Managed Security Services: Was sie leisten können und was nicht

Managed Security Services (MSS) gelten als Lösung für ein Problem, das viele österreichische Unternehmen gut kennen: zu wenig Zeit, zu wenig Personal und zu viel Bedrohungslandschaft, um Cybersicherheit nebenbei zu erledigen. Der Markt wächst entsprechend und damit auch das Angebot, das nicht immer hält, was es verspricht.

Wir erklären, was Managed Security Services tatsächlich leisten, wo ihre Grenzen liegen, warum die Auswahl eines Anbieters mehr Sorgfalt erfordert als ein Preisvergleich und warum das Thema gerade für österreichische Unternehmen mit dem Inkrafttreten des NISG 2026 an unmittelbarer Relevanz gewonnen hat.

Warum das Thema drängt: Die Lage in Österreich

Die österreichische Bedrohungslage ist nicht mehr abstrakt. Laut einer Studie des Kompetenzzentrums Sicheres Österreich (KSÖ) wurden 2025 alle 903 befragten Unternehmen innerhalb von zwölf Monaten angegriffen - die Angriffsfrequenz stieg um 201 Prozent gegenüber dem Vorjahr. Bei 14 Prozent der Ransomware-Opfer dauerten Betriebsunterbrechungen mehrere Wochen; die finanziellen Schäden lagen häufig über einer Million Euro.

Der BKA-Cybercrimereport 2024 verzeichnet 109 angezeigte Ransomware-Fälle - bei einer erheblichen Dunkelziffer, da viele Vorfälle nicht gemeldet werden. Phishing, Business E-Mail Compromise (BEC) und Angriffe über die Lieferkette zählen zu den häufigsten Methoden. Gleichzeitig tritt am 1. Oktober 2026 das NISG 2026 in Kraft – die österreichische Umsetzung der EU-Richtlinie NIS2, das erstmals rund 4.000 österreichische Unternehmen zu konkreten Sicherheitsmaßnahmen und Meldepflichten verpflichtet.

In diesem Umfeld nehmen Anfragen nach Managed Security Services zu. Das ist verständlich. Aber nicht jeder Anbieter bietet dasselbe und nicht jedes Unternehmen braucht dasselbe.

Was Managed Security Services sind und was der Unterschied zum Technikverkauf ist

Managed Security Services (MSS) ist ein Oberbegriff für ausgelagerte IT-Sicherheitsdienstleistungen. Ein Managed Security Services Provider (MSSP) übernimmt dabei Aufgaben, die ein Unternehmen intern entweder nicht besetzen kann oder nicht rund um die Uhr abdecken möchte.

Das Spektrum reicht von einzelnen Leistungen bis zum vollständigen Betrieb eines Security Operations Center (SOC).

Typische Bestandteile:

• Netzwerküberwachung und Analyse des Datenverkehrs auf Anomalien

• SIEM-Betrieb (Security Information and Event Management): Zusammenführung und Korrelation von Sicherheitsdaten aus verschiedenen Quellen

• Erkennung und Bewertung von Sicherheitsvorfällen (Detection & Triage)

• Incident Response: definierte Reaktion im Sicherheitsvorfall

• Schwachstellenmanagement und regelmäßige Sicherheitsbewertungen

• Compliance-Reporting und Unterstützung bei regulatorischen Anforderungen

Der entscheidende Unterschied zwischen einem MSSP und einem klassischen IT-Dienstleister: Ein MSSP liefert nicht nur Software und Firewalls, er sorgt dafür, dass echte Experten rund um die Uhr hinschauen, was auf Ihren Systemen passiert.

Das klingt selbstverständlich. Ist es aber nicht. Eine SIEM-Installation ohne qualifizierte Analysten dahinter erzeugt Alarme, die niemand bewertet. Ein SOC ohne klare Abläufe für den Ernstfall reagiert zu langsam.

Technik allein schützt nicht, sie muss von jemandem bedient werden, der weiß, was er tut.

Die häufigsten Fehler bei der Auswahl eines MSSP

In der Praxis zeigen sich bei der Auswahl von MSSP-Anbietern wiederkehrende Fehler:

1. Den Preis als Hauptkriterium nehmen

Managed Security Services sind nicht alle gleich. Ein günstiger Anbieter, der Alarme automatisiert abarbeitet ohne menschliche Komponente, bietet weniger Schutz als es auf dem Papier aussieht. Die entscheidende Frage ist nicht der Monatspreis, sondern: Was passiert, wenn um 2 Uhr nachts ein kritischer Alarm ausgelöst wird? Wie schnell reagiert ein Analyst und welche Befugnisse hat er?

2. Auf Zertifizierungen statt auf operative Realität schauen

ISO-Zertifikate und Partnerschaftslogos sind kein Qualitätsnachweis für den täglichen Betrieb. Relevanter sind konkrete Fragen: Wie viele Vollzeitanalysten sind im SOC? Wie werden Alarme priorisiert? Wie viele Kunden betreut ein Analyst gleichzeitig? Was ist die vertraglich zugesicherte Reaktionszeit bei einem kritischen Vorfall und was folgt daraus, wenn diese nicht eingehalten wird?

3. Incident Response als selbstverständlich voraussetzen

Viele MSSP-Angebote decken Detection, also das Erkennen von Vorfällen, ab. Was im Ernstfall passiert, ist eine andere Frage. Incident Response, das aktive Eingreifen, Eindammen und Bereinigen nach einem Angriff, ist in vielen Standardverträgen nicht enthalten oder zusätzlich kostenpflichtig. Das muss vorab geklärt sein, nicht nach einem Vorfall.

Was ein seriöses MSSP-Angebot auszeichnet

Es gibt keine universelle Checkliste, aber einige Merkmale, an denen man sich orientieren kann:

• Transparenz über den tatsächlichen Betrieb: Wer bewertet Alarme? Zu welchen Zeiten? Nach welchen Kriterien?

• Klar definierte Service Level Agreements (SLAs) mit konkreten Reaktionszeiten und messbaren Konsequenzen bei Unterschreitung

• Verständliche, regelmäßige Berichte, die nicht nur Technikdetails, sondern Sicherheitslage und Handlungsbedarf vermitteln, für Geschäftsführung wie IT-Leitung

• Nachgewiesene Erfahrung mit ähnlichen Umgebungen - Branchenkenntnis ist kein Marketingargument, sondern beeinflusst, wie gut ein MSSP die spezifischen Risiken eines Unternehmens einschätzen kann

• Klare Abgrenzung, was im Service enthalten ist und was nicht - insbesondere bei Incident Response, Forensik und regulatorischer Unterstützung

NISG 2026: Was das für Unternehmen bedeutet und wie ein MSSP unterstützen kann

Das NISG 2026, am 23. Dezember 2025 im Bundesgesetzblatt veröffentlicht und ab 1. Oktober 2026 in Kraft, betrifft rund 4.000 österreichische Unternehmen aus 18 definierten Sektoren. Betroffen sind mittlere Unternehmen mit mindestens 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro sowie große Unternehmen über den entsprechenden Schwellenwerten.

Die Pflichten sind konkret:

• Technische und organisatorische Risikomanagementmaßnahmen: Backups, Zugangskontrolle, Verschlüsselung, Incident-Response-Prozesse, Sicherheit in der Lieferkette

• Meldepflichten bei erheblichen Sicherheitsvorfällen: Frühwarnung binnen 24 Stunden, Erstbericht binnen 72 Stunden, Abschlussbericht innerhalb von 30 Tagen

• Registrierungspflicht bis 31. Dezember 2026

• Selbstdeklaration über umgesetzte Risikomanagementmaßnahmen bis 30. September 2027

Bei Verstößen drohen für Unternehmen Geldbußen von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Das Gesetz knüpft ausdrücklich an Pflichtverletzungen von Leitungsorganen an: Geschäftsführerinnen und Geschäftsführer können persönlich haftbar gemacht werden, wenn Cyberrisiken durch mangelnde Aufsicht ermöglicht wurden. Cybersicherheit ist damit keine rein technische Frage mehr, sondern eine Frage der Leitungsverantwortung.

Ein MSSP kann bei der Erfüllung dieser Anforderungen eine zentrale Rolle spielen: Er stellt die operative Überwachung, die strukturierte Vorfallserkennung und die dokumentierte Reaktionsfähigkeit bereit, die das Gesetz vorschreibt. Er ersetzt jedoch keine rechtliche und regulatorische Beratung, die Frage, ob und wie ein Unternehmen genau betroffen ist, bleibt Aufgabe einer spezialisierten Fachberatung.

Wichtig auch für Unternehmen unterhalb der Schwellenwerte: Die Lieferkettenpflicht des NISG 2026 verpflichtet betroffene Einrichtungen, ihren Dienstleistern und Lieferanten vertraglich Sicherheitsanforderungen aufzuerlegen. Wer also für ein NISG-pflichtiges Unternehmen tätig ist, wird über Verträge zunehmend in die Pflicht genommen.

Für wen Managed Security Services tatsächlich sinnvoll sind

Managed Security Services lösen ein konkretes operatives Problem: den Betrieb einer 24/7-Sicherheitsüberwachung ohne eigenes Schichtteam. Das ist für Unternehmen relevant, bei denen eines oder mehrere der folgenden Kriterien zutreffen:

• Die interne IT ist mit Security-Aufgaben überlastet oder nicht spezialisiert genug

• Ein Sicherheitsvorfall würde den Geschäftsbetrieb erheblich beeinträchtigen und die Wiederherstellung tage- oder wochenlang dauern

• Regulatorische Anforderungen (NIS2/NISG 2026, DSGVO, branchenspezifische Vorgaben) machen eine dokumentierte, strukturierte Sicherheitsüberwachung[AK3]  erforderlich

• Das Unternehmen ist als Dienstleister oder Lieferant für Kunden tätig, die zunehmend Sicherheitsnachweise verlangen

Was ein MSSP nicht ersetzt: eine interne Sicherheitsstrategie, klare Verantwortlichkeiten und das Engagement der Mitarbeitenden. Ein externer Dienstleister kann nur das schützen, was er kennt und nur so schnell reagieren, wie die vorher definierten Prozesse es erlauben.

Fazit

Managed Security Services sind kein Allheilmittel und kein Freifahrtschein. Sie sind ein Werkzeug und wie jedes Werkzeug nur so gut wie die Hände, die es einsetzen.

Für österreichische Unternehmen, die unter den Druck steigender Angriffszahlen und wachsender regulatorischer Anforderungen geraten, können sie ein entscheidender Baustein sein: für die operative Sicherheitsüberwachung, für die Erfüllung der NISG-2026-Meldepflichten und für die Reaktionsfähigkeit im Ernstfall.

Die entscheidende Frage bei der Auswahl ist nicht, welcher Anbieter das modernste Dashboard zeigt. Sondern: Wer schaut außerhalb der Geschäftszeiten wirklich hin und was passiert dann?