Security-Firma bietet Incident-Response-Retainer an – Lohnt sich die Jahresgebühr auf Abruf?

Ganz wichtig: Nehmt eure Cyber-Versicherungspolice zur Hand und prüft die Klauseln zu den akkreditierten Forensik-Dienstleistern (Panel Vendors). Viele Versicherer übernehmen Rechnungen externer Firmen schlichtweg nicht, wenn diese nicht auf ihrer Liste stehen. Ist die anbietende Firma dort nicht gelistet, verpuffen die 12.000 USD und ihr müsst im Ernstfall trotzdem auf das Team der Versicherung warten.

Wir standen letztes Jahr vor der gleichen Frage und haben den Retainer damals abgelehnt. Als dann eingebrochen wurde, mussten wir per Notfall-Hotline anfragen. Ein namhafter Forensik-Dienstleister verlangte 600 USD die Stunde und 40 Stunden Mindestabnahme als Vorschuss; allein die Freigabe durch unsere Rechtsabteilung dauerte 18 Stunden. Die Daten, die in diesen 18 Stunden verloren gingen, kosteten uns über 80.000 USD. Den 10.000-Dollar-Retainer verlängern wir jetzt ohne mit der Wimper zu zucken.

Für ne 35-Mann-Bude sind 12k USD echt kein Pappenstiel, vor allem wenn 8k davon einfach verpuffen. Wenn ihr auf moderner Cloud-Infra unterwegs seid, zentrales Logging sauber läuft und Backups komplett isoliert sind, steckt das Geld lieber in euer eigenes Cloud-Engineering und MFA/Zero Trust, statt es extern zu parken.

Bevor Sie den Vertrag unterschreiben, sollten Sie diese drei Punkte unbedingt schriftlich festhalten: 1) Bezieht sich die 2-stündige Reaktionszeit nur auf die telefonische Erreichbarkeit oder schalten sich die Forensik-Analysten innerhalb dieser Zeitspanne tatsächlich aktiv auf die Systeme auf? 2) Können nicht genutzte Stunden für Security-Awareness-Schulungen der Mitarbeiter oder Code-Audits verwendet werden, falls kein Vorfall eintritt? 3) Ist die Unterstützung bei rechtlichen Berichten inklusive, falls der Vorfall an Strafverfolgungs- oder Datenschutzbehörden übergeben werden muss?

hatten wir vor zwei jahren auch geholt aber bei uns wurden logs gar nicht richtig gespeichert. übrigens die leute kamen an und konnten nicht mal rausfinden wo der angriff herkam weil wir keine logs hatten. bevor ihr sowas unterschreibt stellt sicher dass eure systeme mindestens 90 tage lang zugriffslogs speichern sonst steht das team da und kann auch nix machen.

Der wichtigste Nutzen solcher Vereinbarungen liegt in der Vorbereitungsphase. Ein kompetentes Team erstellt direkt nach Vertragsabschluss einen Netzwerkplan, prüft die Log-Quellen und dokumentiert verbindlich, mit welchen Zugangsdaten im Notfall auf welchen Server zugegriffen wird. Im Ernstfall hat niemand Zeit, nach Passwörtern zu suchen. Wenn der Dienstleister diese Vorarbeiten nicht von vornherein leistet, hat der Vertrag technisch gesehen kaum einen Wert.

Gehen Sie noch einmal in die Verhandlung und fragen Sie nach einem Modell ohne Mindestabnahmemenge. Einige Dienstleister verlangen keine jährliche Vorauszahlung, sondern halten lediglich den Vorvertrag und die Zugriffsberechtigungen parat; erst im Ernstfall rechnen sie dann 450 bis 500 Dollar pro Stunde ab. Statt 12.000 Dollar an Liquidität zu binden, wäre dieses Modell für Ihre Unternehmensgröße ein deutlich sinnvollerer Einstieg.

Korrektur: Ich hatte die Zahl falsch im Kopf, sie war etwas niedriger.

Das hatte ich auch schon überlegt. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Nur als Notiz, könnte nützlich sein.

Ich fasse das Thema mal zusammen da es mehrere unterschiedliche Antworten gab. Beginnt mit einem kleinen Test bindet nicht gleich alles fest.

Wenn es jemand anders macht, würde mich das auch interessieren.

Die obige Antwort bringt es auf den Punkt. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später. Wenn es jemand anders macht, würde mich das auch interessieren.

Das wusste ich nicht.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Ein automatisierter Scan-Report ist kein Penetrationstest.

Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet. Viel Erfolg.

Ich würde sagen, lass uns nichts überstürzen. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Letztes Jahr haben wir fast genau dasselbe erlebt. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Wenn es jemand anders macht, würde mich das auch interessieren.

Es gibt auch noch die Mess-Seite. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Wenn ich dich richtig verstehe meinst du Folgendes: Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

An deiner Stelle würde ich so vorgehen.

Danke, genau die Antwort, die ich gesucht habe.

Richtig.