„ROI“ (Return on Investment) beantwortet die Frage: Lohnt sich eine Investition? Bei IT‑Security geht es nicht nur um reine Lizenzkosten, sondern um Gesamtkosten über den gesamten Lebenszyklus. Dazu gehören:
- Vermeidung von Schadenskosten: Wie hoch wäre der Schaden ohne die Maßnahme? Ein Datenleck oder Produktionsstillstand kann Millionen kosten. Branchenweite Studien belegen, dass Unternehmen mit höherer Sicherheitsreife und mehr Automatisierung Vorfälle schneller bewältigen und dadurch geringere Gesamtkosten haben.
- Zeit‑ und Aufwandsreduktion: Kürzere Erkennungszeiten (MTTD) und schnellere Reaktion (MTTR) senken die Folgekosten.
- Optimierter Betriebsaufwand: Weniger Fehlalarme und bessere Prozesse entlasten Ihr Team.
Wichtig: Bei dem ROI für die IT Sicherheit geht es um ein belastbares Modell, das Entscheidungen transparent macht.
Im Vergleich: MDR Service, Inhouse SOC, SIEM
MDR – Operating Model
Ein Managed‑Detection‑and‑Response‑Service ist kein einzelnes Produkt, sondern ein komplettes Betriebsmodell mit definiertem Scope und Servicelevel (SLA). Typische Leistungsbausteine sind:
- 24/7 Überwachung & Vorsortierung: Ein Expertenteam beobachtet Sicherheitsmeldungen rund um die Uhr, prüft deren Relevanz und filtert Fehlalarme.
- Aktive Suche nach Angriffen: „Threat Hunting“ identifiziert Angriffe, die nicht durch Standardregeln erfasst werden.
- Untersuchung & Incident‑Handling: Im Verdachtsfall analysieren Analyst:innen den Umfang und die Ursache eines Vorfalls.
- Reaktion & Eindämmung: Je nach Vertrag werden Maßnahmen eingeleitet (z. B. System isolieren, Passwörter zurücksetzen).
- Reporting & kontinuierliche Verbesserung: Regelmäßige Reports und Anpassung der Detektionslogik.
MDR kann verschiedene Datenquellen nutzen (Endpoint‑Signale, SIEM‑Daten, Cloud‑Logs etc.). Es ist besonders sinnvoll für Unternehmen, die schnell 24/7‑Security benötigen, aber kein eigenes SOC aufbauen können oder wollen.
Wie moderne MDR KI-gestützte Triage, Korrelation und (teilweise) Automatisierung unterstützen, erläutern wir im Beitrag Integration von Agentic AI in MDR >
SIEM – Plattform für Logs & Korrelation
Ein SIEM (Security Information and Event Management) ist eine zentrale Plattform, die:
- Logs/Events sammelt (z. B. von Identitäten, Endpoints, Netzwerk, Cloud).
- Daten vereinheitlicht und anreichert (z. B. welcher User und welches Asset stehen hinter einem Event).
- Auffälligkeiten erkennt durch Regeln oder Analysen.
- Alarme/Fälle erzeugt für das Incident‑Handling.
Ein SIEM liefert also Signale und Fälle, aber keine Reaktion. Für sinnvolle Ergebnisse braucht es eine gute Datenqualität, klare Use Cases und laufende Pflege. Als alleinige Lösung ist ein SIEM daher selten ausreichend, jedoch als Datenbasis in Kombination mit MDR sehr wertvoll.
Inhouse‑SOC – volle Kontrolle, hoher Aufwand
Ein eigenes Security Operations Center bedeutet, dass Sie Personal, Prozesse und Technologie selbst bereitstellen. Dazu zählen:
- Mehrschichtiger 24/7‑Betrieb mit SOC‑Analyst:innen, Engineers, Use‑Case‑Ownern etc.
- Beschaffung und Betrieb von Tools (SIEM, EDR/XDR, SOAR, Case Management).
- Laufende Regelpflege, Tuning, Playbook‑Entwicklung, Dokumentation und Reporting.
Ein Inhouse‑SOC bietet volle Kontrolle, kann jedoch – insbesondere für KMU – hohe Investitionen und laufende Personalkosten bedeuten. Wenn Sie diese Betriebsaufwände reduzieren und dennoch 24/7 Detection & Response abdecken möchten, ist ein Managed-SOC-Ansatz eine naheliegende Alternative. Mehr zum Managed SOC von Orange Cyberdefense >
Die ROI-Logik: So machen Sie drei Optionen vergleichbar
Um die drei Optionen vergleichbar zu machen, gliedern wir die Betrachtung in Kosten‑ und Nutzenblöcke. Dieses Modell liefert keine absolute Wahrheit, aber eine belastbare Entscheidungsgrundlage.
Schritt 1: Kostenblöcke
A) MDR-Service (Betriebskosten)
- Servicegebühren (abhängig von Scope, Datenquellen, SLA).
- Onboarding und Integration der Datenquellen.
- Zeitaufwand interner Ansprechpartner (Incident Owner, Freigaben).
B) Inhouse-SOC (Investitionskosten & Betriebskosten)
- Personalkosten (24/7‑Schichtbetrieb, Vertretung, Training).
- Engineering (Use‑Case‑Entwicklung, Tuning, Automatisierung).
- Werkzeuge (SIEM, EDR/XDR, SOAR) plus Betrieb.
C) SIEM (Plattformkosten & Betriebskosen)
- Lizenz- oder Nutzungsgebühren inkl. Speicher/Retention.
- Datenpipeline (Normalisierung, Anreicherung).
- Laufende Use‑Case‑Entwicklung & Anpassung.
- Incident‑Bearbeitung, Dokumentation.
Schritt 2: Nutzenblöcke
Nutzen entsteht durch:
- Kürzere Incident‑Dauer: Je schneller Sie Angriffe erkennen und eindämmen (MTTD/MTTR), desto geringer der Schaden.
- Reduzierte Folgekosten: Jeder Tag, den ein Angriff unentdeckt bleibt, steigert den Schaden.
- Weniger manuelle Arbeit: Automatisierung und qualifizierte Services senken die internen Aufwände.
Fazit: Unternehmen mit hoher Automatisierung und klaren Betriebsprozessen haben deutlich geringere Gesamtkosten und kürzere „Breach Lifecycles“.Mehr dazu >
Schritt 3: ROI‑Formel
Für Entscheider:innen genügt oft ein einfaches Verhältnis:
ROI = (vermeidbare Incident-Kosten + eingesparte Betriebsaufwände – Gesamtkosten) ÷ Gesamtkosten
Berechnen Sie zuerst, welche Schäden ein erfolgreicher Angriff (z. B. Produktionsausfall, Lösegeld, Imageverlust) verursachen würde. Schätzen Sie dann, wie jede Option diese Kosten reduziert und welche laufenden Aufwände entstehen. Ein transparenter Annahmenkatalog macht das Modell nachvollziehbar.
„ROI entsteht in der Cyber Security durch reproduzierbare Entscheidungen. Klare Übergaben, getestete Playbooks und messbar kürzere Reaktionszeiten machen den Unterschied.“
— Fabian Beutel, Head of Consulting, Orange Cyberdefense Deutschland
Fazit: ROI in der Cyber Security ist eine Betriebsfrage
Wer ROI in der Cyber Security sauber berechnen will, muss zuerst akzeptieren, dass Security kein klassisches „Projekt“ ist, das man einmal kauft und dann läuft. Der wirtschaftliche Effekt entsteht erst im Betrieb: aus der Fähigkeit, Vorfälle schneller zu erkennen, schneller einzugrenzen und mit weniger interner Reibung abzuarbeiten. Genau deshalb scheitern viele ROI-Rechnungen in der Praxis nicht an der Formel, sondern an der falschen Annahme, dass Lizenzkosten der Haupttreiber wären. In Wirklichkeit verschieben sich die größten Kostenpositionen meist in die „unsichtbaren“ Bereiche: Analystenzeit, Bereitschaft, Tuning, Incident-Koordination, Wiederherstellung und Dokumentation.