Unter Umständen ja. Genau das.

Der erste Punkt ist, wer die Systeme verwaltet.

Wenn du dem externen Dienstleister trauen kannst, kann der das auch übernehmen. In diesem Fall war der möglicherweise nicht zuverlässig.

Ansonsten muss man eigenes Personal anstellen. (Ja, es ist schwer IT-Personal zu bekommen, dass für TVöD arbeiten will. Die Konsequenz ist aber nicht zwingend Outsourcing. )

Der zweite Punkt ist, auf welcher Hardware in welchem RZ laufen die Dienste.

Nur weil ein Kunde erfolgreich angegriffen wurde, muss das nicht (wie es hier geschehen ist) bedeuten, dass alle anderen Kunden auch betroffen sein müssen.

Der dritte Punkt ist, welche Software und welches Betriebssystem man einsetzt. Man kann gucken, wieviele und welche Probleme in der Vergangenheit aufgetreten sind und wie sie gelöst wurden.

Und dann ist es irgendwie auch etwas Glück... wenn du Mithilfe einer unbekannten RCE + Rechteerweiterung angegriffen wirst, tja... in dem Fall wäre aber dann das Backup gut.