Der Einkäufer ist im Boardroom angekommen. Die meisten MSPs sprechen noch mit dem Serverraum.

Nach einer kürzlichen Veranstaltung für Managed Service Provider stellte mir ein erfahrener Security Director bei einem europäischen Distributor eine Frage, die mir im Gedächtnis geblieben ist. Nicht, wie die Plattform funktioniert. Nicht, welche Features wichtig sind. Er fragte, wie ein MSP in den ersten neunzig Tagen eine Dienstleistung rund um Compliance aufbaut. Wie Sie aus regulatorischem Kopfzerbrechen ein Angebot machen, das sich tatsächlich verkaufen lässt.

Diese Frage verrät mehr, als sie zunächst scheint. Sie zeigt eine Verschiebung an, die die meisten MSPs spüren, aber noch nicht in ihr Geschäftsmodell übersetzt haben. Die Person, die Cybersicherheit einkauft, hat sich verändert. Die Frage, die sie stellt, hat sich verändert. Und die MSPs, die sich mit diesem Wandel nicht mitbewegen, verlieren Kunden nicht, weil ihr Engineering schwach war. Sie verlieren Kunden, weil ein Wettbewerber ein Gespräch führen konnte, das sie selbst nicht führen konnten.

Der Einkäufer ist nicht mehr der IT-Manager

Über den größten Teil des vergangenen Jahrzehnts war der IT-Manager derjenige, der Sicherheit bei einem MSP einkaufte. Das Gespräch war technisch. Das Budget lag bei der IT. Die Frage war eine Variante von “sind wir gepatcht, sind wir abgesichert, werden wir überwacht”.

Diese Person ist nicht mehr die einzige Einkäuferin, und zunehmend nicht mehr die entscheidende. Cybersicherheit ist im Gebäude nach oben gewandert, in den Boardroom, und der Gesetzgeber hat sie dorthin gestellt. Nach der NIS2-Richtlinie liegt die Verantwortung für das Cyberrisikomanagement ausdrücklich bei der Unternehmensleitung, und Geschäftsführer können persönlich haftbar gemacht werden, wenn sie diese Aufgabe nicht wahrnehmen. NIS2 geht noch weiter: Die Richtlinie verpflichtet die Mitgliedstaaten sicherzustellen, dass Vorstandsmitglieder Schulungen zum Cyberrisiko absolvieren, eine Pflicht, die inzwischen Geschäftsführer in der gesamten Europäischen Union betrifft. ENISA, die EU-Agentur für Cybersicherheit, veröffentlichte im Juni 2025 Leitlinien zu diesen Rollen und Verantwortlichkeiten, und die nationalen Umsetzungen verankern das Prinzip in unterschiedlichem Tempo in hartem Recht. Deutschland ging als Erstes voran, und zwar konsequent: Das NIS2-Umsetzungsgesetz, das deutsche Umsetzungsgesetz, trat am 6. Dezember 2025 ohne Übergangsfrist in Kraft, was bedeutet, dass Organisationen, die auf Vollzugshinweise gewartet hatten, bereits am ersten Tag nicht compliant waren. Die Niederlande folgen dicht dahinter. Das niederländische Parlament verabschiedete am 15. April 2026 die Cyberbeveiligingswet, das niederländische NIS2-Umsetzungsgesetz, und das Gesetz soll voraussichtlich am 1. Juli 2026 in Kraft treten. Die begleitende Verordnung, die die detaillierten Pflichten festlegt, das Cyberbeveiligingsbesluit, regelt die Schulungspflicht für Geschäftsführer ausdrücklich.

Lesen Sie diesen letzten Punkt noch einmal. Überall in Europa, inzwischen Land für Land in nationales Recht gegossen, sind Vorstandsmitglieder verpflichtet, in Cyberrisiken geschult zu werden. Wenn der Gesetzgeber eine Schulungspflicht für Geschäftsführer in hartes Recht schreibt, hat das Thema den Serverraum unmissverständlich verlassen.

Die Frage, die der Vorstand Ihres Kunden nun stellt, lautet also nicht mehr “sind wir gepatcht”. Sie lautet “können wir beweisen, dass wir widerstandsfähig und compliant sind”. Und genau dieses eine Wort, beweisen, verändert für Sie als deren MSP alles.

Warum verändert “beweisen” alles?

Zwischen sicher sein und es nachweisen können liegen Welten. “Wir nehmen Sicherheit ernst” zu sagen, reichte früher aus, um eine Cyberversicherung zu verlängern oder die Einkaufsabteilung eines Kunden zufriedenzustellen. Das reicht heute nicht mehr.

Cyberversicherungen sind das deutlichste Beispiel. Das Underwriting hat sich still und leise in eine technische Prüfung verwandelt. Laut Aons Cyber Market Report 2026 führen “inzwischen etwa drei von vier Versicherern während des Underwritings einen externen Attack-Surface-Scan durch”, statt sich auf Selbstauskünfte zu verlassen. Die finanziellen Konsequenzen sind erheblich: Dokumentierte Kontrollen können eine Prämie bei der Verlängerung um zwanzig bis vierzig Prozent verschieben, und S&P Global Ratings prognostiziert für 2026 einen Anstieg der Cyberprämien um fünfzehn bis zwanzig Prozent, nach zwei Jahren der Entspannung. Eine Organisation, die keine Nachweise vorlegen kann, zahlt nicht nur mehr. Sie kann auch feststellen, dass für sie zu keinem Preis mehr Deckung zu bekommen ist.

Dasselbe Muster zeigt sich bei Lieferantenfragebögen. Mid-Market- und KMU-Unternehmen erhalten davon inzwischen dutzende, und jeder einzelne fragt nicht, ob Kontrollen existieren, sondern nach dem Nachweis dafür. Wie die Distributoren- und MSP-Community selbst dokumentiert hat, ist die einseitige Selbstauskunft detaillierten Fragebögen gewichen, und in manchen Fällen externen Assessments, bevor eine Police abgeschlossen wird. Kontinuierlicher Nachweis schlägt eine jährliche Momentaufnahme, weil der Einkäufer auf der anderen Seite gelernt hat, dass eine punktuelle Selbstauskunft wenig aussagt.

Das ist der Kern der Verschiebung. Der Markt hat sich vom Behaupten zum Beweisen bewegt. Und Beweisen ist kontinuierliche, strukturierte und zeitaufwendige Arbeit. Und genau darin liegen für MSPs sowohl die Chance als auch das Problem.

Warum die meisten MSPs nicht mit dem Einkäufer mitziehen

Hier kommt der unangenehme Teil. Die meisten MSPs können das Boardroom-Gespräch heute nicht führen. Nicht, weil sie schlecht in ihrem Job sind. Sondern wegen zweier Dinge, die nichts mit der Qualität ihres Engineerings zu tun haben.

Das Erste sind die Tools. Eine typische Kundenumgebung verfügt über Endpoint-Schutz, Microsoft 365-Sicherheit, Identity-Tooling, einen Passwortmanager und Backup. Jedes dieser Tools ist in seiner eigenen Aufgabe hervorragend. Aber jedes spricht seine eigene Sprache, erstellt seinen eigenen Bericht und lebt in seinem eigenen Dashboard. Wenn der CFO hereinkommt und fragt “können wir beweisen, dass wir NIS2-compliant sind”, gibt es keine einzige Stelle, die diese Frage beantwortet. Jemand muss eine Konsole nach der anderen öffnen und die Antwort von Hand zusammensetzen, indem er technische Befunde in einer Tabelle manuell den Compliance-Controls zuordnet. Mehrere Konsolen, verstreute Berichte, keine einheitliche Antwort.

Der zweite Grund ist das Team, und er ist der ernstere der beiden. Selbst wenn das Tooling das Gesamtbild zusammensetzen könnte, fehlen dem MSP die Stunden dafür. Gute Engineers sind knapp und teuer, und diejenigen, die Sie haben, sind mit der Arbeit ausgelastet, die heute bezahlt: Patchzyklen, Incident Response, Onboarding. Die Nachweisarbeit, die der Boardroom jetzt verlangt, passt nirgendwo hinein. Sie ist zu strategisch für den Service Desk und zu detailliert für das Management, und niemand hat eine freie Woche pro Kunde, um sie von Hand zu erledigen. Selbst die MSPs, die die Chance klar erkennen, können sie deshalb oft nicht umsetzen, weil die Arbeit nicht mit dem vorhandenen Team mitwächst.

Zwei Lücken also. Die Tools können nicht übersetzen, und das Team kann nicht mithalten. Zusammen erklären sie, warum so viele fähige MSPs feststecken und exzellente technische Arbeit für einen Einkäufer liefern, der den Raum längst still verlassen hat.

Compliance ist kein Kostenfaktor. Sie ist Ihre größte Margenchance seit einem Jahrzehnt.

Der größte Teil des Marktes behandelt NIS2, DORA und den Rest als Last. Als Kostenfaktor. Als Abhakpflicht, die irgendjemand irgendwo auffangen muss. Diese Sichtweise ist verständlich, und genau deshalb bleibt die Chance liegen.

Drehen Sie die Perspektive um. Jede Regulierung, die bei Ihrem Kunden landet, ist für diesen ein Grund, einen Partner zu brauchen, der sie in etwas übersetzt, worauf der Vorstand handeln kann. Das ist für Sie kein Kostenfaktor. Das ist eine Dienstleistungslinie. Und sie summiert sich zu mehreren Margenströmen zugleich.

Da ist wiederkehrender Umsatz aus der Plattform, die kontinuierlichen Nachweis möglich macht, verkauft mit eingebauter Marge, die mit der wachsenden Umgebung des Kunden mitwächst. Da ist eine neue Ebene von Beratungsleistungen, abgerechnet zu Beratungssätzen statt zu Engineering-Sätzen: vierteljährliches Vorstandsreporting, NIS2-Readiness-Reviews, Unterstützung bei Lieferantenfragebögen, Auditvorbereitung. Da ist Kundenbindung, denn sobald Sie der Partner sind, der das Dashboard liefert, auf das sich der Vorstand verlässt, sind Sie strukturell verankert und sehr schwer zu ersetzen. Und da ist Neugeschäft, denn der MSP, der bei einem Interessenten mit dem Compliance-Gespräch eröffnen kann, steigt auf einer Ebene ein, auf der der Preis nicht die erste Frage ist.

Viele Anbieter auf jener Veranstaltung sprachen über Features. Das Gespräch, das für einen MSP-Inhaber wirklich zählt, dreht sich um Marge, Differenzierung, Kundenbeziehungen und langfristigen Unternehmenswert. Compliance, neu gerahmt, ist der Ort, an dem all diese vier zusammenkommen.

Wie bauen Sie das in den ersten neunzig Tagen auf?

Das war die Frage des Distributors, und sie verdient eine konkrete Antwort statt eines Slogans.

Beginnen Sie nicht mit einem großen Transformationsprogramm. Beginnen Sie mit einer Handvoll bestehender Kunden, deren Umgebung Sie bereits kennen und zu denen die Beziehung gut ist. Liefern Sie etwas, das sie noch nie hatten: einen einzigen, für den Vorstand lesbaren Überblick darüber, wo sie im Verhältnis zu den für sie geltenden Rahmenwerken stehen, mit den wichtigsten Risiken priorisiert und einem Plan, sie anzugehen. Genau dieses Artefakt, das Ding, das der Vorstand tatsächlich lesen kann, verwandelt eine technische Beziehung in eine Beratungsbeziehung.

Lassen Sie danach den Kalender die Verkaufsarbeit übernehmen. Die meisten Ihrer Kunden stehen vor einer Verlängerung ihrer Cyberversicherung, und die Makler-Community ist sich einig, dass die Vorbereitung etwa neunzig Tage vor der Verlängerung beginnen sollte. Viele von ihnen haben einen Lieferantenfragebogen im Posteingang liegen, von dem niemand weiß, wie er ihn effizient beantworten soll. Jedes dieser Ereignisse ist ein natürlicher, zeitlich gebundener Grund für den Kunden, jetzt statt später Ja zu sagen. Sie erfinden keine Nachfrage. Sie kommen einer Frist entgegen, die der Kunde bereits hat, mit einer Dienstleistung, von der er nicht wusste, dass Sie sie anbieten können.

Bauen Sie die wiederkehrende Dienstleistung um diesen Rhythmus herum auf: kontinuierliches Monitoring als Fundament, ein periodischer Bericht an den Vorstand obenauf, Beratungsstunden, wenn etwas interpretiert oder behoben werden muss. Neunzig Tage reichen aus, um das Modell bei einigen Accounts zu beweisen. Sie reichen nicht aus, um es über Ihre gesamte Kundenbasis auszurollen, und das sollten Sie auch nicht versuchen.

Nicht jeder MSP muss zum Beratungsunternehmen werden

Fairerweise ist das nicht der einzige gangbare Weg. Manche MSPs sind hervorragende technische Dienstleister, fühlen sich in dieser Rolle wohl, und es wird weiterhin echte Nachfrage nach rein technischer Leistungserbringung geben. Wenn das eine bewusste strategische Entscheidung ist, mit offenen Augen getroffen, ist sie durchaus vertretbar.

Das Risiko liegt nicht darin, sich für den technischen Weg zu entscheiden. Das Risiko liegt darin, überhaupt keine Entscheidung zu treffen, und in achtzehn Monaten festzustellen, dass die Beratungsbeziehung zu Ihren besten Kunden still und leise von jemand anderem übernommen wurde. Von einem konkurrierenden MSP, der zwei Jahre früher begonnen hat. Von einem regionalen Sicherheitsspezialisten, der jetzt Ihre Mid-Market-Accounts abgreift, weil er die Boardroom-Frage beantworten kann. Oder von einer Unternehmensberatung, die ins untere Marktsegment vordringt, die technische Arbeit nicht anfassen wird, aber gerne das Gespräch mit dem CFO an sich zieht und dann entscheidet, welcher MSP die Umsetzung bekommt, und zu welchen Konditionen.

Die Entscheidung

Ihre Kunden werden das Gespräch über Resilienz und Compliance führen. Dieser Teil liegt nicht mehr bei Ihnen; die Regulierungsbehörden, die Versicherer und ihre eigenen größten Kunden haben das bereits entschieden. Die einzige offene Frage ist, ob sie dieses Gespräch mit Ihnen führen, oder mit jemand anderem.

Zur Transparenz: Mein eigenes Unternehmen, Guardian360, ist ein unabhängiger Softwareanbieter in diesem Bereich. Wir entwickeln die Lighthouse-Plattform und verkaufen ausschließlich über Partner, nie direkt, daher habe ich ein klares Interesse daran, dass MSPs diesen Wandel für sich entscheiden. Aber das Argument steht auch ohne uns. Die MSPs, die in den kommenden Jahren verschwinden, verschwinden nicht, weil ihr Engineering nicht ausreichte. Sie verschwinden, weil ein Wettbewerber ein Gespräch führen konnte, das sie selbst nicht führen konnten.

Es lohnt sich also, sich die Frage ganz offen zu stellen. Sind Sie im Feature-Geschäft, oder sind Sie im Geschäft, Ihre Kunden glücklich zu machen? Das eine lässt sich innerhalb von drei Jahren leicht kopieren. Das andere nicht.