Irgendwann liegt die Frage auf dem Tisch: eigener Security-Mitarbeiter oder extern? Freiwillig stellt sie kaum jemand. Die Cyberversicherung will im Fragebogen wissen, wer das Monitoring macht. Ein Grosskunde verlangt einen Nachweis. Oder der Verwaltungsrat fragt in der Sitzung, wer eigentlich auf die IT-Sicherheit schaut, und für einen Moment ist es still im Raum. Der Reflex danach ist meistens derselbe: Wir stellen jemanden ein. Eigene Leute kennen den Betrieb, sitzen im Haus, gehen ans Telefon. Das fühlt sich nach Kontrolle an. In einem Betrieb mit 20 bis 150 Mitarbeitenden geht diese Rechnung aber selten auf. Sie scheitert nicht am Lohn, sondern an der Stelle selbst.
Ein eigener Security-Mitarbeiter ist für ein KMU mit 20 bis 150 Mitarbeitenden meist beides zugleich: überdimensioniert und unterdimensioniert. Überdimensioniert, weil Security-Monitoring in dieser Grösse keine Vollzeitstelle füllt. Unterdimensioniert, weil eine einzelne Person kein ganzes Jahr abdeckt: Ferien, Krankheit, Kündigung. Du brauchst einen Bruchteil einer Stelle, der trotzdem jeden Arbeitstag besetzt ist, und genau diesen Zuschnitt kannst du nicht anstellen, nur einkaufen. Eigenes Personal lohnt sich erst, wenn Security mehrere Vollzeitstellen trägt.
Die Stelle, die nur auf dem Papier funktioniert
Schreib die Stelle probehalber aus, wenigstens im Kopf. Gesucht: eine Person, die Microsoft Defender sauber betreibt, Warnungen liest und bewertet, im Vorfall reagiert, Conditional Access pflegt und der Geschäftsleitung verständlich Bericht erstattet. Das Profil klingt vernünftig. Jetzt rechne nach, wie viele Stunden diese Arbeit in deinem Betrieb anfällt. Ein Tenant mit 50 Benutzern erzeugt Warnungen, aber keine 42 Stunden Analysearbeit pro Woche. An den meisten Tagen ist das Monitoring in ein, zwei konzentrierten Blöcken erledigt. Die Stelle, die du ausgeschrieben hast, existiert als Vollzeitpensum schlicht nicht, und das merkt auch die Person, die sie antritt.
Der Rest der Woche füllt sich von allein, nur nicht mit Security. Drucker, neue Mitarbeitende, Teams-Probleme, das ERP-Projekt. In unserer Erfahrung wird aus der Security-Stelle innert Monaten eine IT-Allrounder-Stelle mit Security im Titel. Das ist kein Versagen der Person. Der Betrieb holt sich die freie Kapazität, weil Support hörbar drängt und Monitoring still ist. Und liegen bleibt dabei zuverlässig die Aufgabe, die keinen Lärm macht: das Hinschauen.
Was kostet ein eigener Security-Mitarbeiter, alles eingerechnet?
Den Jahreslohn einer gesuchten Fachkraft, dazu Lohnnebenkosten, Rekrutierung, Weiterbildung und Tooling. Verglichen mit einem extern eingekauften SOC in KMU-Dimension, das bei uns ab CHF 1'850 pro Monat beginnt, bezahlst du für die eigene Stelle ein Mehrfaches. Und bekommst dafür trotzdem nur Bürozeiten-Abdeckung, denn auch dein eigener Spezialist arbeitet nicht nachts.
Die Zahl auf dem Lohnausweis ist dabei nicht einmal der teuerste Teil. Teurer ist das Klumpenrisiko: Das gesamte Security-Wissen deines Betriebs steckt in einem einzigen Kopf. Wie dieser Kopf den Tenant konfiguriert hat, warum welche Ausnahme existiert, welche Warnung er nach welchem Muster bewertet, davon ist selten etwas vollständig dokumentiert. Kündigt die Person, fängt der Betrieb bei null an, inklusive neuer Rekrutierung in einem Markt, in dem sich erfahrene Security-Leute ihre Arbeitgeber aussuchen können. Warum SOC-Offerten generell so weit auseinanderliegen und was hinter den Preisen steckt, haben wir in SOC-Kosten für KMU aufgeschlüsselt.
Wer liest die Warnungen, wenn dein Spezialist in den Ferien ist?
Niemand. Bei einer Ein-Personen-Abdeckung ist das der Normalzustand, mehrere Wochen pro Jahr. Vier bis fünf Wochen Ferien, Feiertage, Weiterbildung, Krankheit, Militär: Da kommen schnell sechs oder sieben Wochen pro Jahr zusammen, in denen die Stelle leer ist. Die Vorfälle richten sich nicht danach. Das Bundesamt für Cybersicherheit publiziert laufend aktualisierte Zahlen zu den gemeldeten Cybervorfällen, und dieser Strom kennt keine Betriebsferien. Eine Phishing-Kampagne kennt deinen Ferienplan nicht, und wenn sie zufällig in Woche 32 trifft, ist der Unterschied zwischen besetzt und unbesetzt der Unterschied zwischen einem Zwischenfall und einem Schaden. Eine interne Stellvertretung dafür aufzubauen hiesse, eine zweite Person auf demselben Wissensstand zu halten, für eine Aufgabe, die schon eine einzelne nicht auslastet.
Dazu kommt ein leiserer Punkt: Auch an den besetzten Tagen ist eine einzelne Person fachlich allein. Niemand liest ihre Einschätzung gegen, niemand sagt im Vorfall um 16:45 Uhr, dass die zweite Hypothese die bessere ist. Security-Arbeit lebt vom zweiten Paar Augen, und genau das lässt sich mit einer Einzelstelle nicht anstellen, egal wie gut die Person ist.
Der Zuschnitt ist das Problem: Security-Monitoring ist in einem KMU ein Bruchteil einer Stelle, der trotzdem an jedem Arbeitstag besetzt sein muss. Einen Bruchteil einer Stelle mit Dauerpräsenz kannst du nicht anstellen. Man kann ihn nur mit anderen Firmen teilen. Genau das ist ein externes SOC: mehrere Analysten, deren Pensum sich über viele Betriebe füllt, von denen keiner allein eine Vollzeitstelle auslasten würde.
Wie das in der Praxis aussieht
Ein anonymisiertes Beispiel aus unserer Erfahrung: ein Produktionsbetrieb mit rund 80 Mitarbeitenden, zwei Personen in der internen IT. Nach einem Phishing-Vorfall bei einem Mitbewerber beschloss die Geschäftsleitung, eine dritte Stelle mit Schwerpunkt IT-Sicherheit zu schaffen. Die Ausschreibung lief über Monate. Die Bewerbungen kamen von Generalisten; wer Security-Erfahrung mitbrachte, war für den Betrieb nicht bezahlbar oder wollte in ein grösseres Team. Am Ende stellte die Firma einen soliden Systemtechniker mit Interesse an Security ein.
Zwei Jahre später sah seine Woche aus wie die seiner beiden Kollegen: Support, Projekte, Betrieb. Das Defender-Portal war eingerichtet, die Warnungen liefen auf, gelesen wurden sie unregelmässig, und im Vorfall hätte niemand im Haus die Erfahrung gehabt, die Lage schnell zu beurteilen. Die Stelle, die als Antwort auf die Sicherheitsfrage geschaffen worden war, hatte sich in eine dritte Betriebsstelle verwandelt. Niemand hatte dabei etwas falsch gemacht. Der Betrieb hatte schlicht bekommen, was er täglich brauchte, statt dessen, was er sich beim Ausschreiben gewünscht hatte.
Ab wann lohnt sich eigenes Security-Personal?
Sobald die Arbeit mehrere Vollzeitstellen trägt. Das ist der Fall, wenn der Betrieb rund um die Uhr produziert, regulatorisch eine eigene Security-Organisation nachweisen muss oder die IT so gross ist, dass Spezialisierung mit Stellvertretung möglich wird. Dann gehört das Thema ins Haus, mit mehreren Köpfen, sauberer Vertretungsregelung und echtem Schichtmodell, falls nötig. Wer in dieser Lage ist, ist übrigens auch bei uns falsch, und das sagen wir im Erstgespräch offen: Ein Bürozeiten-SOC ist für solche Betriebe dieselbe Fehldimensionierung wie die Einzelstelle fürs KMU, nur in die andere Richtung.
Für alle anderen zählt am Ende eine einzige Grösse: An wie vielen Tagen im Jahr schaut jemand hin? Unser Modell beantwortet das so: Die automatische Angriffsunterbrechung in Microsoft Defender XDR sperrt kompromittierte Konten und isoliert auffällige Geräte auch nachts, ganz ohne Menschen. Unsere Analysten lesen, bewerten und reagieren zu Bürozeiten, Montag bis Freitag 08:00 bis 17:30, mit vertraglichen Reaktionszeiten ab 30 Minuten bei kritischen Vorfällen. Das ist dieselbe Arbeitsteilung, die ein einzelner interner Spezialist auch hätte, nur ohne Ferienlücke und ohne Klumpenrisiko.
Die Fragen vor der Stellenausschreibung
Bevor du eine Security-Stelle ausschreibst oder ein SOC einkaufst, lohnt es sich, drei Fragen ehrlich zu beantworten:
- Wie viele Stunden Security-Arbeit fallen pro Woche an? Wenn du es nicht weisst, ist das selbst ein Befund: Dann liest heute vermutlich niemand systematisch mit, und jede Dimensionierung wäre geraten.
- Wer übernimmt in Ferien-, Krankheits- und Kündigungswochen? Eine Antwort wie "dann schauen wir halt selber" bedeutet: Die Abdeckung existiert nur an guten Tagen.
- Wo soll das Wissen liegen? In einem Kopf, der irgendwann geht, oder in einem dokumentierten System, das Kündigungen übersteht.
Falls die stille Hoffnung ist, dass der bestehende IT-Partner das alles abdeckt: Support und Security-Monitoring sind zwei verschiedene Berufe, auch wenn beide im selben Serverraum stattfinden. Warum das so ist und woran du die Lücke erkennst, steht in Dein IT-Partner macht kein Security Monitoring? Das ist normal.
Häufige Fragen
Können wir extern starten und später ein eigenes Team aufbauen?
Ja, und die Reihenfolge ist sogar die vernünftigere. Ein extern betriebenes SOC dokumentiert Konfiguration, Bewertungslogik und Vorfälle, weil es ohne diese Dokumentation gar nicht arbeiten kann. Wächst dein Betrieb später in die Grösse für eigenes Personal, übernimmt dieses ein aufgeräumtes, nachvollziehbares System statt eines leeren Portals. Vertraglich bindet dich bei uns die Mindestlaufzeit von 12 Monaten, mehr nicht.
Was macht unser interner IT-Verantwortlicher, wenn das Monitoring extern läuft?
Alles, was er heute macht, minus die Aufgabe, die heute ohnehin liegen bleibt. Der Tenant bleibt seiner, Änderungen laufen weiter über ihn, und er entscheidet mit, was bei einem Vorfall geschieht. Wir übernehmen das Lesen, Bewerten und Reagieren auf das, was Defender meldet. In unserer Erfahrung ist das der Punkt, an dem interne IT-Verantwortliche zum ersten Mal seit langem ruhig in die Ferien gehen.
Geht eine eigene Anstellung nicht schneller, wenn es jetzt pressiert?
Eher umgekehrt. Eine Security-Stelle ausschreiben, besetzen und einarbeiten dauert in unserer Erfahrung deutlich länger als ein SOC-Onboarding, das bei uns nach 2 bis 3 Monaten im Vollbetrieb läuft, weil es mit den Microsoft-Werkzeugen arbeitet, die in deinem Tenant schon laufen. Wenn der Auslöser ein Versicherungsfragebogen oder ein Kundenaudit mit Frist ist, ist die Anstellung der langsamste Weg, und der einzige ohne Erfolgsgarantie am Arbeitsmarkt.
Ob intern oder extern ist am Ende Arithmetik: Stunden, Abdeckung, Köpfe. Rechne beides durch, mit allen Ferienwochen und Kündigungsfristen, nicht nur mit dem Lohn gegen den Monatspreis. Trägt dein Betrieb mehrere Security-Vollzeitstellen, stell ein. Trägt er sie nicht, kauf den Bruchteil einer Stelle dort ein, wo er jeden Arbeitstag besetzt ist. Wie diese Rechnung für deinen Betrieb konkret aussieht, klären wir am Anfang jedes Gesprächs, bevor es um irgendein Angebot geht.