Laufende IT-Sicherheitsbetreuung: Wer handelt bei einer Warnung?

Eine Warnung am Abend als Vergleichsfall verwenden

Ein Beschäftigtenkonto zeigt außerhalb der üblichen Arbeitszeit auffällige Anmeldungen. Ein Sicherheitsdienst verschickt eine E-Mail. Der zuständige Mitarbeiter liest sie erst am nächsten Morgen. Technisch wurde ein Ereignis erkannt; organisatorisch ist noch offen, ob rechtzeitig jemand handeln konnte.

Nehmen Sie einen solchen Fall in die Gespräche mit Anbietern mit. Lassen Sie den Weg vom Ereignis bis zur Entscheidung erklären: Wer sieht die Meldung, wer bewertet sie und wer darf welche Maßnahme auslösen? Die Antwort sollte zu Ihrer Erreichbarkeit und Ihren Betriebszeiten passen.

Wenn Sie diese Aufgaben dauerhaft unterstützen lassen möchten, können Sie laufende IT-Sicherheitsbetreuung anfragen. Die Details Ihrer Umgebung und gewünschte Zuständigkeiten besprechen Sie anschließend. Eine Produktbezeichnung oder ein Kürzel allein beschreibt den Leistungsumfang noch nicht.

Auch ein kleiner Betrieb braucht dabei einen internen Ansprechpartner und eine Vertretung. Ein externer Dienst kann die Verantwortung für bestimmte vereinbarte Aufgaben übernehmen, kennt aber nicht automatisch jede betriebliche Auswirkung einer Entscheidung.

Den überwachten Bereich konkret festlegen

Lassen Sie auflisten, welche Geräte, Konten, Anwendungen und Standorte in die Betreuung einbezogen werden. Gehören Cloud-Anmeldungen dazu? Werden Server und mobile Rechner gleichermaßen berücksichtigt? Was passiert mit Geräten, die längere Zeit nicht verbunden sind?

Die Leistungsbeschreibung sollte zeigen, welche Informationen für die Bewertung genutzt werden und wo erkennbare Lücken bestehen. Ein Dienst kann nur die vereinbarte und tatsächlich angebundene Umgebung beurteilen. Nicht erfasste Systeme sollten deshalb in einer Bestandsübersicht sichtbar bleiben.

Der NIST-Leitfaden für kleine Unternehmen unterscheidet Erkennung und Reaktion und nennt externe Überwachung als mögliche Unterstützung bei fehlenden internen Ressourcen. Für die Beschaffung folgt daraus die Frage, welche dieser Aufgaben Ihr Anbieter jeweils übernimmt.

Vereinbaren Sie einen Prozess für neue Systeme. Wird ein neuer Laptop automatisch aufgenommen oder muss Ihr Systemhaus ihn melden? Wer kontrolliert, ob die Anbindung tatsächlich funktioniert? Solche alltäglichen Änderungen entscheiden darüber, ob der betreute Umfang aktuell bleibt.

Erkennen, bewerten und eingreifen getrennt lesen

Eine technische Meldung kann zunächst nur ein Hinweis sein. Jemand muss prüfen, ob sie relevant ist und welche Bedeutung sie in Ihrer Umgebung hat. Erst danach folgt die Entscheidung über eine geeignete Reaktion. Diese Aufgaben können im selben Paket enthalten oder auf verschiedene Beteiligte verteilt sein.

Fragen Sie nach dem Umgang mit Fehlalarmen und wiederkehrenden Meldungen. Wie werden betriebliche Besonderheiten berücksichtigt, ohne wichtige Hinweise pauschal auszublenden? Wer klärt Rückfragen mit den Beschäftigten oder dem bestehenden IT-Betreuer?

Leistung	Konkrete Rückfrage
Überwachung	Welche Datenquellen sind angebunden?
Bewertung	Wer untersucht auffällige Ereignisse?
Alarmierung	Welche Person wird auf welchem Weg erreicht?
Reaktion	Welche Maßnahmen sind vorab vereinbart?
Nachbereitung	Wie werden Ursache und Verbesserungen dokumentiert?

Lassen Sie sich diese Abfolge an einem anonymisierten Beispiel erklären. Dadurch werden Unterschiede zwischen Angeboten sichtbar, die auf dem Deckblatt ähnlich klingen.

Eingriffe und Erreichbarkeit vorab abstimmen

Manche Maßnahmen können den Betrieb unmittelbar beeinflussen, etwa wenn ein Konto gesperrt oder ein Gerät isoliert wird. Legen Sie fest, welche Handlungen der Dienstleister innerhalb des vereinbarten Auftrags selbst ausführen darf und wann eine interne Entscheidung benötigt wird.

Besprechen Sie dabei geschäftskritische Systeme gesondert. Eine technische Schutzmaßnahme kann dort andere Folgen haben als auf einem einzelnen Bürorechner. Die vorgesehenen Abläufe werden mit den verantwortlichen Fachleuten geplant und dokumentiert.

Die BSI-Checkliste zur organisatorischen Vorfallbearbeitung betont klare Rollen, Entscheidungen und Kommunikation. Diese Fragen lassen sich schon vor einem Vorfall im Betreuungsvertrag und in der betrieblichen Organisation vorbereiten.

Unterscheiden Sie zudem vereinbarte Erreichbarkeit, Beginn einer Bearbeitung und Wiederherstellung des Betriebs. Diese Angaben beschreiben verschiedene Leistungen. Eine bestimmte Reaktionszeit ist keine Zusage, dass ein Vorfall innerhalb derselben Zeit vollständig behoben wird.

Mit dem bestehenden IT-Dienstleister zusammenarbeiten

Oft betreibt ein Systemhaus die Infrastruktur, während ein anderer Anbieter die Sicherheitsüberwachung übernimmt. Vereinbaren Sie, wie Befunde übergeben werden und wer Änderungen an den Systemen umsetzt. Ohne klare Übergabe kann jeder auf den anderen warten.

Klären Sie Zugriffsrechte und deren Verwaltung. Welche Berechtigungen benötigt der Sicherheitsdienst, wer genehmigt sie und wie werden sie bei einem Personal- oder Anbieterwechsel angepasst? Verlangen Sie eine nachvollziehbare Dokumentation der vereinbarten Zugänge.

Auch die Verarbeitung von Protokolldaten und anderen betrieblichen Informationen sollte transparent beschrieben sein. Lassen Sie Speicherorte, Zugriffsmöglichkeiten, Aufbewahrung und die Einbindung weiterer Dienstleister erläutern. Die zuständigen Personen Ihres Unternehmens können dann prüfen, welche vertraglichen und organisatorischen Vereinbarungen erforderlich sind.

Planen Sie außerdem den Ausstieg aus der Zusammenarbeit. Welche Unterlagen und Einstellungen werden übergeben? Wer entfernt nicht mehr benötigte Zugänge? Eine klare Übergabe erleichtert einen späteren Wechsel und verhindert, dass der Betrieb von unzugänglichen Informationen abhängig bleibt.

Berichte und Kosten auf den tatsächlichen Betrieb beziehen

Ein Bericht sollte erkennen lassen, welche Systeme betreut wurden, welche relevanten Ereignisse auftraten und welche Aufgaben offen sind. Große Zahlen zu abgewehrten Ereignissen helfen wenig, wenn die zugrunde liegende Bedeutung unklar bleibt.

Vereinbaren Sie einen Besprechungsrhythmus, der zu Ihrem Betrieb passt. Dabei können wiederkehrende Probleme, Änderungen der Umgebung und nötige Verbesserungen behandelt werden. So wird die Betreuung nicht auf den Versand von Warnungen reduziert.

Vergleichen Sie Einrichtung, laufende Gebühren und zusätzliche Leistungen bei einem Vorfall. Fragen Sie, welche Faktoren die Kosten verändern können, etwa neue Geräte oder erweiterte Untersuchungen. Halten Sie die Leistungen fest, die bereits Ihr bestehender IT-Vertrag abdeckt, um Überschneidungen zu erkennen.

Für den Einstieg steht die kostenfreie und unverbindliche Anfrage zur IT-Sicherheit bereit. Mit einem konkreten Warnfall und Ihren betrieblichen Zuständigkeiten lässt sich anschließend prüfen, welcher Betreuungsumfang Ihrem Unternehmen wirklich hilft.