Ausgelagerte Sicherheit ist nicht unbedingt billiger (Fortsetzung)

Gefahr der totalen ­Abhängigkeit
Für diese Kompetenz müssen die Sicherheits-Dienstleister aber nicht unbeträchtliche Investitionen in Personen und Material tätigen. Wirkliche Sicherheits-Spezialisten sind spärlich gesät und entsprechend teuer und auch das »einfache Betriebspersonal« in den Rechenzentren des Dienstleisters sollte überdurchschnittlich ausgebildet sein, weil es tagtäglich Hunderte bis Tausende von Sicherheitsvorfällen erkennen, in ihrer Bedeutung einordnen und je nach Priorität sofort oder baldmöglichst beheben muss. Nicht zu reden von den rechentechnischen und organisatorischen Voraussetzungen, die ein Sicherheits-Dienstleister erfüllen sollte. Das heißt unter anderem: mindestens ein Ausweich-Rechenzentrum, Rund-um-die-Uhr-Bereitschaft, sichere, verschlüsselte Kommunikationsverbindungen und eine Kundenschnittstelle (»Web-Portal«).
Diese Investitionen kosten richtig Geld und die Dienstleister müssen und wollen das vorgestreckte Kapital natürlich amortisiert sehen. Das führt zum einen dazu, dass die erschwinglichen Dienstleistungspakete sehr standardisiert sind (Nutzung des Skaleneffekts für den Dienstleister), schlechte vertragliche Rahmenbedingungen (wenig Risiko-Übernahme) geboten werden oder aber die individueller ausgelegten Pakete sehr teuer sind. »Anbieter der diversen Outsourcing-Modelle im Sicherheitsbereich geben so manches Versprechen ab, das in der Realität nicht zu halten ist«, berichtet Wolfgang Straßer, Geschäftsführer des Leichlinger Beratungsunternehmens
@-yet GmbH. Straßer erlebt in letzter Zeit vermehrt, dass »Unternehmen mit ihrer konkreten Outsourcing-Situation unzufrieden sind«. Die häufigsten Gründe für Klagen seien hierbei die »unzureichende Bearbeitung von Tagesproblemen sowie die mangelhafte Reaktions­geschwindigkeit bei Änderungen, die beispielsweise notwendig werden, weil Prozesse modifiziert worden sind«. Grund für die Unzufriedenheit vieler Unternehmen ist aber nicht zuletzt die (selbstverschuldete) Tatsache, dass sich diese nach Vertragsabschluss vollständig auf den Dienstleister verlassen, die ehemals dafür verantwortlichen Mitarbeiter nicht mehr weiterbilden und dadurch eine totale Abhängigkeit des Outsourcers vom Dienstleister entsteht«, hat Straßer beobachtet.

Kostenfrage nicht so ­entscheidend
Basiskenntnisse in punkto IT-Sicherheit sollten auch bei kompletter Auslagerung der IT-Sicherheit im Unternehmen bleiben. Letztlich bleibt dort ja auch die finanzielle Verantwortung. Kein Dienstleister wird haften, wenn ein Sicherheitsvorfall zu einem Existenz-Problem des Unternehmens führt: »Es ist aus unserer Sicht unbedingt erforderlich, dass der Kunde als Servicenehmer einen kompetenten Ansprechpartner in Sicherheits-Fragen besitzt«, sagt Michael Sehlhorst von arxes NCC entschieden. Integralis, einer der weltweit am besten aufgestellten Dienstleister im IT-Sicherheitsbereich, bietet zwar alle Formen des Outsourcings an, bis zur Übernahme aller Entscheidungen, wie ein bestimmter Vorfall einzuordnen ist und wie auf ihn reagiert wird, aber »im Schadensfall trägt Integralis nur die gesetzlichen Ri­siken wie zum Beispiel grobe Fahrläs­sigkeit«, sagt Bernhard Bengler, Service Manager für die DACH-Region. Bei Nichteinhaltung von Leistungsverein­barungen gebe es lediglich  Rückvergütungen von bis zu drei Monaten.
Wer weiß, wie »herrlich« sich im Einzelfall darüber streiten lässt, was nun »grobe Fahrlässigkeit« ist, wird ermessen können, dass sich hinter der Entscheidung zum Outsourcing von IT-­Sicherheit in jeder Hinsicht die Frage nach der Unternehmens-Sicherheit überhaupt verbirgt. Insofern sollte der Kostenaspekt bei dieser Entscheidung nicht zu stark gewichtet werden, zumal beim Geld die Meinungen weit auseinander gehen: Während Jörg von der Heydt, Channel Manager Small and ­Medium Business Solutions bei Check Point Software in Hallbergmoos, mutmaßt, dass »selbst gemachte IT-Sicherheit um den Faktor 2 mehr kostet als eingekaufte«, empfiehlt Wolfgang ­Straßer von @-yet »genau hinzuschauen, was überhaupt erforderlich ist für ein Unternehmen und ob sich nicht in Wirklichkeit durch das Auslagern die Kosten erhöhen«.