Kurz gesagt: Einen IT-Sicherheitsdienstleister finden Sie am besten, bevor Sie ihn dringend brauchen. Vergleichen Sie Anbieter anhand konkreter Fragen: Wie gehen sie vor, wer arbeitet an Ihren Systemen, wie werden Beweise gesichert, was steht im Bericht, und wo liegen die Grenzen ihres Angebots. Seriöse Anbieter beantworten diese Fragen klar und schriftlich. Absolute Versprechen, Druck und vage Leistungsbeschreibungen sind Warnsignale.
Warum die Auswahl gerade jetzt schwierig ist
Nach einer Lage wie PHP2Shell steigt die Nachfrage nach Sicherheitsdienstleistungen schlagartig. Gleichzeitig tauchen Angebote auf, die schnell, umfassend und günstig klingen. Für Unternehmen ohne eigene Sicherheitsabteilung ist es schwer, Qualität von gutem Marketing zu unterscheiden.
Hinzu kommt der Zeitdruck. Wer einen Einbruch vermutet, möchte sofort Hilfe und hat keine Woche für einen Vergleich. Deshalb lohnt es sich, die Auswahl in ruhigen Zeiten zu treffen und die Eckpunkte vorab zu klären. Ob Sie überhaupt einen Dienstleister brauchen, beantwortet unser Beitrag Selbst beheben oder Dienstleister holen?. Hier geht es darum, wie Sie den richtigen finden.
IT-Sicherheitsdienstleister finden: die 12 Fragen
Stellen Sie diese Fragen jedem Anbieter, den Sie in Betracht ziehen. Die Antworten sollten konkret und möglichst schriftlich sein.
- Welche Systeme kennen Sie aus eigener Arbeit? Ein Anbieter für Netzwerksicherheit ist nicht automatisch erfahren mit PHP-FPM, Plesk oder Containern. Fragen Sie nach den Umgebungen, in denen das Team regelmäßig arbeitet.
- Wer arbeitet konkret an unseren Systemen? Eigene Mitarbeitende, Partner oder Subunternehmer? Bei Partnern sollte klar sein, wer welche Aufgabe übernimmt und wer gegenüber Ihnen verantwortlich bleibt.
- Wie sieht Ihr Vorgehen in den ersten Schritten aus? Gute Antworten nennen Eindämmung, Beweissicherung und Bestandsaufnahme vor jeder Bereinigung, so wie es auch die Checkliste nach einem Hack vorsieht.
- Wie sichern Sie Beweise? Werden Logs und Dateien vor Veränderungen gesichert, mit Zeitstempel und Prüfsumme? Das ist wichtig für Versicherung, Meldungen und eine mögliche Anzeige.
- Welche Zugänge brauchen Sie, und wie gehen Sie damit um? Seriöse Anbieter fordern nur die nötigen Rechte, nutzen persönliche Konten und geben Zugänge nach Abschluss zurück.
- Gibt es eine schriftliche Vereinbarung vor dem Zugriff? Dazu gehören Umfang, Befugnisse und bei personenbezogenen Daten ein Vertrag zur Auftragsverarbeitung. Mehr dazu unter Auftragsverarbeitung, wenn Dienstleister auf Server zugreifen.
- Wer entscheidet über weitreichende Schritte? Abschalten, Löschen, Neuaufsetzen: Der Anbieter sollte solche Schritte vorschlagen und begründen, die Entscheidung bleibt bei Ihnen.
- Was steht im Abschlussbericht? Fragen Sie nach einem Beispiel ohne Kundendaten. Ein guter Bericht trennt Belegtes, Wahrscheinliches und Unbekanntes und nennt offene Punkte.
- Wie kommunizieren Sie während des Auftrags? Gibt es feste Ansprechpartner, regelmäßige Zwischenstände und einen klaren Kanal für dringende Rückfragen?
- Wo liegen die Grenzen Ihres Angebots? Rechtsberatung, Kommunikation mit Behörden oder forensische Gutachten für Gerichte übernimmt nicht jeder. Ein seriöser Anbieter sagt das von sich aus.
- Wie wird abgerechnet? Nach Aufwand, pauschal oder als Rahmenvertrag? Lassen Sie sich erklären, was enthalten ist und was nicht, damit es später keine Überraschungen gibt.
- Was passiert nach dem Vorfall? Unterstützt der Anbieter bei der Nachbereitung, bei Härtung und bei einer dauerhaften Betreuung, oder endet der Auftrag mit der Bereinigung?
Warnsignale bei Angeboten
Manche Formulierungen sollten Sie hellhörig machen. Dazu gehören Versprechen absoluter Sicherheit, die Behauptung, nach einer Bereinigung sei „ganz sicher nichts mehr“ auf dem Server, und Aussagen, die ohne Bestandsaufnahme schon das Ergebnis kennen. Gute Anbieter sprechen über Wahrscheinlichkeiten und Belege.
Vorsicht ist auch angebracht, wenn ein Anbieter auf Zugänge drängt, bevor Umfang und Befugnisse geklärt sind, oder wenn er unaufgefordert per Mail oder Telefon auf Sie zukommt und behauptet, Ihr Server sei gehackt. In Krisenwochen nutzen Betrüger solche Maschen. Prüfen Sie Absender über einen unabhängigen Weg, bevor Sie reagieren.
Ein weiterer Hinweis: Logos, Siegel und Auszeichnungen lassen sich leicht auf eine Website setzen. Fragen Sie im Zweifel nach, wer ein Siegel vergeben hat und was dafür geprüft wurde.
Öffentliche Orientierungshilfen
Das BSI veröffentlicht Listen qualifizierter Dienstleister für bestimmte Bereiche, etwa für die Reaktion auf sogenannte APT-Angriffe, also gezielte, langfristige Angriffe, und für die Abwehr von DDoS-Angriffen. Diese Listen sind für Organisationen mit entsprechendem Bedarf eine gute Orientierung. Ein typischer Vorfall auf einem einzelnen Webserver fällt oft nicht in diese Kategorien; hier kommen auch Anbieter infrage, die dort nicht gelistet sind.
Hilfreich sind außerdem Empfehlungen aus dem eigenen Netzwerk, etwa von Branchenverbänden, Kammern, Ihrem Versicherer oder anderen Unternehmen, die einen Vorfall erlebt haben. Manche Cyberversicherer nennen in ihren Bedingungen eigene Ansprechpartner oder Dienstleister für den Schadensfall. Prüfen Sie Ihre Police, bevor Sie selbst beauftragen.
Halten Sie die Antworten auf die zwölf Fragen in einer kurzen Tabelle fest und legen Sie sie zum Notfallplan. Im Ernstfall wissen Sie dann sofort, wen Sie anrufen und was vereinbart ist.
Vertraglich festhalten, was zählt
Auch bei guter Auswahl sollten die wichtigsten Punkte schriftlich geregelt sein: Leistungsumfang, Zugänge und ihre Rückgabe, Vertraulichkeit, Umgang mit Beweisen, Berichtspflichten und Abrechnung. Welche Klauseln sinnvoll sind, beschreibt IT-Dienstleister-Verträge: Sicherheitspflichten klar regeln. Ob Ihr Vertrag rechtlich passt, prüft ein Anwalt; wir liefern dafür die technischen Punkte.
Wie hilft PHP SOS konkret?
- Wir beantworten die zwölf Fragen für unser eigenes Angebot schriftlich, bevor Sie uns beauftragen, auch zu den Grenzen unserer Leistung.
- Wir nennen offen, welche Aufgaben wir selbst übernehmen und wo wir mit spezialisierten Partnern arbeiten, etwa bei Forensik oder Penetrationstests.
- Wir vereinbaren Umfang, Befugnisse und bei Bedarf die Auftragsverarbeitung vor dem ersten Zugriff.
- Im Vorfall arbeiten wir nach dem Ablauf unserer Incident Response: eindämmen, sichern, bereinigen, dokumentieren.
Fazit
Den richtigen Sicherheitsdienstleister erkennen Sie nicht am lautesten Versprechen, sondern an klaren Antworten auf konkrete Fragen. Wer die zwölf Fragen in ruhigen Zeiten stellt und die Ergebnisse festhält, entscheidet im Ernstfall schneller und besser.
Häufige Fragen
Woran erkenne ich einen seriösen IT-Sicherheitsdienstleister?
An klaren Aussagen zu Vorgehen, Zuständigkeiten und Grenzen, an einer schriftlichen Vereinbarung vor dem Zugriff und an einem Bericht, der Belegtes von Vermutetem trennt. Misstrauen ist angebracht bei absoluten Versprechen und bei Druck, sofort Zugänge herauszugeben.
Führt das BSI eine Liste von Dienstleistern?
Das BSI veröffentlicht Listen qualifizierter Dienstleister für bestimmte Bereiche, etwa für die Reaktion auf APT-Angriffe und für die Abwehr von DDoS-Angriffen. Diese Listen betreffen spezielle Lagen; für einen typischen Webserver-Vorfall kommen auch andere Anbieter infrage.
Sollte ich mehrere Angebote einholen?
Bei planbaren Aufträgen wie Härtung, Audit oder Wartungsvertrag ja. Im akuten Notfall fehlt dafür oft die Zeit. Umso wichtiger ist es, einen Anbieter vorab auszuwählen und die Eckpunkte zu klären, bevor etwas passiert.
Darf der Dienstleister selbst Systeme abschalten oder Daten löschen?
Nur, wenn Sie das ausdrücklich vereinbart haben. Ein guter Dienstleister fragt bei weitreichenden Schritten nach und dokumentiert Ihre Entscheidung. Legen Sie vorab fest, wer auf Ihrer Seite solche Entscheidungen treffen darf.