— Managed Security Services (MSS): Definition & Komponenten

Einleitung

Managed Security Services (MSS) haben sich vor dem Hintergrund zunehmender Bedrohungslagen und wachsender regulatorischer Anforderungen zu einem zentralen Modell für die strukturierte Erbringung von Sicherheitsleistungen entwickelt. Dabei beschränkt sich der Begriff längst nicht mehr auf klassische IT-Sicherheit: Vielmehr zeigt sich in der Praxis eine zunehmende Konvergenz von Cyber-, physischer und operativer Sicherheit (OT), die integrierte Sicherheitsansätze erfordert.

Insbesondere in kritischen Infrastrukturen und hochverfügbaren Rechenzentrumsumgebungen werden physische Sicherheitsprozesse — etwa Zutrittskontrolle, Videoüberwachung oder Perimeterschutz — zunehmend in zentralisierte Leitstellenstrukturen integriert und mit digitalen Monitoring- und Analyseverfahren verknüpft. Security Operations Center (SOC) fungieren dabei nicht nur als Instrument der IT-Sicherheit — im Gegenteil — sie etablieren sich auch im Kontext physischer Sicherheitsarchitekturen als operative Steuerungsinstanz.

Regulatorische Entwicklungen auf europäischer Ebene, insbesondere die NIS-2-Richtlinie sowie die Weiterentwicklung des Cybersecurity Acts, tragen dieser Entwicklung Rechnung, indem sie Anforderungen an Risikomanagement, Incident Handling und die Rolle externer Sicherheitsdienstleister präzisieren. Vor diesem Hintergrund gewinnen Managed Security Services auch im Bereich physischer Sicherheit zunehmend an Bedeutung.

Der vorliegende Beitrag analysiert MSS in ihren technischen, organisatorischen und regulatorischen Dimensionen — einschließlich der zunehmenden Integration physischer und infrastruktureller Sicherheitsarchitekturen in moderne MSS-Modelle.

Definition und Abgrenzung

Was sind Managed Security Services?

Managed Security Services bezeichnen die kontinuierliche, vertraglich geregelte Erbringung von Sicherheitsdienstleistungen durch spezialisierte externe Dienstleister. Die ENISA Market Analysis definiert MSS als Dienstleistungen, die Prävention, Erkennung, Reaktion und Wiederherstellung bei Sicherheitsvorfällen umfassen. Typische Leistungen erstrecken sich auf Incident Response, Penetrationstests, Sicherheitsaudits und technische Beratung.

Die Verordnung (EU) 2025/37 hat den Begriff der „verwalteten Sicherheitsdienste“ in das europäische Rechtsrahmenwerk integriert. Managed Security Service Provider sind in NIS-2 ausdrücklich adressiert, ob eine konkrete Organisation als wesentliche oder wichtige Einrichtung gilt, hängt jedoch von ihrer individuellen Einordnung ab.

Abgrenzung zu Outsourcing und internen Security Operations

MSS unterscheiden sich strukturell von klassischem IT-Outsourcing. Während Outsourcing primär auf die Auslagerung operativer IT-Prozesse abzielt, fokussieren MSS auf die spezialisierte Sicherheitsüberwachung, -analyse und -reaktion. Der MSS-Anbieter übernimmt eine aktive Sicherheitsverantwortung, die über die reine Infrastrukturbetriebsleistung hinausgeht.

Im Vergleich zu rein internen Security Operations Centers (SOC) ermöglichen MSS den Zugriff auf spezialisiertes Personal, skalenbedingte Effizienzvorteile und eine durchgehende Betriebsbereitschaft. Die Verantwortung für die Einhaltung regulatorischer Vorgaben verbleibt jedoch stets bei der auftraggebenden Organisation.

Komponenten und Technologien

Security Operations Center und 24/7-Monitoring

Das Security Operations Center (SOC) bildet den operativen Kern eines MSS-Modells. Ein SOC aggregiert sicherheitsrelevante Daten aus unterschiedlichen Quellen, korreliert Ereignisse und initiiert bei Bedarf Reaktionsmaßnahmen. Ein 24/7-Betrieb ist eine sinnvolle operative Ausgestaltung, um Incident Handling zu unterstützen und somit ein wichtiger Baustein für die Bewältigung von Sicherheitsvorfällen.

Im professionellen Infrastrukturumfeld — etwa bei Rechenzentren oder kritischen Versorgungseinrichtungen — operieren solche Leitstellen als redundant ausgelegte, geo-verteilte Strukturen. Die physische und logische Trennung der Leitstellenstandorte stellt die Betriebskontinuität auch bei Standortausfällen sicher und ermöglicht eine unterbrechungsfreie Remote-Überwachung sämtlicher angebundener Sicherheitssysteme.

SIEM, EDR und XDR

Security Information and Event Management (SIEM) bildet die technologische Grundlage für die zentrale Protokollierung und Korrelation von Sicherheitsereignissen. Endpoint Detection and Response (EDR) erweitert diesen Ansatz um die Erkennung und Reaktion auf Bedrohungen auf Endgeräteebene. Extended Detection and Response (XDR) integriert darüber hinaus Netzwerk-, Cloud- und Identitätsdaten zu einer domänenübergreifenden Sicherheitsanalyse.

Remote Support und Service Level Agreements

Die Erbringung von MSS erfolgt typischerweise remote über gesicherte Verbindungen zu den Systemen des Auftraggebers. Service Level Agreements (SLAs) definieren dabei Reaktionszeiten, Eskalationsstufen, Verfügbarkeitsgarantien und Berichtspflichten. Die vertragliche Ausgestaltung der SLAs bestimmt maßgeblich die operative Wirksamkeit des MSS-Modells.

Technische Leistungen im Detail

Monitoring und Analyse von Sicherheits- und Gebäudedaten

Moderne MSS-Architekturen beschränken sich nicht auf die Überwachung klassischer IT-Infrastrukturen. Die Integration von Videoüberwachung und physischen Alarmsystemen in eine zentrale Plattform (Gefahrenmanagementsystem) ermöglicht eine ganzheitliche Sicherheitsüberwachung. Diese konvergente Datenanalyse erlaubt die Korrelation von Cyber- und physischen Sicherheitsereignissen.

In hochverfügbaren Infrastrukturumgebungen erstreckt sich diese Integration auf IoT-Sensorik, Klimatechnik, Brandmeldesysteme und elektronische Zutrittskontrollsysteme usw. Die zentrale Erfassung und Korrelation dieser heterogenen Datenquellen ermöglicht die Früherkennung von Anomalien, die isoliert betrachtet unauffällig blieben, in der Gesamtschau jedoch auf sicherheitsrelevante Vorgänge hindeuten können.

Lifecycle-Management

MSS umfassen regelmäßig auch das Lifecycle-Management der überwachten Sicherheitssysteme. Dies beinhaltet die Planung und Durchführung von Wartungsarbeiten, Software-Updates, Firmware-Upgrades und Konfigurationsänderungen. Lifecycle-Management trägt dazu bei, die nach Art. 21 Abs. 1 NIS-2 erforderlichen angemessenen und verhältnismäßigen Maßnahmen aktuell zu halten.

Im Bereich physischer Sicherheitsinfrastruktur umfasst dieses Lifecycle-Management auch die Wartung und Aktualisierung von Zutrittskontrollanlagen, Videosystemen und Perimeterabsicherungen. Remote-Support-Modelle mit definierten SLA-Strukturen ermöglichen dabei die effiziente Fernwartung verteilter Standorte, ohne dass vor Ort Fachpersonal permanent vorgehalten werden muss.

Integration von Zutritts- und Besuchermanagement

In sicherheitssensiblen Umgebungen erstrecken sich MSS auch auf die Überwachung und Steuerung physischer Zutrittssysteme. Die Integration von Zutrittskontrolle, Besuchermanagement und Identitätsprüfung in die zentrale Sicherheitsplattform ermöglicht eine konsistente Überwachung aller Zutrittsvorgänge. Protokollierte Zutrittsdaten fließen in die Gesamtanalyse ein und dienen der forensischen Nachvollziehbarkeit.

Intelligente Automatisierung und Fehlalarmreduktion

Der Einsatz automatisierter Analyseverfahren — einschließlich regelbasierter Korrelation und maschineller Lernverfahren — dient der Priorisierung sicherheitsrelevanter Ereignisse. Die systematische Reduktion von Fehlalarmen (False Positives) erhöht die operative Effizienz des SOC und stellt sicher, dass Analysekapazitäten auf tatsächliche Bedrohungen fokussiert werden.

Ausgesuchte MSS-Komponenten im Überblick

Regulatorischer Kontext

MSS im Rahmen der NIS-2-Richtlinie

Die NIS-2-Richtlinie stuft Anbieter verwalteter Sicherheitsdienste je nach Prüfung als wesentliche oder wichtige Einrichtungen ein. Art. 21 Abs. 5 NIS-2 ermächtigt die Europäische Kommission, spezifische technische und methodische Anforderungen für MSS-Anbieter per Durchführungsverordnung festzulegen. Damit unterliegen MSS-Anbieter selbst den Risikomanagement- und Meldepflichten der Richtlinie.

Die Meldepflichten gemäß Art. 23 NIS-2 — Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats — betreffen MSS-Anbieter sowohl in ihrer Eigenschaft als regulierte Einrichtung als auch in ihrer Funktion als Dienstleister für regulierte Auftraggeber.

Nationale Umsetzung und KRITIS-Regulierung

In Deutschland wurde die NIS-2-Richtlinie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz in nationales Recht überführt. Das KRITIS-Dachgesetz ergänzt den regulatorischen Rahmen um Anforderungen an die physische Resilienz kritischer Anlagen. MSS, die sowohl Cyber- als auch physische Sicherheitsleistungen umfassen, adressieren damit Anforderungen beider Regelwerke.

ISO/IEC 27001 und MSS

ISO/IEC 27001:2022 definiert Anforderungen an ein Informationssicherheits-Managementsystem (ISMS), die für MSS-Anbieter und -Auftraggeber gleichermaßen relevant sind. Annex A umfasst 93 Kontrollen in vier Kategorien — organisatorisch, personell, physisch und technologisch –, die den operativen Rahmen für MSS-Leistungen strukturieren.

Insbesondere die Kontrollen A.5.19 bis A.5.22 (Lieferantenbeziehungen), A.7.1 bis A.7.4 (physische Kontrollen) und A.8.15/A.8.16 (Logging und Monitoring) bilden die normative Grundlage für die Steuerung und Überwachung von MSS-Vertragsbeziehungen.

Dokumentation und Audit-Nachweisfähigkeit

Sowohl NIS-2 als auch ISO/IEC 27001 setzen eine systematische, revisionssichere Dokumentation voraus. MSS-Anbieter müssen in der Lage sein, Sicherheitsereignisse, Reaktionsmaßnahmen und Prozessänderungen lückenlos nachzuweisen. Die Governance-Anforderungen gemäß Art. 20 NIS-2 verpflichten die Geschäftsleitung zur Genehmigung und Überwachung der Risikomanagementmaßnahmen — einschließlich extern erbrachter Sicherheitsleistungen.

Organisationale, technische und wirtschaftliche Vorteile

Stärkung der Sicherheitslage

Die kontinuierliche Überwachung durch spezialisierte SOC-Teams ermöglicht eine Reduzierung der Mean Time to Detect (MTTD) und Mean Time to Respond (MTTR) bei Sicherheitsvorfällen. Durch die Aggregation von Bedrohungsinformationen über mehrere Mandanten hinweg verfügen MSS-Anbieter über eine breitere Erkennungsbasis als einzelne Organisationen.

Reduktion operativer Risiken

Redundante Leitstellenstrukturen und Remote-Support-Kapazitäten gewährleisten die Betriebskontinuität auch bei Ausfall einzelner Standorte. Die vertragliche Absicherung über SLAs mit definierten Reaktionszeiten und Verfügbarkeitsgarantien reduziert das operative Risiko für den Auftraggeber.

Optimierung durch Daten-Insights

Die systematische Analyse aggregierter Sicherheitsdaten generiert Erkenntnisse, die über die reine Vorfallserkennung hinausgehen. Trend-Analysen, Kapazitätsplanung und die Identifikation systemischer Schwachstellen ermöglichen eine datengestützte Optimierung der Sicherheitsstrategie.

Risiken und Herausforderungen

Abhängigkeiten von Drittanbietern

Die Auslagerung sicherheitskritischer Funktionen an externe Dienstleister erzeugt strukturelle Abhängigkeiten. Ein Ausfall oder eine Kompromittierung des MSS-Anbieters kann unmittelbare Auswirkungen auf die Sicherheitslage des Auftraggebers haben. Art. 21 Abs. 2 lit. d NIS-2 adressiert dieses Risiko explizit im Rahmen der Lieferkettensicherheit.

Datenhoheit und Governance

Die Übermittlung sicherheitsrelevanter Daten an Dritte wirft Fragen der Datenhoheit, des Datenschutzes und der Zugriffskontrolle auf. Die Integration von MSS in bestehende Governance-Modelle erfordert klare vertragliche Regelungen bspw. hinsichtlich Zugriffsbefugnissen, Aufbewahrungsfristen und Löschpflichten.

SLA-Definitionen und Überwachung

Die Wirksamkeit eines MSS-Modells steht und fällt mit der Qualität der SLA-Definitionen. Unzureichend spezifizierte SLAs führen zu Erwartungslücken zwischen Auftraggeber und Dienstleister. Eine kontinuierliche Überwachung der SLA-Einhaltung — einschließlich regelmäßiger Audits und Leistungsbewertungen — ist daher unerlässlich.

Zertifizierung und Qualitätssicherung

Die EU arbeitet derzeit an einem Zertifizierungsrahmenwerk für MSS auf Grundlage der novellierten Cybersecurity Act (Verordnung (EU) 2025/37). ENISA hat im April 2025 entsprechende Veröffentlichungen vorgelegt, auf deren Basis ein europäisches Zertifizierungsschema (EUMSS) entwickelt werden kann. Bis zur Finalisierung dieses Schemas obliegt die Qualitätsbewertung von MSS-Anbietern weitgehend nationalen Regelungen und marktüblichen Zertifizierungen wie ISO/IEC 27001.