Management und Wissen

Outsourcing

Vergleich von Managed Security Services

Von Andreas Englisch, München

Das Outsourcing von Security Services kann Kosten sparen, Kapazitäten entlasten und durch Synergieeffekte die Sicherheitslage verbessern. Dennoch wird es bislang eher zurückhaltend genutzt. Bei der Entscheidung für das Outsourcing und dem Vergleich verschiedener Angebote kann eine Bewertungsmatrix wertvolle Dienste leisten.

Managed Services sind nützlich: Sie nehmen sich eines der wichtigsten Prinzipien im wirtschaftlichen Leben zum Vorbild, nämlich das der Arbeitsteilung. Jene Urzeiten sind schließlich vorbei, in denen jeder alles können musste. In unserer modernen, hochkomplexen Welt ist "Do-it-yourself" nur noch etwas für Heimwerker und Hobbys. Da spielen Kosten oft keine Rolle und keine Mühe wird gescheut.

Wer aber, wie jede wirtschaftlich denkende Organisation, aufs Geld schauen muss, der wird sich um alle Kosten Gedanken machen müssen – seien sie auch noch so versteckt. Gerade die indirekten, auf den ersten Blick nicht sichtbaren Kosten haben es in sich. Sie sind oft schwer zu messen, werden von den beteiligten Parteien in ihrer Höhe und ihrer Struktur häufig sehr unterschiedlich bewertet und aus "politischen" Gründen schon mal gerne unter den sprichwörtlichen Tisch gekehrt.

Dabei bieten die versteckten Kosten für eigene Sicherheits-Services ungeahntes Sparpotenzial und sind ein Schatz, den es möglichst schnell zu heben gilt, um aus Konkurrenten "Bewunderer" zu machen. Wer solche Kosten als erster verstehen lernt, kann sich früher als andere nach Möglichkeiten umsehen, um ihre Ursachen zu beherrschen und seine effektive Belastung zu senken. Der Begriff "Total Cost of Ownership" beschreibt diese Idee äußerst prägnant und hat sich deshalb gut eingebürgert, vor allem in der Welt der Controller und Beratungsunternehmen.

Überraschenderweise profitieren gerade die kleineren und mittleren Unternehmen am meisten vom Kostensenkungspotenzial, das Managed Services bieten. Für sie ist jeder Service besonders teuer, der im eigenen Haus für andere Abteilungen erbracht werden muss. Fast immer benötigen sie mehrere Mitarbeiter, die während der Geschäftszeiten oder sogar vielfach rund um die Uhr und auch am Wochenende die Leistungen bereithalten müssen. Solche nicht zum Kerngeschäft gehörenden Dienstleistungen binden Arbeitskraft, Kapital und Wissen.

Bei Managed Security Services (bekannteste Ausprägung sind die Managed Firewall Services) geben IT- oder Netzwerk-Organisation die Security-Arbeit ab. Geht dieser abgespaltene Teil an einen Dienstleister, findet also ein Outsourcing statt, zeigt sich das erwähnte Potenzial zur Senkung der Kosten für diese Security-Arbeit.

Der Begriff "Arbeit" mutet hier vielleicht auf den ersten Blick etwas seltsam an, aber in der Tat sind hier intellektuelle, organisatorische und in der Regel auch handwerkliche Fertigkeiten verlangt – Managed Security Services haben nichts mit besonderen Begabungen, Kunst oder gar Zauberei zu tun. Viel davon ist reine Routine.

Was aber nicht heißen soll, dass sich bei der Bewältigung dieser Aufgabe nicht auch ein gewisser Expertise-Effekt einstellt. Ein auf Security-Outsourcing spezialisiertes Unternehmen wird mit der Zeit immer mehr Auftraggeber betreuen und Erfahrungen aus verschiedenen Projekten sammeln können. Dies kommt umgekehrt auch wieder jedem einzelnen Auftraggeber zugute.

Hindernisse

Wenn Managed Security Services mehr Qualität bei weniger Kosten versprechen: Wo liegt dann das Problem? Warum sind solche Dienstleistungen noch längst nicht so verbreitet, wie man nach diesen Vorüberlegungen annehmen könnte?

Aller bisherigen Erfahrung nach muss ein Interessent für solche Dienstleistungen zunächst folgende grundsätzliche Fragestellungen erkannt und bejaht haben:

1. Bin ich bereit, meine Security-Arbeit einer Organisation anzuvertrauen, die ein anderes Unternehmensziel hat als ich? Bewusst geht es ausdrücklich nicht um Vertrauen in oder Kontrolle von "fremden" Personen.
2. Weiß ich, welche Kosten ich für meine Sicherheit derzeit tatsächlich tragen muss? Gerade wenn Sicherheit eine Aufgabe ist, die bislang von eigenen Mitarbeitern quasi als "Nebenjob" übernommen wurde, ist diese Fragestellung oft nur ziemlich mühsam oder unscharf zu beantworten.
3. Sind meine zentralen Schutzziele hinreichend klar definiert und kann ich daraus meine genauen Ansprüche ableiten? Es ist einleuchtend, dass hier systematisch priorisiert werden muss, denn nicht alles, was machbar wäre, ist für jede Organisation auch angemessen.

Weg zum Service

Managed Security Services sind bislang noch ein relativ unbeackertes Feld. Auf diesem Markt tummeln sich in Deutschland – im Gegensatz etwa zu Nordamerika – noch recht wenige Anbieter. Entsprechend unbekannt sind die Begriffe und Leistungsmerkmale dem potenziellen Kundenkreis. Das Gleiche gilt in noch stärkerem Maße für die Preise, die für solche Leistungen erhoben werden. Referenzpreise für Standard- und Sonderleistungen haben sich allgemein noch nicht herausgebildet.

Man kann deshalb mit Fug und Recht noch von einem "Anbieter-Markt" sprechen. Die Dienstleister bestimmen im Wesentlichen unabhängig von der Nachfragemacht die Eigenschaften der Produkte und ihre Preise. Der Anbieter hat hier aber umgekehrt auch ein großes Problem zu lösen. Welche Eigenschaften muss sein Produkt unbedingt haben, welche möglicherweise und welche braucht man gar nicht, um möglichst vielen Kunden gleichzeitig gerecht zu werden?

Die Elastizität der Preise ist genauso wenig bekannt: Welchen Einfluss hat eine Preiserhöhung oder eine Preissenkung auf die Anzahl der Kunden? Da ein bestimmtes Leistungsmerkmal nicht für jeden Kunden gleich wichtig ist, sind für den Anbieter die Vermittlung von Werten und für den Interessenten der Vergleich von Merkmalen die größten Herausforderungen. Beide Seiten profitieren also gleichermaßen, wenn man eine vergleichende Bewertung (Benchmarking) zwischen verschiedenen Angeboten durchführt (vgl. S. 41).

Benchmarking

Wichtig ist für ein Benchmarking stets, seine Anforderungen und eigene Leistungen mit den Besten zu vergleichen. Es empfiehlt sich also, mithilfe eines Fragenkataloges eine Matrix aufzubauen, in der für jedes Angebot eine eigene Spalte existiert. Die eigenen Anforderungen sollte man in einer separaten Spalte aufzeichnen und die einzelnen Merkmale entsprechend der notwendigen Priorisierung gewichten.

Anschließend sollte man für alle vorhandenen Merkmale Punkte vergeben und diese aufsummieren, um zu einer geschlossenen Bewertung (Ranking) der einzelnen Angebote zu kommen. Eine andere Möglichkeit besteht darin, durch Korrelation dasjenige Angebot zu finden, das am besten die eigenen Anforderungen erfüllt.

Die Aufzählung der Merkmale im nachfolgenden Kasten kann naturgemäß keinen Anspruch auf Vollständigkeit erheben. Sie entstand aus langjähriger Erfahrung mit einigen Managed Security Services und durch das Studium vieler Leistungsbeschreibungen. Für die eigene Betrachtung gilt es, eventuell neue oder bereichsspezifische Merkmale hinzuzufügen. Weitere Hilfen zu diesem Thema können Sie über die  Internetseiten des Autors anfordern.

Andreas Englisch (Andreas.Englisch@btignite.de) ist Product Manager Security bei BT Ignite GmbH & Co in München, einer Tochter der British Telecom.

© SecuMedia-Verlags-GmbH, D-55205 Ingelheim,
KES 2002/3, Seite 34

Zurück zum Inhalt