Geschäft mit Sicherheit im Wandel

Schnell ein paar hunderttausend Franken mit IT-Security-Projekten scheffeln – IT-Dienstleister, die mit diesem Ziel ins Geschäft drängten, sind verschwunden. Der Markt für IT-Security ist reifer geworden, die Ansprüche der Kunden sind gestiegen, die Integratoren treffen bei den Projekten auf gut informierte Gesprächspartner, die wissen, was technisch möglich ist und wie viel sie dafür zahlen wollen. Die Kosten sind zu einem wichtigen Faktor geworden, um gegen­über dem Kunden bestehen zu können. Nicht nur die Höhe des Betrages ist ausschlaggebend, die Kosten müssen auch transparent sein. In diesem Zusammenhang macht eine neue Abkürzung im Gespräch mit dem Kunden die Runde: Die Rede ist vom Return on Security Investment, kurz ROSI, was unverblümt meint – es muss sich rechnen.
Das führt zu einem Dilemma. Der Kunde investiert Geld in seine Sicherheitsinfrastruktur, damit im besten Fall nichts passiert. Wenn alles reibungslos funktioniert und es tatsächlich zu keinem Vorfall kommt, fragt sich der Kunde sogleich, weshalb er all das Geld ausgegeben hat oder wie es Michael Liebi, CEO des Sicherheitsspezialisten Tetrade auf den Punkt bringt: «Die Security ist ein Lose/Lose-Business. Es bleibt eine Herausforderung für die Sicherheitsabteilungen, aus der Rolle als Geschäftsverhinderer herauszukommen.»

Firewalls und Antivirus beim KMU

Die Integratoren stellen deshalb bei den Kunden fest, dass diese die Security in ihre IT-Management-Systeme einbinden wollen. Gleichzeitig nimmt das Bedürfnis nach leistungsfähigen Reporting-Funktionen zu, damit transpa­rent wird, was die Security-­Infrastruktur zu leisten imstande ist.
Aktuelle Themen, die bei den Kunden auf eine Lösung warten, gibt es trotz allem viele, wie die Nachfrage von IT Reseller bei Integratoren, Dienstleistern und Distributoren zeigt. Bei KMU – vom Schreinermeister bis zum kleinen Buchverlag – werden nach wie vor Antivirenschutz und Firewall am stärksten nachgefragt. Urs Fink, Sales & Marketing Manager beim Value Added Distributor Boll Engineering, bezeichnet ferner Content-Security und Appliances, die nach dem Prinzip des Unified Threat Management aufgebaut sind, als «Highflyer». Im Enterprise-Umfeld und bei sicherheitssensiblen Branchen wie der Finanzindustrie und dem Versicherungswesen dreht sich zur Zeit das Geschäft um komplexe Projekte wie Identity- und Access-Management. Ebenfalls eine starke Nachfrage stellen die Marktteilnehmer bei Application Security fest. Generell werden die Versicherungs- und die Finanzbranche als Zugpferde des IT-Security-Marktes genannt. Gemäss Tom Hager, CEO des IT-Security-Dienstleisters Infotrust, fehlen heute bei den Kunden aufgrund etlicher Organisationsänderungen in der Vergangenheit qualifizierte Fachleute. Deshalb werde Infotrust oft für den Betrieb der Infrastruktur beim Kunden herangezogen.
Dass gerade im Security-Markt der Beziehung zwischen den Geschäftspartnern eine besonders grosse Bedeutung zukommt, ist naheliegend und wird von den befragten Marktteilnehmern auch ausnahmslos bestätigt. Wie eingangs erwähnt, treffen die Dienstleister mittlerweile gut informierte Kunden an. Auch bei den KMU. «Häufig hat der Kunde über ein Produkt schon etwas gelesen», bestätigt Roman Kuser, Geschäftsführer von Microcom, der vor allem KMU zu seinem Kundenstamm zählt.

Es darf auch Linux sein

Im Enterprise-Umfeld hat sich die Situation ebenfalls verändert. «Die IT-Abteilung entscheidet bei den Security-Projekten jetzt nicht mehr alleine», konstatiert Markus Zimmermann, Head Consulting & Solutions IT Security Softlab AG. «Heutzutage erarbeiten wir mit den Kunden bei Projekten schon im Vorfeld einen umfassenden Anforderungskatalog, der die verschiedenen Anspruchsgruppen wie etwa Endkunden als Nutzer von E-Services-Angeboten wie zum Beispiel unter anderem E-Banking, IT-Security, Rechtsabteilung, Revision, Management, IT-Betreiber integriert berücksichtigt», so Zimmermann.
Michael Liebi von Tetrade stellt zudem fest, dass die CSOs der verschiedenen Unternehmen eng vernetzt sind und sich gerne auf Tips von Kollegen verlassen. Und da mittlerweile das Geld eine Rolle spielt bei den IT-Security-Projekten, darf es dann beispielsweise auch einmal eine Firewall auf der Basis von Open Source sein, wie Liebi ausführt.
«Um den Kunden zu gewinnen, muss man heute häufig mit einer Teststellung arbeiten, der Kunde will die Lösung ausprobieren können», nennt Derk Steffens, Geschäftsführer des VAD Computerlinks, ein weiteres Kriterium, um bei einem Security-Deal zum Zug zu kommen.

Herstellertreue am Verschwinden

Letztlich will der Kunde eine Lösung, die sein Problem optimal löst. «Das Beherrschen von spezifischen Problematiken bei der IT-Security ist heute wichtiger, als ein breites Dienstleistungsangebot zu haben», sagt Michael Liebi von Tetrade, «ein Anbieter ohne Value Add beim Betriebswissen oder im Architekturbereich hat es heute schwierig». Die Herstellertreue auf der Seite der Kunden ist hingegen gemäss Michael Liebi von Tetrade am Verschwinden. Tom Hager von Infotrust schildert die Situation so: «Wenn man eine langjährige Kundenbeziehung hat, dann spielt die Produktmarke keine grosse Rolle.»
Sehr wohl eine grosse Rolle spielt hingegen die Wahl des Herstellers bei den IT-Security-Integratoren und Dienstleistern selbst. Schliesslich bauen sie über die Zeit einiges an Know-how auf.
Hier kommt erschwerend hinzu, dass der IT-Security-Markt nach wie vor in der Konsolidierung ist. Die Übernahme von Mail Frontier durch Sonicwall von vorletzter Woche ist hier ein aktuelles Beispiel. Bei Infotrust nimmt man sich deshalb viel Zeit für die Entscheidung, ob ein Produkt ins Portfolio aufgenommen werden soll oder nicht. Der Entscheidungsprozess beginnt mit der Abklärung des Nutzens und endet mit einer technischen Expertise.
Genauso wichtig und strategisch wie bei den Integratoren und Dienstleistern ist die Wahl des Herstellers für den Distributor. Sie müssen auch die Nase im Wind haben, um herauszuspüren, welche kommenden Trends zu erwarten sein werden. «Hier lohnt es sich, auch andere Märkte ausserhalb Europas zu verfolgen und zuzuhören, wenn Branchenkenner Prognosen über Trends äussern», rät Urs Fink von Boll Engineering.

Viele Distis auf kleinem Markt

Im Gegensatz zur Konsolidierung bei den Herstellern steht die Entwicklung bei den Distributoren. Hier sind in letzter Zeit mit Allasso und Esesix sogar neue Player auf dem Schweizer Markt aufgetaucht, die ihren Fokus auf die IT-Security gelegt haben. Die Margen scheinen diese international tätigen Distis anzuziehen. «Einen Preiskrieg wie in Deutschland gibt es hier noch nicht, es wird mehr Wert auf Qualität, Lieferfähigkeit und Zuverlässigkeit gelegt», sagt Derk Steffens, der zuvor während acht Jahren für Computerlinks in Deutschland tätig war.
Geht es nach den spezialisierten Integratoren, nimmt die Bedeutung der Distributoren in der Wertschöpfungskette des Marktes für IT-Security ab. Die Logistik habe sich geändert, sagt etwa Michael Liebi von Tetrade. Tom Hager von Infotrust sieht den Nutzen des Distributors auf die Hardwareseite beschränkt. «Beim Produkt-Know-how sind wir nicht auf einen Distributor angewiesen», so Hager. Die wichtigen Kriterien bei der Wahl eines Distributors sind für ihn die Lagerhaltung, ein schneller Bestellprozess und dass bei Problemen frühzeitig informiert sowie ein Workaround angeboten werde. «Diese Leistungen dürfen auch etwas kosten», so Hager.
Während Infotrust nur noch mit einem Distributor zusammenarbeitet, unterhält Softlab Geschäftsbeziehungen zu drei Distis. «Für uns ist der Distributor vor allem ein Logistikpartner, der uns zudem eine Produkthaftung bietet», so Markus Zimmermann von Softlab.
Das Argument, dass es die VADs nicht mehr brauche, höre man viel, entgegnet Derk Steffens von Computerlinks. «Bei der Lizenzierung und beim Support können wir aber etwas bieten. Über 1400 Support-Calls im Jahr 2005 zeigen, dass hier Bedarf besteht. Zudem schätzen kleinere Integratoren die Breite des Portfolios und dass man ihnen die richtige Alternative für die jeweilige Problemstellung zur Verfügung stellen kann.»
Urs Fink von Boll Engineering äussert sich ähnlich dazu: «Wir bringen für die Reseller eine lokale Serviceleistung.» Der typische Reseller, den Boll Engineering beliefert, sei ein Integrator mit 10 bis 20 Mitarbeitenden, einer technischen und einer Verkaufsabteilung, der seinerseits Firmenkunden mit 50 bis 500 Mitarbeitenden beliefere.

Markttreiber

Konsens herrscht aber auf seiten der Distributoren wie auch der Integratoren, dass es langfristig nicht Platz für alle Anbieter auf dem Schweizer Markt haben wird. «Zu viele Value Added Distributoren arbeiten mit denselben Marken», sagt Urs Fink. Es bleibt demnach absehbar, dass der eine oder andere Anbieter seine Zelte wieder abbrechen muss oder von einem Konkurrenten geschluckt wird.
Nicht nur deshalb wird der IT-Security-Markt auch in naher Zukunft dynamisch bleiben. Regulatorische Anforderungen (ISO-Normen, Sarbanes-Oxley, Basel II) sorgen zumindest teilweise für Impulse. Tom Hager von Infotrust stellt fest, dass etwa die ISO-Zertifizierungen (siehe auch Seite 34) bei den Kunden sehr viele Ressourcen binden. Zwar würden dadurch auch Projekte verzögert, letztlich ergäben sich aber dadurch auch Aufträge, weil die Kunden aus Kapazitätsgründen auf externe Dienstleister zurückgreifen müssten, so Hager.
Zudem war die Branche bis jetzt nie darum verlegen, neue Security-Themen zu lancieren. Letzten Herbst begannen beispielsweise die Stichworte «Bedrohung von innen» und «Social Engineering» die Runde zu machen. Heiss diskutiert werden in diesem Zusammenhang auch die Bedrohungen, die durch mobile Geräte und USB-Sticks entstehen. Zudem wird E-Mail-Security als heisses Thema gehandelt. Man kann demnach davon ausgehen, dass es noch zu weiteren Übernahmen wie jener von Mailfrontier durch Sonicwall von vorletzter Woche kommen wird und damit die nächste Konsolidierungswelle ansteht. Das Geschäft mit der Sicherheit bleibt also nicht nur lukrativ sondern auch spannend. (map)