Sicherheit - ein weites Feld

Deutschen Unternehmen muss man nicht mehr eigens nahebringen, welche Bedeutung die Absicherung ihrer Netze, IT-Systeme sowie kritischen Applikationen und Daten für ihr Business hat: Seit Jahren schon rangiert das Thema Security aus Sicht der Anwender ganz oben auf der Liste der zentralen IT-Herausforderungen. Nach einer Umfrage der Experton Group unter 450 deutschen IT-Entscheidern hat sich Sicherheit zwischenzeitlich sogar zur obersten Priorität entwickelt und damit die Kostensenkung vom Spitzenplatz verdrängt.

Inwieweit sich diese Gewichtung von Seiten der Anwender auf die Entwicklung des IT-Security-Markts niederschlägt, lässt sich mangels Marktzahlen indes schwer ermitteln. Das stark fragmentierte Geschäft erschwert konkrete Umsatzangaben und -prognosen zunehmend. Schwer durchschaubar ist der Security-Markt aus Sicht der Marktbeobachter nicht nur, weil er inhaltlich in eine Vielzahl von IT-Themen hineinspielt, sondern vor allem auch wegen seiner ungewöhnlichen Dynamik. "Was heute passiert, war vor zwölf Monaten noch undenkbar - und wir wissen noch nicht, was nächstes Jahr geschieht", erklärt Carsten Casper, Research Director Information Security, Risk & Compliance bei Gartner, die Unberechenbarkeit des Segments, das sich aus Soft- und Hardwareprodukten sowie Services zusammensetzt. Doch nicht nur Analysten tun sich schwer - trotz anhaltenden Marktwachstums ist offenbar auch das Geschäft mit der Sicherheit kein Zuckerschlecken mehr: Laut Wolfram Funk, Senior Advisor bei der Experton Group, wird es für Anbieter zunehmend schwieriger, ihre Produkte zu verkaufen. Dies sei zum einen auf die zunehmende Komplexität der Bedrohungsszenarien und damit auch der entsprechenden technischen Gegenwehr zurückzuführen. "Zudem ist IT-Security kein isoliertes Thema mehr, das klar benannt und auch so ausgeschrieben wird, sondern wird mittlerweile in verschiedenste Projekte verpackt", beobachtet der Berater.

Andere Töpfe, andere Sitten

Ein Sachverhalt, der sich nicht zuletzt auch in den veränderten Budgetierungsgepflogenheiten der Unternehmen widerspiegelt: Anders als noch vor wenigen Jahren werden die Ausgaben für IT-Sicherheit in Deutschland meist nicht mehr aus einem dedizierten Security-Etat bestritten, sondern zunehmend von anderen Bereichen der IT-Organisation sowie aus den Töpfen der Fachbereiche finanziert. Laut Funk verfügten im vergangenen Jahr nur noch gut 15 Prozent der Firmen über ein eigens ausgewiesenes Sicherheitsbudget. Eine stimmige Koordination zwischen Sicherheitsverantwortlichem, Fachabteilungen und Geschäftsführung vorausgesetzt, erachtet der Berater diese Dezentralisierung jedoch als hilfreich. Die Fachbereiche würden den Schutzbedarf ihrer Daten und Prozesse am ehesten kennen, auch lasse sich mit Geschäftsfakten grundsätzlich besser argumentieren als mit rein technischen Kennzahlen aus der IT. Security-Verantwortliche müssten aber darauf achten, nicht zum zahnlosen Tiger zu mutieren, der zwar die Sicherheitsanforderungen vorgibt, aber keine Budgethoheit für die technische Umsetzung hat.

Weiter steigende Security-Ausgaben

Trotz der schwierigen Vermarktung läuft das Geschäft gut: So haben die hiesigen Anwenderunternehmen nach Erhebungen von Techconsult im vergangenen Jahr insgesamt 1,6 Milliarden Euro für IT-Sicherheit ausgegeben. "Das sind immerhin rund 2,3 Prozent der Gesamtausgaben für Hardware, Software und Services in Deutschland", berichtet Denis Mrksa, Analyst bei dem Marktforschungs- und Beratungshaus. Bis 2011 erwarten die Kasseler Auguren ein diesbezügliches Wachstum um jährlich zehn bis zwölf Prozent - Zuwachsraten, von denen der globale IT-Markt mit seinem für 2008 prognostizierten Plus von 4,5 (Gartner) beziehungsweise sechs Prozent (Forrester Research) nur träumen kann. Dass die Absicherung der IT für Unternehmen zum immer wichtigeren Investitionsaspekt wird, führt Mrksa neben den sich stetig vermehrenden und verschärfenden Bedrohungen auf die immer breitere IT-Durchdringung in Unternehmen, aber auch auf neue, mit veränderten Arbeitsabläufen einhergehende Sicherheitsrisiken zurück.

Was die für 2008 geplanten Sicherheitsinvestitionen betrifft, gibt es einer Gartner-Umfrage zufolge allerdings große Unterschiede: Während zehn Prozent der von den Marktforschern interviewten Firmen ein bis vier Prozent und knapp ein Drittel der Unternehmen zwischen fünf und neun Prozent ihres IT-Etats für Security ausgeben wollen, plant ein kleiner Anteil der Betriebe heuer sogar bis zu 50 Prozent ihrer Technikmittel für Sicherheit aufzuwenden. "Manche haben großen Nachholbedarf, während andere in den vergangenen Jahren stark investiert und ihre Hausaufgaben schon gemacht haben", erklärt Gartner-Analyst Casper die auffallenden Schwankungen.

Dauerbrenner Netzsicherheit und Virenschutz

Die Security-Ausgaben der hiesigen Anwender verteilen sich auf viele Einzelbereiche, konzentrieren sich laut Experton Group aber nach wie vor auf die Standardthemen Netzsicherheit (Firewalls) sowie Malware- und Spamschutz, gefolgt von Virtual Private Networks (VPNs) sowie Intrusion-Detection/Prevention-Systemen (IDS/IPS). Erst am unteren Ende der "Einkaufslisten" tauchen Bereiche wie etwa die viel diskutierte Mobile Security auf. Das lässt sich laut Funk auch an den Einnahmen der Anbieter ablesen: "Die in Deutschland mit Speziallösungen zum Schutz von PDAs und Smartphones erzielten Umsätze der einzelnen Anbieter bewegen sich überwiegend im einstelligen Millionenbereich." Als eine mögliche Ursache für die Anschaffungslethargie erachtet der Consultant, dass sich Mobility derzeit in 80 bis 90 Prozent der hiesigen Firmen noch primär auf Wireless E-Mail beziehungsweise das Personal-Information-Management (PIM) beschränkt und nur selten die mobile Anbindung an kritische Firmenapplikationen wie CRM oder ERP umfasst.

Auch nach Analysen der Kollegen von Techconsult bewegt sich der Markt für mobile Sicherheit in Deutschland mit einem Gesamtvolumen von rund 40 Millionen Euro noch auf geringem Niveau. Allerdings erwarten die Analysten in diesem Bereich aufgrund neuerdings verstärkter Investitionen für die kommenden fünf Jahre überdurchschnittlich hohe Wachstumsraten von insgesamt etwa 20 Prozent.

Compliance - bei Anwendern kein Hit

Eines der Schlagworte, mit denen die Anbieter im vergangenen Jahr verstärkt auf Kundenfang gingen, ist Compliance - in all ihren rechtlichen, organisatorischen und branchenspezifischen Facetten. "Wo immer Technikfirmen Bezug zu rechtlichen oder von der Industrie vorgegebenen Anforderungen herstellen können, um den Absatz ihrer Produkte voranzutreiben, tun sie das auch", stellt Gartner-Analyst Casper klar. Vieles, was den deutschen Unternehmen empfohlen werde, treffe dort allerdings auf geringes Interesse. Der Grund: Viele rechtliche Vorgaben seien in Europa viel abstrakter gehalten als etwa in den USA und ließen so weit mehr technischen Spielraum. Entsprechend seien Themen wie Governance-Risk-Compliance-Plattformen oder -Tools hierzulande auch nicht auf Anhieb an den Anwender zu bringen. Eher konzentrieren sich die hiesigen Sicherheitsinvestitionen noch auf den Technikbereich - vor allem auf umfassende Plattformen wie UTM-Appliances (Unified-Threat-Management) und Endpoint-Security-Lösungen, die verschiedene Sicherheitsfunktionen - etwa Firewall, Malware- und Spamschutz sowie Intrusion Prevention und Verschlüsselung - in sich vereinen, so Casper. Analog dazu finden laut Experton-Berater Funk auch in den Bereichen Mobile- und E-Mail-Security diverse Insellösungen allmählich zu integrierten Suites zusammen.

Security-Outsourcing: Das Misstrauen weicht auf

Den Prognosen der Experton Group zufolge wird der hiesige Markt für IT-Security-Dienstleistungen - etwa Wartung, Support, Integration und Implementierung von Sicherheitslösungen sowie Technikberatung - von derzeit 2,1 Milliarden Euro um rund zwölf Prozent auf knapp 2,4 Milliarden Euro (2009) wachsen. Was die Fremdvergabe von Sicherheitsaufgaben betrifft, scheinen sich die bisherigen Vorbehalte der deutschen Anwenderunternehmen allmählich zu verflüchtigen. "Besonders im Mittelstand, der im Security-Bereich nach wie vor unter Personalmangel leidet, ist die Bereitschaft zum selektiven Auslagern von Sicherheitsaufgaben gestiegen", berichtet Funk. Bevorzugt lagern Unternehmen dabei Funktionen aus, deren Fremdvergabe nur geringe Eingriffe in die Infrastruktur erfordern. Aus diesem Grund werde neben dem Firewall-Management allmählich auch vermehrt E-Mail-Sicherheit in die Hände Dritter gegeben, so der Berater. Nach Schätzungen der Experton Group wird das Marktvolumen speziell für Managed Security Services (MSS) heuer im Vergleich zu 2007 um zehn bis 15 Prozent auf 200 bis 250 Millionen Euro wachsen.

Microsofts Hechtsprung

Mit Security-Software wurden hierzulande im vergangenen Jahr knapp 360 Millionen Euro umgesetzt (Westeuropa: 2,4 Milliarden Euro). Wie seit Jahren war Security-Platzhirsch Symantec auch 2007 klar der Spitzenreiter im Gartner-Ranking der zehn umsatzstärksten Anbieter - deutlich vor den Konkurrenten McAfee, IBM und Trend Micro. Und doch gibt es in der seit langem nahezu statischen Top-10-Liste eine Überraschung: Microsoft, das 2006 noch nicht im Gartner-Ranking vertreten war, hat sich gleich auf Platz fünf katapultiert. Einer Experton-Studie zufolge standen die deutschen Firmen dem Softwarekonzern als Sicherheitsanbieter noch vor eineinhalb Jahren äußerst skeptisch gegenüber: So hegte seinerzeit weit über die Hälfte der Unternehmen Zweifel an der Fähigkeit der Gates-Company, ihren Sicherheitsbedarf angemessen abzudecken. Laut Funk mag Microsofts Hechtsprung allerdings auch darauf zurückzuführen sein, dass der Softwarekonzern erst seit etwa zwei Jahren separat ausgewiesene Sicherheitsprodukte vermarktet. Wie dem auch sei: "Schon allein aufgrund der großen installierten Basis ist Microsoft aber sicher ein Player, mit dem man in den kommenden Jahren rechnen muss", kommentiert der Berater. (kf)