Eigenbetrieb kann sich rechnen, wenn Ihr Team die nötige Fachkenntnis, Zeit und Vertretung hat. MDR kann Lücken bei Erreichbarkeit oder Fachkapazität schließen und interne Arbeit verringern. Vergleichen Sie dafür Modelle mit denselben Aufgaben und Reaktionszeiten.
Kurzfassung für die Entscheidung
Eigenbetrieb: Ihr Team hat Fachwissen, Zeit und eine geregelte Vertretung.
MDR: Ein Dienst deckt fehlendes Fachwissen oder benötigte Bearbeitungszeiten ab.
Hybrid: Der Dienst übernimmt Analyse oder Erstreaktion; Entscheidungen und Änderungen bleiben bei Ihrer IT.
Für alle Modelle: Microsoft-Lizenzen, Plattformkosten und interne Arbeit getrennt ausweisen.
Was muss Ihr Sicherheitsbetrieb leisten?
Legen Sie vor der Kostenrechnung fest, welche Systeme überwacht werden, wann jemand reagiert und wer Gegenmaßnahmen freigibt. Ein Dienst, der Meldungen nur weiterleitet, bietet etwas anderes als ein Team, das Vorfälle untersucht und vereinbarte Maßnahmen selbst ausführt. Microsoft Learn, SOC-Servicekatalog, abgerufen am 21.09.2026.
Halten Sie für jede Aufgabe fest, ob sie intern, extern oder gemeinsam erledigt wird. Unklare Zuständigkeiten kosten im Vorfall Zeit.
| Vergleichspunkt | Das muss in beiden Varianten feststehen |
|---|---|
| Abgedeckte Umgebung | Welche Geräte, Identitäten, E-Mail-Dienste und weiteren Datenquellen werden tatsächlich überwacht? |
| Bearbeitungszeit | Wann übernimmt ein Mensch, welche Vertretung gibt es, und welche Reaktionszeit wird erwartet? |
| Untersuchung | Werden Meldungen eingeordnet und zusammenhängende Aktivitäten untersucht? |
| Gegenmaßnahmen | Wer darf ein Gerät isolieren oder ein Konto sperren, und unter welchen Bedingungen? |
| Laufende Pflege | Wer prüft ausgefallene Datenquellen, reduziert Fehlalarme und passt Regeln an? |
| Wiederherstellung | Wer stellt die Arbeitsfähigkeit wieder her und setzt nötige Änderungen um? |
Unerledigte Arbeit ist nicht kostenlos
Bleiben in Ihrer IT Aufgaben liegen, rechnen Sie aus, was ihre Übernahme im Eigenbetrieb kosten würde. Sonst steht ein vollständiger Dienst einer unvollständigen internen Leistung gegenüber.
Wie viel Arbeit macht der Eigenbetrieb?
Zählen Sie nicht nur die Bearbeitung von Sicherheitsmeldungen. Auch Regeln, Datenquellen und Berechtigungen brauchen Pflege. Hinzu kommen Abstimmungen, Dokumentation, Übungen und Weiterbildung. Microsoft Learn, SOC-Wartungsaufgaben, abgerufen am 21.09.2026. Erfassen Sie auch Aufgaben, die regelmäßig liegen bleiben.
| Aufgabe | Was Sie erfassen sollten |
|---|---|
| Meldungen bewerten | Aktive Bearbeitungszeit einschließlich der Prüfung bereits ausgeführter automatischer Aktionen. |
| Vorfälle untersuchen und begrenzen | Zeit für Analyse, abgestimmte Eingriffe und deren Kontrolle. |
| Regeln und Automatisierung pflegen | Fehlalarme untersuchen, Anpassungen testen und dokumentieren. |
| Datenquellen und Zugriffe betreuen | Fehlende Meldedaten, neue Geräte, Sensoren, Schnittstellen und Berechtigungen prüfen. |
| Abstimmen und berichten | Übergaben, Rückfragen, Berichte und Entscheidungen vorbereiten. |
| Wissen und Abläufe pflegen | Fachliche Weiterbildung, Dokumentation und Übungen. |
Notieren Sie auch, wenn ein Fall mehrere Personen gleichzeitig beschäftigt und andere Arbeit verdrängt hat. Unterscheiden Sie Arbeitszeit von Wartezeit: Wartet ein Analyst 40 Minuten auf eine Freigabe, arbeitet er nicht zwingend 40 Minuten an diesem Fall. Die Eindämmung kann sich trotzdem um diese Zeit verzögern.
Automatisierung vor manueller Routine
Rechnen Sie vermeidbare Handarbeit nicht dauerhaft in den Eigenbetrieb ein. Prüfen Sie, welche Untersuchungen und Reaktionsschritte Defender automatisieren kann und wo ein Mensch entscheiden muss. Microsoft Learn, automatisierte Untersuchung und Reaktion, abgerufen am 21.09.2026. Berücksichtigen Sie die einmaligen Kosten einer Optimierung, wenn sie laufende Arbeit spart.
Was kostet eine interne Arbeitsstunde?
Rechnen Sie mit einem intern abgestimmten Kostensatz statt allein mit dem Bruttogehalt. Teilen Sie die der Rolle zugeordneten Jahreskosten durch die verfügbaren Arbeitsstunden. Halten Sie die Annahmen fest.
Rechenformel
Interner Kostensatz = zugeordnete Jahreskosten geteilt durch verfügbare Arbeitsstunden pro Jahr.
Im Beispiel unten: 90.000 € Jahreskosten geteilt durch 1.500 Stunden ergibt 60 € pro Stunde. Frei gewählte Modellwerte, keine Gehaltsstudie und kein marktüblicher Verrechnungssatz.
Ziehen Sie Abwesenheiten und andere nicht verfügbare Zeiten nachvollziehbar ab. Wenn Sie Weiterbildung als eigene Betriebsaufgabe erfassen, dürfen Sie dieselben Stunden nicht zusätzlich aus der Kapazität herausrechnen. Bei mehreren beteiligten Personen können Sie unterschiedliche Kostensätze verwenden.
Was bleibt trotz MDR bei Ihrer IT?
Auch mit MDR braucht Ihr Unternehmen interne Ansprechpartner. Sie liefern fachlichen Kontext, geben Eingriffe mit Betriebswirkung frei und kümmern sich um Änderungen, Wiederherstellung und Aufgaben außerhalb des Vertrags. Microsoft Learn, Rollen und Zuständigkeiten, abgerufen am 21.09.2026. Halten Sie schriftlich fest, was der Anbieter allein, gemeinsam mit Ihrer IT oder gar nicht übernimmt.
Welche Lizenzen zahlen Sie weiterhin?
Rechnen Sie MDR-Gebühr und Microsoft-Lizenzen separat. Klären Sie, welche Lizenzen der Anbieter voraussetzt, welche im Angebot enthalten sind und welche Ihr Unternehmen weiterhin bezahlt. Microsoft Learn, Voraussetzungen für Defender XDR, abgerufen am 21.09.2026. Gleichbleibende Lizenzkosten ändern den Vergleich der beiden Modelle nicht, gehören aber in beide Gesamtbudgets.
Welche Zusatzkosten kann Sentinel verursachen?
Wenn Microsoft Sentinel dazugehört, lassen Sie Datenquellen, Datenvolumen, Aufbewahrung und zusätzliche Azure-Dienste einzeln kalkulieren. Microsoft Learn, Sentinel-Kosten, abgerufen am 21.09.2026. „Sentinel ist enthalten“ sagt noch nichts über die Verbrauchskosten. Entscheidend ist, welche Daten verarbeitet und wie lange sie aufbewahrt werden.
Einführung und größere Vorfälle einrechnen
Trennen Sie Einführungskosten, laufende Kosten und Leistungen im Ausnahmefall. Fragen Sie, was Forensik, Wiederherstellung, längere Untersuchungen und Verbesserungen nach einem größeren Vorfall kosten. Die Monatsgebühr deckt solche Arbeiten nicht zwangsläufig unbegrenzt ab. Kalkulieren Sie auch für den Eigenbetrieb, welche Spezialisten Ihre IT bei einem größeren Vorfall hinzuziehen müsste.
Eigenbetrieb und MDR mit denselben Annahmen vergleichen
Nur die Rechenmethode, keine Benchmarks
Das Beispiel erklärt die Rechnung. Stunden, Stundensatz und Dienstleisterpreis sind frei gewählt: Sie sind weder Marktwerte noch eine Empfehlung für eine bestimmte Unternehmensgröße. Setzen Sie für Ihre Entscheidung eigene Zahlen ein.
Verglichen wird die Bearbeitung während derselben Geschäftszeiten, mit denselben Datenquellen und Aufgaben. Vertretung und Reaktionsfähigkeit gelten in beiden Varianten als organisatorisch sichergestellt. Die Stunden beschreiben aktive Arbeit, keine durchgehend besetzte Stelle. Der Dienst kostet im Beispiel 3.000 € pro Monat, die interne Stunde wird mit 60 € bewertet.
| Aufgabe | Eigenbetrieb | Mit MDR |
|---|---|---|
| Meldungen bewerten | 32 | 4 |
| Vorfälle untersuchen und nacharbeiten | 20 | 8 |
| Regeln und Automatisierung pflegen | 18 | 5 |
| Datenquellen und Zugriffe betreuen | 8 | 3 |
| Abstimmen und berichten | 6 | 3 |
| Wissen und Abläufe pflegen | 6 | 2 |
| Summe | 90 | 25 |
Die 25 Reststunden sind eine Annahme, keine zugesicherte Entlastung. Prüfen Sie sie mit Ihrer IT und dem Anbieter. Der folgende Teilkostenvergleich lässt gleiche Lizenz- und Plattformkosten sowie einen außergewöhnlichen Großvorfall aus.
| Kostenbestandteil | Eigenbetrieb | Mit MDR |
|---|---|---|
| Interne Arbeit pro Monat | 90 × 60 € = 5.400 € | 25 × 60 € = 1.500 € |
| Dienstleistungsgebühr pro Monat | 0 € | 3.000 € |
| Laufende Teilkosten pro Monat | 5.400 € | 4.500 € |
| Laufende Teilkosten pro Jahr | 64.800 € | 54.000 € |
| Künftige Einmalkosten einschließlich interner Arbeit | 6.000 € | 9.000 € |
| Teilkosten im ersten Jahr | 70.800 € | 63.000 € |
Zeigen Sie zwei Ergebnisse: den Wert der eingesetzten Ressourcen und die Veränderung Ihrer Ausgaben. Freie interne Stunden schaffen zunächst Kapazität. Das Budget sinkt erst, wenn dadurch Ausgaben entfallen oder vermieden werden.
Im Beispiel sinken die bewerteten Teilkosten im ersten Jahr um 7.800 €, danach um 10.800 € pro Jahr. Rechnerisch werden 65 interne Stunden pro Monat frei. Für das Gesamtbudget müssen Sie die hier ausgelassenen gemeinsamen Kosten ergänzen. Zusätzliche Lizenzen oder Verbrauchskosten verringern den errechneten Vorteil.
Freie IT-Zeit spart nicht automatisch Budget
Bleiben dieselben Beschäftigten zu denselben Konditionen im Unternehmen, laufen die Gehaltszahlungen weiter. Hinzu kommt die Rechnung des Dienstleisters. Die frei werdende Zeit können Sie für Änderungen oder die Pflege Ihrer Umgebung nutzen. Benennen Sie diese Aufgaben konkret. Eine vermiedene Einstellung, entfallende externe Unterstützung oder weniger bezahlte Mehrarbeit müssen Sie einzeln belegen können.
Zeigen Sie der Geschäftsführung daher Ressourcenwert und Ausgaben getrennt. Addieren Sie den Wert freier Stunden nicht ein zweites Mal als Ersparnis zum Kostenvergleich.
Wann gleicht der Wert freier Stunden die MDR-Gebühr aus?
Die Schwelle, an der sich beides deckt
Nötige monatliche Entlastung = monatliche Gebühr geteilt durch den internen Stundensatz.
Laufend: 3.000 € geteilt durch 60 € ergibt 50 Stunden pro Monat.
Erstes Jahr, mit der um 3.000 € höheren Einführung auf zwölf Monate verteilt: 3.250 € geteilt durch 60 € ergibt rund 54,2 Stunden pro Monat.
Die Schwelle beantwortet nur die Kostenfrage. MDR kann auch mehr kosten und dennoch sinnvoll sein, wenn der Dienst benötigte Erreichbarkeit oder Fachwissen bietet. Benennen Sie diesen Nutzen als solchen.
Die Verteilung der Einmalkosten auf zwölf Monate dient nur dem Vergleich; sie ist keine Abschreibungsregel. Spart der Dienst im Beispiel lediglich 20 Stunden pro Monat, entspricht das bei 60 € pro Stunde 1.200 €. Bei 3.000 € Gebühr liegen die laufenden Teilkosten dann 1.800 € pro Monat höher. Zusätzliche Erreichbarkeit oder Fachwissen können den Aufpreis rechtfertigen. Eine Kostenersparnis ist es in diesem Fall nicht.
Arbeitsstunden ersetzen keinen Schichtplan
Wenig Bearbeitungszeit bedeutet nicht, dass jederzeit jemand verfügbar ist. Die 90 Monatsstunden im Beispiel entsprechen bei 1.500 verfügbaren Jahresstunden rechnerisch 0,72 Vollzeitäquivalenten; die 25 Reststunden entsprechen 0,20. Daraus lässt sich weder die nötige Besetzung noch die Zahl ersetzter Stellen ableiten.
Wie viel Personal braucht eine durchgehend besetzte Position?
Reine Kapazitätsrechnung
24 Stunden mal 365 Tage ergeben 8.760 Besetzungsstunden im Jahr.
Bei angenommenen 1.500 am Arbeitsplatz verfügbaren Stunden je Vollzeitkraft: 8.760 geteilt durch 1.500 ergibt 5,84 Vollzeitäquivalente.
5,84 Vollzeitäquivalente sind eine Kapazitätsrechnung für eine gleichzeitig besetzte Position, kein Dienstplan für ein SOC. Qualifikation, Schichtübergaben, parallele Vorfälle und Spezialisten müssen Sie zusätzlich planen. Ziehen Sie Abwesenheiten nicht zweimal ab, wenn sie bereits in den 1.500 verfügbaren Stunden berücksichtigt sind. Für Rufbereitschaft brauchen Sie eine eigene Rechnung mit Einsätzen und verbindlichen Reaktionszeiten.
Fragen Sie daher getrennt: Wie viele Arbeitsstunden fallen an, und zu welchen Zeiten muss eine qualifizierte Person reagieren können?
Was ändert ein externer Dienst an der Besetzung?
Ein SOC-Dienst teilt Personal und Infrastruktur auf mehrere Kunden auf. Das bedeutet weder ein exklusives Team noch unbegrenzte Kapazität. Klären Sie, wie der Anbieter parallele Vorfälle bearbeitet, wann Spezialisten hinzukommen und welche Wiederherstellungsarbeiten enthalten sind. Auch intern müssen Menschen erreichbar bleiben, die Ihre Anwendungen kennen und Eingriffe mit Betriebswirkung entscheiden können.
Wann spricht mehr für Eigenbetrieb, MDR oder ein hybrides Modell?
Woran Sie es im Betrieb erkennen
Eigenbetrieb: Ihr Team hält die vereinbarten Bearbeitungszeiten auch bei Urlaub, Krankheit und parallelen Störungen ein.
MDR: Untersuchungen bleiben wegen des Tagesgeschäfts liegen, außerhalb der Bürozeiten fehlt eine Reaktion oder benötigtes Fachwissen ist intern nicht vorhanden.
Hybrid: Ihre IT betreibt die Plattform, braucht aber Unterstützung bei Analyse, Erstreaktion oder Bereitschaft.
Ein eigenes Team braucht neben Zeit für Meldungen auch Kapazität, den Betrieb zu pflegen und regelmäßig zu verbessern. Wenn diese Arbeit nach einer Optimierung gut abgedeckt ist, kann ein zusätzlicher Dienst mehr kosten, als er entlastet.
Fehlen dagegen Fachwissen, Vertretung oder längere Bearbeitungszeiten, kann MDR Aufgaben übernehmen. Im hybriden Modell bleibt der Plattformbetrieb intern, während ein Dienst fest vereinbarte Untersuchungs- oder Bereitschaftsaufgaben übernimmt. Weitere Auswahlfragen behandelt der Artikel Microsoft-SOC: Wann braucht Ihre IT Unterstützung?
Prüfen Sie zuerst, welche Modelle Ihre Anforderungen erfüllen. Vergleichen Sie dann deren Kosten. Kontrollieren Sie nach einem Wechsel, ob die vereinbarten Aufgaben erledigt werden. Weniger interne Stunden helfen nicht, wenn dafür mehr Arbeit liegen bleibt.
Welche Zahlen brauchen Sie für die Entscheidung?
Füllen Sie die Vorlage gemeinsam mit IT und kaufmännischer Leitung aus. Wo Werte fehlen, kennzeichnen Sie Ihre Annahmen. Nehmen Sie nur künftige, für die Entscheidung relevante Kosten auf. Bereits bezahlte Einführungskosten ändern sich durch die Wahl des Betriebsmodells nicht.
Arbeitsvorlage, zum Ausfüllen
| Eingabe | Eigenbetrieb | Mit MDR |
|---|---|---|
| Vereinbarte Systeme, Aufgaben und Bearbeitungszeiten | ||
| Interne Stunden pro Monat einschließlich Restarbeit | ||
| Interne Kostensätze und zugehörige Stunden | ||
| Externe laufende Gebühren | ||
| Microsoft-Lizenzen (nur einmal ansetzen) | ||
| Plattform-, Daten- und Automatisierungskosten | ||
| Weitere laufende Kosten, etwa nötige externe Spezialisten | ||
| Künftige Einrichtung und Übergang einschließlich interner Arbeit | ||
| Zusatzaufwand bei größeren Vorfällen (Szenario) | ||
| Nicht abgedeckte Aufgaben und verfügbare Vertretung |
Für den Jahresvergleich multiplizieren Sie die monatlichen Kosten mit zwölf und addieren künftige Einmalkosten sowie gesonderten Zusatzaufwand. Bei mehreren internen Kostensätzen berechnen Sie die Stundenkosten je Rolle. Zählen Sie Lizenzen oder Arbeiten, die im Dienstpreis enthalten sind, kein zweites Mal.
Spielen Sie außerdem einen größeren Vorfall durch: Welche internen Stunden und externen Leistungen braucht jede Variante? Ohne verlässliche Eintrittswahrscheinlichkeit bleibt das eine Szenariorechnung. Halten Sie für die Freigabe fest, welche Ausgaben sich ändern, wie viel Arbeitszeit frei wird und welche Leistung Sie zusätzlich erhalten.
Wie wir Sie beim Vergleich unterstützen
Wir bieten Managed Detection and Response mit Microsoft Defender XDR in zwei Stufen an: MDR Basis mit qualifizierter Bearbeitung zu den ausgewiesenen Geschäftszeiten, MDR Advanced mit qualifizierter Bearbeitung rund um die Uhr. Leistungsumfang, Reaktionszeiten und Preise stehen auf der Produktseite. Welche Maßnahmen wir direkt ausführen dürfen und wann Ihre Freigabe nötig ist, legen wir vor dem Start im versionierten Service-Handbuch fest.
Für das Erstgespräch helfen eine Übersicht Ihrer Lizenzen, die benötigten Bearbeitungszeiten und der bisherige interne Aufwand. Auf dieser Grundlage vergleichen wir ein Angebot mit Ihrem Eigenbetrieb. Wenn Ihr Team die Anforderungen bereits zuverlässig und wirtschaftlich erfüllt, zeigt der Vergleich das ebenfalls.
Häufige Fragen
Was kostet es, Defender XDR selbst zu betreiben?
Die Kosten hängen von Lizenzumfang, interner Arbeitszeit, Vertretung und Bearbeitungszeiten ab. Rechnen Sie auch Pflege und technische Betriebskosten ein. Die Benutzerzahl allein reicht für eine Kostenschätzung nicht.
Ist ein MDR-Dienst günstiger als eine eigene Fachkraft?
Nicht pauschal. Ein Dienst übernimmt nur die vereinbarten Aufgaben; interne Arbeit bleibt. Vergleichen Sie Gebühr, Restaufwand sowie Technik- und Einführungskosten mit einem Eigenbetrieb, der dieselben Aufgaben und Bearbeitungszeiten abdeckt.
Wie viele Personen braucht ein eigenes SOC rund um die Uhr?
Eine durchgehend besetzte Position erfordert in einem Jahr mit 365 Tagen 8.760 Stunden. Bei angenommenen 1.500 verfügbaren Stunden je Vollzeitkraft sind das rechnerisch 5,84 Vollzeitäquivalente. Die Zahl gilt für eine Position, nicht für ein komplettes SOC. Für den Dienstplan müssen Sie Qualifikation, Übergaben und parallele Vorfälle berücksichtigen.
Entfallen unsere Microsoft-Lizenzkosten durch MDR?
Nicht unbedingt. Klären Sie, welche Lizenzen im Angebot enthalten sind und welche Ihr Unternehmen weiter bezahlt. Die verfügbaren Defender-Funktionen hängen von der Lizenzierung ab. Gleichbleibende Kosten gehören in beide Gesamtbudgets.
Sind freie interne Stunden eine Budgetersparnis?
Nein. Freie Stunden schaffen zunächst Kapazität. Solange Gehälter und andere Ausgaben gleich bleiben, sinkt das Budget nicht. Eine Ersparnis entsteht erst, wenn Ausgaben entfallen oder vermieden werden, etwa für externe Unterstützung oder eine geplante Einstellung.
Müssen wir Einführungskosten in den Vergleich aufnehmen?
Ja, wenn sie künftig durch die jeweilige Variante entstehen. Berücksichtigen Sie dabei auch interne Mitarbeit und die Übergangsphase. Bereits bezahlte Einführungskosten sind für diese Entscheidung keine vermeidbaren Kosten des Eigenbetriebs.
Welche Kosten werden bei einem MDR-Vergleich am häufigsten vergessen?
Häufig fehlen interne Restarbeit, Einführung und Übergabe, Plattform- und Verbrauchskosten sowie Leistungen bei größeren Vorfällen. Prüfen Sie auch Aufgaben außerhalb des Vertrags. Gleichbleibende Microsoft-Lizenzen gehören in beide Gesamtbudgets, sind aber keine vermeidbaren Kosten des Eigenbetriebs.
Über den Autor
Manuel Fetscher ist Geschäftsführer der hochzwei tech GmbH. In diesem Beitrag vergleicht er den Eigenbetrieb von Microsoft Defender XDR mit Managed Detection and Response: Aufgaben, Personalbedarf und Kosten.
Technische Aussagen stützen sich auf die verlinkte Microsoft-Dokumentation, abgerufen am 21.09.2026. Für das Rechenbeispiel hat hochzwei folgende Werte frei gewählt (Rechenstand 21.09.2026): 90.000 € zugeordnete Jahreskosten, 1.500 verfügbare Jahresarbeitsstunden, 90 beziehungsweise 25 interne Stunden pro Monat, 3.000 € monatliche Gebühr und 6.000 beziehungsweise 9.000 € künftige Einmalkosten. Die übrigen Zahlen sind daraus berechnet. Die Werte sind keine Kundendaten, Gehaltsbenchmarks, Marktpreise oder ein Angebot von hochzwei. Externe Beträge verstehen sich ohne Umsatzsteuer. Tabellen und Entscheidungshilfen sind redaktionelle Vorschläge und ersetzen keine betriebswirtschaftliche Beratung.