Warum MSPs, die Sicherheit und Backup trennen, ein Risiko eingehen, das sie sich nicht mehr leisten können
Es gibt eine operative Bruchstelle, die die Branche der Managed-Service-Provider seit Jahren normalisiert hat – und der Markt beginnt nun, die Rechnung dafür zu präsentieren. Seit Jahrzehnten koexistierten Sicherheit und Datensicherung als getrennte Disziplinen innerhalb des Service-Portfolios: Ein Team kümmerte sich um Firewalls und Bedrohungserkennung, ein anderes verwaltete Bänder, Buckets und Kopierzeitpläne. Die Aufteilung erschien aus einer operativen Perspektive vernünftig. Heute ist sie ein Angriffsvektor.
Was im Jahr 2026 geschieht, ist keine abstrakte technische Raffinesse. Es ist ein Zielwechsel. Ransomware-Gruppen beschränken sich nicht mehr darauf, Produktionssysteme zu verschlüsseln und auf die Zahlung zu warten. Sie identifizieren zunächst die Backup-Infrastruktur, kompromittieren die Anmeldedaten, mit denen diese verwaltet wird, löschen oder verschlüsseln die Wiederherstellungspunkte und starten erst dann die Massenverschlüsselung. Das Ergebnis: Das betroffene Unternehmen verliert nicht nur Daten – es verliert die Fähigkeit zur Wiederherstellung. Und der MSP, der diese Umgebung verwaltete, setzt sich etwas aus, das schlimmer ist als ein Reputationsschaden: die vertragliche Haftung dafür, nicht geschützt zu haben, was er als Schutz verkauft hatte.
Die Ankündigung eines gemeinsamen Webinars zwischen BleepingComputer und Kaseya, das für den 14. Mai 2026 geplant ist, ist nicht nur eine Weiterbildungsveranstaltung für die Branche. Es ist ein Signal dafür, dass große Plattformanbieter die Narrative neu positionieren, bevor der Markt sie dazu zwingt.
Als das Backup zum Ziel wurde
Jahrelang drehte sich die Diskussion über Datensicherung im Segment der kleinen und mittleren Unternehmen um die Häufigkeit der Kopien und die Kosten pro Gigabyte. MSPs verkauften operative Sicherheit: Wenn etwas schiefging, gab es eine Kopie. Das war ein ausreichendes Versprechen, solange sich Angriffe hauptsächlich gegen Produktionsdaten richteten.
Die taktische Verlagerung der Angreifer hat die Gleichung verändert. Zuerst das Backup anzugreifen, verwandelt jeden Vorfall in ein totales Verlustereignis, weil die Alternative der Wiederherstellung ohne Lösegeldzahlung eliminiert wird. Diese Logik erfordert keine außerordentlichen technischen Fähigkeiten: Sie erfordert vorherige Aufklärung, Zugang zu schlecht gesicherten Anmeldedaten und ausreichend Verweildauer im Netzwerk, bevor die Verschlüsselung ausgeführt wird. Von MSPs verwaltete Umgebungen kleiner Unternehmen bieten diese Zeit mit erschreckender Häufigkeit: Netzwerke ohne Segmentierung zwischen Produktion und Backup, gemeinsam genutzte Administratorkonten, keine Multi-Faktor-Authentifizierung in den Backup-Verwaltungskonsolen.
Was die NovaBACKUP-Forschung für 2026 dokumentiert, ist in dieser Hinsicht eindeutig: Angreifer wählen bewusst Umgebungen aus, in denen die Wiederherstellungsoptionen schwach sind. Es ist kein Zufall, dass kleine Unternehmen mit ausgelagerten MSPs häufige Ziele sind. Ein Managed-Service-Versprechen, das unter Druck keine Wiederherstellung nachweisen kann, ist funktional ein leeres Versprechen.
Die technische Antwort, die sich als Standard konsolidiert, hat drei Komponenten, die früher optional waren und heute operativ obligatorisch sind. Die erste ist das unveränderliche Backup: Kopien, die während eines definierten Aufbewahrungszeitraums weder geändert noch gelöscht werden können, implementiert über Object Lock bei Anbietern wie Amazon S3, Wasabi oder Backblaze B2. Die zweite ist die hybride Multi-Site-Architektur: die Kombination aus lokalem Backup für schnelle Wiederherstellungen, Offsite-Kopie für geografische Redundanz und isolierter oder Air-Gapped-Kopie, um Angriffe zu überleben, die auf die digitale Zugriffskette abzielen. Die dritte, und die operativ am meisten vernachlässigte, ist die kontinuierliche Wiederherstellungsverifizierung: Es genügt nicht, die Kopie auszuführen; es muss regelmäßig getestet werden, ob die Kopie unter realen Bedingungen funktioniert.
Keine dieser Komponenten ist technisch neu. Was sich verändert hat, sind die Konsequenzen, wenn sie nicht implementiert werden.
Die Bruchstelle zwischen dem, was MSPs verkaufen, und dem, was sie beweisen können
Hier gerät die strategische Kohärenz der MSPs in die Krise. Es gibt eine dokumentierte Lücke zwischen dem kommerziellen Diskurs und der tatsächlichen Servicearchitektur. Die meisten MSPs verkaufen „Datenschutz" und „Geschäftskontinuität" als Wertversprechen, aber die zugrunde liegende Architektur kann dieses Versprechen unter Druck nicht aufrechterhalten. Das Backup war ein optionales Add-on. Wiederherstellungstests waren jährliche Ereignisse, keine operativen Routinen. Die Netzwerksegmentierung zwischen Produktion und Backup existierte nicht, weil niemand sie verlangt hatte.
Diese Divergenz ist nicht nur ein technisches Problem. Es ist ein Geschäftsmodell-Problem. Ein MSP, der keine geprüfte Wiederherstellung nachweisen kann, verkauft eine Illusion von Resilienz zu einem Preis, der nicht die Kosten ihrer Erstellung beinhaltet. In Märkten mit geringer Käuferreife funktioniert das, bis es einen Vorfall gibt. In Märkten, in denen Käufer lernen, den Nachweis der Wiederherstellbarkeit zu verlangen, ist es ein wachsender Wettbewerbsnachteil.
Die ScalePad-Daten für 2026 zeigen, dass 55 % der MSPs ein zweistelliges Umsatzwachstum prognostizieren, und dass dieses Wachstum aus Investitionen in eigene Fähigkeiten stammt, nicht aus Kostensenkungen. Die strategische Lesart dieser Zahl ist einfach: Die MSPs, die gewinnen, tragen die Kosten dafür, aufzubauen, was sie schon immer hätten aufbauen sollen. Die, die nicht investieren, wetten darauf, dass der nächste schwere Vorfall einen Mitbewerber trifft.
Das optionale Add-on-Modell für das Backup hat ein zusätzliches strukturelles Problem: Es verwandelt die Schutzentscheidung in etwas, das der Kunde aufschieben oder ablehnen kann. Das überträgt das Risiko auf den MSP, ohne die Kontrolle zu übertragen. Wenn der Kunde sich entscheidet, das erweiterte Backup-Modul nicht zu abonnieren und einen verheerenden Angriff erleidet, kann der MSP argumentieren, er habe die Option angeboten, aber er kann kaum argumentieren, er trage keine Verantwortung für die Umgebung, die er verwaltete. Der Standard des Managed Service impliziert Risikomanagement, nicht nur die Bereitstellung von Werkzeugen.
Die Konvergenz, die nicht optional ist
Die Integration von Sicherheit und Backup in eine einheitliche Kontinuitätsstrategie ist keine Produktpräferenz. Sie ist die logische Konsequenz der Entwicklung von Angriffen. Weiterhin mit getrennten Teams, Budgets und Kennzahlen für jede Funktion zu operieren, schafft genau die Lücken, die Angreifer ausnutzen: Das Sicherheitsteam überwacht den Netzwerkverkehr, hat aber keinen Einblick in den Zustand der Backups; das Backup-Team überprüft die Kopien, hat aber keinen Kontext über aktive Bedrohungen in der Umgebung. Die Koordination erfolgt nach dem Vorfall, nicht davor.
Was integrierte Plattformanbieter wie Kaseya im Jahr 2026 positionieren, ist keine neue technische Lösung. Es ist ein Konsolidierungsargument: Wenn Sicherheit und Backup Daten, Dashboards und Arbeitsabläufe teilen, verringert sich die operative Lücke. Diese Plattformlogik ergibt für MSPs aus Sicht der operativen Effizienz Sinn, hat aber auch Auswirkungen auf die Kostenstruktur und die Anbieterabhängigkeit, die eine separate Analyse verdienen.
Das ehrlichste Argument für die Konvergenz ist nicht technologischer, sondern wirtschaftlicher Natur. Ein MSP, der Sicherheit und Backup als getrennte Dienste betreibt, muss die Überwachungsinfrastruktur, Alarmintegrationen, Reaktionsprotokolle und kommerzielle Gespräche mit dem Kunden verdoppeln. Das multipliziert die Betriebskosten und reduziert die Reaktionsgeschwindigkeit genau in dem Moment, in dem Geschwindigkeit am wichtigsten ist: wenn ein Angriff im Gange ist. Konsolidierung beseitigt die Komplexität nicht, konzentriert sie aber dort, wo sie effizienter gehandhabt werden kann.
Die Einführung unveränderlicher Backups, hybrider Architekturen und kontinuierlicher Verifizierung impliziert kurzfristig einen Anstieg der Betriebskosten. Diese Kosten verschwinden nicht, wenn man sie als „Investition in Resilienz" umrahmt: Sie sind real, wiederkehrend und müssen entweder in den Servicepreis eingerechnet oder in der Marge absorbiert werden. MSPs, die dieses Gespräch mit ihren Kunden vermeiden, verschieben eine Verhandlung, die der Markt ohnehin erzwingen wird – aber aus einer schwächeren Position heraus.
Der Preis des weiteren Aufschiebens der richtigen Architektur
Die Managed-Services-Branche verzeichnet im Jahr 2026 eine robuste Wachstumstrajektorie, die teilweise durch die zunehmende Komplexität der Bedrohungslandschaft angetrieben wird. Aber Marktwachstum garantiert nicht, dass alle Teilnehmer davon profitieren. MSPs, die weiterhin Backup als optionalen Dienst betreiben, ohne systematische Wiederherstellungstests und ohne Segmentierung zwischen Produktion und Wiederherstellung, bauen eine Verbindlichkeit auf, die sich still ansammelt, bis ein Vorfall sie schlagartig sichtbar macht.
Das klarste Signal für die Verschiebung des Marktstandards liegt nicht in Webinaren oder Trendberichten. Es liegt im Verhalten von Unternehmenskäufern, die bereits Wiederherstellbarkeits-Audits als Teil des Anbieterauswahlprozesses verlangen, und in den Zertifizierungsanforderungen, die Plattformanbieter selbst in ihre Lieferketten einbeziehen. Wenn ein MSP ohne die Fähigkeit, eine geprüfte Wiederherstellung nachzuweisen, beginnt, Verkaufsprozesse nicht aufgrund des Preises, sondern aufgrund technischer Unfähigkeit zu verlieren, werden die Kosten der aufgeschobenen Investition konkret.
Die kostspieligste Lücke für einen MSP im Jahr 2026 ist nicht die, die zwischen seinen Sicherheitstools und denen des Angreifers besteht. Es ist die Lücke zwischen dem, was er versprochen hat, und dem, was er beweisen kann, wenn das Versprechen auf die Probe gestellt wird. Diese Lücke zu schließen erfordert Architektur-, Preis- und Servicemodellentscheidungen, die viele weiterhin aufschieben in der Hoffnung, dass die Bedrohung zuerst einen anderen trifft. Diese Wette hat eine Versagensrate, für die der Markt bereits begonnen hat, die Rechnung zu stellen.
