Die SaaS-Sicherheitsverlagerung gewinnen: Eine nutzerzentrierte Strategie für MSPs

Dank der rasanten Verbreitung von Cloud-Plattformen wie Microsoft 365, Google Workspace und Salesforce überdenken Unternehmen die Cyberabwehr in dieser Cloud-zentrierten Ära neu. Da immer mehr Workloads außerhalb des Netzwerks und außerhalb der traditionellen Perimeter stattfinden, verlagern Unternehmen ihren Fokus auf die Cybersicherheit von einem lokalen, netzwerk- und endpunktzentrierten Modell zu einem Modell, das auch das Benutzerverhalten und die Kontoaktivität in den Vordergrund stellt.

Bemerkenswert ist, dass Cyberkriminelle nicht mehr in Systeme einbrechen, sondern sich einloggen. Angreifer zielen über Phishing, Business Email Compromise (BEC) und Fehlkonfigurationen bei SaaS-Diensten auf Benutzerkonten ab, um in die Netzwerke von Unternehmen einzudringen. Der „State of SaaS Security Report 2024“ hebt diesen Trend hervor: MSPs stufen diese Bedrohungen als die drei größten Risiken für ihre Kunden ein – sie übertreffen sogar Ransomware.

Für MSPs stellt dieser Wandel sowohl eine Herausforderung als auch eine Chance dar. Herkömmliche Sicherheitsmodelle entsprechen nicht mehr dem aktuellen Benutzerverhalten oder der sich entwickelnden Bedrohungslandschaft. Um wettbewerbsfähig zu bleiben, müssen MSPs einen benutzer- und kontozentrischen Schutz anbieten und diesen in wertvolle, wiederkehrende Services umwandeln.

In diesem Artikel gehen wir der Frage nach, warum herkömmliche Cybersicherheitsmodelle versagen und wie Cloud Detection and Response (CDR) zusammen mit SaaS-Backup die Cyber-Resilienz Ihrer Kunden stärken kann. Wir erörtern auch, wie SaaS-onomics - ein wissensbasierter Ansatz, der MSPs dabei hilft, SaaS-Sicherheit zu monetarisieren - Ihnen dabei helfen kann, Ihre Kunden effektiver zu schützen und gleichzeitig Ihren monatlich wiederkehrenden Umsatz (MRR) zu steigern.

Wo herkömmliche Sicherheitsmodelle versagen

Jahrelang verließen sich Unternehmen beim Schutz interner Netzwerke und Geräte auf das traditionelle Modell der "Burg und Mauern" für die Cybersicherheit. Dieses Modell basierte auf der Idee eines klar definierten Bereichs, in dem alles, was sich innerhalb des Bereichs befand, vertrauenswürdig war und alles, was sich außerhalb befand, nicht. Dieser Schutzbereich schwindet jedoch schnell.

Mit der Einführung von Cloud-Anwendungen, der Integration von Tools von Drittanbietern und der Unterstützung des Fernzugriffs ist das Konzept der festen Netzwerkgrenzen nicht mehr gültig. Benutzer verbinden sich von überall her, und Daten fließen über Umgebungen, die außerhalb der alten Grenzen liegen - die Festungsmauern fallen.

Firewalls

Firewalls wurden entwickelt, um bösartige Akteure fernzuhalten, indem sie den unbefugten Zugriff auf interne Netzwerke blockieren. Sie sind wirksam gegen bekannte Bedrohungen wie Port-Scanning und Denial-of-Service-Angriffe (DoS). Sie haben jedoch Probleme mit modernen Taktiken wie Social-Engineering-Angriffen, Zero-Day-Exploits und Malware-Varianten, die nicht mit bekannten Signaturen übereinstimmen. Außerdem bieten sie keinen Schutz vor internen Bedrohungen, sei es durch unvorsichtige Mitarbeiter oder böswillige Insider.

EDR

Endpoint Detection & Response (EDR) konzentriert sich auf den Schutz einzelner Geräte, wie Laptops, Desktops, Server und Mobiltelefone. Die Sichtbarkeit ist jedoch auf das Gerät beschränkt. SaaS-Anwendungen, Cloud-Umgebungen oder Aktivitäten außerhalb des Netzwerks werden nicht abgedeckt. Da Unternehmen zu hybriden und Cloud-nativen Operationen übergehen, führt dieser begrenzte Umfang zu ernsthaften blinden Flecken sowohl bei der Cloud-Sicherheit als auch bei der Datensicherheit.

MDR

Managed Detection and Response (MDR) bietet 24/7-Überwachung, Bedrohungssuche und schnelle Reaktion auf Vorfälle. Es ist eine solide Option für Unternehmen, die eine Abdeckung benötigen, ohne ihre internen Teams zu vergrößern. MDR verwendet jedoch häufig generische Erkennungsregeln, die nicht unbedingt auf die spezifischen Systeme oder Arbeitsabläufe eines Unternehmens abgestimmt sind. Dieser fehlende Kontext kann dazu führen, dass Bedrohungen übersehen werden oder zu viele Fehlalarme auftreten.

Sowohl EDR als auch MDR sind von Natur aus reaktiv. Sie fangen Bedrohungen ab, nachdem der Schaden bereits eingetreten ist. In einem Umfeld, in dem menschliche Fehler an der Tagesordnung sind und Cyberangriffe schneller und komplexer werden, benötigen MSPs einen intelligenteren, mehrschichtigen Ansatz - einen, der sich auf Benutzer, Konten und Echtzeit-Transparenz in der Cloud konzentriert.

Warum MFA und Zugangskontrolle nicht ausreichen

Multifaktor-Authentifizierung (MFA) und Zugangsberechtigungsrichtlinien (CAPs) spielen eine wichtige Rolle beim Schutz vor unbefugtem Zugriff. Die heutigen Angriffe sind jedoch weitaus raffinierter, und diese Tools sind zwar notwendig, aber nicht geeignet, um alle Bedrohungen abzuwehren.

Für sich genommen können MFA und CAPs ein falsches Gefühl von Sicherheit vermitteln, wenn sie nicht durch tiefere, mehrschichtige Verteidigungsmaßnahmen unterstützt werden. Cyber-Kriminelle umgehen diese Schutzmechanismen nun mit Taktiken wie Phishing, Token-Diebstahl und Social Engineering.

MFA-Ermüdungsangriffe

Eine der häufigsten Techniken, die von Bedrohungsakteuren eingesetzt wird, ist MFA-Müdigkeit. Die Angreifer überfordern die Benutzer mit wiederholten Authentifizierungsaufforderungen und setzen auf Frustration oder Ablenkung, um eine versehentliche Zustimmung zu erreichen. Ein einziger Ausrutscher reicht aus, um sie einzulassen.

Um den Zugriff auf unzählige SaaS-Plattformen zu vereinfachen, nutzen Anwender häufig OAuth über Microsoft- oder Google-Konten anstelle herkömmlicher Anmeldeverfahren. Diese Bequemlichkeit birgt jedoch ein erhöhtes Risiko. Der Bericht „SaaS Application Security Insights 2025“ zeigt, dass 23 % der Vorfälle mit geringem Schweregrad mit OAuth-basiertem Identitäts- und Zugriffsmanagement (IAM) in Zusammenhang standen.

Insider-Bedrohungen

Während MFA und CAPs gegen externe Akteure wirksam sind, bieten sie nur begrenzten Schutz gegen interne Risiken. Egal, ob es sich um einen verärgerten Mitarbeiter oder einen Benutzer handelt, der durch Social Engineering ausgetrickst wurde - Angreifer können sich immer noch aus der vertrauenswürdigen Umgebung heraus Zugang verschaffen und die Kontrollen umgehen, ohne dass sie sofort Alarm schlagen.

Token-Diebstahl und AiTM-Angriffe

Gestohlene Sitzungs-Tokens sind ein weiterer großer blinder Fleck. Angreifer können MFA vollständig umgehen, indem sie Token durch Malware oder Adversary-in-the-Middle (AiTM)-Angriffe stehlen.

In diesen Szenarien fangen Angreifer die Kommunikation zwischen einem Benutzer und einem Dienst, wie Microsoft 365 oder Google Workspace, ab. Sie fangen Anmeldedaten, MFA-Codes und Sitzungscookies ab und verwenden sie dann, um sich als Benutzer auszugeben, Sitzungen zu kapern und sich seitlich im Netzwerk zu bewegen, oft ohne entdeckt zu werden.

Abbildung 1: So funktionieren AiTM-Angriffe

Die Lücke bei der Zugangskontrolle

Richtlinien für den bedingten Zugriff sollen sicherstellen, dass die Zugriffsversuche mit dem erwarteten Verhalten übereinstimmen. Wenn jedoch eine Phishing-E-Mail den beabsichtigten Benutzer erreicht und ihn auffordert, seine Anmeldedaten auf einer gefälschten Website einzugeben, werden diese Anmeldedaten sofort an den tatsächlichen Dienst weitergeleitet. Die Anmeldung ist erfolgreich. Die Sitzung sieht normal aus. Es werden keine Warnungen ausgelöst.

Um Ihre Kunden wirklich zu schützen, muss die Sicherheit über Anmeldeschranken hinausgehen. Erforderlich ist eine proaktive, mehrschichtige Strategie, die Bedrohungen innerhalb und außerhalb der Umgebung erkennt - selbst dann, wenn auf den ersten Blick alles legitim erscheint.

Warum CDR in einer Cloud-first-Welt entscheidend ist

Cloud Detection and Response (CDR) wurde speziell für die Überwachung, Erkennung und Reaktion auf Bedrohungen in Cloud-Umgebungen, insbesondere SaaS-Plattformen, entwickelt. Es bietet MSPs einen Einblick in das Nutzerverhalten, die Zugriffsmuster und die App-Aktivitäten über Dienste hinweg, einschließlich Microsoft 365, Google Workspace und Salesforce.

Im Gegensatz zu herkömmlichen Tools konzentriert sich CDR auf das, was die Benutzer innerhalb der Cloud tun. Es analysiert kontinuierlich das Verhalten, filtert Störgeräusche heraus und kennzeichnet nur die kritischsten Anomalien. Dies trägt dazu bei, die Ermüdung durch Alarme zu verringern und ermöglicht schnellere, gezieltere Reaktionen.

Hier sehen Sie, wie CDR im Vergleich zu anderen gängigen Sicherheitstools abschneidet:

CDR vs. SIEM

Tools für das Sicherheitsinformations- und Ereignis-Management (SIEM) sammeln Protokolle, korrelieren Ereignisse und generieren Warnungen aus einer Vielzahl von Quellen. Sie sind jedoch nicht darauf ausgelegt, SaaS-spezifische Verhaltensweisen zu interpretieren, wie z. B. riskante Anmeldungen oder nicht autorisierter Zugriff auf Anwendungen von Drittanbietern. CDR hingegen versteht die Feinheiten der Benutzeraktionen innerhalb von SaaS-Plattformen und zeigt Anomalien an, die SIEM-Tools oft übersehen.

CDR vs. MDR

Managed Detection & Response (MDR) ist auf Endpunkte ausgerichtet. Es bietet 24/7-Bedrohungssuche und Reaktion auf Vorfälle, vor allem für Laptops, Server und mobile Geräte. MDR-Tools wurden oft nachgerüstet, um einen gewissen Schutz für Microsoft 365 und Google Workspace zu bieten, allerdings fehlt ihnen ein tiefer Einblick in diese wichtigen Geschäftsanwendungen. CDR füllt diese Lücke, indem es ungewöhnliche Cloud-Aktivitäten identifiziert - wie exzessive Dateifreigabe in Google Drive oder verdächtige OAuth-Berechtigungen in Microsoft 365 - Bereiche, in denen MDR-Tools nicht so stark sind.

In der heutigen Cloud-first-Geschäftsumgebung befinden sich die wertvollsten Daten in SaaS. Um Kontoübernahmen, Insider-Bedrohungen und unbefugten Datenzugriff abzuwehren, benötigen MSPs eine zuverlässige Lösung, die Echtzeit-Verhaltensüberwachung, automatische Abhilfemaßnahmen und kontinuierliche Durchsetzung von Richtlinien bietet.

CDR bietet MSPs den Kontext, den sie benötigen, um schnell und präzise zu handeln. Indem sie verstehen, was normal ist - und sofort reagieren, wenn es nicht normal ist - können MSPs den Angreifern voraus sein und die Cloud-Umgebungen ihrer Kunden sicher und konform halten.

Gemeinsam sind wir stärker: SaaS Alerts und Datto SaaS Protection

CDR-Plattformen bieten MSPs Echtzeit-Transparenz und Schutz in Cloud-Umgebungen. Wenn jedoch ein Datenverlust auftritt - sei es durch einen Cyberangriff oder menschliches Versagen - helfen Backup und Wiederherstellung den Unternehmen, wieder auf die Beine zu kommen. Zusammen bieten CDR und Backup eine umfassende SaaS-Sicherheits- und Business-Continuity-Strategie.

An dieser Stelle kommen SaaS Alerts und Datto SaaS Protection ins Spiel. Mit diesen Lösungen können MSPs ihren Kunden einen größeren Mehrwert bieten und gleichzeitig Zeit sparen und die Ausfallsicherheit erhöhen.

SaaS-Warnungen

SaaS Alerts ist eine automatisierte SaaS-Sicherheitslösung zur Erkennung von und Reaktion auf fortschrittliche Bedrohungen in verwalteten SaaS-Umgebungen. Sie ermöglicht es MSPs, durch die Analyse von Verhaltensanomalien in Microsoft 365, Google Workspace und anderen SaaS-Plattformen kontinuierlichen, kontozentrischen Schutz zu bieten. Die Plattform warnt MSPs in Echtzeit vor verdächtigen Benutzeraktivitäten und behebt Bedrohungen automatisch, wodurch die Geschwindigkeit und Genauigkeit der Erkennung und Reaktion auf Bedrohungen verbessert wird.

Datto SaaS Protection

Datto SaaS Protection bietet umfassende Sicherungs- und Wiederherstellungslösungen für Microsoft 365 und Google Workspace. Die Lösung kombiniert sichere, nahtlose Datensicherung mit integrierter Bedrohungsabwehr, um Kundenumgebungen widerstandsfähig zu halten. Die Lösung bietet unveränderliche Backups und eine einfache, effiziente Datenwiederherstellung. Sie schützt vor versehentlicher oder böswilliger Löschung, Ransomware und Compliance-Risiken und ermöglicht eine schnelle Wiederherstellung, um Ausfallzeiten zu reduzieren und die Geschäftskontinuität aufrechtzuerhalten.

SaaS-onomics: Ein neuer Umsatzmotor für MSPs

SaaS-onomics ist eine wissensbasierte Strategie zur Generierung wiederkehrender Umsätze durch SaaS-Sicherheit. Durch die Bündelung von CDR und SaaS-Backup hilft es MSPs, Schutzdienste zu monetarisieren und mehr Wert zu liefern, während gleichzeitig die heutigen Cloud-Sicherheits- und Compliance-Bedenken berücksichtigt werden.

Hier sind drei Modelle, die genau das tun:

• Das Add-on-Modell:

Positionieren Sie CDR und SaaS-Backup als obligatorisches Add-on zu Microsoft 365 oder Google Workspace Management Services. Lassen Sie Ihre Kunden eine Verzichtserklärung unterschreiben, die die Haftung verlagert und die Akzeptanz fördert. Weisen Sie darauf hin, dass diese Dienste zusätzlichen Schutz zu geringen monatlichen Kosten bieten. Empfohlener Preis: 3 bis 10 US-Dollar pro Nutzer/Monat.

• Cybersecurity-Paket:

Kombinieren Sie CDR und SaaS-Backup mit Diensten wie Endpunktschutz, E-Mail-Sicherheit oder Dark Web Monitoring. Präsentieren Sie es als unverzichtbares Paket für Kunden, die sich auf Compliance, Phishing- und Ransomware-Abwehr und Datenschutz konzentrieren. Empfohlener Preis: $25 bis $40 pro Benutzer/Monat.

• All-inclusive-Modell:

Integrieren Sie CDR und SaaS-Backup in Ihr Kernangebot an Managed Services, ohne dass separate Posten anfallen. Dies vereinfacht den Vertrieb und schafft durch eine vorhersehbare, feste monatliche Gebühr Vertrauen beim Kunden. All-inclusive-Modelle tragen zur Kundenbindung bei, da sie umfassenden Schutz in einem einzigen Paket bieten.

Die Zukunft ist benutzerorientiert und SaaS-gesteuert

Da immer mehr Unternehmen kritische Workloads in die Cloud verlagern, haben MSPs die Möglichkeit, mit einem anwenderorientierten, Cloud-first-Sicherheitsmodell die Führung zu übernehmen. Dieser Ansatz stärkt den Schutz von SaaS-Umgebungen, Benutzerkonten und Geschäftsdaten - und öffnet gleichzeitig die Türen zu neuen Serviceangeboten und Umsatzströmen.

Tausende von MSPs weltweit verlassen sich auf SaaS Alerts und Datto SaaS Protection, um ihre Kunden zu schützen und ihr Geschäft zu skalieren. Durch die Kombination dieser Lösungen kann Ihr MSP einen stärkeren Schutz, eine schnellere Wiederherstellung und ein erstklassiges Serviceerlebnis bieten, das sich in einem überfüllten Markt abhebt.

Machen Sie Ihre Kunden und Ihr Unternehmen zukunftssicher. Fordern Sie noch heute eine Demo von „Datto SaaS Protection“ und „SaaS Alerts“ an, um zu erfahren, wie SaaS-Sicherheit langfristiges Wachstum fördern kann.