Wir sind ein 4-köpfiges Cybersecurity-Beratungsteam – stimmen unsere Service-Pakete und Preise nicht?

Wir saßen zu dritt in genau derselben Zwickmühle. Haben die reinen Einmal-Tests gestrichen und stattdessen mittelständische Finanz- und Logistikunternehmen vor Ort mit Monitoring- und Audit-Verträgen für monatlich 2.000 Pfund gewonnen. Mittlerweile haben wir 12 feste Kunden, machen 24.000 Pfund Fixumsatz im Monat und können uns endlich auf die Arbeit konzentrieren, ohne ständig an den nächsten Monat zu denken.

Die Umstellung geht am besten schrittweise: 1) Geht alle Altkunden durch, bei denen ihr im letzten Jahr Pentests gemacht habt, und ruft sie an. 2) Fragt nach: „Die alten Lücken habt ihr geschlossen, aber wie sieht es mit neuen Risiken der letzten 6 Monate aus?“ und bietet einen kurzen Check an. 3) Hängt ans Angebot direkt eine monatliche Betreuungspauschale dran, die 4 Scans im Jahr beinhaltet.

Passt beim Wechsel auf ein Monatsmodell aber auf: KMU zahlen ungern monatlich fürs Thema Security – Geld wird da meist erst locker gemacht, wenn ein Breach passiert ist oder ein Audit vor der Tür steht. Wenn ihr den Kunden neben rein technischen Berichten nicht auch Compliance-Nachweise liefert, die Versicherungsprämien senken oder Vertriebsdeals beschleunigen, wird der Retainer-Verkauf verdammt zäh.

Um Scope Creep zu verhindern, solltet ihr diese 3 Punkte unbedingt im Vertrag festhalten: 1) Die Liste der IPs und Domains im Projektumfang wird eingefroren; neue Assets werden separat berechnet. 2) Nach dem Bericht gibt es maximal eine Runde Nachtests. 3) Revisionsanfragen, die nicht innerhalb von 14 Tagen nach Berichtspräsentation abgeschlossen sind, gelten als erledigt.

stundensätze machen beratung kaputt. je schneller du das problem löst, desto weniger kohle kriegst du, setzt einfach falsche anreize. schnürt pakete mit festem scope und monatlichen retainern dann habt ihr eure ruhe.

Edit: Ich habe oben etwas falsch geschrieben, entschuldigung.

Auf dem britischen Markt werden Lieferketten-Regulierungen und Standards für Unternehmens-Audits immer strenger. Wenn Sie Ihren Kunden nicht bloß technische Scans verkaufen, sondern das Versprechen, das nötige Sicherheitsniveau für Unternehmensausschreibungen abzusichern, lassen sich monatliche Beratungshonorare deutlich leichter durchsetzen.

In unserem ersten Jahr haben wir für einen E-Commerce-Kunden einen Penetrationstest für 4.000 Pfund gemacht. 8 Monate lang riefen die bei jedem Serverumzug an mit „könnt ihr mal kurz drüberschauen“ wir konnten nicht Nein sagen und sind fast pleitegegangen. Dann haben wir eine klare Grenze gezogen: entweder 1.200 Pfund Support-Vertrag im Monat oder Abrechnung nach Stunden. Sie haben sofort und gern unterschrieben.

Verkaufen Sie dem Kunden nicht Ihre aufgewendeten Stunden sondern das abgewendete Risiko und die unternehmerische Sicherheit; sobald Sie den Preis an Stunden koppeln, verhandelt man nicht mehr über Ihr Fachwissen sondern über Ihre Stoppuhr.

Edit: Ich habe ein paar Tippfehler korrigiert.

Da ist mir noch ein Punkt unklar. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Gewohnheiten zu ändern ist schwieriger und teurer als ein System aufzubauen.

Vor zwei Jahren habe ich genau dasselbe erlebt. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Wenn deine Situation anders ist, ändert sich das natürlich.

Ein Thema, das gerade aktuell ist. Fehler auf der cybersecurity-beratung-Seite sind meist rückgängig zu machen, aber teuer.

Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen. An deiner Stelle würde ich so vorgehen.

Da stimme ich zu. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Wenn ihr es zum ersten Mal macht fangt klein an, die Skalierung kommt später. Ich hoffe das hilft dir weiter.

Ich spreche mal aus der Gegenperspektive, ich bin auf der Lieferantenseite. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

An deiner Stelle würde ich so vorgehen.

hier muss man eine Unterscheidung treffen. wenn wir ohne Messung entscheiden landen wir immer wieder am selben Punkt.

das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Das hatte ich auch schon überlegt. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ich schreibe das, damit ihr denselben Fehler nicht macht. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Beginnt mit einem kleinen Test, bindet nicht gleich alles fest. Aus Erfahrung weiß ich das.

Bei uns war es so. Schau dir an, wo das Loch im Eimer ist; Wasser oben draufgießen löst es nicht.

Ich hoffe, das hilft dir weiter.

Ich möchte kurz warnen. Schaut zuerst welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf. Wenn deine Situation anders ist ändert sich das natürlich.