Managed Service Provider (MSP)
Ein Managed Service Provider (MSP) betreibt IT-Umgebungen dauerhaft für mehrere Kunden — mit standardisierter Werkzeugkette aus Monitoring, Ticketsystem, Fernwartung und Automatisierung. Abgrenzung: Ein Systemhaus plant und liefert Projekte, ein MSP verantwortet den laufenden Betrieb; ein Managed Security Service Provider (MSSP) spezialisiert sich auf Erkennung und Abwehr von Angriffen. NIS2 führt beide in Anhang I als eigenen Sektor Verwaltung von IKT-Diensten (B2B) — MSP sind damit selbst reguliert und nicht mehr nur Zulieferer ihrer Kunden.
Managed Service Provider (MSP) in der Praxis
Das Geschäftsmodell eines MSP beruht auf Standardisierung: dieselben Betriebsprozesse, Runbooks und Werkzeuge über viele Kunden hinweg. Daraus entsteht der eigentliche Vorteil für mittelständische Organisationen — Fähigkeiten, die im Einzelbetrieb unwirtschaftlich wären. Eine Sicherheitsüberwachung im 24/7-Schichtbetrieb ist dafür das klarste Beispiel: Schon eine einzige durchgehend besetzte Position deckt 168 Wochenstunden ab und erfordert rechnerisch fünf bis sechs Vollzeitkräfte, bevor Urlaub, Krankheit und Weiterbildung eingerechnet sind; marktüblich werden für ein eigenes SOC acht bis fünfzehn Analystinnen und Analysten genannt.
Ein MSSP verteilt diese Mannschaft über viele Mandanten. Dieselbe Bündelung erzeugt jedoch ein Risiko: Wer viele Umgebungen administriert, ist ein lohnendes Angriffsziel, und ein kompromittiertes Dienstleisterkonto wirkt sofort in alle betreuten Mandanten. Zu den Auswahlkriterien gehören deshalb saubere Mandantentrennung, privilegierte Zugriffe mit zeitlich begrenzter Freigabe, phishing-resistente Mehrfaktor-Authentifizierung, lückenlose Protokollierung administrativer Zugriffe und ein nachweisbares Informationssicherheits-Managementsystem, üblicherweise nach ISO/IEC 27001.
Regulatorisch hat sich die Rolle verschoben: NIS2 führt Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste in Anhang I als eigenen Sektor der Verwaltung von IKT-Diensten (B2B). Ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz treffen MSP und MSSP damit unabhängig von ihren Kunden eigene Pflichten zu Risikomanagement, Meldewesen und Registrierung. Für Auftraggeber ist das ein Auswahlkriterium mit Substanz: Ein Dienstleister, der seine eigenen Pflichten erfüllt, kann die entsprechenden Nachweise liefern.