Tipps für den Einstieg in die Cybersicherheit

Die Nachfrage von kleinen und mittleren Unternehmen (KMU) nach Cybersicherheit wächst
schnell. 43 % der Angriffe auf gespeicherte Daten zielen auf KMU ab. 60 % der KMU haben keine
Cybersicherheitsrichtlinie eingeführt und im Falle eines Cyberangriffs sind die meisten KMU nicht
in der Lage, sich davon zu erholen.

Für viele Managed Service Provider (MSPs) ist Cybersicherheit eine optimale Gelegenheit,
zusätzliche Einnahmequellen zu generieren und ihren Kunden einen Mehrwert zu bieten. Die gute
Nachricht ist, dass Sie kein Experte für Cyber-Security sein müssen, um erstklassige Lösungen
anzubieten. Es genügt, die Best Practices sowie die richtigen Produkte und Strategien für eine
effektive, robuste und einfach zu verwaltende Cybersicherheit zu kennen.

Dafür können die in diesem Blog vorgestellten Informationen, Tipps und Lösungen für MSPs, die
in den Bereich Cybersicherheit expandieren möchten, von großem Nutzen sein.

Beschränken Sie sich nicht auf den Standard

MDR (Managed Detection and Response) oder nicht MDR? Viele Leute sehen MDR als eine
Wunderwaffe im Arsenal der Sicherheitslösungen. Vor allem erfüllt es die wichtige Funktion, Sie
zu alarmieren, wenn ein Angreifer Ihre anderen Kontrollen umgangen hat. Für einen MSP, der in
den Cybersicherheitsbereich einsteigen möchte, ist dies nur ein einzelner Baustein von vielen.
RMM-Tools bieten leistungsstarke Überwachungsfunktionen, mit denen Sie nicht gepatchte
Systeme, zu weit verbreitete Zugriffsberechtigungen usw. aufspüren können. Die
Wiederherstellung ist ebenso wichtig wie die Erkennung. Ein MDR ermöglicht zwar
hervorragende Erkennungsfunktionen, ist aber für ein Unternehmen, das neu auf diesem Feld ist,
keine zwingende Voraussetzung.

In vielen Fällen gehen MSPs direkt dazu über, Produkte anzubieten, ohne sich vorher mit dem
Prozess zu befassen. Kurzfristig kann das ein guter Schritt sein, mittel- bis langfristig kann er sich
jedoch als Nachteil erweisen. Um robuste Cyber-Security-Prozesse und einen soliden
Geschäftsbereich aufzubauen, können Sie das CIS-Controls-Modell in Betracht ziehen. Beginnen
Sie am besten mit IG1 (Implementation Group 1).

Erste Schritte: Woran sollten Sie denken?

Ein Perspektivwechsel

Normalerweise bieten MSPs ihre Services in Paketen an. Bei der Cybersicherheit müssen Sie
flexibler sein und verschiedene Pakete für verschiedene Kunden zusammenstellen, um die
bereits vorhandene Basistechnologie zu ergänzen. Beispielsweise brauchen Kunden, die
Microsoft 365 Business Standard nutzen, andere Lösungen als Kunden, die Microsoft 365
Business Premium nutzen.

Auch der Verkaufsprozess unterscheidet sich geringfügig vom Verkauf von anderen IT-
Dienstleistungen. Es wird empfohlen, jemanden aus dem Sales- oder Sales-Engineering-Team,
der sich mit Cybersicherheit auskennt, damit zu beauftragen, Fragen der Kunden zu beantworten
und Empfehlungen zu geben. Wenn niemand in Ihrem Team über diese Kenntnisse verfügt,
empfehlen wir, zunächst ein Teammitglied zu schulen, bevor Sie mit dem Verkauf beginnen. In
vielen Fällen können Ihnen Ihre Lieferanten bei der Schulung Ihres Teams helfen.

Fachwissen

Ein gewisses Grund- bzw. Fachwissen im Bereich der Cyber-Security ist also eine Voraussetzung
für Ihren Erfolg - und Sie müssen dafür nicht unbedingt eine zusätzliche Person einstellen. In
vielen Fällen haben Sie dieses Fachwissen bereits intern in Ihrem Team oder Sie bilden
jemanden mit diesen Kenntnissen und Fähigkeiten aus. Von hier aus können Sie diese
Fähigkeiten je nach Bedarf ausbauen, wenn Ihr Security-Geschäft wächst.

Es gibt viele strukturierte Möglichkeiten, wie jemand aus Ihrem Team geschult werden kann.
Zertifizierungen wie CISSP und CompTIA Security+ sind ein guter Anfang und tragen dazu bei,
Ihren Ruf als Anbieter von Cyber-Security-Services zu festigen.

Viele Anbieter von Security-Lösungen bieten auch Schulungen für Ihre Mitarbeitenden in der
Arbeit mit den entsprechenden Produkten an. Ein guter Anbieter bereitet Ihr Team auch auf den
Verkauf der Lösungen vor. Wir empfehlen die Zusammenarbeit mit solchen Anbietern, zumindest
für den Anfang. Dies ist eine gute Möglichkeit, Ihr Team weiterzubilden, sofort loszulegen und
Ihre Referenzen zu erweitern, ohne dass Sie dafür zusätzliches Geld ausgeben müssen. Es lohnt
sich auch zu prüfen, wie viel Unterstützung Sie von den einzelnen Technologieanbietern erhalten,
da es in dieser Hinsicht große Unterschiede gibt.

Wenn Sie nicht über die nötigen Fähigkeiten und das Fachwissen in Ihrem Team verfügen,
besteht die Möglichkeit des Outsourcings – vor allem, wenn Sie das Fachwissen schnell
hinzufügen möchten. Ein virtueller CISO kann Ihnen in der Übergangsphase helfen, z. B. bei der
Auswahl der ersten Produkte, die Sie anbieten möchten, beim Aufbau des Prozesses, bei der
Bewertung Ihres Angebots und anderen Aufgaben. Wenn Sie mit einem Incident-Response-
Anbieter zusammenarbeiten, können Sie alternativ fragen, ob Ihr Honorar für Beratung, Schulung
und Bewertung Ihres Angebots verwendet werden kann. Das wird in der Regel gerne gemacht
und Sie sparen dabei auch noch Geld.

Klug investieren

Der Einstieg in die Security-Branche muss keine großen Vorabinvestitionen bedeuten. Wenn Sie
den MDR-Weg einschlagen, ist natürlich ein gewisses Investitionsvolumen erforderlich. Es gibt
aber viele andere Möglichkeiten, Cybersicherheit ohne Investitionen in diesen Größenordnungen
anzubieten. Wenn Sie sich Ihr aktuelles Portfolio genau ansehen, ist die Wahrscheinlichkeit groß,
dass Sie bereits einige Cyber-Security-Services anbieten - vielleicht haben Sie sie nur nicht so
genannt. So werden Sie wahrscheinlich bereits BCDR verkaufen. Positionieren Sie BCDR als
Security-Lösung und es wird Ihnen dabei helfen, Ihr Unternehmen als Security-Anbieter zu
etablieren.

Wenn Sie Ihre Anfangsinvestitionen so gering wie möglich halten wollen, sollten Sie sich für
SaaS-Lösungen entscheiden, die keine großen Investitionskosten oder Verpflichtungen mit sich
bringen. Auf diese Weise können Sie auch mit einigen wenigen Pilotkunden beginnen und von
dort aus Ihr Wachstum vorantreiben.

Mit welchen Produkten Sie beginnen sollten

Die Entscheidung, mit welchen Produkten Sie beginnen sollten, ist eine weitere Herausforderung.
Schauen Sie sich zunächst Ihr aktuelles Portfolio an und prüfen Sie, ob Sie bereits Produkte
verkaufen, die als Security-Produkte betrachtet werden können (BCDR ist, wie bereits erwähnt,
ein gutes Beispiel dafür).

Als nächstes empfehlen wir Ihnen, den CIS-Prozess zu befolgen. So können Sie mit Ihren Kunden
über Sicherheit sprechen und ihnen helfen, ihre Risikobereitschaft einzuschätzen.
Angenommen, Sie möchten Ihr Angebot um zusätzliche Produkte erweitern, dann wählen Sie
Produkte aus, die relativ leicht zu installieren und zu bedienen sind, zentral verwaltet werden
können und ein SaaS-Modell nutzen.

Ein weiterer wichtiger Punkt ist die Auswahl von Produkten, die den Aufwand Ihrer Mitarbeitenden
minimieren. Im Idealfall sollten Ihre Produkte für Sie arbeiten und nicht umgekehrt. Hier sind ein
paar Beispiele:

• Lassen Sie BCDR die Backups für Sie testen, anstatt jemanden aus Ihrem Team damit
  zu beauftragen. Durch den Einsatz von BCDR reduzieren Sie den manuellen
  Arbeitsaufwand und damit auch Ihre Overhead-Kosten.
• Ein Produkt wie Datto SaaS Defense schützt E-Mail- und Kollaborations-Tools
  automatisch, ohne dass es von Ihnen verwaltet, eingerichtet oder gewartet werden muss.
  Mit einem Klick erhalten Sie die Ergebnisse einer gründlichen Untersuchung, die Sie dann
  mit Ihren Kunden teilen können. Im Gegensatz zu anderen Lösungen müssen Sie mit
  SaaS Defense also keinen SOC-Spezialisten einstellen.
• SaaS-Schutz: SaaS Protection bietet einen mehrschichtigen Ansatz für den Schutz vor
  Ransomware und anderen Cyber-Bedrohungen. Mit der dreifachen täglichen Sicherung
  und der Point-in-Time-Wiederherstellung können MSPs einzelne Dateien oder die Daten
  einer gesamten Anwendung aus einem Sicherungs-Snapshot wiederherstellen, der vor
  einem Angriff erstellt wurde - auch hier ohne menschliches Zutun.
• Mit RMM können Sie eine umfangreiche Bibliothek vorgefertigter Skripte, Richtlinien und
  Erweiterungen nutzen, die von Datto unterstützt werden. Mithilfe dieser Ressourcen
  lassen sich Aufgaben wie die Ransomware-Erkennung automatisieren.

Wir können es nicht oft genug betonen: Für welches Produkt Sie sich auch entscheiden, stellen
Sie sicher, dass die Schulungen, der Support und die Services, die Sie mit dem Produkt erhalten,
den Erwartungen entsprechen. Für Neueinsteiger im Bereich der Cybersicherheit heißt das
mitunter, anfangs ein weniger leistungsfähiges Produkt zu wählen.

Um den Aufwand weiter zu verringern, sollten Sie Produkte aussuchen, die sich in Ihre aktuelle
PSA integrieren lassen. Die Tools sollten an das Portal berichten, das Sie bereits verwenden und
mit dem sich Ihre Mitarbeitenden auskennen. Dies ist ungleich effizienter als die Verwaltung
mehrerer Portale. Wenn Sie sich für einen einzigen Anbieter für alle Ihre Security-Lösungen
entscheiden, sollten Sie sicherstellen, dass dessen eigenes Security-Programm belastbar ist (und
Sie eine Due-Diligence-Prüfung durch einen Drittendrittanbieter durchführen lassen).

Lassen Sie sich nicht dazu verleiten, kostenlose Tools zu verwenden. Die meisten kostenlosen
und Open-Source-Tools kosten Sie unzählige Stunden bei der Verwaltung, lassen Sie im Stich,
wenn Sie sie am meisten brauchen und bieten oft nicht das höchste Maß an Sicherheit. In vielen
Fällen lohnt es sich einfach nicht, so verlockend es auch sein mag.

Rechtlicher Schutz

Dies ist ein wichtiger Aspekt bei der Auswahl der Produkte und der Strategie. Wenn es um die
rechtliche Haftung geht, sollten Sie kein Risiko eingehen, vor allem nicht im Bereich der
Sicherheit. Seien Sie sich über Ihre Verantwortlichkeiten im Klaren, wenn Sie Cyber-Security-
Produkte und -Dienstleistungen verkaufen. Stellen Sie sicher, dass Sie im Falle eines
schwerwiegenden Security-Problems Ihres Kunden nicht haftbar gemacht werden können.

Werden meine Kunden es brauchen?

Neue Wege zu gehen, ist immer mit einem gewissen Maß an Unsicherheit verbunden. Im Bereich
der Cybersicherheit ist die Nachfrage jedoch groß und wird voraussichtlich noch weiter steigen.
In Anbetracht der aktuellen Atmosphäre – mit täglichen Schlagzeilen über
Datenschutzverletzungen, Ransomware, Phishing und andere Bedrohungen für Unternehmen –
wird klar, dass jeder Cybersicherheit braucht, insbesondere KMU.

Natürlich kann bei KMU das Budget knapp sein. Aus diesem Grund wurden in der Vergangenheit
kleineren Organisationen weniger effektive Security-Produkte angeboten als großen
Unternehmen. Heute gibt es jedoch Produkte mit Sicherheitslösungen auf Enterprise-Niveau, die
für die Bedürfnisse und Budgets von KMU entwickelt wurden.

Als MSP sind Sie perfekt positioniert, um KMU diese Lösungen anzubieten.

Ein letzter Tipp für den Erfolg

Ein letzter Tipp: Wie Sie wahrscheinlich schon gehört haben, ermutigen wir bei Datto unsere
MSP-Partner, zunächst ihre eigene Sicherheit zu überprüfen, zu bewerten und zu bestätigen,
bevor sie IT-Security an andere verkaufen. Das gibt Ihnen das nötige Vertrauen für den
erfolgreichen Schritt in Richtung Cybersicherheit für KMU.

Bei Datto dreht sich alles um die Unterstützung von MSPs. Wir halten Ihnen den Rücken frei und
Sie können sich jederzeit mit unserem Team beraten, unsere Lösungen ausprobieren, an
Schulungen teilnehmen oder jede andere Unterstützung in Anspruch nehmen, die wir anbieten.
Hier erfahren Sie mehr über die Tipps von Datto zur Cybersicherheit.