MDR-Anbieter auswählen: Checkliste mit 9 Kriterien

Der Markt für Managed Detection and Response ist in wenigen Jahren unübersichtlich geworden: Vom globalen Hersteller-SOC über spezialisierte Boutiquen bis zum Systemhaus, das seinen Virenschutz-Wiederverkauf in „MDR" umbenannt hat, nennt sich heute vieles gleich — und leistet sehr Unterschiedliches. Für Unternehmen, die Angebote einholen, ist das ein Problem: Die Datenblätter ähneln sich, die Unterschiede stecken im Betrieb.

Die gute Nachricht: Mit den richtigen Fragen lassen sich echte MDR-Dienste schnell von Alarmweiterleitern unterscheiden. Die folgende Checkliste bündelt neun Prüfkriterien — angelehnt an die Evaluationsfragen, die Hersteller wie Sophos selbst für die Anbieterwahl empfehlen, und ergänzt um die Punkte, die für deutsche Mittelständler, Kanzleien und Gesundheitseinrichtungen zusätzlich entscheidend sind: Datenschutz, Datenstandort und NIS2. Wer zunächst die Grundlagen klären will, liest Was ist MDR?; die Make-or-Buy-Frage behandelt SOC aufbauen oder MDR nutzen?.

Die Checkliste: 9 Fragen an jeden MDR-Anbieter

1. Welche Sichtbarkeit haben die Analysten — nur Endpoints oder die ganze Umgebung?

Moderne Angriffe laufen über mehrere Ebenen: Sie beginnen im Postfach, nutzen gestohlene Identitäten, bewegen sich durchs Netzwerk und enden in der Cloud. Ein MDR-Dienst, der nur Endpoint-Telemetrie sieht, erkennt mehrstufige Angriffe zu spät. Prüfen Sie, ob Endpoint, Netzwerk, Firewall, Cloud, E-Mail, Identität (Microsoft 365 / Entra ID) und Backup-Systeme einbezogen werden — und ob das im angebotenen Paket enthalten ist oder extra kostet.

2. Integriert sich der Dienst in unseren vorhandenen Stack?

Ein Anbieter, der zuerst den Austausch Ihrer Sicherheitsprodukte verlangt, verkauft Lizenzen, keinen Schutz. Gute MDR-Dienste sind herstellerneutral und binden vorhandene Lösungen per fertiger Integration ein — führende Anbieter nennen hier mehrere hundert Integrationen, inklusive tiefer Microsoft-Kompatibilität. Fragen Sie konkret nach Ihrer Umgebung: Firewall-Hersteller, EDR, M365-Tenant, Branchenanwendungen.

3. Wie schnell wird tatsächlich reagiert — und worauf verpflichtet sich der Anbieter?

Entscheidend ist nicht die Zeit bis zum Alarm, sondern die Zeit bis zur Eindämmung. Zur Einordnung: Sophos nennt für seinen Dienst durchschnittlich 38 Minuten von Erkennung bis vollständiger Bereinigung — branchenübliche Inhouse-Werte liegen bei Stunden bis Tagen. Verlangen Sie belastbare Kennzahlen (MTTD/MTTR) und vertragliche Reaktionszeiten statt Marketingangaben, und fragen Sie, welche Reaktionen der Anbieter eigenständig ausführt (Host-Isolation, Kontosperrung) und welche erst nach Rückfrage.

4. Ist vollwertige Incident Response enthalten — oder endet der Service beim Alarm?

Der teuerste Satz im Kleingedruckten lautet: „Response-Unterstützung nach Aufwand." Wenn der Ernstfall eintritt, darf die Eindämmung nicht an Stundenkontingenten scheitern. Prüfen Sie, ob vollständige Incident Response — Eindämmung, Beseitigung, Ursachenanalyse (Root Cause Analysis) — ohne Deckelung und ohne Zusatzkosten enthalten ist, und ob es dafür benannte Ansprechpartner gibt.

5. Wer arbeitet da eigentlich — und wie ist KI eingebunden?

Hinter einem echten MDR-Dienst steht ein gestaffeltes Team: Analysten, Threat Hunter, Detection Engineers, Incident Responder, Forensiker. Fragen Sie nach Teamgröße, Schichtmodell und Spezialisierung. Zunehmend relevant: der KI-Einsatz. Automatisierung in der Triage und bei Standardreaktionen ist ein Qualitätsmerkmal (sie macht den Dienst schnell und skalierbar) — aber es muss klar geregelt sein, wo Menschen prüfen, eingreifen und die Verantwortung tragen.

6. Passt das Servicemodell zu unserer Organisation?

MDR ist kein Einheitsprodukt. Anbieter sollten verschiedene Stufen und Betriebsmodelle anbieten: vollständig ausgelagert für Unternehmen ohne eigenes Security-Team, Co-Managed für Teams, die Steuerung behalten und Entlastung suchen, definierbare Reaktionsmodi (vom „erst anrufen" bis zur automatischen Eindämmung). Fragen Sie auch nach Onboarding-Dauer und was Ihr Team im laufenden Betrieb leisten muss.

7. Welche Berichte und Nachweise liefert der Dienst?

Für Geschäftsführung, Auditoren und Versicherer zählt, was dokumentiert ist: regelmäßige Berichte zu Vorfällen und Reaktionen, nachvollziehbare Fall-Dokumentation, jährliche Service-Reviews. NIS2-regulierte Unternehmen sollten zusätzlich prüfen, ob der Anbieter die Meldeprozesse unterstützt — also binnen 24 Stunden belastbare Vorfallsinformationen für die BSI-Erstmeldung liefern kann. Mehr dazu in unserem Beitrag zur NIS2-Durchsetzung durch das BSI.

8. Wo liegen die Daten — und stimmt der Datenschutz?

Für deutsche Unternehmen, erst recht für Berufsgeheimnisträger und Gesundheitseinrichtungen, gehören diese Fragen in jede Ausschreibung: Wo wird Telemetrie gespeichert und verarbeitet (EU-Datenstandort)? Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO? Welche Daten verlassen die EU, und auf welcher Rechtsgrundlage? Wie lange werden Daten aufbewahrt? Ein seriöser Anbieter beantwortet das schriftlich und ohne Zögern.

9. Erreichen wir im Ernstfall Menschen — auf Deutsch, mit Kontext?

Im Vorfall um 3 Uhr morgens entscheidet die Qualität der Kommunikation: Gibt es eine 24/7 erreichbare Eskalationsnummer? Deutschsprachige Ansprechpartner für Geschäftsführung und IT? Kennt der Anbieter Ihre Umgebung — oder beginnt jeder Kontakt bei null? Lokale Betreuung mit globaler Erkennungsstärke im Rücken ist für den Mittelstand die beste Kombination.

Rote Flaggen: Woran Sie Mogelpackungen erkennen

Vorsicht ist angebracht, wenn ein Anbieter nur Alarme weiterleitet, statt selbst zu reagieren; wenn Incident Response grundsätzlich extra kostet; wenn keine konkreten Reaktionszeiten zugesagt werden; wenn die „24/7-Überwachung" bei Nachfrage aus einem Bereitschaftshandy besteht; oder wenn zur Vertragsunterschrift zwingend der Komplettaustausch Ihrer Sicherheitsprodukte gehört. Ebenso verräterisch: Auf die Datenschutz-Fragen aus Punkt 8 kommt keine schriftliche Antwort.

Fazit

Die Auswahl eines MDR-Anbieters ist eine Partnerwahl für den Ernstfall — und sie lässt sich systematisch treffen: volle Sichtbarkeit über alle Angriffsflächen, Integration statt Austauschzwang, verbindliche Reaktionszeiten, enthaltene Incident Response, ein nachvollziehbares Mensch-und-KI-Modell, passende Servicestufen, belastbare Berichte, sauberer Datenschutz und erreichbare Menschen. Wer diese neun Punkte in jedes Anbietergespräch mitnimmt, trennt echte MDR-Dienste zuverlässig von umetikettierten Alarmzentralen.

Gern stellen wir uns selbst diesen Fragen: Das Team von Valyros beantwortet Ihnen die Checkliste Punkt für Punkt für Ihre Umgebung — unverbindlich und schriftlich. Einen Überblick gibt die MDR-Leistungsseite.

Quellen

• Sophos: „MDR Security Vendor Checklist — Questions to ask when evaluating a managed detection and response (MDR) vendor" (2025) — Grundgerüst der Evaluationsfragen (Sichtbarkeit, Integration, Reaktionszeit, Servicestufen, enthaltene Incident Response).
• Sophos: MDR Solution Brochure (2026) — Servicestufen, Engagement-Modelle, Integrations-Ökosystem.
• Sophos: Infografik „MDR vs. internes SOC" (deutsch) — Reaktionszeit-Benchmark 38 Minuten.