Security Services Retainer: Service Units und Katalogumfang

Der Sophos Security Services Retainer lässt sich anhand von Service Units (SU) für geplante Sicherheitsleistungen einordnen. Der Katalog führt Leistungen für Vorfalluntersuchung und Vorbereitung, Sicherheitstests sowie Implementierung auf. Für die Beschaffung sind drei Fragen entscheidend: Welches Retainer-Level ist tatsächlich bestellt, wie viele SU stehen im betreffenden Abonnementjahr noch zur Verfügung und welchen abgegrenzten Auftrag soll der Anbieter dafür ausführen?

Katalogprüfstand: 11. Oktober 2026. Die folgenden Werte sind eine Planungshilfe, kein Angebot und kein Nachweis eines kundenspezifischen Leistungsanspruchs. Vor einer Bestellung oder Beauftragung werden der aktuelle Katalogstand, die Kundenberechtigung und der konkrete Leistungsumfang separat bestätigt.

Nicht aus dem Katalog ableiten: Dieser Artikel macht keine Zusagen zu SLA, Reaktions- oder Einsatzbeginnzeiten, Verfügbarkeit, Vor-Ort-Unterstützung, Breach Warranty oder einem garantierten Untersuchungsergebnis. Aus dem Retainer oder einem SU-Guthaben folgt auch keine automatische MDR-Überwachung. Solche Erwartungen müssen vor der Beschaffung anhand der für den Kunden geltenden Vereinbarungen geklärt werden.

Service Units und die vier Retainer-Level

SU sind die Einheit, mit der der Katalog den Bedarf einer Leistung angibt. Sie sind weder ein Geldbetrag noch eine allgemeine Anzahl Arbeitsstunden. Nur für die unten erläuterte DFIR-Zeile ist eine Umrechnung in Stunden angegeben; sie gilt nicht automatisch für Assessments oder Implementierung.

Die Zuordnung gilt pro Abonnementjahr, nicht einmalig für die gesamte mehrjährige Vertragslaufzeit. Die Tabelle sagt jedoch nicht, welcher Saldo beim eigenen Kunden aktuell nutzbar ist. Bereits beauftragte Leistungen, das konkrete Abonnementjahr und die bestätigte Zuteilung müssen in die Planung eingehen. Regeln zu Verfall, Übertrag, Erstattung, Verlängerung oder mehrjähriger Zuteilung werden hier nicht festgelegt.

Man wählt das Level deshalb nicht nur nach der grössten Zahl. Zuerst wird der Bedarf beschrieben, dann werden Katalogwert und bestätigter Auftrag mit dem verfügbaren Guthaben verglichen. Ein passender Tabellenwert allein ist noch keine Beauftragungsfreigabe.

Ausgewählte Leistungen aus den drei Katalogbereichen

Die folgenden Beispiele zeigen die Unterschiede zwischen den Bereichen. Sie sind keine vollständige Liste und beschreiben keine detaillierten Liefergegenstände der einzelnen Services.

Für alle drei Bereiche gilt: Die SU-Werte sind Katalog-Mindestwerte. Zusätzliche Anpassungen oder eine angefragte Vor-Ort-Durchführung können den Bedarf erhöhen. Ob eine solche Durchführung für den konkreten Auftrag angeboten wird, muss separat bestätigt werden; die Mindestwertregel ist keine Vor-Ort-Zusage.

DFIR und Vorbereitung auf Vorfälle

Digital Forensics and Incident Response (DFIR) bezeichnet die forensische Untersuchung und Reaktion auf Sicherheitsvorfälle. Der Katalog führt daneben Readiness-Leistungen zur Vorbereitung auf Vorfälle auf.

Die DFIR-Zeile nennt alternativ eine Abrechnung nach Stunden, aber keinen Währungspreis. Ein Stundensatz wird daraus nicht abgeleitet. Ebenso sind drei DFIR-Stunden keine Reaktionsfrist und keine Zusage, einen Vorfall innerhalb dieser Zeit vollständig zu bearbeiten.

Wichtige Level-1-Bedingung: Die Level-Tabelle führt die Einlösung von SU für DFIR bei Level 1 nur mit einem Standalone DFIR Retainer auf. Für Level 2 bis 4 steht in dieser Katalogzeile „Yes“. Auch diese Einträge ersetzen nicht die Bestätigung des kundenspezifischen Anspruchs und Auftrags. Level 1 darf insbesondere nicht allein wegen seiner 2 SU als allgemein verfügbarer DFIR-Zugang eingeplant werden.

Sicherheitstests und Assessments

Ein Assessment ist eine beauftragte Sicherheitsbewertung. Die Katalogbezeichnung hilft bei der Auswahl, legt aber noch nicht die untersuchten Systeme, Testmethoden oder Ergebnisse fest.

Beim AI LLM Security Assessment zählt jedes zusätzliche Ziel separat. Es ist kein unbegrenzter Zusatzumfang im Standardwert enthalten. Was im konkreten Auftrag als Ziel gilt, wird vor der Beauftragung mit dem Anbieter festgelegt. Auch beim Entra-ID-Assessment darf man aus 15 SU keine pauschale Abdeckung beliebig vieler Tenants oder Identitäten ableiten.

Implementierung

Der ITDR-Wert legt keinen universellen Implementierungsumfang fest. Beim MDR-Eintrag ist die Einheit je Integration entscheidend: Ein Auftrag für mehrere Integrationen ist nicht automatisch mit einer einzigen SU abgedeckt. Die Einrichtungsaufgabe bleibt zudem von der Produkt- und Serviceberechtigung getrennt. Der Artikel zu MDR- und XDR-Integrationen behandelt die technische Einrichtung und Prüfung, nicht die Beschaffungsfreigabe dieses Retainers.

Den Bedarf vor der Beauftragung prüfen

Die folgende Vorgehensweise ist eine Avanet-Empfehlung für die Beschaffung, kein dokumentierter Portalablauf. Sie verhindert, dass eine Katalogzeile mit einem fertigen Auftrag verwechselt wird.

1. Leistung und Zweck benennen. Den genauen Katalognamen und das gewünschte Ergebnis festhalten, etwa ein Tabletop Exercise oder die Einrichtung einer bestimmten MDR-Integration. Einen laufenden Vorfall nicht als gewöhnliches Planungsprojekt behandeln; dafür den bereits vereinbarten Vorfallkontakt und internen Incident-Prozess verwenden.
2. Umfang abgrenzen. Betroffene Tenants, Geräte, Integrationen oder Assessment-Ziele und die relevanten Mengen angeben. Eine Mengeneinheit wie „je Integration“ nur dort verwenden, wo der Katalog sie tatsächlich nennt; bei fehlender Einheit den Anbieter um eine eindeutige Abgrenzung bitten.
3. Kundenstand bestätigen. Bestelltes Level, konkretes Abonnementjahr, verfügbaren SU-Saldo und bereits eingeplante Aufträge erfassen. Für DFIR bei Level 1 zusätzlich den Standalone DFIR Retainer und den daraus bestätigten nutzbaren Umfang klären.
4. Abweichungen anfragen. Anpassungen, Vor-Ort-Wünsche und andere Besonderheiten ausdrücklich nennen. Den für genau diesen Auftrag bestätigten SU-Bedarf und ein separates Angebot einholen, statt den Mindestwert als Festpreis zu behandeln.
5. Vor der Freigabe abgleichen. Leistungsabgrenzung, Kundenberechtigung, bestätigter SU-Bedarf und Angebot müssen zusammenpassen. Bei einer Abweichung bleibt die Beauftragung offen, bis der Anbieter sie geklärt und die zuständige Person den Auftrag freigegeben hat.

Beispiel: Ein rechnerisch passender Bedarf ist noch kein Auftrag

Angenommen, für das aktuelle Abonnementjahr sind 15 SU als verfügbar bestätigt. Geplant sind ein Tabletop Exercise mit 12 SU und zwei MDR-Integrationen mit jeweils 1 SU. Die Katalogrechnung ergibt 14 SU, rechnerisch bleibt 1 SU.

Diese Rechnung dient nur der ersten Einordnung. Sie passt nur dann zum Auftrag, wenn der Anbieter die zwei Integrationen entsprechend abgrenzt und den Bedarf ohne zusätzliche Anpassungen bestätigt. Eine Erhöhung wegen Sonderanforderungen kann den verbleibenden Spielraum aufbrauchen. Aus den 14 SU folgen weder eine MDR-Lizenz noch Überwachungsumfang, Liefertermin oder erfolgreiche technische Abnahme.

Avanet-Empfehlung: Den bestätigten SU-Bedarf zusammen mit dem Auftrag dokumentieren und offene Umfangsfragen vor der Freigabe lösen. Ein höheres Level ersetzt diese Klärung nicht.

Häufige Fehlannahmen korrigieren

• „Mein Level hat 15 SU, also kann ich 15 SU beauftragen.“ Zuerst das betreffende Abonnementjahr und den tatsächlich verfügbaren Saldo bestätigen. Die jährliche Katalogzuteilung ist nicht automatisch der aktuelle Restbestand.
• „Eine SU ist immer drei Stunden.“ Die Umrechnung ist nur für die DFIR-Katalogzeile angegeben. Für andere Leistungen gilt der jeweilige Servicewert.
• „Der Tabellenwert deckt jedes Projekt dieser Art ab.“ Mindestwert, Mengeneinheit und bestätigten Umfang prüfen. Unklare Tenant-, Geräte- oder Zielgrenzen vor einer Bestellung klären.
• „Mit dem Retainer ist auch der MDR-Betrieb eingerichtet.“ Beschaffung und Betrieb getrennt prüfen. Beispielsweise behandelt MDR Threat Feeds auf Sophos Firewall eine konkrete Betriebsfunktion mit eigenen Voraussetzungen, nicht die Retainer-Berechtigung.

Erst wenn der Kunde, das Abonnementjahr, die Leistung, ihr Umfang und der bestätigte SU-Bedarf eindeutig zugeordnet sind, ist die Beschaffungsentscheidung ausreichend vorbereitet. Die eigentliche Umsetzung und technische Abnahme folgen im passenden Produkt-Runbook und im separat freigegebenen Auftrag.