Security: Als MSP keine Chancen verschenken

Veröffentlicht am 16.10.2026

Security war lange Zeit etwas, das ein MSP nebenbei mitgemacht hat. Ein zusätzlicher Service zum Workplace-Management oder einfach Teil des Gesamtpakets. Doch diese Zeiten sind vorbei.

Eine funktionierende IT-Umgebung ist für Kunden selbstverständlich. Was sie heute von ihrem MSP erwarten, ist, dass er mitdenkt, wenn es darum geht, Cyberrisiken zu vermeiden und zu begrenzen. Das hängt auch mit NIS2 zusammen: Organisationen, die darunter fallen, müssen die Risiken in ihrer Lieferkette beherrschen. Manchmal fällt auch ein MSP unter dieses Gesetz. Deshalb braucht es klare Vereinbarungen über Verantwortlichkeiten und Sicherheitsmaßnahmen, die zudem zu den Bedingungen der Cyberversicherung des Kunden passen. Dennoch sehen wir bei Worldstream, dass viele MSPs einen großen Teil ihrer Security-Beratung und -Arbeit leisten, ohne dies sichtbar zu machen oder dafür Geld zu verlangen. Damit verschenken sie Chancen.

Früher lieferte ein MSP Workplace-Management und Infrastruktur. Irgendwann kam Security hinzu, als separater Service oder als zusätzliche Option. Heute ist Security der Ausgangspunkt.

Security by Design bedeutet, dass über Security bereits nachgedacht wurde, bevor die Infrastruktur übergeben wird. Sie ist keine Schicht, die man nachträglich darüberlegt, sondern vom ersten Entwurf an Teil der Dienstleistung. Vorher nachdenken ist schließlich besser als hinterher reparieren.

Bevor ich bei Worldstream angefangen habe, war ich bei einem MSP tätig. Security haben wir nicht nur am Arbeitsplatz gemacht. Wir saßen mit der Geschäftsführung und dem CISO unserer Kunden am Tisch und haben bei Netzwerksegmentierung, Zugriffsmanagement und Incident Response mitgedacht. Niemand nannte das einen Service. Es gehörte einfach dazu.

Ich erinnere mich noch an ein Gespräch mit einem CISO, der für seine Geschäftsführung darstellen musste, wo das Unternehmen in Bezug auf NIS2 stand. Gemeinsam sind wir die Maßnahmen durchgegangen, von Logging und Monitoring bis zum Lieferantenmanagement. Einen großen Teil davon hatten wir bereits umgesetzt. Aber das wusste er nicht, denn es war nirgends ausdrücklich aufgeführt. Und er hatte recht: Auf der Rechnung standen Lizenzen und Betreuungsstunden, aber die Beratung, die Design-Sessions und die Gespräche mit ihm fehlten. Erst da wurde mir klar: Wenn man nicht zeigt, was man tut, existiert es für den Kunden nicht. Das ist eine verpasste Chance, zumal Kunden immer höhere Anforderungen an die Security stellen.

Was ich inzwischen immer häufiger sehe: MSPs drehen das um. Sie machen im Vertrag sichtbar, was sie zusätzlich leisten, zum Beispiel „30 Stunden Security-Consulting inklusive“, und können das bei der Verlängerung separat anbieten. So wird daraus keine plötzliche Preiserhöhung, sondern etwas, dessen Wert der Kunde bereits kennt. Dasselbe habe ich schon in meinem Blog über KI-Adoption geschrieben: Benennen Sie Ihre Beratungsstunden und verkaufen Sie sie.

Früher war die Anforderung der Kunden einfach: Es muss einfach funktionieren. Heute erwarten sie Proaktivität und gehen davon aus, dass Sie der Experte sind. Wie sich die Erwartungen der Kunden verändert haben, von „es muss einfach funktionieren“ hin zu Proaktivität und einer beratenden Rolle, lesen Sie in meinem früheren Blog über die fünf MSP-Herausforderungen. Bei Security kommt noch etwas hinzu. Kunden fragen nicht mehr nur, ob alles verfügbar ist, sondern auch, ob Sie verhindern können, dass sie gehackt werden. Das erfordert ein gutes Management des Tagesgeschäfts, vorausschauendes Denken und gemeinsam erstellte Roadmaps.

Diese Entwicklung macht die Dienstleistung wertvoller, aber eben auch teurer. Das ist Kunden, die gewohnt sind, dass alles inklusive ist, nicht immer leicht zu erklären. Trotzdem brauchen sie gerade jetzt einen guten MSP dringender denn je. Ein Grund mehr, sichtbar zu machen, was Sie bereits tun.

Ein Aspekt, der oft unterschätzt wird, ist die Cyberversicherung. Versicherer stellen Anforderungen an MFA und Backups. Aber wer sorgt dafür, dass diese Maßnahmen eingerichtet und getestet sind? Das muss in den Vereinbarungen zwischen MSP und Kunde klar geregelt sein.

Genau da läuft es regelmäßig schief. Kürzlich sprach ich mit einem MSP, der einem Kunden nach einem Ransomware-Angriff geholfen hat. Im Nachhinein war unklar, wer für MFA auf Admin-Konten und für das Testen der Backups verantwortlich war. Das SLA nannte zwar „Backup-Management“ und „Arbeitsplatzsicherheit“, aber nicht, wer diese Maßnahmen umsetzen und kontrollieren muss. Darüber können dann Diskussionen entstehen. Mein Rat: Legen Sie Verantwortlichkeiten ausdrücklich fest und prüfen Sie gemeinsam mit dem Kunden, ob die Vereinbarungen zu den Anforderungen des Cyberversicherers passen.

Mit der neuen Regulierung wird nicht mehr nur auf den MSP geschaut, sondern auf die gesamte Kette, in der er tätig ist. Im Kern besteht diese Kette aus drei Parteien: dem MSP, dem Infrastrukturpartner und dem Kunden.

Das merken wir auch selbst. Als Infrastrukturpartner haben wir es mit immer höheren Anforderungen an Security, Compliance und nachweisbare Kontrollen im Betrieb zu tun. Zertifizierungen, klare Prozesse und eine sorgfältige Überprüfung der Mitarbeitenden werden dabei immer wichtiger. Die Messlatte liegt für alle in der Kette höher.

Was dürfen Sie als MSP also von Ihrem Infrastrukturpartner erwarten? Nicht nur ein Zertifikat, sondern einen Partner, der mitdenkt. Jemanden, der schon beim Design mitschaut: Wo liegen die Daten, wie trennen Sie Umgebungen, wie richten Sie Backup und Wiederherstellung ein? Und einen Anbieter, der ehrlich sagt, was zu den Anforderungen Ihres Kunden passt und was nicht. Bei Worldstream denken der Security Officer und Ihr Account Manager bei diesen Entscheidungen mit. So bauen Sie Security von Anfang an ein, statt hinterher zu reparieren.

Security ist kein „Add-on“ mehr, sondern das Fundament guter MSP-Dienstleistungen. Die Chance, die viele MSPs verschenken, ist damit eigentlich einfach: Denken Sie im Voraus über Security nach, machen Sie sichtbar, was Sie bereits tun, und wählen Sie einen Infrastrukturpartner, der mitdenkt.

Dieser Artikel ist der vierte Teil einer Reihe, in der Worldstream im Vorfeld der MSP Global aktuelle Themen aus dem MSP-Markt bespricht.

Treffen Sie uns auf der MSP Global am 21. und 22. Oktober 2026 in Barcelona.