Der unterschätzte Spagat bei Managed Detection and Response

Wenn Managed Service Provider (MSP) Angebote für Managed Detection and Response (MDR) auf den Prüfstand stellen, beginnt das Gespräch in der Regel mit derselben Frage: „Wie ist Ihr Security Operations Center (SOC) aufgestellt und wie schnell reagieren Sie?“ Die Antworten bergen zwar wichtige Informationen, doch sie sagen nichts über den Faktor aus, der entscheidet, ob der Service überhaupt funktioniert. Die weitaus relevantere Frage lautet: Wie viel der Kundenumgebungen kann der Anbieter tatsächlich sehen und worauf kann er reagieren? Ein SOC, das rund um die Uhr verfügbar ist, aber nur die Hälfte der Umgebung im Blick hat, schützt Kunden nicht, sondern wiegt sie in trügerischer Sicherheit.

Eine 24/7-Überwachung hilft Unternehmen dabei, allgegenwärtigen Bedrohungen einen Schritt voraus zu bleiben. Dabei lassen sich jedoch nicht alle Risiken wirksam eindämmen, wenn das SOC nur begrenzte oder kontextarme Daten erhält. Entscheidend ist, womit ein Analyst tatsächlich arbeitet. Wenn ausschließlich Warnmeldungen von Endpoints eingehen, kann eine Bedrohung, die über eine kompromittierte Identität eindringt, sich lateral durchs Netzwerk bewegt und Daten über eine Cloud-Anwendung abzieht, in drei scheinbar unzusammenhängende Ereignisse mit niedriger Priorität zerfallen. Fügt man diese Signale zusammen, ergibt sich das Bild eines laufenden Sicherheitsvorfalls. Bleiben sie jedoch isoliert, gehen sie im Alarmrauschen unter. Die Qualität der Erkennung steht und fällt damit, wie aussagekräftig und vollständig die eingehenden Daten sind.

Ein MDR-Service ist nur so gut wie die Daten, die er sieht

Endpoints, Netzwerk, Identitäten und Cloud bieten jeweils unterschiedliche Perspektiven. Eine scheinbar routinemäßige Aktivität kann eine völlig andere Bedeutung bekommen, wenn sie mit Signalen aus anderen Ebenen in Zusammenhang gebracht wird.

Was beispielsweise in einem System wie eine Warnmeldung mit niedriger Priorität aussieht, könnte in Verbindung mit anderen Signalen auf einen Angriff hindeuten. Relevante, miteinander verknüpfte Telemetriedaten aus verschiedenen Sicherheitstechnologien ermöglichen es Analysten, den Ablauf der Ereignisse zu rekonstruieren und entsprechend zu handeln. Ohne vollständige Daten können Warnmeldungen übersehen werden, die Untersuchung gerät ins Stocken und der Vorfall wird unter Umständen erst entdeckt, wenn er sich bereits ausgebreitet hat.

Den richtigen MDR-Anbieter finden

MDR-Services verfolgen in der Regel einen von zwei Ansätzen. Manche setzen auf Tiefe bei engem Fokus. Sie spezialisieren sich auf bestimmte Technologien, häufig auf Endpoints. Das macht sie in diesen Bereichen zu Experten, gewährt aber oft nur einen begrenzten Blick auf die übrige Umgebung. Das Problem ist, dass die Kundenbasis der meisten MSP anders aussieht: unterschiedliche Firewall-Plattformen, verschiedene Endpoint-Tools und wechselnde Identitätsanbieter. Ein rein auf Tiefe ausgelegter Service lässt Lücken entstehen, sobald ein Kunde vom freigegebenen Stack abweicht.

Andere MDR-Anbieter setzen auf Breite und bieten ein „Best-of-Breed“-Modell. Sie erfassen und überwachen Daten aus einer Vielzahl von Produkten, können so große Umgebungen abdecken und vorhandene Tools einbinden. So verlockend das klingt: Es lohnt sich ein genauer Blick darauf, was die Integrationen tatsächlich leisten. Einige beziehen lediglich Warnmeldungen ein, jedoch keine Rohdaten aus der Telemetrie. Das Ergebnis ist eine Flut von Benachrichtigungen ohne Kontext, ohne Möglichkeit, Zusammenhänge über verschiedene Ebenen hinweg herzustellen, und ohne die Option, über den Service direkt Gegenmaßnahmen einzuleiten. Eine breite Abdeckung mit oberflächlichen Integrationen ist nicht dasselbe wie echte Transparenz.

Gefragt ist also beides: Integrationen, die das gesamte Spektrum der von Kunden eingesetzten Tools abdecken, und genug Tiefe in jeder einzelnen Integration – damit Analysten verstehen, was vor sich geht, und entsprechend reagieren können.

Ein wirksamer, moderner MDR-Service sollte die Tiefe, die zum Verständnis des Geschehens nötig ist, mit der Breite und Flexibilität verbinden, die eine konsequente Absicherung unterschiedlicher Kundenumgebungen erfordert. Diese Flexibilität ermöglicht es MSP, eine einheitliche Überwachung und Reaktion zu gewährleisten, ohne Fachwissen für jedes einzelne Produkt aufbauen zu müssen und ohne dass jeder Kunde denselben Security-Stack einsetzen muss.

Greifen Tiefe, Breite und Flexibilität ineinander, wird MDR zu mehr als einer Rund-um-die-Uhr-Überwachung. Der Service liefert dann die Transparenz und den Kontext, um Bedrohungen in der gesamten Umgebung zu erkennen, effizient zu untersuchen und souverän darauf zu reagieren, während MSP zugleich die Flexibilität erhalten, die technischen Umgebungen zu unterstützen, auf die sich Kunden wirklich verlassen.

Sieben Fragen, die jeder MSP stellen sollte

Ein guter MDR-Service sollte sowohl den operativen Anforderungen von MSP als auch den unterschiedlichen Umgebungen gerecht werden, die sie betreuen. Die folgenden Fragen helfen, vor der Entscheidung den passenden Anbieter zu finden:

1. Wie viel der Sicherheitsumgebung kann der Service überwachen?

Wichtig ist zu klären, welche Datenquellen der Service abdeckt und wo blinde Flecken bleiben.

2. Wie tief reichen die Integrationen?

Die Integrationen sollten aktiv zu Erkennung und Reaktion beitragen, ohne Verzögerungen zu verursachen, nach Software-Updates der Hersteller auszufallen oder zusätzliches Alarmrauschen zu erzeugen.

3. Lassen sich Aktivitäten über mehrere Sicherheitsebenen hinweg korrelieren?

Es ist entscheidend, ob der Service Daten aus nativen und Drittanbieter-Tools zusammenführt, um die gesamte Angriffskette zu rekonstruieren und Kontext zu liefern.

4. Wie werden Alarmmüdigkeit und Fehlalarme reduziert?

Es gilt nachzuvollziehen, wie der Service Rauschen herausfiltert, Ereignisse korreliert und Vorfälle priorisiert, damit das Team nicht von unbedeutenden Warnmeldungen überrollt wird.

5. Wie schnell erfolgt die Reaktion, wenn eine Bedrohung erkannt wird?

Die Service Level Agreements (SLA) des Anbieters müssen zu den Zusagen passen, die der MSP selbst bereits gegenüber Kunden gemacht hat. Weichen beide voneinander ab, muss im Ernstfall der MSP Rede und Antwort stehen, nicht der Anbieter.

6. Lässt sich der Service über unterschiedliche Kundenumgebungen hinweg skalieren?

Es lohnt sich nachzuhaken, ob es eine echte Multi-Tenant-Verwaltungsebene gibt, ob sich gestaffelte Serviceangebote aufbauen lassen und ob in den Kundenberichten die eigene Marke oder die des Anbieters erscheint. Denn Skalierbarkeit heißt, zur Arbeitsweise eines MSP zu passen, nicht bloß mehr Endpoints zu verwalten.

7. Wie sieht das Abrechnungsmodell aus?

Bevor der Service in ein Angebot einfließt, sollte sichergestellt werden, dass die Kostenstruktur – ob pro Endpoint, pro Kunde oder pauschal – eine planbare Preisgestaltung ermöglicht und die Marge schützt, wenn Kunden wachsen.

Bei MDR geht es nicht einfach darum, eine 24/7-Abdeckung zu leisten oder die größtmögliche Bandbreite an Technologien zu unterstützen. Es geht darum, über die nötige Transparenz und den Kontext zu verfügen, um Bedrohungen in den Umgebungen der Kunden zu erkennen, zu untersuchen und darauf zu reagieren. Ohne diese Transparenz können selbst die erfahrensten Analysten entscheidende Signale übersehen.

Bei der Wahl eines MDR-Anbieters sollten MSP daher über Verfügbarkeit, SLA und Kosten hinausblicken und genau verstehen, wie viel der Umgebung ein Service tatsächlich sehen und analysieren kann. Der richtige Anbieter vereint fundierte Einblicke, umfassende Abdeckung und die Flexibilität, sowohl die Technologien zu unterstützen, auf die Kunden heute setzen, als auch jene, die sie künftig im Betrieb einführen. 

Der richtige MDR-Service schützt nicht nur Kunden, sondern macht auch das eigene Geschäft belastbarer: Schnellere Reaktionszeiten, hinter denen man stehen kann. SLA, die sich guten Gewissens an Kunden weitergeben lassen. Weniger nächtliche Eskalationen, die an den Kräften des Teams zehren. Und Kundenberichte, die den Wert der eigenen Security-Services in einer für Kunden verständlichen Sprache verdeutlichen. Genau das ist es, was Transparenz bringt: nicht nur eine bessere Erkennung, sondern einen stärkeren, nachhaltigeren Managed Service.