Es gibt eine unbequeme Frage, die viele KMU im Sommer meiden: Wenn ein Angriff um drei Uhr nachts am 10. August startet, wer bemerkt ihn? Die Wahrheit ist, dass die Antwort in den meisten kleinen und mittleren Unternehmen «niemand, bis zum nächsten Morgen» lautet. Oder schlimmer: bis zur Rückkehr aus den Ferien. Eine IT-Sicherheit, die nur auf automatischen Werkzeugen und gelegentlicher Kontrolle beruht, lässt genau jene Stunden ungeschützt, in denen sich die Angriffe häufen. Hier kommt ein anderes Modell ins Spiel: Managed Security, also IT-Dienstleistungen mit durchgehender Überwachung.

In diesem Beitrag sehen wir, was ein MDR-Dienst (Managed Detection and Response) ist, warum eine Überwachung rund um die Uhr kein Luxus für Grossunternehmen mehr ist und wie eine Lösung wie Sophos MDR auch für einen Betrieb im Tessin, im Puschlav oder im Engadin tragbar sein kann.

Die Grenze der Werkzeuge, die «sich selbst verteidigen»

Firewall, Antivirus der neuen Generation und Endpoint-Schutz sind unverzichtbare Werkzeuge, und kein Unternehmen sollte darauf verzichten. Doch sie teilen eine Grenze: Sie reagieren auf das, was sie erkennen. Gegenüber einem massgeschneiderten Angriff, der sich langsam bewegt und legitimes Verhalten nachahmt, erzeugen diese Systeme Signale — ein auffälliger Zugriff, ein ungewöhnlicher Prozess, eine verdächtige Datenübertragung —, die jedoch jemand lesen und deuten muss.

Genau dieses «jemand» ist das Problem. In einem KMU liegt die Analyse der Sicherheitssignale oft bei einer Person, die bereits tausend andere Verantwortungen trägt und die nachts oder in den Ferien schlicht nicht da ist. Die Meldungen sammeln sich in einem Postfach, das niemand öffnet, und der Angriff läuft ungestört in dem Zeitfenster ab, das er braucht.

Erschwerend kommt das Volumen hinzu. Selbst eine kleine Infrastruktur erzeugt täglich Tausende von Ereignissen, von denen die allermeisten völlig harmlos sind. In diesem Rauschen die wenigen Signale zu finden, die auf einen echten Angriff hindeuten, verlangt Korrelationswerkzeuge und vor allem erfahrene Augen, die wissen, wonach sie suchen. Das ist eine spezialisierte Arbeit, ganz anders als die normale Systemverwaltung.

Es geht nicht darum, das x-te Werkzeug zu kaufen. Es geht darum, jemanden zu haben, der die bereits vorhandenen Werkzeuge im Blick behält — den ganzen Tag, jeden Tag.

Was ein MDR-Dienst ist

MDR steht für Managed Detection and Response: verwaltete Erkennung und Reaktion. In der Praxis ist es ein Dienst, der die Überwachung des Netzwerks einem externen Sicherheitszentrum anvertraut — einem SOC, Security Operations Center —, das aus spezialisierten Analystinnen und Analysten besteht, die im Schichtbetrieb arbeiten, rund um die Uhr, 365 Tage im Jahr.

Die drei Wörter des Namens beschreiben gut, was er leistet:

• Detection (Erkennung): Die Fachleute überwachen fortlaufend die Signale von Endpoints, Servern, Netzwerk und Cloud-Diensten und unterscheiden Fehlalarme von echten Bedrohungen.
• Response (Reaktion): Bei einer bestätigten Bedrohung melden sie diese nicht nur, sondern greifen ein — sie isolieren ein kompromittiertes Gerät, sperren ein Konto, stoppen einen Prozess — oft, bevor das Unternehmen überhaupt etwas bemerkt.
• Managed (verwaltet): All dies geschieht als Dienstleistung, ohne dass das KMU intern ein Sicherheitsteam aufbauen und unterhalten muss.

Hinzu kommt das Threat Hunting: die proaktive Suche nach Bedrohungen, die noch keinen Alarm ausgelöst haben. Statt auf das Signal zu warten, gehen die Analysten den Spuren eines stillen Eindringens nach — jenen, die automatische Werkzeuge nicht erfassen.

Eine Abkürzung, die oft mit anderen verwechselt wird, sei geklärt. Ein MDR ist nicht einfach eine Software: Werkzeuge wie EDR (Endpoint Detection and Response) oder Systeme zur Protokollsammlung bleiben Technologien, die jemand konfigurieren und lesen muss. Das MDR fügt genau dieses «jemand» hinzu — den Dienst der Analysten, die diese Werkzeuge im Auftrag des Unternehmens nutzen. Es ist der Unterschied zwischen dem Besitz einer Alarmanlage und dem zusätzlichen Wachdienst, der sie betreut.

Ein bewältigter Vorfall, Schritt für Schritt

Um den konkreten Wert eines MDR-Dienstes zu erfassen, hilft die Vorstellung, wie ein realer Vorfall abläuft. Nehmen wir an, um zwei Uhr nachts an einem Samstag im August werde ein Firmenkonto für einen Zugriff aus einem Land genutzt, in dem das Unternehmen nicht tätig ist, gefolgt vom Versuch, ein unbekanntes Programm auf einem Server zu installieren.

Ohne durchgehende Überwachung blieben diese Signale bis Montag in einem Protokoll — oder bis zur Rückkehr aus den Ferien. Mit einem MDR-Dienst ist der Ablauf ein anderer: Das SOC erkennt die Auffälligkeit innert Minuten, analysiert sie, um sie von einem Fehlalarm zu unterscheiden, und isoliert nach bestätigter Bedrohung das betroffene Gerät und sperrt das kompromittierte Konto. Das Unternehmen erhält eine klare Meldung darüber, was geschehen ist und was unternommen wurde, statt den Schaden Tage später zu entdecken.

Es ist der Unterschied zwischen einer Alarmanlage, die ins Leere schrillt, und einer Wache, die eingreift, während der Versuch noch läuft. Der Wert liegt nicht im Erkennen — das leisten auch automatische Werkzeuge —, sondern im Entscheiden und Handeln in Echtzeit.

Warum durchgehende Überwachung im Sommer zählt (und nicht nur)

Der Vorteil eines MDR-Dienstes zeigt sich das ganze Jahr, doch im Sommer wird er offensichtlich. Während das Büro geschlossen ist und die Belegschaft am Meer, arbeitet das SOC weiter wie an einem beliebigen Dienstag im November. Geschieht etwas am 15. August, wird es am 15. August erkannt und behandelt, nicht bei der Rückkehr.

Ein Aspekt verdient für den Kontext der italienischen Schweiz besondere Erwähnung. Viele KMU der Region — vom Tessin bis in die Bündner Täler — haben schlanke Strukturen, mit ein oder zwei IT-Ansprechpersonen und einer internen Abdeckung, die im Sommer auf null sinkt. Für diese Betriebe ist ein Dienstmodell kein Notbehelf, sondern oft die vernünftigste Lösung: Es gewährleistet eine Reaktionsfähigkeit, die intern aufzubauen undenkbar wäre, zu einem vorhersehbaren und angemessenen Preis.

Managed Security fügt sich in die übrige Infrastruktur ein, vom Firmennetzwerk bis zu den Servern und Cloud-Umgebungen, und in die bereits bestehenden Präventionsmassnahmen. Sie ersetzt Firewall und Backup nicht: Sie ergänzt sie und fügt das menschliche Element hinzu, das fehlt, wenn das Büro leer ist.

Sophos MDR: Managed Security in Reichweite der KMU

Bei dpstudio sind wir Global Partner Silver von Sophos und bieten Sophos MDR den Unternehmen an, die eine durchgehende Überwachung wollen, ohne eine interne Struktur schaffen zu müssen. Der Dienst stützt sich auf ein SOC, das die Umgebungen der Kundschaft weltweit überwacht und bei einer Bedrohung nach mit dem Unternehmen vereinbarten Vorgaben handelt: von der blossen Benachrichtigung bis zum direkten Eingriff zur Eindämmung.

Für ein KMU bedeutet das, auf Kompetenzen und eine Analysefähigkeit zählen zu können, die der Arbeitsmarkt schwer einstellbar und haltbar macht — ohne die Lasten eines eigenen Teams. Unsere Rolle als lokaler Partner ist die eines Bindeglieds: den Dienst auf die konkrete Realität des Unternehmens abzustimmen, als direkte Ansprechperson zu dienen und sicherzustellen, dass der IT-Schutz mit der gesamten Infrastruktur stimmig ist und kein isoliertes Element bleibt.

Ein praktischer Vorteil des verwalteten Modells ist die Schnelligkeit der Aktivierung. Es verlangt nicht, ein Team einzustellen, auszubilden und zu organisieren: Sind die bereits im Unternehmen vorhandenen Werkzeuge einmal angebunden, kann die Überwachung rasch starten. Für ein KMU, das kurz vor dem Sommer merkt, dass es ungeschützt ist, ist das ein spürbarer Unterschied.

MDR, internes SOC oder nichts: wofür sich KMU entscheiden

Beim Thema durchgehende Überwachung hat ein Unternehmen faktisch drei Wege. Der erste ist, nichts Strukturiertes zu tun und sich auf automatische Werkzeuge und gelegentliche Kontrollen zu verlassen: die verbreitetste und zugleich exponierteste Situation. Der zweite ist, intern ein Sicherheitszentrum mit eigenem Schichtpersonal aufzubauen: eine sinnvolle Wahl für eine grosse Organisation, aber für die meisten KMU überdimensioniert — sowohl wegen der Kosten als auch wegen der Schwierigkeit, Spezialisten zu finden und zu halten.

Der dritte Weg ist der verwaltete Dienst, der diese Lücke schliesst. Er gibt Zugang zu Kompetenzen und einer Überwachung rund um die Uhr ohne die Fixkosten eines internen Teams, mit vorhersehbaren wiederkehrenden Ausgaben. Für ein KMU der italienischen Schweiz ist er fast immer das beste Gleichgewicht zwischen Schutzniveau und wirtschaftlicher wie organisatorischer Tragbarkeit.

Ehrlich gesagt: Kein Dienst beseitigt das Risiko völlig, und man sollte jenen misstrauen, die «100 % Sicherheit» versprechen. Das realistische Ziel ist, das Zeitfenster, in dem ein Angriff ungestört wirken kann, drastisch zu verkleinern und jemanden bereitzuhaben, der reagiert, wenn es nötig ist.

Wie Sie erkennen, ob es Ihr Unternehmen braucht

Ein MDR-Dienst passt nicht für alle gleich. Einige Fragen helfen zu klären, ob es Zeit ist, ihn zu prüfen:

• Wer kontrolliert die Sicherheitssignale ausserhalb der Bürozeiten, nachts und an Wochenenden?
• Würde ein Angriff während der Ferien starten — wie viel Zeit verginge, bis jemand ihn bemerkt?
• Verwaltet das Unternehmen sensible Daten oder unterliegt es Pflichten (etwa nach dem revDSG), die einen Vorfall besonders teuer machen?
• Hängen die Sicherheitskompetenzen an einer einzigen Person, deren Ausfall alles ungeschützt lässt?

Wenn mehr als eine Antwort ein ungutes Gefühl hinterlässt, lohnt sich die Vertiefung. Nicht aus Alarm, sondern aus Verhältnismässigkeit: Der Schutz sollte dem Wert dessen entsprechen, was er bewahrt.

Kurz zusammengefasst

Automatische Werkzeuge schützen, aber sie schauen nicht hin. Ein MDR-Dienst fügt das menschliche Auge hinzu, das gebraucht wird, wenn niemand im Unternehmen ist: ein SOC, das rund um die Uhr erkennt, analysiert und reagiert, auch am 1. August. Für viele KMU der italienischen Schweiz ist das der tragbarste Weg zu einer Sicherheit auf Höhe der heutigen Bedrohungen.

Bei dpstudio begleiten wir die Unternehmen des Tessins und Graubündens bei der Auswahl und Verwaltung von Sicherheitslösungen — mit Sophos MDR und einer lokalen Betreuung, die die Region kennt.