Die professionelle Entsorgung des Hausmülls übernehmen spezialisierte Dienstleister effizient und zu transparenten Kosten. Beim Aussortieren von Malware und unerwünschter Werbung aus dem täglichen E-Mail-Strom hingegen versucht das Gros der Unternehmen, ohne externe Service-Provider auszukommen.

Dieser Ansatz ist aufwändig und teuer. So haben Forscher der Universität Hamburg errechnet, dass Unternehmen die Bearbeitung von Spam-Mails jährlich 500 Euro pro Mitarbeiter kostet. Hinzu kommt die oft unterschätzte Last auf den Servern und im Netzwerk, die durch ungewollte Mails verursacht wird. Den regelmäßigen Erhebungen des Security-Dienstleisters Message Labs zufolge handelt es sich bei rund 75 Prozent aller E-Mails, die tagtäglich verschickt werden, um Spam. Für die Anwender bedeutet das, dass sie einen erheblichen Teil ihrer Investitionen in E-Mail-Infrastrukturen nur für die Bearbeitung von Müll tätigen müssen.

Sicherheit in fremde Hände zu legen scheint für viele Unternehmen noch nicht die Regel zu sein: Laut IDC hatte der deutsche Markt für IT-Services 2006 ein Volumen von 32 Milliarden Dollar. Der Anteil von Managed-IT-Security-Diensten lag dabei gerade einmal bei 200 bis 250 Millionen Euro, schätzt Wolfram Funk, Advisor der Experton Group. Davon entfielen wiederum 15 bis 20 Prozent auf E-Mail-Security-Services.

Remote-Management im Trend

Managed Services für Spam- und Virenschutz werden im Wesentlichen in drei Modellen angeboten. Der größte Teil des Marktes entfällt laut Funk derzeit auf Wartung und Administration. Das heißt, die Anwender beschaffen ihre Lösungen zum Schutz vor Spam und Malware selbst und betreiben sie im eigenen Rechenzentrum. Der Dienstleister übernimmt die Fernüberwachung. Die Services richten sich vorrangig an Mittelständler sowie Konzernniederlassungen. "Das Modell vermittelt den Anwendern das Gefühl, ihre Sicherheitssysteme ein gutes Stück weit unter Kontrolle zu haben", beschreibt der Berater. "Gleichzeitig entlastet es die eigenen IT-Mitarbeiter von Routinearbeiten." Anbieter sind Ironport und Retarus sowie Security-Firmen wie Symantec, Trend Micro oder Sophos. "Aber auch E-Mail-Security-Spezialisten wie Clearswift oder regionale Player wie Eleven aus Berlin sind in diesem Geschäft tätig."

Modell 2: Outsourcing

Eine zweite Version der Managed E-Mail-Security-Services stellt das Outsourcing von Spam- und Virenschutzlösungen dar. Die Anwendungen werden von ei-nem externen Dienstleister betrieben und in dessen Rechenzentrum auch gehostet. Dabei ist die eingesetzte Appliance oder Software entweder im Besitz des Kunden oder des Dienstleisters. "Es handelt sich um die gleichen Lösungen wie im ersten Modell, meist werden sie aber von den Providern um eigene Management- und Reporting-Tools erweitert", erläutert Funk. Eine Variante ist das Shared Hosting: Der Anwender nutzt nicht ein dediziertes System, sondern mehrere Kunden teilen sich eine Appliance oder einen Server. Dieser kostengünstige Ansatz ist dem Experten zufolge vor allem für kleinere Unternehmen mit wenigen Mailboxen interessant.

Das dritte Modell ist eine stark kommerzialisierte Form des Outsourcings: Spezialisten bieten hoch standardisierte Dienstleistungen an, die Wertschöpfungskette liegt komplett außerhalb des Anwenderunternehmens. Anbieter sind unter anderem Retarus, Message Labs und die kürzlich von Google gekaufte Firma Postini. Angesichts des hohen Standardisierungsgrads und der Spezialisierung der Services können die Dienstleister erheblich von Skaleneffekten profitieren. Aufgrund der geringen Kosten ist das Modell laut Forrester für mittelständische Kunden durchaus interessant. Viele Anbieter setzen auf Partnerschaften mit großen IT-Dienstleistern wie IBM, British Telecom oder Atos Origin, die solche Leistungen als Reseller oder in Form von Hosting-Services anbieten: "Was etwa IBM seinen Mittelstandskunden verkauft, stammt eigentlich von Message Labs", verrät Funk.

Das Geschäft läuft recht gut. Den Schätzungen des Experten zufolge erzielen die Anbieter von Managed E-Mail-Security-Services Margen von "durchweg über 20 Prozent". Der Markt in Deutsch-land habe im vergangenen Jahr um rund 15 Prozent zugelegt. Allerdings seien die Zuwachsraten schon wieder leicht rückläufig, "weil die Experimentierphase in dem noch relativ jungen Segment dem Ende zugeht und nun das Mainstream-Geschäft beginnt". Den Anteil der Unternehmen, die bereits Managed E-Mail Security-Services in Anspruch nehmen, schätzt der Berater auf derzeit 20 Prozent.

Ähnlich positiv beurteilt Forrester Research die Situation. Laut einer akutellen Studie hat der Markt für Managed Security-Services weltweit ein Volumen von mehr als zwei Milliarden Dollar. Managed Services im Bereich Spam- und Virenschutz ist mit einer Steigerungsrate von fast 40 Prozent das derzeit am stärksten wachsende Segment des gesamten E-Mail-Sicherheitsmarktes, kommentiert Chenxi Wang, Principal Analyst bei Forrester. Aus ihrer Sicht können die Angebote für die unterschiedlichsten Anwender interessant sein: "Hosted Services reduzieren den Overhead, der durch den Betrieb einer solchen Lösung entsteht und unter Umständen einen signifikanten Teil der IT-Ressourcen bindet." Zudem setze ein Inhouse-Betrieb von E-Mail-Security-Systemen regelmäßige Hardware-Investitionen voraus, um mit dem steigenden Mail-Volumen Schritt halten zu können. "Vor allem kleinere Firmen mit begrenzten IT-Ressourcen können daher vom Auslagern dieses Bereichs profitieren", so Wang.

Große und kleine Anwender

Auch große Konzerne nehmen Managed E-Mail-Services in Anspruch. Mittlere Firmen sind dagegen nur schwach vertreten. "Bei den Hosted Services dominieren Kunden mit über 3000 Usern und solche mit weniger als 150 Anwendern", beobachtet Thomas Fleischmann, Enterprise Security Architect der Clearswift GmbH. Hintergrund sei vor allem die Last, die die internen Mail-Systeme und Infrastrukturen verarbeiten müssen: "Große Unternehmen nutzen Managed E-Mail-Security in der Regel als eine zusätzliche Schutzschicht, die den eigenen Sicherheitssystemen vorgelagert ist. Sie lassen bei uns alles herausfiltern, was unerwünscht ist das sind 70 bis 80 Prozent des gesamten Mail-Verkehrs." Dadurch würden die internen Mail-Systeme deutlich entlastet. Kleinere Firmen hingegen beauftragten einen externen Dienstleister vor allem, weil es ihnen an Ressourcen fehle, um die Unternehmenssicherheit selbst an ständig neue Gefahren anpassen zu können.

Wenig Kunden im Mittelstand

Auch beim Web-Filtering-Softwareanbieter Websense, der sein Know-how in Richtung Managed E-Mail-Security kürzlich durch die Übernahme von Surfcontrol erweitert hat, bestimmen große und kleine Kunden das Bild. Der gehobene Mittelstand nutzt E-Mail-Services dagegen eher selten. Michael Neumayr, Regional Manager Central Europe bei Websense, schätzt das Spam-Volumen sogar auf 80 bis 85 Prozent aller eingehenden Mails. Der Anbieter verpflichtet sich, 95 Prozent davon auszusortieren. Auch die Kunden von Websense nutzen die Dienstleistung als erste Filterstufe, um die Last auf den eigenen Systemen zu reduzieren. Laut Neumayr werden die Hosted Services fast ausschließlich für die eingehende Post in Anspruch genommen, obwohl Websense auch in der Lage wäre, ausgehenden Mail-Traffic auf unzulässigen Datenabfluss oder auf Verletzung der Mail-Policies eines Unternehmens zu prüfen.

Die Nachfrage steigt

Neumayr geht aber davon aus, dass die Nachfrage nach Services rund um ausgehende Mails auf absehbare Zeit anziehen wird. Ähnlich sieht es Frank Müller, Bereichsleiter IT-Services bei der Stuttgarter NIIT Technologies AG, deren Services auf Produkten von Iron Port, F-Secure und Marshal basieren. Bislang konzentrierten sich die Anwender zwar vornehmlich auf Malware- und Spam-Schutz. Die Sicherung des ausgehenden Mail-Verkehrs werde aber künftig eine größere Rolle spielen zumindest in bestimmten Branchen: "Vor allem Anwender aus Industriebetrieben investieren viel in den Schutz ihrer Forschung, Entwicklung und Patente." (sp)