Managed SOC und MDR: Kostenmodelle, Leistungsumfang und was im Vertrag stehen muss

Ein Managed SOC oder MDR-Dienst überwacht Ihre IT laufend, bewertet Alarme und reagiert bei Angriffen, meist gegen ein monatliches Entgelt pro Endgerät, Nutzer oder Datenvolumen. Was dahinter steckt, unterscheidet sich stark: Manche Anbieter bearbeiten Alarme nur und melden sie Ihnen, andere dürfen Rechner isolieren oder Konten sperren. Dieser Leitfaden zeigt, wie sich Preise zusammensetzen und wo die Unterschiede liegen. Alle Zahlen sind Beispielrechnungen.

Begriffe kurz geklärt

SOC (Security Operations Center): Team und Prozesse, die Sicherheitsereignisse überwachen und bewerten. Ein SOC kann intern oder extern betrieben werden.
MDR (Managed Detection and Response): Dienstleistung, bei der ein Anbieter Erkennung und Reaktion übernimmt, meist auf Basis von EDR-Software auf den Endgeräten.
EDR (Endpoint Detection and Response): Software auf Rechnern und Servern, die Verhalten aufzeichnet und verdächtige Aktivitäten meldet.
SIEM: Plattform, die Logdaten aus vielen Quellen sammelt und korreliert.
MSSP: Managed Security Service Provider, der solche Dienste als Paket betreibt.

Eine ausführlichere Erklärung finden Sie im Beitrag SOC, EDR, MDR und SIEM einfach erklärt.

Typische Preismodelle

Modell	Berechnungsgrundlage	Vorteil	Risiko
Pro Endgerät	Anzahl überwachter Rechner und Server	Gut planbar, einfach zu verstehen	Kosten steigen mit jedem Gerät, auch seltene Systeme
Pro Nutzer	Anzahl Mitarbeitende, oft inklusive mehrerer Geräte	Gut bei vielen Geräten pro Person	Gemeinsam genutzte Konten und Serverlandschaft unklar
Nach Datenvolumen	Menge der gesammelten Logdaten	Passt zu SIEM-basierten Diensten	Kosten schwanken, schwer vorhersehbar
Pauschalpaket	Fester Betrag für definierten Umfang	Transparenz	Zusatzleistungen und Überschreitungen separat
Zusatzmodule	Schwachstellenmanagement, Cloud-Überwachung, Incident-Response-Stunden	Bedarfsgerecht	Summe über mehrere Module wird oft unterschätzt

Was im Leistungsumfang stehen sollte

Überwachungszeiten: Ganztägig an sieben Tagen oder nur zu Geschäftszeiten? Das verändert Preis und Schutzwirkung erheblich, denn viele Angriffe beginnen nachts oder am Wochenende.
Reaktionsbefugnis: Darf der Anbieter Rechner vom Netz trennen, Prozesse beenden, Benutzerkonten sperren? Ohne klare Freigabe bleibt es bei einer Meldung per E-Mail.
Reaktionszeiten (Service Level): Wie schnell wird ein Alarm bewertet und wie schnell reagiert der Anbieter? Achten Sie auf die Definition: Beginn der Bearbeitung ist etwas anderes als Abschluss der Eindämmung.
Eskalationswege: Wer wird wann telefonisch informiert, wer entscheidet auf Ihrer Seite?
Berichte und Besprechungen: Monatliche Berichte, regelmäßige Termine, Empfehlungen zur Verbesserung.
Incident-Response-Kontingent: Sind Stunden für die Aufarbeitung großer Vorfälle enthalten oder nur die Überwachung?
Datenstandort und Zugriff: Wo werden Telemetriedaten gespeichert, wer darf darauf zugreifen? Dies ist datenschutzrechtlich relevant.

Rechenbeispiel (illustrativ)

Ein Unternehmen mit 60 Arbeitsplatzrechnern und 6 Servern prüft ein Angebot. Angenommen, der Anbieter nennt im Beispiel 9 Euro je Endgerät und Monat.

66 Geräte × 9 Euro = 594 Euro pro Monat
594 Euro × 12 = 7.128 Euro pro Jahr
Dazu eine einmalige Einrichtung von beispielhaft 1.500 Euro und 10 Stunden Incident-Response-Kontingent zu einem Stundensatz von 180 Euro, also 1.800 Euro.

Im ersten Jahr ergibt sich in dieser fiktiven Rechnung 7.128 + 1.500 + 1.800 = 10.428 Euro. Die Zahlen dienen nur zur Veranschaulichung. Mit dem Investitionsrechner können Sie prüfen, ob ein solcher Dienst im Verhältnis zum erwarteten Schaden steht.

Make or Buy: eigenes Team oder Dienstleister

Ein Betrieb rund um die Uhr benötigt mehrere Fachkräfte in Schichten, Urlaubs- und Krankheitsvertretung, Werkzeuge und Weiterbildung. Für kleine und mittlere Unternehmen ist ein eigenes SOC deshalb selten wirtschaftlich. Ein Dienstleister verteilt diese Kosten auf viele Kunden. Dafür geben Sie Kontrolle ab und müssen Prozesse sauber vereinbaren. Möglich sind auch Mischformen: Die Erstbewertung übernimmt der Dienstleister, Entscheidungen über Eingriffe bleiben bei Ihnen.

Vertragsfallen

Lange Laufzeiten ohne Ausstieg: Dreijahresverträge mit automatischer Verlängerung sind riskant, wenn die Qualität nicht stimmt. Verhandeln Sie Sonderkündigungsrechte bei Verfehlen der Service Level.
Software und Dienst gekoppelt: Prüfen Sie, wem die EDR-Lizenzen gehören und was bei Vertragsende passiert.
Unklare Verantwortung für Fehlalarme: Wer behandelt Rückfragen, und wie viel Aufwand entsteht bei Ihnen?
Auftragsverarbeitung: Der Dienstleister verarbeitet Daten über Mitarbeitende. Ein Vertrag nach Art. 28 DSGVO und gegebenenfalls Abstimmung mit dem Betriebsrat sind nötig. Mehr dazu in Verträge mit Dienstleistern: AVV, Geheimhaltung, Haftung.
Nicht abgedeckte Systeme: Cloud-Dienste, Mobilgeräte und Altsysteme fehlen oft im Standardumfang.

Woran Sie ein gutes Angebot erkennen

Ein belastbares Angebot nennt konkrete Zahlen für Überwachungszeiten und Reaktionsfristen, beschreibt die Eingriffsrechte, legt Berichtsformate offen und erklärt, wie Alarme priorisiert werden. Fragen Sie, wie viele Alarme typischerweise pro Woche bei einem Kunden Ihrer Größe auftreten und wie der Anbieter mit Fehlalarmen umgeht. Eine Teststellung oder ein Pilot mit wenigen Geräten verschafft Einblick in die Qualität, bevor Sie sich langfristig binden.

Wann Sie sich beraten lassen sollten

Wenn Sie regulierten Pflichten unterliegen, etwa durch NIS2, Branchenvorgaben oder Kundenaudits, sollten Sie den Leistungsumfang mit Ihrer Informationssicherheitsbeauftragten oder einer unabhängigen Beratung abstimmen. Auch die Bedingungen Ihrer Cyberversicherung können Anforderungen an Überwachung und Reaktion enthalten.

Häufige Fragen

Ersetzt MDR ein Antivirenprogramm?

Moderne EDR-Software enthält meist Schutzfunktionen. Der Mehrwert des MDR-Dienstes liegt darin, dass Menschen Alarme auswerten und reagieren. Klären Sie mit dem Anbieter, welche Schutzkomponenten Teil der Lösung sind.

Ab welcher Größe lohnt sich ein Managed SOC?

Es gibt keine feste Grenze. Entscheidend sind Schutzbedarf, vorhandene Fachkräfte und Anforderungen von Kunden oder Gesetzgeber. Auch kleine Unternehmen mit sensiblen Daten können davon profitieren.

Was passiert bei einem Alarm nachts?

Das richtet sich nach dem Vertrag: Benachrichtigung, telefonische Eskalation oder automatische Eindämmung. Legen Sie fest, wer erreichbar ist und welche Maßnahmen ohne Rückfrage erlaubt sind.

Quellen und weiterführende Stellen

Bundesamt für Sicherheit in der Informationstechnik (BSI) — Empfehlungen zu Detektion, Protokollierung und Incident Response
Allianz für Cyber-Sicherheit — Praxisleitfäden für Unternehmen
Bundesbeauftragte für den Datenschutz und die Informationsfreiheit — Hinweise zur Auftragsverarbeitung