mehr Systeme und Eigenentwicklung im Spiel sind, desto mehr Zeit braucht jemand, der sich das seriös anschaut. Und Zeit ist bei einem Assessment fast der einzige Kostentreiber, weil die Arbeit im Kopf und in den Systemen passiert, nicht im Materiallager.
Deshalb sagt dir auch niemand Seriöses am Telefon eine Zahl, ohne vorher ein paar Fragen zu stellen. Wer dir ohne Blick auf deine Umgebung einen Fixpreis nennt, verkauft dir ein Paket, kein Assessment. Das muss nicht schlecht sein, aber du solltest wissen, dass die Zahl dann eher aus einer Preisliste stammt als aus deinem tatsächlichen Risiko.
Die grobe Bandbreite
Du willst trotzdem eine Hausnummer. Fair. Hier ist, was wir in der Praxis sehen, immer als grobe Orientierung, nie als Offerte.
Ein kompaktes Assessment für ein kleines, aufgeräumtes KMU, das im Wesentlichen auf einer Cloud-Plattform sitzt, bewegt sich oft im Bereich einiger weniger Tagessätze. Du bekommst eine strukturierte Bestandsaufnahme, die grössten Lücken benannt, und eine priorisierte Liste, was zuerst dran ist. Das reicht erstaunlich weit, wenn die Umgebung überschaubar ist.
Wird es grösser, mit mehreren Systemen, eigener Infrastruktur, regulatorischen Anforderungen wie dem revidierten Datenschutzgesetz oder Ansprüchen von Enterprise-Kunden, landest du schnell im mittleren fünfstelligen Bereich. Dafür bekommst du dann auch mehr: technische Prüfungen, Interviews mit den Leuten, die die Systeme betreiben, einen Blick auf Prozesse und nicht nur auf Technik.
Und dann gibt es die Angebote, die deutlich darüber liegen. Manchmal zu Recht, wenn wirklich viel geprüft wird. Oft aber, weil das Assessment als Türöffner für ein grösseres Projekt gedacht ist. Genau da lohnt sich das Nachfragen, und dazu kommen wir gleich.
Wenn du die Assessment-Zahlen mit den laufenden Kosten einer Sicherheitsfunktion vergleichen willst, haben wir das im Beitrag zu den Kosten eines CISO in der Schweiz durchgerechnet.
Was den Preis wirklich treibt
Drei Dinge machen den Unterschied zwischen einem günstigen und einem teuren Assessment, und keines davon ist der Name des Anbieters.
Der Umfang ist das Erste. Prüfst du nur die technische Konfiguration, oder auch, wie im Unternehmen mit Sicherheit umgegangen wird? Ein reiner Technik-Check ist schneller und billiger. Er übersieht aber oft genau die Dinge, die im Ernstfall wehtun, etwa dass niemand weiss, wer im Notfall entscheidet.
Die Tiefe ist das Zweite. Es gibt einen grossen Unterschied zwischen "wir schauen uns an, ob die wichtigen Schutzmassnahmen da sind" und "wir versuchen aktiv, in eure Systeme reinzukommen". Das Zweite ist näher an einem Penetration Test, dauert länger und kostet mehr. Welche Variante du brauchst, hängt davon ab, wo du stehst. Wir haben den Unterschied zwischen Assessment und Penetration Test separat aufgeschrieben, weil viele KMU das Falsche zuerst kaufen.
Das Dritte ist die Aufbereitung. Ein Bericht, den nur ein Techniker versteht, ist billiger zu erstellen als einer, mit dem auch deine Geschäftsleitung etwas anfangen kann. Und trotzdem willst du den zweiten. Ein Assessment, das in der Schublade landet, weil es niemand liest, ist unabhängig vom Preis das teuerste, das du kaufen kannst.
Der teuerste Fehler: das Assessment als Einkaufsliste
Bei vielen Anbietern ist das Security Assessment kein Ziel, sondern ein Vertriebskanal. Am Ende steht ein Bericht mit rot markierten Lücken und, welch Zufall, genau den Produkten und Dienstleistungen, die derselbe Anbieter zufällig verkauft. Das Assessment wird zur Einkaufsliste. Je mehr Rot im Bericht, desto grösser das Folgegeschäft.
Wir sitzen bewusst auf der anderen Seite. In unserer Erfahrung geben viele KMU zu viel für Sicherheit aus, nicht zu wenig, und das Problem ist selten ein fehlendes Tool. Es sind drei überlappende Werkzeuge für dieselbe Aufgabe, Lizenzen, die niemand nutzt, und Massnahmen, die es nur gibt, weil sie irgendwann mal jemand gekauft hat.
Ein gutes Assessment findet genau das. Es zeigt dir, wo Schutz fehlt und wo du doppelt zahlst. Es ist genauso bereit zu sagen "das hier kannst du abschalten" wie "das hier brauchst du dringend". Wir haben schon Umgebungen gesehen, in denen das Assessment am Ende mehr Budget freigespielt als gebunden hat, weil klar wurde, was Theater war und was echter Schutz. Wenn dich dieser Gedanke interessiert, dahinter steckt derselbe Grundsatz wie in unserem Beitrag dazu, warum weniger Tools oft mehr Schutz bedeuten.
Die ehrliche Messgrösse für ein Assessment ist also nicht, wie viele Lücken es findet. Es ist, ob du danach klarer weisst, wofür sich dein Geld lohnt und wofür nicht.
Ein Beispiel aus der Praxis
Ein Produktionsbetrieb aus der Zentralschweiz, rund achtzig Mitarbeitende, kam mit einem Angebot über einen hohen fünfstelligen Betrag zu uns. Der Anbieter hatte ein grosses, technisches Assessment vorgeschlagen, inklusive einer Reihe neuer Werkzeuge, die am Ende gleich mitverkauft worden wären. Auf dem Papier sah das gründlich aus.
Wir haben zuerst ein paar Tage investiert, nur um zu verstehen, wo das echte Risiko liegt. Das Ergebnis war unbequem für das ursprüngliche Angebot: Der grösste Teil der vorgeschlagenen Prüfung zielte auf Systeme, die für den Betrieb kaum eine Rolle spielten. Das eigentliche Risiko sass woanders. Bei den Zugängen von externen Dienstleistern, die niemand mehr überblickte, und bei einem Backup, das seit Monaten still nicht mehr durchlief.
Das passende Assessment war am Ende kleiner und deutlich schärfer als das, was auf dem Tisch lag. Es hat weniger gekostet und mehr gebracht, weil es die zwei Dinge geprüft hat, die den Betrieb im Ernstfall lahmgelegt hätten. Genau darum geht es beim Dimensionieren. Nicht möglichst viel prüfen, sondern das Richtige. Und das ist fast immer weniger, als der erste Vorschlag behauptet.
Woran du ein faires Angebot erkennst
Du musst kein Sicherheitsexperte sein, um ein gutes von einem fragwürdigen Angebot zu unterscheiden. Ein paar Fragen reichen.
Frag, was konkret geprüft wird und was nicht. Ein seriöser Anbieter grenzt den Umfang klar ab, statt mit "umfassend" um sich zu werfen. Umfassend ist ein Wort, kein Umfang.
Frag, was du am Ende in der Hand hast. Einen priorisierten Bericht mit konkreten nächsten Schritten? Oder nur eine Liste von Werkzeugen? Lass dir ein anonymisiertes Beispiel zeigen, bevor du zusagst.
Frag, wie unabhängig die Empfehlungen sind. Verkauft der Anbieter selbst die Lösungen, die er dir empfiehlt? Das muss kein Ausschlusskriterium sein, aber du solltest es wissen und den Bericht entsprechend lesen.
Und frag nach der Erfahrung mit Firmen deiner Grösse. Ein Assessment-Ansatz, der für einen Konzern gebaut wurde, passt einem KMU so gut wie ein Anzug drei Nummern zu gross. Er kostet mehr und sitzt schlechter.
Wenn du magst, findest du unsere Sicht auf pragmatische Sicherheitsarbeit auf der Cybersecurity-Seite. Der rote Faden ist überall derselbe: passend dimensioniert statt maximal verkauft.
Bevor du das nächste Angebot unterschreibst
Wenn du nur eine Sache aus diesem Text mitnimmst, dann diese: Die Security Assessment Kosten sind nicht die eigentliche Frage. Die eigentliche Frage ist, ob das Assessment zu deinem echten Risiko passt und ob du danach besser entscheiden kannst als vorher.
Ein günstiges Assessment, das die falschen Dinge prüft, ist teuer. Ein teureres, das dir zeigt, was du getrost weglassen kannst, zahlt sich oft schon im ersten Jahr aus.
Nimm das nächste Angebot, das auf deinem Tisch liegt, und stell die vier Fragen von oben. Wenn die Antworten schwammig bleiben, weisst du genug.
Und wenn du eine zweite, unabhängige Meinung willst, bevor du unterschreibst: Ein kurzes Erstgespräch kostet dich nichts ausser einer halben Stunde, und manchmal spart genau diese halbe Stunde eine ganze Menge.
