Warum bei Security heute mehr zählt als Detection Rate und Featurelisten
Die technisch beste Security-Lösung kann die falsche Entscheidung sein.
Detection Rate, Funktionsumfang und Performance sagen viel darüber aus, wie gut eine Lösung ihre unmittelbare Aufgabe erfüllt. Aber eine gute Security-Entscheidung lässt sich nicht allein daran festmachen.
Wo werden Daten verarbeitet? Welche Funktionen hängen von der Cloud des Herstellers ab? Wie offen sind Schnittstellen und Erkennungslogiken? Lassen sich andere Technologien integrieren? Und was passiert, wenn sich Anforderungen ändern?
Genau hier kommt ein weiterer Faktor ins Spiel: Kontrolle.
Kontrolle beginnt bei der Architektur
Moderne Security-Stacks bestehen aus vielen miteinander verbundenen Komponenten: Endpoint Security und EDR, Netzwerk- und OT-Monitoring, Threat Intelligence, Cloud-Services, SOC-Prozesse und externe Spezialist:innen.
Abhängigkeiten zwischen Technologien, Anbietern und Prozessen lassen sich dabei kaum vermeiden. Entscheidend ist vielmehr, wie viel Kontrolle ein Unternehmen darüber behält: Wo werden Daten verarbeitet? Welche Funktionen lassen sich selbst betreiben? Wie einfach können einzelne Komponenten ergänzt oder ausgetauscht werden?
Wenn zentrale Security-Funktionen eine permanente Verbindung zur Hersteller-Cloud benötigen, Telemetriedaten zwingend extern verarbeitet werden oder ein proprietäres Ökosystem den Austausch einzelner Komponenten erschwert, wird aus einer Produktentscheidung schnell eine langfristige Architekturentscheidung.
Was passiert, wenn sich etwas ändert?
Wie viel Kontrolle und Wahlfreiheit eine Security-Architektur tatsächlich lässt, zeigt sich erst dann, wenn sich die Rahmenbedingungen ändern: ein neuer regulatorischer Anspruch, eine andere Cloud-Strategie, geänderte Anforderungen an die Datenhaltung oder neue Technologien, die in die bestehende Architektur integriert werden sollen.
Genau deshalb sollten solche Fragen schon bei der Evaluierung eine Rolle spielen: Funktioniert die Erkennung auch ohne permanente Cloud-Verbindung? Ist nachvollziehbar, warum ein EDR einen Alarm ausgelöst hat? Können eigene Regeln ergänzt werden? Lassen sich weitere Technologien integrieren, ohne gleich das gesamte Ökosystem eines Herstellers übernehmen zu müssen?
Souveränität ist mehr als ein Serverstandort
Besonders deutlich zeigt sich die Bedeutung von Kontrolle und Wahlfreiheit bei der Frage der digitalen Souveränität. Der Standort eines Rechenzentrums allein reicht nicht. Entscheidend ist auch, woher die eingesetzte Technologie kommt, welchem Rechtsraum Anbieter und Technologie unterliegen und wer letztlich Zugriff auf sensible Daten haben kann.
Souveränität zeigt sich aber auch darin, wie frei ein Unternehmen seine Sicherheitsarchitektur gestalten und weiterentwickeln kann. Dazu gehört etwa die Wahl zwischen Cloud und On-Premises, die Möglichkeit zum Betrieb in isolierten Umgebungen, Transparenz bei Datenerhebung und Erkennungsregeln sowie offene Schnittstellen zur Integration mit anderen Systemen.
Zur digitalen Souveränität gehört deshalb nicht nur, Abhängigkeiten von außereuropäischen Technologien und Rechtsräumen zu reduzieren. Es geht auch darum, innerhalb der eigenen Security-Architektur möglichst viel Entscheidungsfreiheit zu behalten.
Fünf Fragen für die nächste Security-Evaluierung
Neben Detection Rates, Features, Performance und Kosten lohnt es sich deshalb, bei der nächsten Lösungsevaluierung fünf weitere Fragen zu stellen:
- Welche Kontrolle behalte ich über Daten, Infrastruktur und Betrieb?
- Verstehe ich, wie meine Sicherheitslösung arbeitet – oder kaufe ich eine Blackbox?
- Ergänzt die Lösung meine Architektur oder bindet sie mich an ein geschlossenes Ökosystem?
- Kann ich spezialisierte Technologien sinnvoll miteinander verbinden?
- Wie handlungsfähig bleibe ich, wenn sich Anforderungen ändern?
Diese Fragen ersetzen die technische Bewertung nicht. Eine offene Lösung, die Bedrohungen nicht zuverlässig erkennt, ist keine gute Sicherheitslösung. Aber umgekehrt macht auch technische Qualität allein noch keine gute langfristige Entscheidung.
Offenheit und Wahlfreiheit in der Praxis
HarfangLab Guard feat. IKARUS ist ein Beispiel für diesen Ansatz. Die Lösung kombiniert zwei spezialisierte Technologien: die EDR-Technologie von HarfangLab und die Malware-Erkennung von IKARUS.
HarfangLab Guard feat. IKARUS kann in der EU-Cloud, On-Premises oder in Air-gapped-Umgebungen eingesetzt werden – jeweils mit vollem Funktionsumfang. Die Detection-Logik liegt direkt im Agenten und funktioniert unabhängig von einer permanenten Verbindung zum Internet oder externen Cloud-Analyse. Das Regelwerk ist einsehbar und editierbar. Über APIs und Konnektoren lässt sich die Plattform in bestehende Security-Umgebungen integrieren.
Auch bei der IKARUS Malware Scan Engine ist die eigene Malware-Technologie nicht auf ein geschlossenes Endprodukt beschränkt. Sie kann in Produkte und Prozesse anderer Anbieter integriert werden. Die Erkennung funktioniert dabei unabhängig von einer Cloud- oder Internetverbindung – auch in vollständig isolierten Umgebungen.
Spezialisierung und Wahlfreiheit schließen sich also nicht aus. Technische Qualität bleibt entscheidend. Aber wir sollten von einer guten Security-Lösung mehr verlangen.
