MDR-Auswahl: die Kriterien, die unter NIS2 und DORA zählen

Warum es zählt

Du kaufst MDR, damit am Sonntag um drei Uhr nachts jemand Kompetentes hinschaut. Ob dieser Jemand ein dedizierter Analyst ist, der deine Umgebung kennt, oder eine geteilte Tier-1-Warteschlange nach Runbook, und ob es in der Nachtschicht überhaupt einen Tier-3-Engineer gibt, entscheidet, was in der ersten Stunde eines echten Vorfalls passiert. Die Besetzung des SOC ist das Produkt.

Warum es zählt

MDR wird über Geschwindigkeit verkauft, aber "Reaktion in Minuten" auf der Website ist keine Zusage. Es geht um drei getrennte Uhren im Vertrag: Zeit bis zur Erkennung, Zeit bis ein Mensch den Alarm triagiert und eingestuft hat, und Zeit bis die Eindämmung begonnen hat. Jede dieser Uhren braucht eine Zahl, eine Schweregradstufe, für die sie gilt, und eine Folge, wenn sie gerissen wird, und die historische Leistung des Anbieters sagt dir, ob die Zahl echt ist.

Warum es zählt

Echtes Threat Hunting heißt: Ein Mensch bildet eine Hypothese über deine Umgebung und sucht in den Daten danach. Viele Services etikettieren automatisierte Alarm-Triage als Hunting um. Der Unterschied zählt, weil die Angriffe, die wehtun, genau die sind, bei denen keine Regel angeschlagen hat, und nur Hunting findet die.

Warum es zählt

Dein eigenes Team verschwindet nicht, wenn du MDR kaufst; es muss mit den Analysten des Anbieters arbeiten, sehen, was sie sehen, und Teile der Arbeit übernehmen, wenn es sinnvoll ist. Ein Anbieter, dessen Portal eine Liste geschlossener Tickets und sonst nichts zeigt, macht dein Team zum Empfänger von Schlussfolgerungen, und unter NIS2 muss die Geschäftsleitung trotzdem eine Maßnahme überwachen, in die sie nicht hineinschauen kann.

Warum es zählt

Das R in MDR reicht von "wir schicken einen Alarm mit Empfehlung" bis "wir isolieren den Host, sperren das Konto und blocken den Hash, ohne auf dich zu warten", und jenseits der Eindämmung liegt die eigentliche Incident Response: Forensik, Beseitigung, Wiederherstellungsunterstützung und der schriftliche Bericht, den deine Aufsicht will. Ob das enthalten ist, in einem Retainer mit vorbezahlten Stunden oder zu Notfalltarifen berechnet wird, wenn du es am dringendsten brauchst, entscheidet die echten Kosten deines schlimmsten Tages.

Warum es zählt

Manche MDR-Anbieter überwachen, welches EDR, SIEM und welche Cloud du ohnehin betreibst. Andere liefern den vollen Service nur auf dem eigenen Stack und behandeln alles andere als Log-Feed. Das zweite Modell kann heißen, Tools zu ersetzen, die du vor zwei Jahren gekauft hast, und es koppelt den Ausstieg aus dem Service an den Ausstieg aus dem Tooling, was die Wechselkosten verdoppelt, die DORA dich planen lässt.

Warum es zählt

Die meisten MDR-Services sind aus einem EDR-Produkt entstanden und sehen die Welt durch den Endpunkt-Agenten. Moderne Einbrüche beginnen mit einer gestohlenen Identität, einer falsch konfigurierten Cloud-Rolle oder einer VPN-Appliance, und auf keinem davon läuft ein Agent. Ob der Anbieter dein bestehendes EDR und SIEM in voller Tiefe einliest, Detections für diese Quellen schreibt und Analysten hat, die tatsächlich hineinschauen, entscheidet, ob der Angriff früh gesehen wird oder erst, wenn der Angreifer hat, was er wollte.

Warum es zählt

Ein wachsender Teil dessen, was ein Angreifer will, liegt in der Cloud-Steuerungsebene: Identitätsrollen, Storage-Buckets, Serverless-Funktionen und die Audit-Trails, die festhalten, wer sie angefasst hat. Ein MDR, das Endpunkte beobachtet und Cloud-Logs ungelesen weiterleitet, verpasst die falsch konfigurierte Rolle, die eine Datenbank freigelegt hat, und zwar in jeder Cloud, die du betreibst, nicht nur in der, die das eigene Produkt des Anbieters unterstützt.

Warum es zählt

Betreibst du Produktionsanlagen, geht der Angriff, der das Geschäft stoppt, durch das OT-Netz, und ein Analyst, der an Windows-Prozessbäumen ausgebildet ist, weiß nicht, wie ein verdächtiger Modbus-Schreibzugriff aussieht. OT-Monitoring ist passiv, protokollbewusst und kann eine SPS nicht so isolieren wie einen Laptop, also muss die OT-Option des Anbieters ein anderer Service mit anderen Menschen sein, nicht dasselbe SOC mit einer weiteren Logquelle.

Warum es zählt

Ein MDR-Analyst sieht Prozessbäume, Benutzernamen, Dateinamen und manchmal Dateiinhalte aus deinen Systemen. Wo dieser Analyst sitzt, zählt unter der DSGVO und bei regulierten Workloads unter NIS2 und DORA. Ein Follow-the-Sun-Modell heißt, deine Nachtschicht wird von einem anderen Kontinent aus bearbeitet, und das ist Zugriff auf personenbezogene Daten von außerhalb der EU, egal wo die Daten gespeichert sind.

Warum es zählt

Ein SOC ist eine Prozessorganisation, und seine Reife zeigt sich daran, ob Verfahren dokumentiert, gemessen und verbessert werden oder ob alles an den zwei Senior-Analysten hängt, die gehen könnten. SOC-CMM, eine Bewertung nach CMMI-Art oder ein gleichwertiges unabhängiges Review ist das Nächste an einem Nachweis, dass das SOC im achtzehnten Monat genauso arbeitet wie in der Verkaufsdemo.

Warum es zählt

Im echten Vorfall lautet die Frage nicht, ob der Anbieter erkennt, sondern wer wen anruft, wie schnell, auf welcher Nummer, und was passiert, wenn der erste Kontakt nicht abnimmt. NIS2 gibt dir 24 Stunden ab Kenntnis für die Frühwarnung, und der Anbieter ist derjenige, der zuerst Kenntnis hat. Eskalationsweg und Kommunikations-SLA sind die Stellen, an denen diese Uhr gewonnen oder verloren wird.

Warum es zählt

Ein Anbieter, der Indikatoren mit dem ISAC seiner Branche, dem nationalen CERT und seinen Peers teilt, sieht Kampagnen gegen Organisationen wie deine, bevor sie dich erreichen, und speist zurück, was er aus deinen Vorfällen lernt. Ein Anbieter, der nur kommerzielle Feeds konsumiert, weiß, was alle wissen, einen Tag später.

Warum es zählt

Unter NIS2 verantwortet die Geschäftsleitung die Cyberrisiko-Maßnahmen und muss sie überwachen können; unter DORA ist das Leitungsorgan für das IKT-Drittparteienrisiko verantwortlich. Beide brauchen Berichte, die sie lesen können, und beide profitieren von einem Anbieter, der ihnen sagt, was als Nächstes zu beheben ist. Das Quartalsreview ist der Ort, an dem ein MDR-Vertrag von einem Monitoring-Service zu einem Sicherheitsprogramm wird, oder eine Seite Alarmzahlen bleibt.

Warum es zählt

Ein MDR-Service ist nicht live, wenn der Vertrag unterschrieben ist. Er ist live, wenn die Agenten ausgerollt, die Log-Quellen angebunden, das Asset-Inventar den Analysten bekannt und die False Positives deiner Umgebung ausgetunt sind. Diese Phase dauert typischerweise Wochen bis Monate, und währenddessen ist der Service teilweise blind, während du schon zahlst.

Warum es zählt

Der ehrliche Vergleich ist nicht MDR gegen nichts, sondern MDR gegen das SOC, das du sonst aufbauen müsstest: Analysten im Schichtbetrieb, Tooling, Schulung, Fluktuation, und die Management-Aufmerksamkeit, die es kostet. Beide Zahlen müssen auf demselben Umfang über dieselben drei Jahre gebaut sein, sonst ist die günstigere Option einfach die, die mehr weggelassen hat.

Warum es zählt

Die Analysten des Anbieters greifen jeden Tag auf personenbezogene Daten in deiner Telemetrie zu, was den Anbieter unter der DSGVO zum Auftragsverarbeiter macht und den Vertrag zu einem Auftragsverarbeitungsvertrag mit einer Liste der Unterauftragsverarbeiter, Standorte und Schutzmaßnahmen für jeden Zugriff von außerhalb der EU. Für ein Finanzunternehmen gehen dieselben Fakten ins DORA-Informationsregister. Ist der AVV ein generischer Anhang, steht die Residenz, die du verhandelt hast, nicht darin.

Warum es zählt

Am Vertragsende brauchst du deine Telemetrie, deine Vorfallshistorie, deine Detection-Regeln und deine Tuning-Entscheidungen, sonst fängt der nächste Anbieter bei null an, und der Audit-Trail von drei Jahren Vorfällen verschwindet. Unter DORA ist eine Exit-Strategie für kritische Funktionen Pflicht; unter NIS2 ist sie schlicht vernünftig.

Warum es zählt

Ein MDR-Anbieter wird an den Vorfällen gemessen, die er bearbeitet hat, und ein Anbieter, der nie einen Ransomware-Fall in einem Krankenhaus, einer Bank oder einer Anlage deiner Art bearbeitet hat, lernt an deinem. Referenzen aus deiner Branche, mit Vorfällen dahinter, sind der einzige Nachweis, dass die Runbooks zu deiner Realität passen und der Anbieter ein Audit durch deine Aufsicht übersteht.

Warum es zählt

Dein Cyberversicherer fragt zunehmend, welches MDR du betreibst und was es garantiert, und manche Policen gewähren Rabatt für oder verlangen bestimmte Fähigkeiten wie 24/7-Überwachung und vertragliche Reaktionszeiten. Die eigenen Zertifizierungen des Anbieters (ISO 27001, SOC 2) sind das, wonach deine Lieferantenakte und der Fragebogen deines Versicherers fragen, und eine Lücke in beidem kostet Geld bei der Verlängerung oder, schlimmer, im Schadensfall.

Warum es zählt

Preise pro Endpunkt sind leicht zu vergleichen und schließen Identity-, Cloud- und Netzwerkabdeckung stillschweigend aus, die als Zusatzmodul oder pro eingelesenem Gigabyte berechnet werden. Preise pro Nutzer wirken fair, bis Service-Konten und externe Mitarbeiter mitgezählt werden. Eine monatliche Pauschale wirkt sicher, bis du erfährst, welchen Umfang sie voraussetzt. Jedes Modell belohnt ein anderes Verhalten, und das falsche macht jede neue Logquelle zu einer Budgetverhandlung.

Warum es zählt

Das Angebot nimmt einen normalen Monat an. Die Rechnung, die wehtut, kommt nach dem unnormalen: ein Alarmsturm aus einer falsch konfigurierten Quelle, der gegen eine Volumengrenze zählt, ein Vorfall, der vierzig IR-Stunden über die enthaltenen zehn hinaus verbraucht hat, eine Eskalation an das Forensik-Team des Anbieters zu Notfalltarifen. Planbarkeit ist das, was der Vertrag über diese Monate sagt.

Warum es zählt

Am Ende braucht die Entscheidung eine Zahl pro Anbieter, die sich vergleichen lässt: den angebotenen jährlichen Servicepreis für die Abdeckung, die du wirklich kaufst, über die Laufzeit, die du wirklich unterschreibst. Jedes andere Kriterium in diesem Katalog fließt ein, wie viel diese Zahl wert ist; dieses sorgt dafür, dass sie existiert und vergleichbar ist.