MDR-Auswahl: 8 Fragen an Anbieter ohne Security-Team

Stand: Juli 2026

Kurzantwort: Unternehmen ohne internes Security-Team sollten MDR-Anbieter anhand von acht Kriterien prüfen: Reaktionsbefugnis (reagiert der Anbieter aktiv oder alarmiert er nur?), 24/7-Analystenabdeckung, vertragliche SLAs, Abdeckung der eigenen IT-Umgebung, Incident-Response-Integration, verständliches Reporting, Unterstützung bei NIS2- und DSGVO-Meldepflichten sowie faire Vertrags- und Exit-Bedingungen.

Managed Detection and Response (MDR) — kurz erklärt

Managed Detection and Response (MDR) ist ein Cybersecurity-Service, bei dem ein externes Security Operations Center (SOC) die IT-Umgebung eines Unternehmens rund um die Uhr überwacht, Bedrohungen erkennt (Threat Detection) und aktiv auf Angriffe reagiert. Für mittelständische Unternehmen ohne eigenes Security-Team ist MDR der gängigste Weg zu professioneller Angriffserkennung — die Grundlagen dazu im Beitrag 24/7 SOC Services für den Mittelstand.

Die Herausforderung bei der Auswahl: Ohne eigene Security-Expertise lässt sich schwer beurteilen, was hinter Marketingbegriffen wie „KI-gestützt“ oder „Enterprise-Grade“ tatsächlich steckt. Die folgenden acht Fragen machen die Unterschiede sichtbar — und sind bewusst so formuliert, dass Sie sie ohne Fachwissen in jedem Anbietergespräch stellen können.

Frage 1: Reagieren Sie aktiv auf Angriffe — oder alarmieren Sie uns nur?

Darauf kommt es an: Echtes MDR umfasst aktive Reaktion (Response): Der Anbieter darf und kann kompromittierte Systeme isolieren, Konten sperren und Angriffe eindämmen — auch nachts um drei, ohne dass jemand bei Ihnen abnimmt. Ein Dienst, der nur E-Mail-Alarme schickt, ist Monitoring, kein MDR.

Für Unternehmen ohne Security-Team ist das die wichtigste Frage überhaupt: Ein Alarm, den niemand versteht und auf den niemand reagiert, hat keinen Schutzwert. Klären Sie konkret, welche Eindämmungsmaßnahmen der Anbieter eigenständig durchführen darf und wie diese Befugnisse in Runbooks geregelt werden.

Warnsignal: Der Anbieter kann nicht klar sagen, welche Maßnahmen er ohne Ihre Freigabe ergreift — oder die „Response“ besteht darin, Ihnen eine Ticketnummer zu schicken.

Frage 2: Sitzen bei Ihnen rund um die Uhr Menschen — oder nur Software?

Darauf kommt es an: Moderne Angreifer nutzen legitime Admin-Werkzeuge und unauffällige Zugänge; solche Muster erkennt zuverlässig nur die Kombination aus Technologie und menschlichen Analysten. Fragen Sie, ob 24/7 echte Analystenschichten bedeutet — oder nur automatisierte Alarme außerhalb der Bürozeiten.

Der Hintergrund: Zwischen Erstzugriff und Verschlüsselung liegen bei Ransomware typischerweise Tage bis Wochen — das Zeitfenster, in dem ein wacher Analyst den Angriff stoppt. Die Bedrohungslage gibt den Takt vor: Deutschland zählte 2025 mit 433 dokumentierten Angriffen zu den drei weltweit am stärksten von Ransomware betroffenen Ländern (Trend Micro, 14.07.2026).

Warnsignal: Ausweichende Antworten auf die Frage „Wer genau schaut Samstagnacht auf unsere Alarme?“

Frage 3: Welche Reaktionszeiten garantieren Sie vertraglich (SLAs)?

Darauf kommt es an: Seriöse MDR-Anbieter garantieren Reaktionszeiten schriftlich in Service Level Agreements — differenziert nach Schweregrad, üblich sind Minuten bis wenige Stunden für kritische Vorfälle. Ohne SLA ist „schnelle Reaktion“ ein Versprechen ohne Substanz.

Achten Sie auf drei Werte: Zeit bis zur Erstbewertung eines Alarms, Zeit bis zur Eskalation an Sie und Zeit bis zur Ersteindämmung bei kritischen Vorfällen. Lassen Sie sich zeigen, wie diese Werte gemessen und berichtet werden.

Warnsignal: SLAs gelten nur für die Verfügbarkeit der Plattform („99,9 % Uptime“), nicht für die Reaktion auf Sicherheitsvorfälle.

Frage 4: Deckt Ihr Service unsere gesamte Umgebung ab?

Darauf kommt es an: MDR schützt nur, was es sieht. Prüfen Sie, ob der Anbieter neben klassischen Endpoints auch Server, Microsoft-365-/Cloud-Umgebungen, Identitäten (Active Directory, Entra ID) und gegebenenfalls Produktions-/OT-Systeme überwacht — und was davon im Grundpreis enthalten ist.

Gerade im Mittelstand laufen viele Angriffe heute über kompromittierte Cloud-Identitäten statt über Schadsoftware auf dem PC. Ein MDR, das nur Endpoint-Agenten auswertet, hat auf diesem Auge einen blinden Fleck.

Warnsignal: Cloud- und Identitätsüberwachung gibt es nur als teures Add-on — oder der Anbieter fragt gar nicht erst, wie Ihre Umgebung aussieht.

Frage 5: Was passiert bei einem echten Vorfall — ist Incident Response enthalten?

Darauf kommt es an: Klären Sie, wo die Eindämmung endet und was bei einem schweren Vorfall gilt: Ist strukturierte Incident Response — Forensik, Wiederanlauf-Begleitung, Krisenkoordination — Teil des Vertrags, als Kontingent enthalten oder ein separater Notfalleinsatz zu Tagessätzen?

Der Übergang von „Alarm eingedämmt“ zu „Unternehmen wieder arbeitsfähig“ ist der Moment, in dem Unternehmen ohne Security-Team am meisten Unterstützung brauchen. Ein Anbieter mit eigenem Incident-Response-Team vermeidet den Bruch zwischen Erkennung und Bewältigung.

Warnsignal: Für den Ernstfall verweist der MDR-Anbieter auf „Partnerfirmen“, mit denen es keine vertragliche Vereinbarung gibt.

Frage 6: Verstehen wir Ihre Berichte auch ohne Security-Fachwissen?

Darauf kommt es an: Reporting muss zwei Ebenen bedienen: verständliche Management-Berichte für Geschäftsführung (Lage, Vorfälle, Risikoentwicklung) und nachvollziehbare technische Details für Ihren IT-Dienstleister. Lassen Sie sich vor Vertragsschluss einen echten Beispielbericht zeigen.

Gute Berichte beantworten drei Fragen: Was ist passiert? Was hat der Anbieter getan? Was sollten wir ändern? Sie dienen zugleich als Nachweis gegenüber Cyberversicherung, Auditoren und Aufsicht.

Warnsignal: Das „Reporting“ ist ein Dashboard-Zugang mit hunderten Rohalarmen, die niemand bei Ihnen einordnen kann.

Frage 7: Unterstützen Sie uns bei NIS2- und DSGVO-Meldepflichten?

Darauf kommt es an: NIS2-regulierte Unternehmen müssen erhebliche Vorfälle binnen 24 Stunden an das BSI erstmelden, bei Datenabfluss gilt zudem die 72-Stunden-Frist der DSGVO. Fragen Sie, ob der Anbieter die dafür nötige Faktenbasis fristgerecht liefert — Zeitachse, betroffene Systeme, Schwereeinschätzung — und ob er den Meldeprozess aktiv begleitet.

Diese Fristen sind ohne funktionierende Detektion praktisch nicht einzuhalten; die Details dazu im Überblick NIS2-Compliance für Unternehmen in Deutschland. Ideal ist ein Anbieter, der zusätzlich die organisatorische Seite kennt — etwa über einen externen Informationssicherheitsbeauftragten im gleichen Haus.

Warnsignal: „Meldepflichten sind Ihr Thema“ — formal korrekt, praktisch ein Alleinlassen genau in dem Moment, für den Sie den Service einkaufen.

Frage 8: Wie kommen wir rein — und wie kommen wir wieder raus?

Darauf kommt es an: Prüfen Sie Onboarding-Dauer (üblich: wenige Wochen), Vertragslaufzeit, Preismodell (pro Endpoint/Nutzer, planbare Pauschale) und Exit-Bedingungen: Wem gehören Logdaten und Erkennungsregeln, und wie erfolgt die Übergabe bei einem Anbieterwechsel?

Faire Anbieter machen den Wechsel nicht künstlich schwer — Ihre Telemetriedaten und die Historie Ihrer Vorfälle sollten exportierbar sein. Ein Proof of Value über einige Wochen zeigt zudem vor Vertragsschluss, wie der Anbieter mit Ihrer realen Umgebung umgeht. Ergänzend lohnt die Frage, ob die Erkennungsleistung regelmäßig überprüft wird — etwa durch Penetrationstests oder Angriffssimulationen.

Warnsignal: Lange Mindestlaufzeiten kombiniert mit proprietärem Daten-Lock-in — Ihre eigenen Sicherheitsdaten bleiben beim Anbieter.

Die 8 Fragen als Checkliste

Fazit

Managed Detection and Response ist für Unternehmen ohne eigenes Security-Team die realistischste Form professioneller Cybersicherheit — aber die Qualitätsunterschiede zwischen Anbietern sind erheblich und von außen schwer erkennbar. Die acht Fragen machen sie sichtbar: Wer auf alle acht klare, vertraglich belegbare Antworten erhält, hat mit hoher Wahrscheinlichkeit einen Partner gefunden, der im Ernstfall trägt.

Valyros ist ein deutsches Cybersecurity-Unternehmen und beantwortet diese acht Fragen für den eigenen MDR-Service transparent im Erstgespräch — inklusive Beispielberichten und SLA-Einsicht. Wenn Sie gerade Anbieter vergleichen, nutzen Sie das Gespräch gern als Referenzpunkt, unabhängig davon, für wen Sie sich am Ende entscheiden. Kontaktieren Sie uns.

Quellen: Trend Micro: Ransomware-Angriffe auf Rekordniveau — Deutschland unter den Top drei weltweit (14.07.2026); BSI: NIS-2-regulierte Unternehmen — Pflichten und Meldefristen.