Der Markt für Sicherheits-Dienstleistungen wächst

Die Meldungen von Angriffen auf Informatik-Strukturen reissen nicht ab. Gegen Ende des letzten Jahres, während der Wintersession, wurden Hack-Angriffe auf die Internetseite des Parlaments verübt. Die Website www.parlament.ch war während 14 Tagen nur noch eingeschränkt nutzbar, weil die Datenbank überlastet gewesen ist. Der Grund dafür war ein Botnet-Angriff. Anfang April dieses Jahres gab der finnische Sicherheitsspezialist F-Secure bekannt, dass er im laufenden Jahr mit einer Million neuer Viren und Trojaner rechnet. Insbesondere im Bereich Drive-By-Downloads, Rootkit sowie Trojaner und Würmer für mobile Endgeräte und Symbian-Smartphones sei eine Zunahme zu erwarten. Und schliesslich noch das: Im Rahmen der Sicherheitsmesse Cansecwest hat der Sicherheitsdienstleister Tipping Point zu einem Hackwettbewerb aufgerufen. Das Ergebnis: Zwei Rechner mit OS X und Windows Vista waren in null Komma nichts geknackt und unter die Kontrolle von Hackern geraten.
Die Beispiele zeigen: Die Anzahl der Angriffe auf Informatik-Infrastrukturen wächst immer noch stetig. Dabei ist nicht nur die steigende Anzahl besorgniserregend, sondern auch, dass die Angreifer immer professioneller werden, während die IT-Umgebungen nicht an Komplexität verlieren. Damit steigt sowohl der Planungs- als auch der Wartungs- und Administrationsaufwand für Sicherheitssysteme, die den Bedrohungen gewachsen sind. Laut einer Studie des deutschen Marktforschungs- und Beratungsunternehmens Experton Group, bleiben die grossen Sicherheitsthemen im Jahr 2008 dieselben wie 2007: Das «Hase-Igel-Rennen» zwischen Angreifern und Herstellern, Mobile Security, Viren- und Spyware-Schutz, IT-Sicherheit versus Nutzerfreundlichkeit und Web-Security. Malware und Spam bleiben brisante Themen, insbesondere im Bereich Mobile Security werde die Komplexität zunehmen. Dadurch hat sich eine Trendwende ergeben: Ging es in der Vergangenheit primär darum, Sicherheitslücken in Software zu schliessen bevor ein Angriff von aussen erfolgen konnte, so geht es mittlerweile darum, für alle Eventualitäten gewappnet zu sein.

Trend zur Auslagerung aus den USA

Laut Experton zeichnet sich noch ein weiterer Trend ab: Das Auslagern einzelner Sicherheitsdienste nimmt weiterhin zu. Was in den USA schon seit Jahren weit verbreitet ist, schwappt nun auch in den deutschsprachigen Raum über. Rund drei Viertel der von Experton befragten Unternehmen lagern Sicherheitsaufgaben in irgendeiner Form an externe Dienstleister aus. Es handelt sich dabei primär um Wartungs- und Support-Leistungen, gefolgt von technologischer Beratung, Implementierungs- und Integrationsdienstleis­tungen, Schwachstellen-Audits (mehr dazu auf Seite 32) sowie Sicherheits-Trainings für IT-Personal und Anwender. Dabei lässt sich laut Wolfram Funk, Senior Advisor bei Experton, eine klare Segmentierung des Marktes ausmachen: «Grössere Unternehmen mit ihren teilweise komplexen IT-Umgebungen legen tendenziell mehr Wert auf die Integrationsexpertise des Dienstleisters, während kleinere Unternehmen eher die persönliche Unterstützung durch lokale Dienstleis­ter schätzen. Insgesamt sind bestehende Geschäftsbeziehungen und gute Erfahrungen ein nicht zu unterschätzendes Auswahlkriterium für Unternehmen.» Funk kritisiert dabei, dass sogenannte Managed Security Services (MSS) in der Öffentlichkeit nicht selten als Allheilsbringer für Dienstleister und Kunden dargestellt werden, obwohl diese bis jetzt lediglich 10 bis 15 Prozent des Sicherheits-Auslagerungsmarktes einnehmen. Es sei unwahrscheinlich, dass in Zukunft alles über MSS gelöst werde: «Nach unserer Einschätzung werden immer mehr MSS im Rahmen genereller IT-Auslagerungs-Abkommen abgewickelt, während das Marktpotenzial für dezidierte MSS insgesamt eher begrenzt ist.»
Trotzdem sieht die Experton Group einen Trend in Richtung Externalisierung der IT-Sicherheit. Der Grund dafür ist hauptsächlich die anfänglich schon angesprochene, zunehmende Komplexität des Gebietes. Dadurch sind die mit der Informationssicherheit verbundenen technischen und organisatorischen Aufgaben für Unternehmen kaum im Alleingang zu bewältigen. Insbesondere Betriebe mit 500 bis 1000 Mitarbeitern zeigen sich offen für eine Auslagerung. «Solche Betriebe haben oftmals ähnlich komplexe Anforderungen an IT und Informationssicherheit wie Grossunternehmen. Sie verfügen in der Regel aber nur über beschränkte Personalressourcen. Gleichzeitig ist der Nachholbedarf in Sachen IT-Sicherheit bei ihnen teilweise erheblich. Für externe Dienstleister stellen diese Unternehmen daher ein lukratives Marktsegment dar», so Fuchs.

Schweizer Sicherheitsgarde

Grundsätzlich kann Spam- und Virenschutz in drei Varianten gelöst werden. Einerseits kann das Unternehmen sämtliche Sicherheitslösungen mit Produkten von Herstellern wie Symantec, Sophos, Trend Micro, Mc Afee oder anderen selbst in die Hand nehmen. Eine erste Auslagerungsstufe beinhaltet die Zusammenarbeit mit einem Dienstleister, der die Fernüberwachung der eingesetzten Systeme übernimmt. Dieses Modell wird relativ häufig angewendet. Ein weiterer Schritt umfasst das Hosting und das Management der Anti-Spam- und Virenschutz-Infrastruktur durch einen externen Dienstleister. Solche Lösungen basieren meist auch auf den bereits genannten Plattformen, die in der Regel durch proprietäre Management- und Reporting-Plattformen des Dienstleisters ergänzt werden. Schliesslich besteht die Möglichkeit des kompletten Outsourcings. Dies erfolgt in der Schweiz in der Regel direkt mit einem Managed Security Services Provider (MSSP).
Der MSS-Markt in der Schweiz boomt. MSS werden dabei zum einen von Herstellern von IT-Sicherheitsprodukten wie beispielsweise Symantec oder Norman angeboten. Sie bieten die meist verbreiteten Sicherheitsdienstleistungen wie Spam-Filterung, Firewall oder Virenschutz an. Ihre Lösungen kommen aber auch in Lösungen von anderen MSSP zum Einsatz. Beispielsweise in der Anbieter-Gruppe der grossen IT-Dienstleis­ter, zu der Hewlett-Packard oder IBM gehören, aber auch in kleineren, spezialisierten Unternehmen wie United Security Providers, Terre Active, Open Systems, Uplink, CMFnet oder Cyberlink. Als dritte Player im Markt spielen die Netzwerk-Provider wie Orange Business Services, Swisscom, Cablecom oder der Schweizer Ableger der deutschen T-Systems mit. Deren Angebote sind vielfältig und kaum überblickbar, wie das Thema Sicherheit an sich. Auch die Konditionen für Partner sind unterschiedlich, manche arbeiten prinzipiell nicht mit Partnern zusammen und orientieren sich strategisch nur an Grosskunden, andere haben ein Partnersystem. Dies zeigt eine Umfrage von IT Reseller.

Grosse wollen keine Kleinen

Orange Business Services zum Beispiel verfügt über eine sehr breite Palette an MSS - von Firewall Management über Intrusion Prevention- und Detection Services, Client Security bis hin zu Managed Secure Access. Die neueste Lösung, Unified Defense, wurde sogar mit einem Innovations-Preis ausgezeichnet. Orange konzentriert sich dabei hauptsächlich auf multinationale Unternehmen, MSS für KMU sei aber nicht grundsätzlich ausgeschlossen, versichert Robert Zergenyi, Principal Consultant bei Orange. Eine Zusammenarbeit mit Partnern geht Orange dabei nicht ein: «Die Dienstleistungen werden den Kunden direkt und nicht über einen Wiederverkäufer angeboten.» Ähnlich handhabt es Cablecom, die die Lösung von United Security Providers an ihre Kunden direkt weiterverkauft, die MSS werden auch da nicht zum Wiederverkauf angeboten.
Anders das Konzept von Swisscom. Swisscom bietet eine grosse Palette von Hosted-Services, mithilfe derer KMU auf höchste Sicherheitsstandards bei gleichzeitiger Skalierbarkeit und Nutzerfreundlichkeit zurückgreifen könne. Beispiel dafür ist die E-Mail-Lösung «Hosted Exchange», bei der der E-Mail-Server inklusive Virenscanner und Spamfilter vollumfänglich von Swisscom gehostet wird. Anders als Orange arbeitet Swisscom dabei mit ausgewählten Partnern zusammen. «Wir wählen unsere Partner aufgrund der erforderlichen Skills aus, um sicherzustellen, dass diese ein Produkt mit der geforderten Qualität beraten, verkaufen, installieren und den entsprechenden Service bieten können», sagt Olaf Schulze von Swisscom Small & Medium Enterprises Public Relations. Swisscom sieht für Telekom-Unternehmen Vorteile in dem Markt, da die Mobilität durch PDAs, Notebooks und schnelle mobile Datenverbindungen weiter steigt: «Wir können eine intensivere Verknüpfung von Netz und IT anbieten, als Nicht-Telekomanbieter», so Schulze.
Einig sind sich die drei grossen Provider Orange, Cablecom und Swisscom in der Entwicklung des Marktes: Alle sehen steigendes Potential im Geschäft mit MSS. Thomas Düsel, Product Manager von Cablecom Business, verweist auf eine Studie von Frost & Sullivan, die den europäischen Markt 2008 auf 250 Millionen Franken schätzt. Auch Urs Kaufmann, zuständig für MSS beim Zuger IT-Dienstleister Redit sieht noch Wachstumspotential. Redit bietet seinen Kunden zweierlei Lösungen an: Einerseits als Gateway und andererseits als Client/Server-Lösung, bei welcher Produkte von F-Secure eingesetzt werden.
Momentan zeigt sich in der Schweiz folgendes Bild in der MSS-Landschaft: Kleine Unternehmen können es sich oft nicht leisten, sich um die Sicherheit ihrer Systeme zu kümmern, also übergeben sie alles einem lokalen Dienstleister. Mittelgrosse Unternehmen haben hingegen nicht selten eine IT-Abteilung, die gewisse Dienste von einem lokalen Dienstleister oder einem grossen MSSP bezieht und andere Aufgaben selber löst. Grosse Unternehmen - insbesondere Finanzdienstleister, Pharma und Industrie - lagern ihre Sicherheit tendenziell an grosse Provider aus. Bei kleineren Kunden sind die Geschäftstreiber dabei hauptsächlich die Bedrohung über das Internet. Bei grossen Firmen spielen Compliance-Anforderungen wie SoX, Basel II oder PCI DSS eine wichtige Rolle. (Claudio De Boni)