Managed Security: Mobile Endgeräte nicht vergessen

Kaum ein Bereich der IT verändert sich so kontinuierlich wie die Cybersecurity. Neue Angriffsflächen entstehen schneller, als sich Konzepte dagegen etablieren lassen. Die klassische Firewall am Perimeter veranschaulicht diesen Sachverhalt. Sie schützt heute nur einen Bruchteil dessen, was geschützt werden muss. Denn die Angriffsfläche lässt sich nicht mehr in «innen» und «aussen» aufteilen. Diese Auflösung klassischer Grenzen ist der eigentliche Treiber hinter einer Entwicklung, die sich auch in den Zahlen des Bundesamts für Cybersicherheit (BACS) niederschlägt: 29’006 freiwillige Meldungen und 145 meldepflichtige Vorfälle allein im zweiten Halbjahr 2025, bei einem insgesamt seit Jahren hohen und tendenziell steigenden Meldeaufkommen. 2022 waren es noch rund 34’000 Vorfälle im gesamten Jahr, das ist ein Plus von 58 Prozent gegenüber dem Vorjahr.

Parallel dazu verschärft sich die regulatorische Lage: Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen Cyberangriffe innerhalb von 24 Stunden dem BACS melden. Wer heute eine Sicherheitsarchitektur entwirft, entwirft damit implizit auch einen Meldeprozess, der im Ernstfall funktionieren muss.


Weiter verschärft wird die Lage durch einen zweiten, strukturellen Faktor: den anhaltenden Mangel an spezialisierten Fachkräften. Und das trotz eines insgesamt rückläufigen IT-Stellenmarkts. Wer eine wachsende Angriffsfläche mit schrumpfenden internen Kapazitäten absichern muss, kommt an einer Form der Zusammenarbeit mit spezialisierten Dienstleistern kaum noch vorbei. Die Frage ist nicht mehr ob, sondern wie diese Zusammenarbeit architektonisch stimmig gestaltet wird.

Vom Einzelbaustein zur integrierten Architektur

In den Anfängen bedeuten Managed Security Services (MSS) meist die Auslagerung einzelner, klar abgegrenzter Aufgaben: das Monitoring einer Firewall, der Betrieb eines Virenschutzes, gelegentlich ein Penetrationstest vor einem Audit. Insellösungen, die nebeneinander existierten, ohne sich gegenseitig zu verstärken. Mit der Zunahme von Cloud-Diensten, mobilen Arbeitsformen und vernetzten Betriebstechnologien hat sich diese Logik überholt. Angreifer bewegen sich lateral über Systemgrenzen hinweg, und eine Sicherheitsarchitektur, die nur in Silos denkt, kann diese Bewegungen nicht mehr nachvollziehen.

Heutige MSS-Ansätze setzen deshalb auf eine technologische und organisatorische Verzahnung. Telemetriedaten aus Endpoint-Systemen, Identity-Providern, Netzwerksensoren und mobilen Geräten laufen in gemeinsamen SIEM- und SOAR-Plattformen (Security Information und Event Management respektive Security Orchestration, Automation und Response) zusammen, wobei standardisierte Schnittstellen den Datenaustausch zwischen externem Dienstleister und interner IT ermöglichen. Während allerdings ein SIEM Bedrohungen nur erkennt und meldet, kann ein SOAR-System selbstständig handeln und den Angriff abwehren. Entscheidend ist dabei nicht die Anzahl der eingesetzten Tools, sondern die Frage, ob ein Vorfall in einem System auch im Kontext der anderen Systeme sichtbar wird.


Organisatorisch bedeutet das: klar definierte Schnittstellen zwischen dem internen IT-Team und dem externen Dienstleister, abgestimmte Eskalationsstufen und eine gemeinsame Sprache für die Vorfallsklassifikation. Ohne diese Grundlage bleibt jede noch so ausgefeilte technische Integration wirkungslos, weil im Ernstfall niemand weiss, wer wann welche Entscheidung trifft.

Dasselbe Prinzip gilt für das Zusammenspiel von Cloud und On-Premises, das in vielen Schweizer Unternehmen aus regulatorischen oder betrieblichen Gründen bestehen bleibt. Die eigentliche Managementleistung besteht darin, beide Welten unter einer gemeinsamen Sicht auf Bedrohungslage und Reifegrad zu vereinen, statt zwei getrennte Sicherheitsniveaus nebeneinander zu betreiben.

Konkret heisst das beispielsweise, Cloud-Identitäten aus Microsoft Entra ID und lokale Active-Directory-Konten über eine gemeinsame Conditional-Access-Logik zu steuern, oder Telemetrie aus Cloud-Workloads und On-Premises-Firewalls in einer zentralen SIEM-Plattform wie Microsoft Sentinel oder Splunk zusammenzuführen. So entsteht ein einheitliches Reifegrad-Scoring, das unabhängig davon gilt, ob ein System in der Cloud oder im eigenen Rechenzentrum betrieben wird.

Der oft übersehene Endpunkt: mobile Geräte

In diesem Gesamtbild verdient ein Bereich besondere Aufmerksamkeit, der in vielen Sicherheitskonzepten noch immer stiefmütterlich behandelt wird: mobile Endgeräte. Smartphones und Tablets sind heute vollwertige Arbeitsgeräte mit Zugriff auf E-Mail, Kollaborationsplattformen, Unternehmensdaten und teilweise auch auf produktionsnahe Systeme. Während Notebook- und Serverschutz über Jahrzehnte gereift sind, wird mobile Sicherheit in der Praxis häufig separat verwaltet, mit eigener Konsole, eigenen Richtlinien und ohne durchgängige Anbindung an das übrige Monitoring.

Das ist deshalb problematisch, weil mobile Geräte längst zu den bevorzugten Einfallstoren zählen: Sie sind ständig online, oft ausserhalb klassischer Netzwerkgrenzen im Einsatz und für viele Nutzerinnen und Nutzer weniger offensichtlich absicherbar als ein Firmenlaptop. Eine Architektur, die mobile Geräteverwaltung konsequent mit Identity- und Zugriffssteuerung verknüpft, ersetzt starre Netzwerkgrenzen durch risikobasierte Entscheidungen: den Zugriff auf Basis von Gerätezustand, Patch-Level und Kontext erlauben. Für Managed-Security-Anbieter heisst das, mobile Telemetrie nicht als Randthema, sondern als integralen Bestandteil der Überwachung zu behandeln.


Der Unterschied zwischen den beiden zentralen Werkzeugen macht das greifbar: Ein Mobile Device Management (MDM) wie Microsoft Intune setzt Konfigurations- und Compliance-Vorgaben durch, wie Verschlüsselung, minimale OS-Version, Passcode-Richtlinien, erkennt aber keine aktive Bedrohung auf dem Gerät selbst. Genau hier setzt Mobile Threat Defense (MTD) an, etwa Lösungen wie Lookout MES. Sie erkennen Phishing-Versuche, bösartige Apps, Netzwerkangriffe wie Man-in-the-Middle oder Jailbreak-/Root-Zustände in Echtzeit und melden diesen Risikostatus an die Conditional-Access-Engine zurück, sodass ein kompromittiertes Gerät automatisch vom Zugriff auf Unternehmensdaten ausgeschlossen wird. MDM allein schützt die Konfiguration, MTD schützt vor aktiven Angriffen. Erst beide zusammen ergeben eine vollständige mobile Sicherheitsarchitektur.

Die Herausforderungen in der Verwaltung und Sicherung

Mobile Geräte unterscheiden sich in einigen zentralen Punkten von klassischen Endpoints. Sie sind permanent online und bewegen sich ausserhalb kontrollierter Netzwerke. Bei BYOD-Modellen (Bring Your Own Device) vermischen sich zudem private und geschäftliche Nutzung, was klassische Abgrenzungen erschwert. Dadurch unterscheiden sich die Angriffswege und -vektoren. Wie gravierend sich diese Unterschiede in der Praxis auswirken, zeigen aktuelle Studien. Der Zimperium Global Mobile Threat Report 2026 dokumentiert einen Anstieg von 380 Prozent von Angriffsversuchen auf mobilen Endgeräten.


Ein weniger offensichtlicher Grund, warum mobile Geräte eine eigene Betrachtung verlangen, liegt im Patch-Management. Während bei Notebooks und Servern zentrale Patch-Prozesse greifen, aktualisieren sich mobile Geräte oft nur, wenn Nutzerinnen und Nutzer dies zulassen. Diese Kombination aus ständiger Mobilität, gemischter Nutzung, eigenen Angriffsvektoren und schwer steuerbarem Patch-Verhalten macht deutlich, warum mobile Sicherheit eigene Werkzeuge und eigene Aufmerksamkeit braucht.

Warum eine Plattform selten reicht

Das Versprechen vieler Hersteller, sämtliche Sicherheitsdisziplinen über eine einzige Plattform abzudecken, hält der Praxis oft nicht stand. Netzwerksicherheit, Identity, Endpoint-Schutz, Cloud-Sicherheit, mobile Geräte und OT-Sicherheit sind fachlich zu unterschiedlich, als dass ein Anbieter überall gleich tief investieren könnte. Wer sich vollständig auf ein Ökosystem verlässt, riskiert blinde Flecken genau dort, wo der Hersteller strategisch andere Prioritäten setzt und eine Abhängigkeit, die sich bei einem späteren Wechsel als teuer erweist.


Ein typisches Beispiel zeigt sich im mobilen Bereich: Microsoft Defender for Endpoint ist eine starke Lösung mit Fokus aus Windows-Umgebungen, Server und die breite Endpoint-Landschaft. Mobile Bedrohungen sind dort ein Teilaspekt unter vielen. Beispielsweise Lookout konzentriert sich hingegen ausschliesslich auf mobile Geräte und erreicht dadurch eine Erkennungstiefe, die ein breit aufgestellter Anbieter kaum leisten kann. Ein Managed-Security-Partner, der solche Speziallösungen orchestriert, statt sie durch eine vermeintliche Alles-in-einem-Plattform zu ersetzen, deckt damit potenziell mehr Angriffsflächen ab, statt nur jene, für die der Hauptanbieter historisch am stärksten investiert. Deshalb ist ein Ansatz, der bewusst auf mehrere spezialisierte Lösungen setzt, und die Integration zwischen ihnen als dauerhafte, nicht als einmalige Aufgabe versteht, tragfähiger. Der eigentliche Mehrwert eines erfahrenen Managed-Security-Partners liegt weniger im Verkauf zusätzlicher Werkzeuge als in der Fähigkeit, heterogene Systemlandschaften so zu orchestrieren, dass am Ende ein konsistentes, handlungsfähiges Lagebild entsteht.

Neue Rollen, neue Verantwortlichkeiten

Mit der Auslagerung operativer Sicherheitsaufgaben verschiebt sich auch die Rolle interner IT-Teams. Die Detailarbeit der Überwachung wandert nach aussen, während intern die strategische Steuerung an Bedeutung gewinnt: Risikobewertung, Entscheidungskompetenz im Krisenfall und die Verantwortung für regulatorische Meldewege bleiben unternehmensintern verankert, selbst wenn die technische Erkennung extern erfolgt.


Damit dieses Modell funktioniert, braucht es klar dokumentierte Zuständigkeiten. Insbesondere die neue Meldepflicht für kritische Infrastrukturen macht deutlich, wie eng operative Erkennung und regulatorische Meldewege inzwischen ineinandergreifen müssen. Ein extern erkannter Vorfall muss intern innerhalb weniger Stunden bewertet und, falls nötig, gemeldet werden können. Ohne abgestimmte Prozesse wird aus einer Auslagerung schnell ein zusätzliches Risiko statt einer Entlastung.

Entlastung interner Ressourcen

Managed Security Services haben sich von der ausgelagerten Einzelmassnahme zum verbindenden Element moderner Sicherheitsarchitekturen entwickelt. Ihr Wert liegt nicht mehr primär in der reinen Entlastung knapper interner Ressourcen, so wichtig diese angesichts des anhaltenden Fachkräftemangels bleibt, sondern in der Fähigkeit, Cloud- und On-Premises-Welten, klassische und mobile Endpunkte sowie interne und externe Verantwortlichkeiten zu einem konsistenten Sicherheitsniveau zusammenzuführen. Unternehmen, die diesen Weg gehen, tun gut daran, Integration von Beginn an mitzudenken, technologisch wie organisatorisch, statt sie als nachträgliche Korrektur zu behandeln. Die Bedrohungslage wird diese Entscheidung nicht einfacher machen: Die Zahlen aus den letzten Halbjahresberichten des BACS sprechen dafür eine deutliche Sprache.