Wer für ein KMU zum ersten Mal SOC-Offerten einholt, bekommt Preise, die um ein Mehrfaches auseinanderliegen. Gleiches Stichwort, gleiche Firmengrösse, völlig unterschiedliche Zahlen. Abzocke ist dabei selten der Grund. Hinter dem Wort SOC stecken schlicht sehr unterschiedliche Betriebsmodelle. Wer die SOC-Kosten für sein KMU beurteilen will, muss deshalb zuerst verstehen, was er da einkauft. Die Antwort ist unspektakulär: vor allem besetzte Stunden.
Der grösste Kostenblock eines klassischen SOC sind besetzte Stunden, nicht Technologie. Ein 24/7-Betrieb braucht mehrere Vollzeitstellen und kostet entsprechend. Ein KMU, dessen Geschäft zu Bürozeiten läuft, bezahlt damit eine Nachtschicht, die es kaum je braucht. Die Alternativen: ein eigener Spezialist (Jahreslohn plus Ferien- und Ausfallproblem), ein Enterprise-MDR (Preismodell für ein Bedürfnis, das du nicht hast) oder ein SOC in Bürozeiten-Dimension, bei uns ab CHF 1'850 pro Monat, Risikolevel-basiert.
Was kostet ein SOC für ein Schweizer KMU?
Für ein Schweizer KMU mit 20 bis 150 Mitarbeitenden gibt es drei realistische Wege, und sie kosten sehr unterschiedlich viel: ein eigener Security-Spezialist kostet den Jahreslohn einer gesuchten Fachkraft, ein klassisches 24/7-MDR kommt mit einem Enterprise-Preismodell, und ein auf Bürozeiten dimensioniertes SOC beginnt bei uns bei CHF 1'850 pro Monat. Der Preis hängt dabei nicht an der Mitarbeiterzahl, sondern am Risikoprofil deines Microsoft-365-Tenants.
Die drei Wege im Überblick:
| Weg | Was du bezahlst | Wo es klemmt |
|---|---|---|
| Eigener Security-Spezialist | Jahreslohn plus Rekrutierung, Weiterbildung, Tooling | Arbeitet trotzdem nur zu Bürozeiten, hat Ferien, ist krank, kündigt irgendwann |
| Klassisches 24/7-MDR | Enterprise-Preismodell, oft mit eigenem Agenten und eigener Konsole | Du bezahlst eine Rund-um-die-Uhr-Besetzung, die ein Bürobetrieb selten braucht |
| Right-sized SOC (Bürozeiten plus Automatisierung) | Fixer Monatspreis nach Risikolevel, ab CHF 1'850 | Keine menschliche Nachtreaktion. Wer die wirklich braucht, ist hier falsch |
Wie sich der Monatspreis im Detail zusammensetzt und was in welchem Risikolevel enthalten ist, steht auf unserer Preisübersicht nach Risikolevel. Hier geht es um die Frage davor: warum die Modelle so unterschiedlich viel kosten.
Warum liegen SOC-Offerten so weit auseinander?
Der Hauptgrund ist banal: Abdeckungszeit. Eine Woche hat 168 Stunden. Bürozeiten von Montag bis Freitag, 08:00 bis 17:30, sind 47.5 davon. Wer alle 168 mit Menschen besetzt, braucht dafür mehrere Vollzeitstellen im Schichtbetrieb, inklusive Nächte, Wochenenden, Feiertage, Ferienvertretung und der Zuschläge, die Nachtarbeit nun mal kostet. Diese Löhne stecken in jeder 24/7-Offerte, egal wie gross dein Betrieb ist, und sie lassen sich auch mit dem besten Willen nicht wegrabattieren. Wer dagegen die Bürozeiten mit Menschen besetzt und die Nacht der Automatisierung überlässt, hat einen Bruchteil der Personalkosten und kann entsprechend anbieten.
Das erklärt auch, warum die Mitarbeiterzahl deines Betriebs in den Offerten eine kleinere Rolle spielt, als viele erwarten. Ob 30 oder 90 Postfächer überwacht werden, ändert am Aufwand weniger als die Frage, wie viele Stunden pro Woche ein Analyst erreichbar sein muss. Vergleiche Offerten deshalb nach Abdeckungsmodell; die Kopfzahl führt dich in die Irre.
Der teuerste Posten in einer klassischen SOC-Offerte sind Stunden, in denen bei dir niemand arbeitet. Das ist keine Kritik an 24/7-Anbietern. Für ein Spital oder einen Schichtbetrieb sind genau diese Stunden das Produkt. Für ein Büro-KMU sind sie Leerlauf, den es mitbezahlt.
Dazu kommen kleinere Preistreiber: eigene Sensorik und Agenten (statt der Microsoft-Werkzeuge, die du schon lizenziert hast), Onboarding-Aufwand, Reporting-Tiefe und die Frage, ob der Anbieter nur meldet oder auch eingreift. Aber keiner dieser Posten erklärt Preisunterschiede um ein Mehrfaches. Die Abdeckungszeit erklärt sie.
Ob dein Betrieb die Nachtbesetzung braucht, ist deshalb die eigentliche Kostenfrage, noch vor jeder Offerte. Wir haben das in Brauche ich ein 24/7-SOC? ausführlich auseinandergenommen. Die Kurzfassung: Wenn jede Minute Ausfall dich direkt Geld kostet, brauchst du die Nachtschicht und sollst sie bezahlen. Wenn dein Geschäft um 17:30 Uhr Feierabend macht, bezahlst du mit einem 24/7-SOC hauptsächlich Verfügbarkeit, die ins Leere läuft.
Wie das in der Praxis aussieht
Ein Beispiel aus unserer Erfahrung, anonymisiert: ein Handelsunternehmen mit rund 40 Mitarbeitenden, vollständig auf Microsoft 365, ein IT-Verantwortlicher in Teilzeit-Doppelrolle. Auslöser war der Fragebogen der Cyberversicherung, der nach Monitoring und Incident Response fragte. Die Firma holte drei Offerten ein. Zwei kamen von klassischen MDR-Anbietern: 24/7-Betrieb, eigener Agent auf jedem Gerät, Jahreskosten im Bereich eines mittleren Jahreslohns. Die dritte Option war, einen eigenen Security-Mitarbeiter einzustellen, was am Arbeitsmarkt für eine 40-Personen-Firma kaum realistisch ist und das Ferien- und Kündigungsproblem nicht löst.
Die Geschäftsführung stand vor einer scheinbaren Wahl zwischen zu teuer und nicht machbar. Beides fühlte sich falsch an, also passierte erst einmal das Übliche: nichts. Der Fragebogen blieb liegen, das Thema wanderte von Sitzung zu Sitzung. Tatsächlich fehlte schlicht die dritte Spalte in der Tabelle: Das Unternehmen arbeitet Montag bis Freitag, die Microsoft-Lizenzen mit den Sicherheitsfunktionen waren schon bezahlt, und was fehlte, war jemand, der die Defender-Warnungen werktags liest, bewertet und übernimmt. Für den Versicherungsfragebogen reichte das dimensionierte Modell vollständig, wie wir in Cyberversicherung: welche Monitoring-Anforderungen wirklich zählen beschrieben haben. Die MDR-Offerten waren dabei nicht schlecht. Sie beantworteten eine Frage, die diese Firma nie gestellt hatte.
Reicht nicht Microsoft Defender allein, also Kosten null?
Nein, aber der Einwand ist berechtigter, als viele Anbieter zugeben. Microsoft Defender ist in deiner Lizenz enthalten, erkennt und blockiert auch nachts, und die automatische Angriffsunterbrechung in Defender XDR kann kompromittierte Konten deaktivieren und auffällige Geräte isolieren, ohne dass ein Mensch eingreift. Diese Automatik ist der Grund, warum ein Bürozeiten-SOC nachts nicht blind ist.
Was die Lizenz nicht enthält: jemanden, der die Warnungen liest. Defender erzeugt Meldungen, priorisiert sie und wartet dann auf einen Menschen, der entscheidet, was echt ist, was Fehlalarm und was eine Reaktion braucht. In den meisten KMU, die wir sehen, wartet er vergeblich. Die Vergleichsgrösse für die SOC-Kosten ist deshalb nicht null. Null bedeutet: Rauchmelder installiert, Batterie nie eingesetzt. Das Bundesamt für Cybersicherheit stellt auf seiner Informationsseite für Unternehmen Checklisten für den Ernstfall bereit, und die setzen durchgehend voraus, dass jemand den Vorfall überhaupt bemerkt.
Woran du eine passende Offerte erkennst
Wenn du Offerten vergleichst, entscheiden in unserer Erfahrung fünf Punkte darüber, ob der Preis zu deinem Betrieb passt:
- Zu welchen Zeiten gilt das SLA? Eine Reaktionszeit ohne Zeitfenster ist keine Zusage. Bei uns gilt: 30 Minuten bei kritischen Vorfällen, 2 Stunden bei hoher, 4 Stunden bei mittlerer Priorität, jeweils zu Bürozeiten Montag bis Freitag 08:00 bis 17:30, und das steht so im Vertrag.
- Was passiert ausserhalb dieser Zeiten? Die ehrliche Antwort eines Bürozeiten-Anbieters lautet: Automatik reagiert sofort, Menschen übernehmen am Morgen. Wer dir 24/7 verspricht, ohne die Schichtkosten im Preis abzubilden, hat irgendwo anders gespart.
- Arbeitet der Anbieter mit deinen Werkzeugen oder bringt er eigene mit? Eigene Agenten und Konsolen bedeuten doppelte Infrastruktur und Datenabfluss aus deinem Tenant. Wenn du Microsoft 365 hast, bezahlst du die Sensorik bereits.
- Ist der Preis fix? Ein Monatspreis nach Risikoprofil ist planbar. Abrechnung nach Alarmvolumen oder Vorfällen ist es nicht.
- Wer trägt die Verantwortung im Vorfall? Nur melden ist billiger als bewerten und reagieren. Entscheidend ist, was im Vertrag steht, nicht was im Prospekt.
Keiner dieser Punkte sagt, dass teurer schlechter ist. Ein Enterprise-MDR ist für den passenden Betrieb sein Geld wert. Die Punkte sagen nur, wofür du bezahlst, und das ist die einzige Grundlage, auf der sich Offerten vergleichen lassen.
Und weil Ehrlichkeit in beide Richtungen gilt: Wenn dein Betrieb rund um die Uhr produziert, einen Notfalldienst betreibt oder regulatorisch echte 24/7-Reaktion nachweisen muss, dann ist ein Bürozeiten-SOC für dich die falsche Sparübung. Kauf in dem Fall die Nachtschicht, sie löst dein Problem. Für alle anderen ist sie der teuerste Posten auf einer Offerte für ein Problem, das sie nicht haben.
Häufige Fragen
Lohnt sich ein SOC schon ab 20 Mitarbeitenden?
Die Mitarbeiterzahl ist der falsche Massstab. Entscheidend ist, wie zentral Microsoft 365 für deinen Betrieb ist und was ein kompromittiertes Konto oder ein verschlüsselter Datenbestand anrichten würde. Eine 25-Personen-Firma, die vollständig über Exchange, Teams und SharePoint arbeitet, hat dasselbe Grundproblem wie eine mit 120. Wer unsicher ist, startet besser mit einem einmaligen Tenant Review (CHF 990) als mit einem Abo: Der zeigt das Risikoprofil, und danach lässt sich die Kostenfrage konkret statt abstrakt beantworten.
Senkt ein SOC die Prämie meiner Cyberversicherung?
Das entscheidet der Versicherer, und wir versprechen hier nichts. Der verlässlichere Effekt liegt eine Stufe davor: Du kannst die Fragen nach Monitoring und Incident Response im Fragebogen ehrlich mit Ja beantworten, statt sie zu umschiffen. In unserer Erfahrung ist das der Punkt, an dem es für viele KMU ernst wird, nicht die Prämienhöhe.
Welche Kosten kommen zum Monatspreis dazu?
Drei Posten solltest du einplanen: den einmaligen Tenant Review am Anfang (CHF 990), ein allfälliges Lizenz-Upgrade auf Microsoft 365 Business Premium, falls dein Risikolevel Funktionen braucht, die deine heutige Lizenz nicht enthält, und interne Zeit während des Onboardings, weil dein IT-Verantwortlicher Zugriffe einrichten und Entscheidungen treffen muss. Ein Anbieter, der dir diese Posten nicht von sich aus nennt, rechnet die Offerte schöner, als sie ist.
Die Kostenfrage ist am Ende eine Dimensionierungsfrage: Wie viel SOC braucht dein Betrieb? Die Antwort steht in deinem Risikoprofil, und genau dort fangen wir deshalb an.