Einstieg in Managed Security Services – Vom Vertrauen über das Ausprobieren zu rentablen Services

Bei uns hat es Klick gemacht hat, als wir verstanden haben, wir können mehr sein als ein IT-Systemhaus und ein Managed Service Provider werden.

Und dann haben wir uns unsere internen Produkte angeschaut und überlegt, welche Services kann man davon nehmen und daraus einen Dienst machen. Nicht einfach nur sagen, verkaufen und wir sprechen uns in ein, zwei Jahren wieder, wenn die Lizenz abgelaufen ist.

Da waren wir schon relativ am Anfang unserer MSP-Reise im Security-Kontext bei dem Thema Managed Firewall. Früher hat man das ja so gemacht, Firewall verkauft, Lizenz dazu verkauft und wenn der Kunde irgendeine Änderung braucht, dann macht er halt ein Ticket auf. Wir haben dann das Produkt Managed Firewall aufgesetzt. Da ist eine für den Kunden passende Firewall drin, da ist die Lizenzierung drin, die ja auch bei vielen Herstellern auch etwas modularer aufgebaut ist. Und wir packen da auch noch unseren Service mit rein, wir hatten ja bereits Erfahrungen gesammelt, wie oft ruft der Kunde an und sagt, ich brauche eine Änderung an der Firewall oder so was. Und wie oft kommen die Updates pro Jahr raus und dann hatten wir eine gute Kalkulation und haben einen monatlichen Preis dran geklebt

Und dann haben wir gemerkt, das Gleiche geht ja auch für den Endpoint. Da braucht der Kunde genauso ein Stück Software, eine Lizenzierung, da hängt Wartungsaufwand dran, da müssen vielleicht mal Logs geprüft werden, da muss auch vielleicht mal so jemand mal drüber schauen, denn… was nützt mir eine Security-Lösung, die einfach nur installiert ist und keiner schaut sich die Alerts an? Und… haben dann genauso wie bei den Firewalls einfach einen Preis drangeklebt und das dann bei den Kunden angeboten, damit sie die MSP-Schiene fahren können.

Wenn etwas zu tun ist, bucht der Techniker seine Zeiten ganz normal ins Ticketsystem ein und wir in der Geschäftsführung sorgen im Hintergrund dafür, dass beispielsweise ein Servicevertrag hinterlegt ist, gegen den das automatisch gebucht wird. Der Techniker sieht, es muss Aufgabe X durchgeführt werden und danach trägt er seine Zeiten auf den Kunden im Ticket-System ein und was dahinter in der Abrechnung passiert, kann dem Techniker vollkommen egal sein.

Wir versuchen mit den Mitarbeitern in regelmäßigen Gesprächen herauszufinden, in welchem Bereich fühlst du dich am wohlsten, welchen Bereich findest du am spannendsten. Und so wie die Mitarbeiter eben ihre persönlichen Präferenzen mitbringen, so platzieren wir dann auch die jeweiligen Schulungen und Zertifizierungen. Bei uns ist es so, dass Mitarbeiter, die an gewissen speziellen Themen arbeiten, auch bis Oberkante Unterlippe zertifiziert sind. Das ist uns sehr wichtig in Bezug auf den Security-Bereich.

Wir haben zuerst den Blick auf die Bestandskunden gerichtet. Da sind Kunden, zu denen man vielleicht ein etwas engeres Verhältnis hat. Das sind Kunden, bei denen man sich das Vertrauen als Dienstleister erarbeitet hat, mit denen man auch mal was ausprobieren kann. Man kommt in bekannte Umgebungen, man kennt das Netzwerk und die Infrastruktur des Kunden eh in- und auswendig. Dort hat man es deutlich einfacher, neue Lösungen zu platzieren.

Das ist bei uns die Entwicklung von einem einfachen AV zu einem EDR, zu einem XDR bis hin zum MDR. Das muss man als Dienstleister auch erstmal verstehen. Das ist jetzt nicht einfach etwas, das ich vom Regal nehme und verkaufe und dann bin ich fertig.

Die Dinge wollen auch gut konfiguriert werden. Die Ausnahmen und die Exceptions, die ich da reinpacken muss, das sollte schon auf den Kunden und auf die Infrastruktur des Kunden zugeschnitten sein. Und das Thema EDR bzw. XDR ist auch aus versicherungsthetischer Sicht nicht uninteressant. Denn viele Cyberversicherungen sagen heute mittlerweile, was habt ihr denn an Schutzlösungen etabliert? Wenn da nicht mindestens XDR-Funktionalität drin ist, gibt es von uns keine Versicherung.

Die Endausbaustufe von sowas ist, wenn man noch einen MDR, also einen Managed Detection und Response Service mit oben drauf packt. Das kann ich als Dienstleister selber machen, falls ich das Know-how im Haus habe, das haben aber die allerwenigsten und wenn ich es nicht habe, aber es trotzdem anbieten möchte, dann nehme ich mir den MDR-Dienst vom Hersteller mit rein. Für den Dienstleister oder den MSP ist es ein sehr schönes Geschäft, denn es skaliert quasi ins Unendliche. Denn der Aufwand, der liegt nicht mehr wirklich bei mir, sondern der liegt dann beim Hersteller, wenn Sicherheitsvorfälle sind.

Die großen Bestandteile unseres Security Portfolios machen wir mit dem Hersteller Sophos. Dann haben wir gesagt, wir möchten in dem Bereich wachsen. Und die Kaltakquise ist nun mal ein Thema, da muss man dafür geboren sein. Bin ich nicht, ist von uns hier auch keiner. Wir haben gute Techniker, aber eigene Vertriebler haben wir nicht. Und deswegen haben wir uns an eine von Sophos empfohlenen Telemarketing Agentur gewendet und gesagt, wir möchten gerne neue Ersttermine haben bei Interessenten, die auf der Suche sind nach einer neuen Endpoints Lösung.

Das hat dazu geführt, dass ich sehr viele Termine über Teams gemacht habe. Es läuft sehr gut, wir sind mit der Aktion jetzt bald am Ende und wenn wir durch sind, gilt es erstmal, die dadurch generierten Aufträge erstmal abzuarbeiten. Und ich werde wahrscheinlich auch dieses Jahr schon direkt die nächste Aktion antriggern, denn das hat Spaß gemacht und auch ein gutes Ergebnis erzielt.