Kurzdefinition: Ein MSP (Managed Service Provider) betreibt IT-Dienste im Auftrag eines Unternehmens; ein MSSP (Managed Security Service Provider) tut dies speziell für Sicherheitsdienste wie Überwachung, Erkennung und Reaktion. Die Auslagerung verschafft Fachwissen und Kapazität — verlagert aber nur Aufgaben, nicht die Verantwortung.
Was ist ein MSP, was ein MSSP?
Ein MSP übernimmt den Betrieb von IT-Diensten (etwa Server, Netzwerke, Support); ein MSSP übernimmt Sicherheitsleistungen wie SOC-Betrieb, Monitoring und Angriffserkennung.
Warum lagern Unternehmen aus?
Wegen Fachkräftemangel, Kosten und Rund-um-die-Uhr-Bedarf. Gerade spezialisierte Sicherheitsleistungen sind intern oft nicht wirtschaftlich zu erbringen.
Bleibt die Verantwortung beim Unternehmen?
Ja. Die Auslagerung verlagert die Ausführung, nicht die gesetzliche Verantwortung. Die Geschäftsleitung muss den Dienstleister steuern und überwachen.
Was ist beim Vertrag zu beachten?
Klare Leistungsbeschreibung, Sicherheitsanforderungen, Melde- und Mitwirkungspflichten, Datenzugang, Prüfrechte und eine Exit-Regelung. Für IKT-Verträge im Finanzsektor gibt DORA Mindestinhalte vor.
Welches Risiko entsteht durch Auslagerung?
Ein Drittparteienrisiko. Der Dienstleister wird Teil der eigenen Angriffsfläche und Lieferkette; seine Sicherheit wird zur eigenen.
Häufige Fehlannahmen
- „Mit Auslagerung ist die Verantwortung weg.“ Nein. Sie bleibt bei der Geschäftsleitung.
- „Ein MSSP macht Sicherheit zum Selbstläufer.“ Nein. Steuerung und Überwachung bleiben nötig.
- „Der Vertrag ist Nebensache.“ Nein. Er entscheidet über Sicherheit und Ausstieg.
- „Der Dienstleister ist kein Risiko.“ Doch. Er ist Teil der eigenen Angriffsfläche.
- „Prüfrechte braucht man nicht.“ Doch. Ohne sie fehlt die Kontrolle.
Was die Geschäftsleitung tun sollte
- Sorgfältig auswählen. Sicherheit und Zuverlässigkeit des Anbieters prüfen.
- Vertrag schärfen. Sicherheits-, Melde- und Prüfpflichten vereinbaren.
- Steuern. Leistung und Sicherheit laufend überwachen.
- Ausstieg regeln. Exit-Strategie festlegen.
Für die Geschäftsleitung
MSP und MSSP verschaffen Fachwissen und Kapazität — aber die Verantwortung bleibt beim Unternehmen. Wer den Dienstleister sorgfältig auswählt, vertraglich einbindet und überwacht, nutzt die Auslagerung, ohne die Kontrolle zu verlieren.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
