Der Moment kommt oft mit einem Fragebogen. Die Cyberversicherung will wissen, wer euer Security Monitoring macht und wie die Incident Response geregelt ist. Du fragst beim IT-Partner nach und bekommst eine ausweichende Antwort: Man kümmere sich um die Sicherheit, Firewall und Backups seien auf Stand. Auf die konkrete Frage, wer täglich die Microsoft Defender Warnungen liest und innert welcher Frist jemand reagiert, folgt Schweigen. Dein IT-Partner macht kein Security Monitoring. Das ist bei den meisten Schweizer KMU so. Es ist kein Skandal, sondern eine Lücke im Betriebsmodell, die niemand bestellt hat.
Support und Security Monitoring sind zwei verschiedene Berufe. Dein IT-Partner löst Probleme, die jemand meldet. Monitoring heisst: jeden Arbeitstag Warnungen lesen, bewerten und mit verbindlicher Reaktionszeit übernehmen, bevor sich jemand meldet. Diesen Auftrag hat in den meisten KMU niemand. Die Lösung ist selten ein Partnerwechsel, sondern eine klare Arbeitsteilung.
Warum macht mein IT-Partner kein Security Monitoring?
Weil es nie Teil seines Auftrags war. Ein IT-Partner wird für Support bezahlt: Er reagiert, wenn jemand ein Problem meldet. Security Monitoring funktioniert umgekehrt. Jemand muss hinschauen, bevor sich jemand meldet, Warnungen bewerten und handeln, auch wenn im Betrieb alles ruhig wirkt.
Das Geschäftsmodell der meisten IT-Dienstleister ist auf Tickets und Projekte gebaut. Ein Mitarbeiter meldet ein Problem, jemand löst es, die Stunde wird verrechnet. Für Support funktioniert das gut. Für Monitoring funktioniert es nicht, weil dort an den meisten Tagen nichts Verrechenbares passiert. Es braucht jemanden, der trotzdem jeden Tag ins Portal schaut, Fehlalarme von echten Vorfällen trennt und im Ernstfall eine zugesagte Frist einhält. Das ist eine Bereitschaftsleistung, kein Ticket.
Dazu kommt die fachliche Tiefe. Microsoft fasst im Defender-Portal einzelne Warnungen zu Incidents zusammen, die priorisiert, untersucht und dokumentiert werden wollen. Wie das gedacht ist, beschreibt Microsoft in der Übersicht zu Incidents und Warnungen im Defender-Portal. Wer das Portal zweimal im Jahr öffnet, kann eine echte Kontoübernahme kaum von einem Fehlalarm unterscheiden. Diese Routine entsteht durch tägliche Arbeit mit vielen Umgebungen, und genau die hat ein generalistischer Partner nicht.
Das Missverständnis entsteht, weil "IT-Sicherheit" nach einer einzigen Aufgabe klingt. In Wirklichkeit sind es zwei. Dein Partner macht vermutlich durchaus Sicherheitsarbeit: Er spielt Updates ein, betreibt die Firewall, richtet MFA ein, kontrolliert Backups. Das ist Härtung, und sie ist wichtig. Überwachung ist die andere Hälfte: laufend prüfen, ob trotz aller Härtung gerade etwas passiert, und übernehmen, wenn ja. Ein Betrieb kann in der ersten Hälfte solide aufgestellt sein und in der zweiten komplett blind. Von aussen sieht beides gleich aus, bis zum ersten Vorfall.
Deine Versicherung fragt im Fragebogen übrigens nicht nach Tools. Sie fragt, wer verantwortlich ist und wie schnell reagiert wird. Ein Supportvertrag beantwortet diese Frage nicht.
Woran merkst du, dass niemand hinschaut?
An vier Signalen, die du ohne technisches Wissen prüfen kannst:
- Niemand kann dir sagen, wann zuletzt jemand im Defender-Portal war.
- Der Versicherungsfragebogen bleibt bei Monitoring und Incident Response leer.
- Sicherheitswarnungen landen im selben Postfach wie Druckerprobleme.
- Es gibt keine schriftlich vereinbarte Reaktionszeit für Sicherheitsvorfälle.
Das letzte Signal ist das schärfste. Support-Verträge enthalten oft Reaktionszeiten für Störungen, etwa wenn der Server steht oder niemand mehr drucken kann. Für Sicherheitsvorfälle steht dort meistens nichts, weil sie eine andere Art von Ereignis sind. Ein Serverausfall meldet sich von selbst, über frustrierte Mitarbeiter. Ein Sicherheitsvorfall meldet sich über eine Warnung, die jemand lesen muss. Wo keine Frist vereinbart ist, gibt es auch keine Uhr, die läuft. Ein Vorfall am Dienstagmorgen und seine Entdeckung drei Wochen später verletzen dann keinen einzigen Vertragspunkt.
Ein Beispiel aus unserer Praxis, anonymisiert: Ein Dienstleistungsbetrieb mit rund 45 Mitarbeitenden, vollständig auf Microsoft 365, seit Jahren beim gleichen IT-Partner, alle zufrieden. Beim Ausfüllen des Versicherungsfragebogens stellte der Geschäftsführer die Monitoring-Frage intern. Der IT-Partner antwortete ehrlich: Das sei nicht Teil des Vertrags, und in dieser Form könne er es auch nicht leisten. Ein Blick ins Defender-Portal zeigte Warnungen aus mehreren Monaten, darunter zwei zu ungewöhnlichen Anmeldeversuchen, die nie jemand bewertet hatte. Passiert war am Ende nichts. Gewusst hätte es allerdings auch niemand. Der Fragebogen ging danach mit einer ehrlichen Antwort und einem konkreten Plan an die Versicherung zurück, und die Police kam trotzdem zustande.
In unserer Erfahrung ist diese Konstellation der Normalfall. Warum Defender-Warnungen so oft ungelesen bleiben, haben wir separat aufgeschrieben. Wichtig ist der Blick auf die Verantwortung: Der Partner hat hier nichts verschlafen. Er hat den Auftrag erfüllt, den er hatte, und einen nicht erfüllt, den er nie bekommen hat.
Die Lücke ist organisatorisch, nicht technisch. Die Werkzeuge sind mit Business Premium meist schon bezahlt und laufen. Was fehlt, ist eine Person mit dem Auftrag, jeden Arbeitstag hinzuschauen, und eine Frist, innert derer sie reagiert. Beides bekommst du erst, wenn jemand diese Verantwortung ausdrücklich übernimmt.
Muss ich deswegen den IT-Partner wechseln?
Nein, in den meisten Fällen nicht. Support und Monitoring ergänzen sich. Dein Partner kennt eure Umgebung, eure Leute und eure Geschichte. Dieses Wissen ist wertvoll und geht bei einem Wechsel verloren. Sinnvoller ist die Frage, wer welchen Job macht.
Eine funktionierende Arbeitsteilung sieht in der Praxis so aus: Der IT-Partner betreibt weiterhin die Infrastruktur, macht Support und setzt Änderungen um. Eine spezialisierte Stelle liest und bewertet die Sicherheitswarnungen, übernimmt bei einem Vorfall die Einschätzung und koordiniert die Massnahmen mit dem Partner, der sie umsetzt. Beide wissen voneinander.
Bei einem echten Vorfall ergänzen sich die Rollen sogar besser als jede Seite allein. Die Monitoring-Stelle erkennt zum Beispiel eine verdächtige Anmeldung, sperrt das betroffene Konto und liefert die Einschätzung, was passiert ist und was zu tun bleibt. Der IT-Partner, der den betroffenen Mitarbeiter und seine Geräte kennt, setzt die Bereinigung um und bringt die Person wieder zum Arbeiten. Keiner der beiden könnte den Teil des anderen nebenbei mitmachen: Dem einen fehlt die Nähe zum Betrieb, dem anderen die tägliche Routine mit Vorfällen.
In unserer Erfahrung sind IT-Partner über diese Aufteilung eher erleichtert als gekränkt: Sie werden eine Verantwortung los, die sie im heutigen Modell gar nicht seriös tragen können.
Heikel wird es nur, wenn ein Partner behauptet, Monitoring sei abgedeckt, aber keine Reaktionszeit nennen kann und keinen Bericht liefert. Das ist dann kein Monitoring, sondern ein Missverständnis.
Wie schliesst du die Lücke sinnvoll?
Du hast drei realistische Wege, und welcher passt, ist vor allem eine Frage der Grösse deines Betriebs.
Der erste Weg ist ein eigener Security-Mitarbeiter. Unter 150 Mitarbeitenden rechnet sich das selten: Du bezahlst den Jahreslohn eines Spezialisten, der trotzdem nur zu Bürozeiten arbeitet, Ferien hat und irgendwann kündigt. Dann beginnt die Suche von vorn.
Der zweite Weg ist der Ausbau beim bestehenden Partner. Das kann funktionieren, wenn der Partner bereit ist, tägliche Kontrolle und dokumentierte Bewertung zuzusagen. Eine Frage klärt es: Steht Security Monitoring mit Reaktionszeiten im Vertrag? Wenn die Antwort ausweichend ausfällt, ist sie beantwortet. Manche Partner geben an dieser Stelle eine ehrliche Antwort und spannen für das Monitoring selber mit einem spezialisierten Anbieter zusammen, während sie den Support behalten. Das ist kein Gesichtsverlust. Es ist die gleiche Arbeitsteilung, über einen anderen Vertrag organisiert.
Der dritte Weg ist ein spezialisiertes SOC in der Grösse, die zu einem Büro-KMU passt: automatische Sofortmassnahmen rund um die Uhr, menschliche Bewertung und Reaktion zu Bürozeiten mit vertraglichem SLA, ab CHF 1'850 pro Monat. Das ist deutlich weniger als ein eigener Spezialist und deutlich mehr Substanz als ein Supportvertrag mit gutem Willen. Wenn dein Betrieb allerdings rund um die Uhr produziert oder regulatorisch echte 24/7-Reaktion braucht, ist ein Bürozeiten-Modell das falsche. Für wen das SOC passt und für wen nicht, steht offen auf der Übersicht, inklusive der Fälle, in denen wir abraten.
| Weg | Was du bekommst | Woran es in der Praxis scheitert |
|---|---|---|
| Eigener Security-Mitarbeiter | Volle interne Kontrolle, Person im Haus | Jahreslohn, Ferien- und Kündigungsrisiko, unter 150 Mitarbeitenden kaum auszulasten |
| Ausbau beim IT-Partner | Ein Ansprechpartner für alles | Stundenmodell trägt keine Bereitschaft, oft keine vertragliche Reaktionszeit |
| Spezialisiertes SOC in KMU-Grösse | Tägliche Bewertung, vertragliche SLAs, planbarer Fixpreis | Passt nicht für Betriebe mit echtem 24/7-Bedarf |
Unabhängig vom Weg: Das Bundesamt für Cybersicherheit publiziert laufend aktuelle Zahlen zu gemeldeten Cybervorfällen, gemeldet wird aus der Bevölkerung und von Unternehmen. Warnungen laufen in deinem Tenant heute schon auf. Die offene Frage ist nur, wer sie liest.
Häufige Fragen
Ist mein IT-Partner schuld, dass niemand hinschaut?
Nein. Er erfüllt den Auftrag, den er hat: Support, Betrieb, Projekte. Security Monitoring war nie Teil davon, und im Stundenmodell eines Supportvertrags lässt es sich auch nicht seriös abbilden. Schuldzuweisungen bringen hier nichts. Eine geklärte Zuständigkeit schon.
Kann mein IT-Partner das Monitoring nicht einfach dazunehmen?
Grundsätzlich ja, wenn er tägliche Kontrolle, vertragliche Reaktionszeiten und einen verständlichen Bericht zusagt. In der Praxis scheitert das oft nicht am Willen, sondern an der Auslastung: Ein Team, das den Tag mit Tickets füllt, hat keine Kapazität für eine Bereitschaftsleistung. Frag konkret nach der Reaktionszeit im Vertrag, dann weisst du, woran du bist.
Was sage ich der Versicherung, solange die Lücke besteht?
Die Wahrheit. Ein geschönter Fragebogen kann im Schadenfall zu Diskussionen über die Deckung führen. Ehrlicher ist: Monitoring ist aktuell nicht geregelt, die Klärung läuft. Welche Monitoring-Anforderungen im Fragebogen wirklich zählen, haben wir in einem eigenen Beitrag beantwortet.
Die interessantere Frage ist am Ende selten, ob dein IT-Partner gut arbeitet. Meistens arbeitet er gut. Die Frage ist, wer den Job hat, den ihm nie jemand gegeben hat.