Sie können nicht verkaufen, was Sie selbst nicht aufgebaut haben

Auf einer kürzlichen Branchenveranstaltung über den Arbeitsplatz von 2030 sagte Ewoud Melis, CEO von Trustteam, etwas, das die meisten MSPs lieber vermeiden. Bringen Sie zuerst Ihre eigenen Daten in Ordnung. Optimieren Sie zuerst Ihre eigenen Workflows. Gehen Sie erst danach mit Ihren Kunden das KI-Gespräch ein. Es klingt selbstverständlich. Doch genau das passiert in der Praxis nicht.

Die Bemerkung traf einen Nerv, weil sie eine Lücke benannte, die der Markt lieber verdeckt. MSPs in ganz Europa verkaufen Copilot-Implementierungen, KI-Produktivitätstools und KI-Readiness-Assessments an Kunden, während ihre eigene Sicherheitslage, Compliance-Verpflichtungen und Resilienzmaßnahmen noch in Arbeit sind. Das ist nicht nur ein Glaubwürdigkeitsproblem. Es ist eine Schwachstelle. Und NIS2 macht daraus in Kürze eine Haftungsfrage.

Die Glaubwürdigkeitslücke, die niemand einpreist

Eine aktuelle Studie von AvePoint und Omdia unter 333 MSPs zeigt, dass mehr als die Hälfte der Befragten Governance- und Compliance-Probleme als größtes Hindernis für die KI-Einführung bei ihren Kunden nennt. Nicht Datensicherheit. Nicht Fachkräftemangel. Nicht der Return on Investment. Governance und Compliance. Die Ironie dabei ist, dass vom MSP verlangt wird, ein Problem zu lösen, das er selbst noch nicht gelöst hat.

Der Omdia-Bericht zu den MSP-Trends 2026 ist noch deutlicher: Die erfolgreichsten MSPs setzen KI zunächst intern ein, um Service-Desk-Abläufe zu automatisieren, das Wissensmanagement zu stärken und die Sicherheitsoperationen zu verbessern, bevor sie KI-gestützte Services extern vermarkten. Diese Reihenfolge ist kein netter Zusatz. Sie macht den Unterschied zwischen einem MSP, der etwas vorweisen kann, und einem, der es nur beschreiben kann.

Was diese Lücke gefährlich macht, ist, dass Kunden zunehmend anspruchsvoller werden. Robin Ody, Practice Leader für MSP-Analysen bei Omdia, brachte es auf den Punkt: MSPs, die geschäftslösungsorientierte und branchenspezifische Ansätze verfolgen, sind am besten positioniert, um diese Nachfrage zu bedienen. Das Gegenteil gilt ebenso. MSPs, die ihr eigenes Governance-Niveau nicht nachweisen können, werden Schwierigkeiten haben, dieses Gespräch auf Vorstandsebene zu führen, wo es zunehmend geführt werden muss.

‘Weerbaarheid’ und ‘veerkracht’: zwei Begriffe, die niederländische MSPs gerne verwechseln

Im niederländischsprachigen Diskurs dieses Marktes werden häufig zwei Konzepte vermischt, die eigentlich getrennt betrachtet werden sollten. Weerbaarheid, im Sinne von Robustheit, bedeutet zu verhindern, dass Vorfälle überhaupt erst auftreten. Starke Zugangskontrollen, kontinuierliches Vulnerability Scanning, Patch-Disziplin, gehärtete Konfigurationen. Veerkracht, näher an Wiederherstellungsfähigkeit, betrifft das, was geschieht, nachdem etwas schiefgelaufen ist. Incident Response, Business Continuity, die Integrität von Backups, die Fähigkeit, den Betrieb schnell wiederherzustellen.

Beides zählt. Doch beides erfordert unterschiedliche Investitionen, unterschiedliche Fragen und unterschiedliche Gespräche mit Kunden. Ein MSP, der diese Unterscheidung intern nicht getroffen hat, wird sie auch in Kundengesprächen vermischen, und diese Vermischung führt in der Regel zu Organisationen, die weder besonders robust noch besonders gut im Wiederherstellen sind.

NIS2 vermischt diese beiden nicht. Die Richtlinie verpflichtet erfasste Einrichtungen ausdrücklich dazu, sowohl Risikomanagement als auch Resilienzmaßnahmen zu adressieren, und legt Meldepflichten fest, die eine funktionierende Incident-Response-Fähigkeit voraussetzen. Für MSPs, die in den Niederlanden tätig sind, soll die Cyberbeveiligingswet, die niederländische Umsetzung von NIS2, im zweiten Quartal 2026 in Kraft treten und die bestehende Wbni ablösen. Dies ist keine zukünftige Verpflichtung mehr. Sie steht unmittelbar bevor.

Was NIS2 tatsächlich vom MSP selbst verlangt

Es hält sich ein hartnäckiges Missverständnis, wonach NIS2 in erster Linie ein Kundenproblem sei, bei dem MSPs ihren Kunden helfen. Das stimmt nur teilweise. MSPs fallen selbst unter NIS2, als Anbieter von Managed-ICT-Diensten, eine Kategorie, die ausdrücklich aufgeführt wird. ENISA hat spezifische technische Umsetzungsleitlinien für MSPs im Rahmen der Durchführungsverordnung (EU) 2024/2690 veröffentlicht.

Die Verpflichtungen sind nicht abstrakt. Sie umfassen regelmäßige Risikobewertungen, Zugangs- und Identitätskontrollen, Erkennung und Meldung von Vorfällen, Maßnahmen zur Sicherheit der Lieferkette sowie Governance-Strukturen mit ausdrücklicher Rechenschaftspflicht des Managements. In Deutschland, wo das NIS2-Umsetzungsgesetz am 5. Dezember 2025 in Kraft getreten ist, haften Leitungsorgane persönlich für Compliance-Verstöße. Allein in Deutschland soll sich die Zahl der regulierten Einrichtungen von rund 4.500 auf etwa 29.000 erhöhen. Die Rechenschaftspflicht auf Vorstandsebene ist EU-weit beabsichtigt, nicht nur eine deutsche Besonderheit.

Ein MSP, der Kunden zu NIS2-Compliance berät, während die eigenen Verpflichtungen unter derselben Richtlinie noch nicht erfüllt sind, befindet sich in einer Position, die nicht haltbar ist. Weder kommerziell noch, zunehmend, rechtlich.

Warum KI die Lücke gefährlich macht, nicht nur peinlich

Der Bedrohungskontext hat sich schneller verändert als die meisten Governance-Rahmenwerke. Eine im März 2026 veröffentlichte Untersuchung von Flashpoint ergab, dass KI-gestützte Cyberkriminalität 2025 um 1.500 % zugenommen hat. Angreifer nutzen dieselben Large Language Models und Automatisierungstools, die MSPs ihren Kunden als Produktivitätswerkzeuge verkaufen. Shadow AI, bei dem Mitarbeiter ungeprüfte KI-Tools außerhalb genehmigter Kanäle nutzen, entwickelt sich laut dem Omdia 2026 MSP-Trendbericht zu einem zentralen Vektor für Datenlecks.

Die praktische Konsequenz ist folgende. Ein MSP, der KI-Tools in einer Kundenumgebung einsetzt, ohne zuvor die eigene Exponierung gegenüber KI-gestützten Bedrohungen zu verstehen und die eigene Umgebung entsprechend gehärtet zu haben, weitet seine eigene Angriffsfläche auf jeden Kunden aus, den es berührt. MSPs sind attraktive Ziele, gerade wegen ihres privilegierten Zugriffs. Der Angreifer muss nicht jeden Kunden einzeln kompromittieren, wenn der MSP der gemeinsame Zugangspunkt ist.

Weerbaarheid bedeutet in diesem Zusammenhang zu verstehen, wie KI-gestützte Angriffe tatsächlich aussehen, die eigene Infrastruktur kontinuierlich auf die Schwachstellen zu überwachen, die sie ermöglichen, und dieses Monitoring gegenüber Kunden und Aufsichtsbehörden nachweisen zu können. Das ist keine zukünftige Fähigkeit. Es ist eine aktuelle Anforderung.

Wie sieht Vorbildfunktion in der Praxis tatsächlich aus?

Es beginnt bei der eigenen Umgebung des MSP. Nicht als Häkchen bei einer Selbstbewertung, sondern als kontinuierliches und messbares Programm. Das bedeutet tägliches Scannen der eigenen Angriffsfläche des MSP, nicht nur der Kundenumgebungen. Es bedeutet ein dokumentiertes und geprüftes Compliance-Niveau gegenüber den Normen, die der MSP selbst an andere verkauft, NIS2, ISO 27001, sowie alle branchenspezifischen Rahmenwerke, die für den Kundenstamm des MSP gelten. Es bedeutet, einem Kunden auf konkrete und überprüfbare Weise zeigen zu können, dass man selbst den Weg gegangen ist, den man empfiehlt.

Bei Guardian360, wo ich das Unternehmen 2015 gegründet habe, haben wir die Lighthouse-Plattform aufgebaut, um MSPs und ihren Kunden kontinuierlichen Einblick in ihre Angriffsfläche und ihr Compliance-Niveau zu geben. Ich sage offen: Wir haben ein kommerzielles Interesse daran, dass MSPs dies ernst nehmen. Doch das Argument hängt nicht von diesem Interesse ab. Es hängt davon ab, was Ewoud auf jener Veranstaltung gesagt hat, und davon, was die Daten bestätigen: Governance und Compliance sind das größte Hindernis für die KI-Einführung, und der MSP, der dies intern nicht aufgebaut hat, kann es extern nicht glaubwürdig verkaufen.

Die Frage, bei der es sich lohnt zu verweilen

Wenn Ihre Kunden Sie heute bitten würden, Ihr eigenes Compliance-Dashboard zu öffnen und ihnen Ihre Sicherheitslage zu erläutern, was würden Sie ihnen zeigen? Nicht das, was Sie in sechs Monaten mit etwas Vorbereitung zeigen könnten. Das, was Sie morgen früh zeigen könnten.

Diese Antwort ist Ihr eigentliches Wertversprechen.

Quellen

1. AvePoint- und Omdia-Studie: “The MSP AI gap is about governance, not skills”. Channel Dive, April 2026. channeldive.com
2. Omdia “MSP Trends and Predictions 2026”, zitiert im Acronis-Blog, Februar 2026. acronis.com
3. Kennedy Van der Laan: “Cyber in 2026: NIS2 on the way”. Januar 2026. kvdl.com
4. ENISA: “NIS2 Technical Implementation Guidance” (Durchführungsverordnung (EU) 2024/2690). enisa.europa.eu
5. Flashpoint-Forschung, zitiert in Channel Insider: “Managed Security Services Shift as AI Reshapes Risk”. April 2026. channelinsider.com
6. Reed Smith: “EU Cybersecurity Regulatory Update for 2026 and Beyond”. April 2026. reedsmith.com