Ein Ransomware-Team verschlüsselt am Freitagabend die Produktionssysteme eines Maschinenbauers in Baden-Württemberg. Die IT-Leitung hat zwei Optionen: einen Notfall-Dienstleister anrufen und auf freie Kapazitäten hoffen, oder eine Nummer wählen, die vertraglich eine Reaktion in zwei bis vier Stunden garantiert. Genau diesen Unterschied verkaufen Incident-Response-Retainer. CrowdStrike, Mandiant (Google Cloud) und Sygnia zählen zu den bekanntesten Anbietern dieser Vorab-Verträge, und die Preise, SLA-Zeiten und Abrechnungsmodelle der drei Firmen unterscheiden sich deutlich. Der Bedarf ist real: Cyberangriffe in der DACH-Region sind 2025 laut Check Point um 124 Prozent gestiegen, berichtet silicon.eu, und Deutschland trägt davon 82 Prozent. Dieser Vergleich ordnet ein, was CrowdStrike, Mandiant und Sygnia bei Preis, Reaktionszeit und Vertragsgestaltung tatsächlich liefern, ergänzt um Kroll, Palo Alto Unit 42 und IBM X-Force als weitere Optionen für den deutschen Markt.
Was ist ein Incident-Response-Retainer?
Ein Incident-Response-Retainer ist ein Vorabvertrag mit einem spezialisierten Forensik- und Reaktionsteam. Das Unternehmen kauft ein Kontingent an Stunden oder Credits, meist für zwölf Monate, und sichert sich damit garantierte Reaktionszeiten sowie einen rabattierten Stundensatz gegenüber einem spontanen Notfalleinsatz. Ohne Retainer zahlen Firmen laut mehreren Marktanalysen zwischen 800 und 1.500 US-Dollar pro Stunde für einen Senior-Forensiker, dazu kommt oft tagelanges Warten auf freie Teams. Mit Retainer sinkt der Satz laut Branchenvergleich auf 175 bis 600 US-Dollar pro Stunde, je nach Anbieter und Tier.
Der Kern des Geschäftsmodells ist die Kapazitätsreservierung. Ein IR-Retainer garantiert vertraglich, dass ein Team innerhalb einer festgelegten Frist erreichbar ist, remote und teils vor Ort. Zusätzlich lassen sich ungenutzte Stunden bei den meisten Anbietern für proaktive Leistungen verwenden, etwa Tabletop-Übungen, Kompromittierungs-Assessments oder Threat Hunts. Genau hier unterscheiden sich CrowdStrike, Mandiant und Sygnia in Details, die im Ernstfall über Kosten und Reaktionsgeschwindigkeit entscheiden.
In der Praxis lassen sich zwei Grundmodelle unterscheiden. Beim ersten kauft ein Unternehmen ein festes Stundenpaket und zahlt unabhängig davon, ob es die Stunden nutzt, das entspricht dem klassischen Retainer-Ansatz von CrowdStrike, Mandiant und Sygnia. Beim zweiten Modell, das seltener vorkommt, zahlt die Firma nur eine geringe Grundgebühr für die garantierte Verfügbarkeit und rechnet tatsächlich geleistete Stunden separat ab. Für Unternehmen mit planbarem, aber unregelmäßigem Bedarf kann das zweite Modell günstiger sein, allerdings bieten es die drei hier verglichenen Marktführer in dieser reinen Form nicht an.
Warum ein IR-Retainer 2026 für deutsche Unternehmen Pflicht wird
Das Bundeskriminalamt zählte 2025 in Deutschland 333.922 registrierte Cyberstraftaten, davon 207.888 mit Ursprung im Ausland, bei einem geschätzten Gesamtschaden von 202,4 Milliarden Euro laut BKA-Cybercrime-Lagebericht 2025. Parallel dazu meldet IBM in seinem aktuellen Cost-of-a-Data-Breach-Report, dass die durchschnittlichen Kosten eines Datenlecks in Deutschland wieder auf 4,25 Millionen Euro gestiegen sind, nach einem kurzen Rückgang auf 3,87 Millionen Euro im Vorjahr, wie Silicon Saxony berichtet.
Auch die Erkennungszeit bleibt ein Problem. Deutsche Firmen brauchten laut aktuellen IBM-Daten im Schnitt 160 Tage, um einen Angriff zu identifizieren und einzudämmen, davon 121 Tage bis zur Erkennung und 39 Tage bis zur Eindämmung. Das liegt zwar deutlich unter dem globalen Durchschnitt von 247 Tagen, ist aber immer noch mehr als fünf Monate Verweildauer für einen Angreifer im Netzwerk. Kaspersky registrierte 2025 in Deutschland 384 Ransomware-Angriffe, ein Anstieg gegenüber 233 im Jahr davor, meldet AegisSight. Ransomware macht laut derselben Quelle rund 30 Prozent aller erfassten Vorfälle in der DACH-Region aus.
Diese Zahlen erklären, warum Versicherer und Aufsichtsbehörden zunehmend einen dokumentierten Incident-Response-Plan verlangen, oft inklusive Retainer-Nachweis. Wer erst nach dem ersten Verschlüsselungshinweis anfängt, einen Dienstleister zu suchen, verliert die ersten kritischen Stunden, in denen sich ein Angriff noch eindämmen lässt, bevor er sich lateral über das Netzwerk ausbreitet.
Auch bei DDoS-Angriffen bleibt Deutschland im DACH-Vergleich das Hauptziel: Laut einer Auswertung von b2b-cyber-security.de registrierte das Land 2025 rund 226.649 DDoS-Angriffe, deutlich mehr als Österreich oder die Schweiz. Parallel dazu meldet ein monatlicher Bedrohungsreport für den DACH-Raum im Schnitt 1.227 Cyberangriffe pro Organisation, wobei die Zahl in Deutschland leicht rückläufig war, aber weiterhin auf hohem Niveau bleibt. Diese konstante Angriffsfrequenz ist einer der Hauptgründe, warum IT-Verantwortliche einen Retainer nicht als einmalige Anschaffung, sondern als wiederkehrenden Budgetposten planen sollten, ähnlich wie eine Versicherungsprämie.
Marktgröße und Wachstum: Wie groß ist der IR-Retainer-Markt?
Wie groß der globale Markt für Incident-Response-Dienstleistungen tatsächlich ist, hängt stark davon ab, welche Analystenfirma man fragt. Eine Marktstudie beziffert das Segment für 2025 auf rund 8,7 Milliarden US-Dollar mit einem prognostizierten Wachstum auf 32,4 Milliarden US-Dollar bis 2032, ein durchschnittliches jährliches Wachstum von 20,6 Prozent. Eine andere Analyse kommt für denselben Zeitraum auf deutlich höhere Zahlen, nämlich 50,8 Milliarden US-Dollar in 2025 und 199 Milliarden US-Dollar bis 2032, bei einer Wachstumsrate von 21,5 Prozent. Eine dritte Quelle setzt den Markt bei 41,8 Milliarden US-Dollar in 2025 an, mit einem Anstieg auf 137,1 Milliarden US-Dollar bis 2032 und 18,5 Prozent CAGR.
Die absoluten Zahlen widersprechen sich, weil jede Studie unterschiedliche Leistungen einrechnet, etwa ob Managed-Detection-Verträge mitgezählt werden oder nur reine Forensik-Einsätze. Übereinstimmend zeigen aber alle drei Quellen ein zweistelliges Wachstum pro Jahr. Eine vierte Analyse hebt hervor, dass reine Retainer-Dienstleistungen 2025 mit 34,2 Prozent den größten Einzelanteil am gesamten IR-Markt ausmachen, noch vor Ad-hoc-Notfalleinsätzen, und dass Nordamerika mit 42,3 Prozent Umsatzanteil den größten regionalen Markt stellt. Für Europa und speziell die DACH-Region bedeutet das steigende Wachstum, dass die Nachfrage nach garantierten Reaktionszeiten schneller zunimmt als das verfügbare Angebot an erfahrenen Forensik-Teams, was die Preise in den kommenden Jahren eher steigen als fallen lässt.
Bei den Marktanteilen der einzelnen Anbieter zeichnet sich ein klareres Bild. Eine Analyse von Mordor Intelligence listet Mandiant, CrowdStrike, IBM, Secureworks und Kroll als die fünf größten Anbieter im Digital-Forensics-Segment. Eine weitere Marktübersicht schätzt, dass die fünf größten Anbieter zusammen rund 48 Prozent des weltweiten IR-Umsatzes im Jahr 2024 auf sich vereinten, angeführt von CrowdStrike, IBM, Google Cloud mit Mandiant und Microsoft. Sygnia taucht in diesen breiten Marktanteils-Rankings seltener auf, wird aber in Fachpublikationen wie dem Gartner DFIR Market Guide regelmäßig als spezialisierter Anbieter für komplexe Fälle genannt.
Für den deutschen Markt speziell gibt es bislang keine öffentlich zugängliche, belastbare Aufschlüsselung der Marktanteile einzelner IR-Anbieter. Branchengespräche und Ausschreibungsdaten deuten aber darauf hin, dass CrowdStrike und Mandiant auch hierzulande die Ausschreibungen bei großen Konzernen dominieren, während Sygnia und kleinere spezialisierte Anbieter häufiger bei mittelständischen Unternehmen mit sehr spezifischem Bedrohungsprofil zum Zug kommen, etwa bei Firmen mit sensiblem geistigem Eigentum oder kritischer Infrastruktur.
CrowdStrike Services Retainer im Detail
CrowdStrike verkauft seinen Incident-Response-Retainer als Teil der “Services Retainer”-Linie, die eng mit der Falcon-Plattform verzahnt ist. Kunden kaufen ein Stundenkontingent in vier Tiers, öffentlich dokumentiert sind Pakete mit 110, 160, 240 und 480 Stunden pro Laufzeit. Wird der Retainer während der Vertragslaufzeit nicht für einen echten Vorfall gebraucht, lässt sich der Restwert vollständig auf proaktive Services wie Tabletop-Übungen oder Compromise Assessments umbuchen, das bestätigt das offizielle CrowdStrike-Datenblatt zum Services Retainer.
Die SLA-Zeiten steigen mit dem gebuchten Tier: Tier 1 garantiert eine Remote-Reaktion innerhalb von 8 Stunden, Tier 4 innerhalb von 2 Stunden. Vor-Ort-Einsätze sind je nach Tier innerhalb von einem oder zwei Tagen zugesichert. CrowdStrike wirbt mit über 100.000 IR-Stunden pro Jahr und der Beobachtung von mehr als 281 benannten Angreifergruppen, ein Datenpunkt, den das Unternehmen auch in seiner eigenen Incident-Response-Übersicht nennt. Die IDC MarketScape stufte CrowdStrike 2025 als Leader im weltweiten IR-Services-Markt ein, ein Ranking, das das Unternehmen als Bestätigung seiner Skalierung vermarktet.
Der Vorteil für Firmen, die bereits die Falcon-Plattform einsetzen, liegt in der nahtlosen Telemetrie: Das IR-Team greift direkt auf vorhandene Endpoint-Daten zu, ohne erst Sensoren auszurollen. Wer CrowdStrike nicht als EDR nutzt, verliert diesen Geschwindigkeitsvorteil teilweise, kann den Retainer aber trotzdem buchen. Mehr zur Erkennungsleistung der Plattform selbst liefert unser Vergleich CrowdStrike gegen SentinelOne.
Interessant für die Budgetplanung ist, dass CrowdStrike die Retainer-Linie bewusst als Einstieg in eine langfristige Kundenbeziehung positioniert. Firmen, die den Retainer über mehrere Jahre verlängern, berichten laut unabhängigen Beschaffungsvergleichen von techvendorindex.com von leicht sinkenden Effektivsätzen, weil CrowdStrike bestehende Kunden mit Rabatten an sich bindet. Für deutsche Unternehmen, die bereits Falcon-Sensoren im Einsatz haben, ist der Retainer damit oft die naheliegendste Wahl, weil ein zusätzlicher Anbieterwechsel oder eine parallele Sensor-Installation im Ernstfall wertvolle Zeit kosten würde. Ein Nachteil bleibt die enge Kopplung an das eigene Ökosystem: Wer mittelfristig auf eine andere EDR-Plattform wechseln will, sollte das bei der Vertragslaufzeit des Retainers mitdenken.
Mandiant Incident Response Retainer im Detail
Mandiant, seit der Übernahme Teil von Google Cloud, verkauft einen “Consulting Retainer” mit vorausbezahlten Einheiten zu einem rabattierten Stundensatz. Die Flexibilität ist hoch: Ungenutzte Einheiten lassen sich innerhalb der Vertragslaufzeit auf andere Beratungsleistungen umbuchen, etwa Red-Teaming, Playbook-Entwicklung oder Schulungen, wie Google Cloud in seinem Marketingmaterial zum Retainer beschreibt.
Die zentrale Zusage lautet: Kunden mit aktivem Retainer bekommen laut Google Cloud ein Team innerhalb von 2 Stunden remote engagiert, nachdem ein Vorfall offiziell gemeldet wurde. Feste On-Site-SLA-Zeiten veröffentlicht Mandiant nicht, diese hängen vom individuellen Vertrag ab. Der jährliche Umfang der Mandiant-IR-Arbeit ist beeindruckend dokumentiert: Der M-Trends-2025-Report basiert auf mehr als 450.000 IR-Stunden weltweit im Jahr 2024, wie im offiziellen M-Trends-2025-PDF nachzulesen ist. Für 2025 meldet Mandiant laut Berichterstattung bereits über 500.000 IR-Stunden, bei einer global gestiegenen medianen Verweildauer von Angreifern von 14 Tagen.
Ein unabhängiger DFIR-Anbietervergleich bewertet Mandiant als “Best Overall” unter den forensischen Dienstleistern mit einem Score von 9,1 von 10 Punkten, knapp vor CrowdStrike Services mit 8,8 Punkten. Mandiant punktet vor allem durch das globale Threat-Intelligence-Netzwerk, das direkt in jede Untersuchung einfließt, weil dieselben Analysten auch die jährlichen M-Trends-Reports schreiben. Einen Überblick zur allgemeinen Bedrohungslage, auf die solche Teams reagieren, liefert unser Beitrag zum CrowdStrike Global Threat Report 2026.
Für global tätige deutsche Konzerne ist besonders relevant, dass Mandiant seine Kapazitäten über Google-Cloud-Rechenzentren und -Support-Strukturen in mehreren Regionen betreibt. Das erleichtert es, bei einem Vorfall in einer außereuropäischen Tochtergesellschaft dieselbe Vertragsstruktur und dieselben Eskalationswege zu nutzen wie am deutschen Hauptsitz. Der Nachteil dieser Größe zeigt sich im Preis: Weil Mandiant seine Analysten primär für komplexe, oft mehrmonatige Untersuchungen bei sehr großen Kunden einsetzt, sind die veröffentlichten Rate-Card-Beispiele im Vergleich zu regionalen Spezialisten am oberen Ende der Marktspanne angesiedelt. Kleinere Mittelständler ohne internationale Struktur zahlen bei Mandiant häufig für Kapazitäten, die sie in dieser Breite nicht benötigen.
Sygnia Incident Response Retainer im Detail
Sygnia, ein aus Israel stammender Anbieter mit starkem Fokus auf komplexe, staatsnahe Angriffe, veröffentlicht deutlich mehr Vertragsdetails als die beiden Konkurrenten. Laut dem offiziellen Sygnia-Solution-Brief zum Incident Response Retainer gibt es vier Service-Tiers über eine zwölfmonatige Laufzeit: Essential mit 20 vorausbezahlten Stunden, Pro mit 100 Stunden, sowie zwei höhere Tiers mit 200 und 300 Stunden. Jeder Tier bringt einen Rabatt von 5, 10, 15 oder 20 Prozent auf den regionalen Standardstundensatz.
Bei den SLA-Zeiten ist Sygnia transparent bis auf die Stunde genau: Die Remote-Reaktion liegt je nach Tier zwischen 2 und 4 Stunden, die Vor-Ort-Mobilisierung zwischen 24 und 48 Stunden. Eine Besonderheit gegenüber CrowdStrike und Mandiant: Nicht genutzte Stunden verfallen bei Sygnia nicht sofort, sondern bleiben laut Solution Brief für ein zusätzliches Quartal nach Verlängerung des Vertrags gültig, zusätzlich zur üblichen Umbuchung in Threat Hunts oder Übungen.
Sygnia veröffentlicht öffentliche, anonymisierte Fallstudien, etwa zur Erkennung und Eindämmung von Lumma-Stealer-Malware über die eigene Velocity-Plattform, sowie zu einer 30-tägigen Untersuchung eines ALPHV/Blackcat-Ransomware-Angriffs. Das Unternehmen wurde 2025 zudem als Representative Vendor im Gartner DFIR Market Guide gelistet. Die Positionierung zielt klar auf Kunden mit hohem Risiko durch staatlich verbundene Angreifer und komplexe, mehrstufige Angriffe.
Ein weiterer Unterschied zu den beiden US-Konzernen: Sygnia bietet die Incident-Response-Retainer-Leistung sowohl als eigenständigen Vertrag als auch gebündelt mit der hauseigenen Managed-Detection-and-Response-Lösung an, sodass Kunden Erkennung und Reaktion aus einer Hand beziehen können, ohne zwei separate Anbieter koordinieren zu müssen. Für Unternehmen, die noch keine etablierte SOC-Struktur haben, kann das die Komplexität im Ernstfall spürbar reduzieren. Gleichzeitig veröffentlicht Sygnia, anders als CrowdStrike und Mandiant, keine öffentliche Rangliste zu Marktanteilen oder Gesamtstundenvolumen, was die Einordnung der tatsächlichen Kapazität von außen erschwert.
Technische Daten im direkten Vergleich
Die folgende Tabelle fasst die wichtigsten technischen und vertraglichen Eckdaten der drei Hauptanbieter zusammen, ergänzt um Kontext aus unabhängigen Branchenvergleichen.
| Kriterium | CrowdStrike Services Retainer | Mandiant Incident Response Retainer | Sygnia Incident Response Retainer |
|---|---|---|---|
| Mutterunternehmen | CrowdStrike Holdings | Google Cloud (Alphabet) | Sygnia (unabhängig, Israel) |
| Vertragslaufzeit | 12 Monate (Standard) | 12 Monate (Standard) | 12 Monate (Standard) |
| Einstiegs-Stundenpaket | 110 Stunden (Tier 1) | Individuell, keine Fixpakete öffentlich | 20 Stunden (Essential) |
| Höchstes Stundenpaket (öffentlich) | 480 Stunden (Tier 4) | Individuell verhandelt | 300 Stunden (Premium) |
| Schnellste Remote-SLA | 2 Stunden (Tier 4) | 2 Stunden (Retainer-Standard) | 2 Stunden (Premium-Tier) |
| Langsamste Remote-SLA | 8 Stunden (Tier 1) | Nicht tiergestaffelt veröffentlicht | 4 Stunden (Essential) |
| Vor-Ort-SLA | 1–2 Tage | Nicht öffentlich, vertragsabhängig | 24–48 Stunden |
| Rollover ungenutzter Stunden | Umbuchung auf proaktive Services im Vertragszeitraum | Umbuchung innerhalb der Laufzeit auf Beratungsleistungen | Umbuchung plus ein Zusatzquartal nach Verlängerung |
| Dokumentiertes IR-Jahresvolumen | >100.000 Stunden/Jahr weltweit | >500.000 Stunden/Jahr weltweit (2025) | Nicht öffentlich beziffert |
| Bekannter Marktstatus | IDC-MarketScape-Leader 2025 | DFIR-Ranking “Best Overall” (9,1/10) | Gartner-Representative-Vendor 2025 (DFIR) |
| Plattform-Kopplung | Eng an Falcon-EDR gekoppelt | Eng an Google-Threat-Intelligence gekoppelt | Eigene Velocity-TDIR-Plattform |
| Typisches Kundenprofil | Bestehende Falcon-Kunden, Mittelstand bis Konzern | Globale Konzerne, hoher Compliance-Bedarf | Hochrisiko-Ziele, staatsnahe Bedrohungen |
Preise und Kostenmodelle: Was ein Retainer wirklich kostet
Keiner der drei Anbieter veröffentlicht eine offizielle Preisliste, deshalb stammen die folgenden Zahlen aus unabhängigen Marktanalysen wie incidentcost.com und techvendorindex.com, die Beschaffungsdaten und Referenzverträge auswerten. Sie sollten als Richtwerte für die Budgetplanung verstanden werden, nicht als Angebotsgarantie.
| Anbieter | Notfall ohne Retainer (pro Stunde) | Rabattierter Satz mit Retainer (pro Stunde) | Geschätztes Jahresbudget für Standard-Retainer |
|---|---|---|---|
| CrowdStrike Services | 900–1.400 $ | 400–525 $ | ca. 60.000–150.000 $ |
| Mandiant (Google Cloud) | 1.000–1.500 $ | 400–600 $ | ab ca. 100.000 $ |
| Sygnia | Nicht öffentlich, sechsstellig üblich | 5–20 % Rabatt auf Regionalsatz | Sechsstelliger Bereich (Enterprise) |
| Kroll | 500–925 $ | Individuell | Engagement-abhängig, 250.000 $–5 Mio. $ Gesamtprojekt |
| Palo Alto Unit 42 | 850–1.300 $ | 375–525 $ | Credit-basiert, ab 250 Credits |
| Marktdurchschnitt Top-Tier (Mandiant, CrowdStrike, Kroll, Unit 42) | 800–1.500 $ | 300–700 $ | – |
Auffällig ist die Spanne beim CrowdStrike-Notfallsatz und dem rabattierten Retainer-Satz: Mit Vorabvertrag zahlen Kunden laut incidentcost.com bis zu 875 US-Dollar pro Stunde weniger als im spontanen Krisenfall. Bei Mandiant zeigt ein öffentlich einsehbares Statement of Work exemplarisch 425 US-Dollar pro Stunde für Incident-Response-Beratung und 350 US-Dollar für proaktive Beratung, was die genannten Bereiche bestätigt. Unit 42 bietet zusätzlich einen kostenlosen Retainer für qualifizierte AWS-Kunden mit bis zu 250 Stunden IR-Leistung, 2-Stunden-Remote-SLA und 24-Stunden-Vor-Ort-Zusage, ein Modell, das es bei CrowdStrike, Mandiant oder Sygnia in dieser Form nicht gibt.
Bei der Budgetplanung lohnt sich zusätzlich ein Blick auf versteckte Zusatzkosten. Mehrere Marktanalysen weisen darauf hin, dass Onboarding-Gebühren für die Einrichtung von Zugängen, Log-Integrationen und Kontaktlisten zwischen 5.000 und 25.000 US-Dollar liegen können, zusätzlich zum eigentlichen Retainer-Preis. Auch Log-Überschreitungen bei angebundenen Monitoring-Diensten werden häufig separat abgerechnet, mit einem Aufschlag von schätzungsweise 5 bis 10 Prozent auf den Grundvertrag. Wer ein Angebot ausschließlich anhand des genannten Jahrespreises vergleicht, unterschätzt reale Gesamtkosten deshalb leicht um einen niedrigen fünfstelligen Betrag.
SLA-Reaktionszeiten im Benchmark-Vergleich
Drei unabhängige Quellen bestätigen ein ähnliches Bild bei den Reaktionszeiten. Der Branchenvergleich von socinvestigation.com stuft Sygnia mit “1–2 Stunden remote, unter 24 Stunden vor Ort” als eine der schnellsten Optionen im Premium-Segment ein. Die offiziellen CrowdStrike-Datenblätter zeigen eine klare Tier-Staffelung von 8 auf 2 Stunden remote, je nachdem wie viel ein Kunde investiert. Google Cloud wirbt bei Mandiant durchgängig mit der 2-Stunden-Marke für alle Retainer-Kunden, unabhängig vom gebuchten Volumen, was den Einstieg vereinfacht, aber auch bedeutet, dass Kunden mit kleinem Budget dieselbe Reaktionszeit wie Großkunden bekommen.
Zum Vergleich liefert Kroll für seinen Enterprise-Risk-Retainer eine Staffelung von 6 Stunden im Bronze-Tier bis 2 Stunden im Premier-Tier, 24 Stunden am Tag und 7 Tage die Woche. Unit 42 staffelt zwischen 24 Stunden im Einstiegs-Level und 4 Stunden im dritten Level, mit einer Vor-Ort-Zusage von 36 Stunden. Für DACH-Unternehmen mit begrenztem Budget bedeutet das: Ein einfacher Sygnia- oder CrowdStrike-Einstiegstarif liefert oft eine schnellere Remote-Reaktion als ein günstiger Unit-42- oder Kroll-Tarif, während Mandiant die schnellste Reaktion pauschal für alle Kunden zusagt, dafür aber mit höheren Einstiegskosten.
Wichtig für die Interpretation dieser SLA-Zahlen: Eine “Remote-Reaktion innerhalb von 2 Stunden” bedeutet in der Regel, dass ein erster Ansprechpartner den Fall entgegennimmt und erste Fragen klärt, nicht dass innerhalb von 2 Stunden bereits eine forensische Analyse abgeschlossen ist. Die eigentliche Eindämmung dauert je nach Komplexität des Angriffs Stunden bis Tage, selbst bei den schnellsten Tiers. Wer die SLA-Zeit als alleiniges Auswahlkriterium nutzt, sollte deshalb zusätzlich fragen, wie viele Senior-Forensiker tatsächlich gleichzeitig verfügbar sind, denn eine schnelle Erstmeldung nützt wenig, wenn das eigentliche Untersuchungsteam erst Tage später vollständig aufgestockt wird.
Ungenutzte Stunden: Rollover- und Repurposing-Regeln im Vergleich
Ein oft unterschätzter Kostenfaktor ist, was mit ungenutzten Retainer-Stunden am Ende der Laufzeit passiert. Bei CrowdStrike lässt sich der komplette Restwert des Retainers, falls im Vertragszeitraum kein echter IR-Fall auftritt, auf ein breites Spektrum proaktiver Services umbuchen, etwa Tabletop-Übungen oder Compromise Assessments, wie das offizielle Datenblatt festhält. Eine Übertragung in das nächste Vertragsjahr ist laut verfügbaren Unterlagen nicht generell zugesichert.
Mandiant erlaubt laut Google Cloud die flexible Umbuchung von Einheiten auf andere Consulting-Leistungen innerhalb derselben Vertragslaufzeit, etwa Schulungen oder Playbook-Entwicklung. Auch hier gibt es keine öffentlich dokumentierte Übertragung über das Vertragsjahr hinaus. Sygnia geht einen Schritt weiter: Der Solution Brief nennt explizit, dass verbleibende Stunden bei Vertragsverlängerung für ein zusätzliches Quartal gültig bleiben, zusätzlich zur Umbuchung in Drills und Threat Hunts. Kroll erlaubt bei seinem Cyber-Incident-Response-Retainer, dass bis zu 20 Prozent nicht genutzter Service-Credits ins Folgejahr übertragen werden, beim breiteren Enterprise-Risk-Retainer sogar bis zu 30 Prozent im Gold-Tier.
Für die Budgetplanung heißt das: Wer einen IR-Retainer eher als Versicherung kauft und hofft, ihn nie zu brauchen, sollte auf klare Rollover- oder Repurposing-Regeln bestehen. Sygnia und Kroll bieten hier die transparenteste vertragliche Absicherung, während CrowdStrike und Mandiant die Flexibilität stärker auf die laufende Vertragsperiode begrenzen.
Weitere Anbieter im Markt: Kroll, Unit 42, IBM X-Force und Secureworks
Der IR-Retainer-Markt ist größer als die drei Platzhirsche. Kroll positioniert sich mit einer Kombination aus Cyber-Incident-Response-Retainer und breiterem Enterprise-Risk-Retainer, inklusive Rollover-Regeln, die transparenter sind als bei CrowdStrike oder Mandiant. Die geschätzten Notfallsätze liegen laut Branchenvergleich bei 500 bis 925 US-Dollar pro Stunde, tendenziell günstiger als die beiden Platzhirsche.
Palo Alto Networks Unit 42 verkauft einen Credit-basierten Retainer über den eigenen Marketplace und AWS Marketplace, mit drei Leveln zwischen 250 und 2.250 Credits. Besonders für AWS-lastige Unternehmen relevant: Qualifizierte AWS-Kunden erhalten laut Unit-42-Angebot im AWS Marketplace unter Umständen einen kostenlosen Retainer mit bis zu 250 IR-Stunden. IBM X-Force bietet einen abonnementbasierten Retainer mit globaler 24/7-Hotline, veröffentlicht aber keine granularen SLA-Zeiten. Secureworks wird von mehreren Marktanalysten neben Mandiant, CrowdStrike, IBM und Kroll als etablierter DFIR-Anbieter gelistet, besonders für Unternehmen, die bereits Secureworks-MDR-Kunden sind.
IBM positioniert X-Force zusätzlich als Bindeglied zur eigenen Cost-of-a-Data-Breach-Forschung: Weil dieselbe Unternehmensgruppe jährlich die Breach-Kostendaten für Deutschland erhebt, wirbt IBM damit, dass X-Force-Kunden direkten Zugriff auf die aktuellsten Benchmark-Zahlen zur eigenen Branche erhalten. Das ist ein Verkaufsargument, das CrowdStrike und Mandiant in dieser Form nicht bieten, auch wenn beide Unternehmen ähnlich umfangreiche eigene Threat-Reports veröffentlichen, etwa den CrowdStrike Global Threat Report oder die Mandiant M-Trends-Reihe. Für die Anbieterauswahl bedeutet das: Wer bereits IBM-Sicherheitsprodukte einsetzt, sollte X-Force in die Angebotsrunde aufnehmen, allein schon wegen der potenziellen Synergien bei Lizenzverträgen und Ansprechpartnern.
Für kleinere DACH-Mittelständler, die kein sechsstelliges Jahresbudget für einen Top-Tier-Retainer haben, lohnt sich häufig ein Blick auf regionale MSSPs mit IR-Zusatzoption, deren Stundensätze laut Marktvergleichen mit 250 bis 450 US-Dollar unter den globalen DFIR-Marken liegen, allerdings ohne die Threat-Intelligence-Tiefe von Mandiant oder CrowdStrike.
Häufige Fehler beim Abschluss eines IR-Retainers
In der Beratungspraxis wiederholen sich bestimmte Fehler beim Vertragsabschluss immer wieder. Der häufigste: Unternehmen buchen ein zu kleines Stundenkontingent, weil der Einstiegspreis attraktiv wirkt, und müssen im Ernstfall teuer nachbuchen, oft zu Notfallsätzen statt zum Retainer-Rabatt. Ein zweiter Fehler ist, die SLA-Zeit nicht an den tatsächlichen Geschäftsbetrieb anzupassen: Eine 8-Stunden-Remote-SLA reicht für eine Buchhaltungsabteilung, die nur werktags arbeitet, kann aber für einen 24/7-Produktionsbetrieb zu langsam sein, wenn ein Angriff nachts beginnt.
Ein dritter, oft übersehener Punkt betrifft die Definition eines “Vorfalls” im Vertrag. Manche Retainer-Verträge zählen bereits eine Phishing-Untersuchung als vollwertigen Incident und ziehen dafür Stunden vom Kontingent ab, andere reservieren das Kontingent ausschließlich für bestätigte, schwerwiegende Vorfälle. Wer diese Klausel vor der Unterschrift nicht genau prüft, verbraucht sein Budget unter Umständen schon bei kleineren Vorfällen und steht bei einem echten Großschaden ohne Kapazität da. Schließlich vergessen viele Unternehmen, den Retainer-Vertrag mit der eigenen Cyberversicherung abzugleichen: Manche Policen schreiben einen bestimmten, akkreditierten Anbieterkreis vor, und ein Retainer bei einem nicht gelisteten Anbieter kann im Schadensfall zu Problemen bei der Kostenerstattung führen.
Fünf Praxisbeispiele: So arbeiten IR-Teams im Ernstfall
Die drei Anbieter veröffentlichen aus Vertraulichkeitsgründen selten Namen betroffener Kunden, dokumentieren aber anonymisierte Fälle, die zeigen, wie ein Retainer-Einsatz in der Praxis abläuft.
- Lumma-Stealer-Eindämmung via Sygnia MDR: In einem 2025 veröffentlichten Fallbericht erkannte Sygnias Velocity-Plattform einen verdächtigen PowerShell-Download, der zur Installation von Lumma-Stealer-Malware führen sollte. Das Team stoppte die Ausbreitung, bevor Zugangsdaten exfiltriert werden konnten, laut dem MDR-Case-Study-Dokument von Sygnia.
- 30-tägige ALPHV/Blackcat-Untersuchung: Ein gemeinsamer Threat-Report zitiert eine Netzwerkkompromittierung, die von Sygnias IR-Team über einen Zeitraum von 30 Tagen rekonstruiert wurde, von der initialen Kompromittierung bis zur vollständigen forensischen Zeitlinie.
- Mittelständischer Maschinenbauer mit Retainer-Lücke: Ein typisches Szenario aus der Beratungspraxis: Ein Unternehmen ohne Retainer verliert bei einem Ransomware-Vorfall am Wochenende zwei bis drei Tage, weil kein Vertragsteam sofort verfügbar ist, während ein Retainer-Kunde im selben Zeitraum laut den oben genannten SLA-Werten bereits Stunden nach der Meldung ein Team remote im Einsatz hat.
- AWS-natives SaaS-Unternehmen mit Unit-42-Nulltarif: Ein Cloud-natives Unternehmen mit AWS-Enterprise-Support nutzt den kostenlosen Unit-42-Retainer über den AWS Marketplace, um ohne zusätzliches Budget eine 2-Stunden-Remote-SLA für die ersten 250 IR-Stunden zu erhalten, bevor ein größerer Vertrag verhandelt wird.
- Konzern mit globaler Mandiant-Kopplung: Internationale Konzerne mit Niederlassungen in mehreren Zeitzonen nutzen laut M-Trends-Berichterstattung häufig den globalen Charakter des Mandiant-Netzwerks, um bei einem Vorfall in einer Region auf Threat-Intelligence-Daten aus Untersuchungen in anderen Weltregionen zuzugreifen.
Diese Beispiele zeigen ein wiederkehrendes Muster: Der eigentliche Wert eines Retainers zeigt sich nicht im Preis pro Stunde, sondern in der Zeit, die zwischen Erkennung und aktivem Eingreifen vergeht. Bei einer medianen Verweildauer von Angreifern von 14 Tagen, wie Mandiant für 2025 berichtet, kann jede eingesparte Stunde am Anfang eines Vorfalls die Gesamtkosten spürbar senken. Wie stark solche Vorfälle die DACH-Region insgesamt treffen, zeigt unser Beitrag zu den DACH-Cyberangriffen 2025.
Auffällig an den veröffentlichten Fallbeispielen ist außerdem, wie unterschiedlich die drei Anbieter mit Öffentlichkeit umgehen. Sygnia veröffentlicht regelmäßig technische Details zu abgewehrten Angriffen, inklusive Screenshots der eigenen Analyseplattform, während CrowdStrike und Mandiant ihre Fallarbeit überwiegend in aggregierter Form über die jährlichen Threat-Reports teilen, ohne einzelne Kunden oder Vorfälle konkret zu benennen. Für Unternehmen, die selbst Wert auf öffentlich nachvollziehbare Referenzfälle legen, kann das ein zusätzliches Auswahlkriterium sein, für Kunden mit hohem Vertraulichkeitsbedarf dagegen eher ein Argument für die zurückhaltendere Kommunikation von CrowdStrike oder Mandiant.
Vor- und Nachteile im Überblick
CrowdStrike Services Retainer
- Vorteil: Nahtlose Integration mit vorhandener Falcon-Telemetrie beschleunigt die erste Analyse
- Vorteil: Klar gestaffelte Tiers mit transparenten SLA-Zeiten laut offiziellem Datenblatt
- Nachteil: Rollover ungenutzter Stunden über das Vertragsjahr hinaus ist nicht generell zugesichert
- Nachteil: Voller Nutzen setzt eine bestehende CrowdStrike-Umgebung voraus
Mandiant Incident Response Retainer
- Vorteil: Pauschal 2-Stunden-Remote-SLA für alle Retainer-Kunden, unabhängig vom Volumen
- Vorteil: Größtes dokumentiertes globales IR-Volumen (über 500.000 Stunden 2025) bringt Threat-Intelligence-Tiefe
- Nachteil: Höchste Einstiegskosten unter den drei Anbietern laut Marktanalysen
- Nachteil: On-Site-SLA-Zeiten werden nicht öffentlich beziffert, Klärung nur im Vertrag
Sygnia Incident Response Retainer
- Vorteil: Transparenteste öffentlich dokumentierte SLA-Tabelle aller drei Anbieter
- Vorteil: Zusätzliches Rollover-Quartal für ungenutzte Stunden bei Vertragsverlängerung
- Nachteil: Kein öffentliches Preismodell, Angebote sind vollständig individuell verhandelt
- Nachteil: Kleineres dokumentiertes Jahresvolumen als CrowdStrike oder Mandiant, weniger öffentliche Skalennachweise
Migrations-Guide: In sechs Schritten zum passenden IR-Retainer
Der Wechsel von reaktivem Ad-hoc-Einkauf zu einem vertraglich abgesicherten Retainer folgt in der Praxis einem wiederkehrenden Ablauf.
- Bestandsaufnahme: Aktuelle Sicherheitsarchitektur, vorhandene EDR-Plattform und bisherige Vorfallshistorie dokumentieren, um den realistischen Bedarf an Stunden abzuschätzen.
- Compliance-Anforderungen prüfen: Klären, ob NIS-2, das KRITIS-Dachgesetz oder Cyberversicherer einen dokumentierten Retainer-Nachweis verlangen, bevor Angebote eingeholt werden.
- Zwei bis drei Angebote einholen: Parallel Angebote von einem plattformgebundenen Anbieter (CrowdStrike), einem globalen Konzernanbieter (Mandiant) und einem spezialisierten Anbieter (Sygnia oder Kroll) vergleichen.
- SLA-Zeiten gegen echten Bedarf prüfen: Eine 2-Stunden-SLA lohnt sich vor allem für Unternehmen mit 24/7-Betrieb oder KRITIS-Einstufung, kleinere Betriebe kommen oft mit 4- bis 8-Stunden-Tiers aus und sparen Budget.
- Rollover- und Repurposing-Klauseln verhandeln: Explizit vertraglich festhalten lassen, was mit ungenutzten Stunden passiert, idealerweise inklusive Übertrag ins Folgejahr.
- Tabletop-Übung innerhalb der ersten 90 Tage: Direkt nach Vertragsabschluss eine simulierte Übung mit dem gebuchten Team durchführen, um Kommunikationswege und Eskalationspfade vor einem echten Vorfall zu testen.
Wichtig für deutsche Unternehmen: Retainer-Verträge amerikanischer Anbieter sollten auf Datenverarbeitung außerhalb der EU geprüft werden, insbesondere wenn forensische Datenkopien in US-Rechenzentren landen. Sygnia bietet hier durch die stärker regionalisierte Vertragsstruktur teils mehr Verhandlungsspielraum.
Ein oft unterschätzter Teil der Migration ist die interne Kommunikation. Die IT-Abteilung sollte vor Vertragsabschluss festlegen, wer im Ernstfall berechtigt ist, den Retainer-Anbieter zu aktivieren, damit im Ernstfall keine Zeit mit internen Freigabeprozessen verloren geht. Viele Unternehmen hinterlegen dafür eine Eskalationsliste mit mehreren Vertretungspersonen, da ein Ransomware-Angriff selten während der regulären Geschäftszeiten beginnt. Auch die Frage, wer intern für die Kommunikation mit Aufsichtsbehörden, Kunden und gegebenenfalls der Presse zuständig ist, sollte vor dem ersten Vorfall geklärt sein, nicht währenddessen.
Welcher Retainer passt zu welchem Unternehmen? Fünf Einsatzszenarien
- Mittelständischer Falcon-Bestandskunde: CrowdStrike Services Retainer nutzt vorhandene Endpoint-Telemetrie und vermeidet doppelte Tool-Kosten.
- Globaler Konzern mit mehreren Landesgesellschaften: Mandiant liefert die pauschale 2-Stunden-SLA und das größte dokumentierte Analystennetzwerk für zeitzonenübergreifende Vorfälle.
- KRITIS-Betreiber mit hohem APT-Risiko: Sygnia positioniert sich explizit für komplexe, staatsnah vermutete Angriffe und liefert die transparenteste SLA-Dokumentation für Auditzwecke.
- Cloud-natives Startup auf AWS: Der kostenlose oder stark rabattierte Unit-42-Retainer über den AWS Marketplace senkt die Einstiegshürde ohne separates Sicherheitsbudget.
- Kommune oder öffentliche Einrichtung mit begrenztem Budget: Kroll oder ein regionaler MSSP mit IR-Zusatzoption bieten niedrigere Einstiegssätze bei akzeptablen SLA-Zeiten zwischen 4 und 6 Stunden.
Unser Verdikt: CrowdStrike, Mandiant oder Sygnia?
Es gibt keinen pauschalen Gewinner, die Daten zeigen aber klare Muster. Wer bereits Falcon-Kunde ist und ein planbares, tiergestaffeltes Preismodell will, fährt mit CrowdStrike am günstigsten in der Einstiegsklasse, zahlt aber für die schnellste 2-Stunden-SLA den höchsten Tier-Aufpreis. Wer eine pauschale, volumenunabhängige 2-Stunden-Zusage sucht und global aufgestellt ist, bekommt bei Mandiant das größte dokumentierte Analystennetzwerk (über 500.000 IR-Stunden 2025), zahlt dafür aber tendenziell die höchsten Einstiegskosten von den drei Anbietern.
Sygnia gewinnt bei der Vertragstransparenz: Als einziger der drei Anbieter veröffentlicht das Unternehmen eine öffentliche SLA-Tabelle bis auf die Stunde und ein zusätzliches Rollover-Quartal für ungenutzte Stunden. Für Unternehmen mit begrenztem IR-Budget lohnt sich zusätzlich ein Vergleichsangebot von Kroll oder, bei AWS-lastiger Infrastruktur, der kostenlose Unit-42-Retainer. Angesichts von 202,4 Milliarden Euro Cyberschaden in Deutschland 2025 und einer durchschnittlichen Breach-Kostenhöhe von 4,25 Millionen Euro ist die eigentliche Frage nicht, ob sich ein Retainer lohnt, sondern welcher der drei Anbieter am besten zur vorhandenen IT-Landschaft und zum Compliance-Rahmen passt.
Als Faustregel für die Praxis: Unternehmen mit unter 500 Mitarbeitenden und einem IT-Budget im niedrigen sechsstelligen Bereich fahren meist besser mit einem CrowdStrike-Einstiegstier oder einem Kroll-Vertrag, weil die Fixkosten überschaubarer bleiben und die 4- bis 6-Stunden-SLA für die meisten Bedrohungsszenarien ausreicht. Konzerne mit mehreren tausend Mitarbeitenden, internationalem Betrieb oder KRITIS-Einstufung sollten dagegen die höheren Kosten von Mandiant oder einem Sygnia-Premium-Tier einkalkulieren, weil die 2-Stunden-SLA und die globale Reichweite bei einem großflächigen Vorfall den Unterschied zwischen einem eingedämmten und einem eskalierenden Schaden ausmachen können.
Checkliste: Diese Punkte gehören in jeden IR-Retainer-Vertrag
Bevor ein Vertrag unterschrieben wird, lohnt sich eine strukturierte Prüfung der wichtigsten Klauseln. Die folgende Liste fasst zusammen, was IT-Einkauf und Rechtsabteilung gemeinsam gegenprüfen sollten, unabhängig davon, ob es um CrowdStrike, Mandiant, Sygnia oder einen der genannten Alternativanbieter geht.
- Definition eines “Vorfalls”: Klar festhalten, ab welchem Schweregrad ein Ereignis Stunden aus dem Kontingent verbraucht.
- SLA-Zeiten schriftlich fixieren: Remote- und Vor-Ort-Reaktionszeit als vertragliche Zusage, nicht nur als Marketingaussage im Datenblatt.
- Eskalationskette dokumentieren: Namentliche Ansprechpartner auf beiden Seiten, inklusive Vertretungsregelung außerhalb der Geschäftszeiten.
- Datenverarbeitungsort klären: Prüfen, wo forensische Kopien gespeichert und analysiert werden, besonders bei US-Anbietern mit Blick auf die DSGVO.
- Rollover- und Repurposing-Regeln: Schriftlich festhalten, was mit ungenutzten Stunden am Vertragsende passiert.
- Abstimmung mit der Cyberversicherung: Sicherstellen, dass der gewählte Anbieter im Schadensfall von der Police anerkannt wird.
- Exit- und Verlängerungsklauseln: Kündigungsfristen und automatische Verlängerungen genau prüfen, um keine unerwartete Bindung einzugehen.
Häufig gestellte Fragen
Was kostet ein Incident-Response-Retainer im Durchschnitt?
Je nach Anbieter und Tier bewegen sich Standardverträge laut Marktanalysen zwischen 60.000 und 150.000 US-Dollar pro Jahr für CrowdStrike, ab rund 100.000 US-Dollar bei Mandiant und im sechsstelligen Bereich bei Sygnia. Kleinere Anbieter wie regionale MSSPs liegen teils deutlich darunter.
Lohnt sich ein Retainer auch für kleine und mittlere Unternehmen?
Ja, besonders wenn ein Cyberversicherer einen Nachweis verlangt oder die Branche unter NIS-2 beziehungsweise das KRITIS-Dachgesetz fällt. Für kleinere Budgets bieten sich Einstiegstiers wie Sygnias Essential-Paket mit 20 Stunden oder ein regionaler Anbieter mit niedrigeren Stundensätzen an. Wichtig ist dabei weniger die absolute Stundenzahl als die Frage, ob das gebuchte Kontingent im Ernstfall für eine vollständige Eindämmung und forensische Aufklärung ausreicht, auch kleine Unternehmen sollten deshalb lieber ein etwas größeres Paket wählen, als im laufenden Vorfall zu Notfallsätzen nachbuchen zu müssen.
Was passiert, wenn die gebuchten Stunden im Vertragsjahr nicht gebraucht werden?
Bei allen drei Anbietern lassen sich ungenutzte Stunden auf proaktive Leistungen wie Tabletop-Übungen oder Assessments umbuchen. Sygnia erlaubt zusätzlich ein Rollover-Quartal bei Vertragsverlängerung, während CrowdStrike und Mandiant die Flexibilität stärker auf die laufende Vertragsperiode begrenzen.
Wie schnell reagiert ein IR-Team nach der Meldung eines Vorfalls?
Die schnellsten Tiers aller drei Anbieter garantieren eine Remote-Reaktion innerhalb von 2 Stunden. Bei Einstiegstarifen kann die Remote-SLA je nach Anbieter zwischen 4 und 8 Stunden liegen, Vor-Ort-Einsätze dauern typischerweise 24 Stunden bis 2 Tage.
Ist ein Retainer bei einem bestimmten Sicherheitsanbieter an dessen Plattform gebunden?
Bei CrowdStrike profitieren Kunden am meisten, wenn sie bereits die Falcon-Plattform nutzen, eine Bindung ist aber vertraglich nicht zwingend. Mandiant und Sygnia arbeiten plattformunabhängiger und lassen sich unabhängig von der bestehenden EDR-Lösung einsetzen.
Wie unterscheidet sich ein Retainer von einer klassischen MDR-Leistung?
Managed Detection and Response überwacht kontinuierlich Systeme und alarmiert bei Auffälligkeiten. Ein IR-Retainer greift erst nach einem bestätigten Vorfall und bringt forensische Spezialisten mit garantierten Reaktionszeiten ins Unternehmen, oft ergänzend zu einer bestehenden MDR- oder SOC-Lösung wie in unserem Vergleich EDR vs. XDR vs. MDR beschrieben.
Gibt es kostenlose oder stark rabattierte Alternativen?
Palo Alto Unit 42 bietet über den AWS Marketplace für qualifizierte AWS-Kunden einen Retainer ohne Grundgebühr mit bis zu 250 IR-Stunden und 2-Stunden-Remote-SLA. Das ist unter den hier verglichenen Anbietern die einzige öffentlich dokumentierte Nulltarif-Option.
Deckt eine Cyberversicherung die Kosten eines IR-Retainers ab?
Das hängt von der individuellen Police ab. Viele deutsche Cyberversicherer verlangen inzwischen einen nachgewiesenen Incident-Response-Plan als Voraussetzung für den Vertragsabschluss und übernehmen im Schadensfall teilweise die Kosten eines akkreditierten IR-Dienstleisters, ein vorab abgeschlossener Retainer beschleunigt dabei oft die Schadensregulierung.
