Die Bedrohungslage für Unternehmen hat sich in den letzten Jahren fundamental geändert. Ransomware-Angriffe, bei denen Kriminelle Systeme verschlüsseln und Lösegeldforderungen stellen, sind längst kein Einzelfall mehr, sondern ein berechnetes Geschäftsmodell organisierter Krimineller. Zugleich setzen Angreifer zunehmend auch auf KI-gestützte Methoden, um Phishing-Kampagnen zu personalisieren, Schwachstellen schneller zu finden und Abwehrmechanismen zu umgehen. Die Aufgabe hat sich für interne IT-Abteilungen also verdoppelt, ohne dass die personellen Ressourcen im gleichen Maß mitgewachsen wären.
Wenn die interne IT-Abteilung am Ende ist
Früher war IT-Sicherheit in erster Linie eine technische Frage – Firewall, Virenschutz, Backups. Heute verschwimmt die Grenze zwischen technischer Absicherung und rechtlicher Compliance: Mit der EU-Richtlinie NIS‑2, die in Deutschland seit dem 6. Dezember 2025 durch das NIS‑2-Umsetzungsgesetz (NIS2UmsuCG) gilt, werden Betreiber wichtiger und wesentlicher Einrichtungen in ein deutlich strengeres Regime von Registrierungs‑, Governance- und Meldepflichten eingebunden. Die DSGVO verlangt darüber hinaus eine lückenlose Dokumentation der Verarbeitungstätigkeiten und – sofern etwa umfangreiche regelmäßige Überwachung oder großskalige Verarbeitung besonderer Kategorien personenbezogener Daten vorliegt – die Benennung eines Datenschutzbeauftragten
Mit NIS‑2 sind für erhebliche Sicherheitsvorfälle gestufte Meldepflichten zu beachten – eine Erstmeldung innerhalb von 24 Stunden, eine vertiefte Meldung innerhalb von 72 Stunden und ein Abschlussbericht in der Regel innerhalb eines Monats. Die DSGVO verlangt unter anderem eine lückenlose Dokumentation der Verarbeitungstätigkeiten und – sofern etwa umfangreiche regelmäßige Überwachung oder großskalige Verarbeitung besonderer Kategorien personenbezogener Daten vorliegt – die Benennung eines Datenschutzbeauftragten.
Was das in der Praxis bedeutet: Ein IT-Leiter, der Netzwerke wartet, Mitarbeitendengeräte verwaltet, Cyberangriffe abwehrt und Compliance-Berichte für Aufsichtsbehörden erstellt, ist strukturell überfordert. Das ist keine Kritik an einzelnen Personen, sondern ein ernüchterndes Bild der Lage. Der Tiefe und Breite dieser Anforderungen ist nicht zu genügen, was eine Person oder auch ein kleines Team leisten kann, auch wenn es fachlich bestens aufgestellt ist.
Hinzu kommt, dass die Anforderungen ja nicht statisch sind. Regulierer konkretisieren laufend ihre Auslegung bestehender Normen, neue Technologien bringen neue Datenschutzfragen mit sich und die Angriffsmuster der anderen Seite entwickeln sich schneller weiter, als die internen Sicherheitskonzepte geupdatet werden können. Eine einmal mühevoll aufgebaute Sicherheitsarchitektur allein schützt Unternehmen jedoch nicht dauerhaft.
CISO-Engpass: Hochqualifizierte sind Mangelware
Chief Information Security Officer (CISO) ist in jeder modernen Organisation eine Schlüsselposition. Der oder die CISO verantwortet die strategische Ausrichtung der Informationssicherheit, koordiniert die Incident-Response-Prozesse, sichert die Kommunikation mit Versicherern und Behörden, sorgt dafür, dass alle Sicherheitsmaßnahmen dokumentiert und auditierbar sind. Ohne diese Funktion fehlt dem Unternehmen im Ernstfall die organisatorische Basis, um auf einen Cybervorfall geordnet reagieren zu können.
Das Problem ist nur: Der Arbeitsmarkt gibt nicht annähernd genug davon her. Der Bedarf an qualifizierten Informationssicherheitsbeauftragten übersteigt bei weitem das Angebot. Die Fachkräftelücke im Bereich Cybersecurity bezifferte zuletzt der Branchenverband (ISC)² auf weltweit mehrere Millionen offene Stellen. In Deutschland buhlen Konzerne, Mittelständler und Behörden um die kleine Schar der Spezialisten, die entsprechend hohe Gehaltsvorstellungen mitbringen. Ein erfahrener CISO kostet das Unternehmen nach aktuellen Marktdaten zwischen 90.000 und 140.000 Euro brutto jährlich, zuzüglich Arbeitgeberanteile, Weiterbildungsbudget und Nebenleistungen. Für viele Unternehmen ist das kaum darstellbar.
Rollen wie Outsourcing-Manager nach MaRisk entwickeln sich unter DORA und NIS‑2 zu zentralen Ansprechpartnern für IKT-Risiken und Drittanbietersteuerung – unabhängig davon, ob Leistungen intern oder als Compliance‑ bzw. Security‑as‑a‑Service bezogen werden.
Je nach Police und Risikomanagement können fehlende Governance-Strukturen zu Deckungsproblemen oder Ausschlüssen führen. Gerade in den Bedingungen der Cyberversicherer findet man Klauseln, die bei fehlender ausreichender Informationssicherheitsorganisation die Leistungspflicht des Versicherers ausschließen. Wer also im Ernstfall meint, die Versicherung springt ein, ohne vorher die Strukturen aufgebaut und dokumentiert zu haben, wird möglicherweise böse überrascht.
Compliance as a Service – das Outsourcing-Modell für moderne Betriebe
Aus diesem Grund entscheiden sich immer mehr Unternehmen dazu, sicherheits- und compliance-relevante Funktionen an spezialisierte externe Partner auszulagern. Unter dem Begriff ‚Compliance as a Service‘ werden Modelle verstanden, bei denen Unternehmen bestimmte Governance‑, Risiko- und Compliancefunktionen – etwa CISO, Datenschutzbeauftragter oder Outsourcing-Management – an spezialisierte Dienstleister auslagern, ohne die eigene Gesamtverantwortung abzugeben. In der Praxis sind damit ganz unterschiedliche Leistungspakete gemeint. Dazu zählen unter anderem die Übernahme der CISO-Funktion durch einen externen Informationssicherheitsbeauftragten oder eines externen Datenschutzbeauftragten (DSB) sowie das sogenannte Auslagerungsmanagement, welches die regulatorischen Anforderungen an die Steuerung und Kontrolle von Drittdienstleistern abdeckt.
Wer sich einen Überblick über den Umfang solcher Angebote verschaffen möchte, findet bei entsprechenden Anbietern die externe Compliance-Leistungen im Überblick aufgelistet. Diese reichen von der laufenden strategischen Beratung über die vollständige Übernahme regulatorisch geforderter Beauftragten-Rollen bis hin zur konkreten Unterstützung bei Behördenkommunikation und Auditvorbereitung.
Der große Vorteil liegt in der sofortigen Verfügbarkeit: Ein externer Dienstleister bringt feuertaugliches Fachwissen mit, ohne dass das Unternehmen Monate in Rekrutierung, Einarbeitung und Qualifizierung investieren muss. Gerade anlassbezogen, etwa bei regulatorischen Deadlines wie bei der NIS-2-Umsetzung oder im Vorfeld einer bevorstehenden Prüfung durch die Datenschutzaufsicht, kann sich dieser Zeitvorteil erheblich bemerkbar machen. Darüber hinaus arbeiten heute externe Anbieter meist mit standardisierten Abläufen, erprobten Mustern und aktueller Kenntnis der Behördenpraxis. Das hebt die Qualität der Dokumentation erheblich.
Betriebliche Vorteile gegenüber der Inhouse-Lösung
Im Vergleich zwischen dem Aufbau einer eigenen Compliance-Abteilung und dem Outsourcing-Modell ist der Vorteil auf mehreren Dimensionen klar verteilt.
Im Kostenfaktor sind externe Lösungen für die überwiegende Zahl von Unternehmen deutlich günstiger. Ein auf Dienstleistungsbasis tätiger externer CISO, der anteilig für das Unternehmen tätig ist, kostet einen Bruchteil eines Festangestellten, da sich die Kosten auf mehrere Mandate verteilen. Dazu kommen keine Ausgaben für Fortbildung, keine Zertifizierungsgebühren und keine Ausfälle durch Krankheit oder Fluktuation.
Im Know-how-Faktor hat die externe Lösung einen strukturellen Vorteil, den eine interne Stellenbesetzung kaum aufholen kann. Spezialisierte Dienstleister arbeiten täglich mit einer Vielzahl von Klienten aus unterschiedlichen Branchen und regulatorischen Bereichen. Sie sind daher mit aktuellen Angriffsmustern, neuen Interpretationen von Vorschriften und branchenspezifischen Best Practices bestens vertraut. Anders als ein interner Chief Information Security Officer (CISO) eines mittelgroßen Unternehmens kann dieser Erfahrungshorizont nicht geboten werden, da letzterer in der Regel nur die Perspektive seiner eigenen Organisation kennt.
Die externe Lösung bietet auch in Bezug auf die Dokumentationsqualität Vorteile: Professionelle Anbieter erstellen behördenkonforme Berichte, Risikoanalysen und Verarbeitungsverzeichnisse, die im Falle einer Prüfung Bestand haben. Solche Dokumente sind nicht nur eine angenehme Ergänzung, sondern eine wesentliche Voraussetzung. Aufsichtsbehörden verlangen explizit nach solchen Nachweisen, und unzureichende Unterlagen können erhebliche rechtliche Konsequenzen nach sich ziehen, auch wenn es keinen tatsächlichen Datenschutzvorfall gab.
Welche Funktionen sich für eine Auslagerung anbieten
Nicht alle Sicherheitsfunktionen sind gleichermaßen für eine Auslagerung geeignet. Technische Kernbereichen wie Netzwerkbetrieb, Endgeräteschutz und interne Überwachungssysteme verbleiben oft im Unternehmen oder werden von einem Managed Security Service Provider (MSSP) übernommen. Strategische und regulatorische Rollen, wie CISO, Datenschutzbeauftragter, NIS-2-Beauftragter oder Outsourcing-Manager gemäß MaRisk für Finanzinstitute, hingegen eignen sich besonders gut für das Outsourcing. Diese Positionen erfordern tiefgehendes Fachwissen, keine ständige physische Präsenz und schaffen rechtlich bindende Dokumentationspflichten, die ein spezialisierter externer Fachmann professionell besser erfüllen kann als jemand, der diese Aufgaben zusätzlich zu anderen Tätigkeiten übernimmt.
Unternehmen, die eine solche Partnerschaft in Erwägung ziehen, sollten bei der Auswahl eines Anbieters auf anerkannte Zertifizierungen, wie ISO/IEC 27001 für Informationssicherheits-Managementsysteme, sowie nachweisbare Erfahrungen mit branchenspezifischen Regulierungen achten. Klare vertragliche Vereinbarungen zur Haftungsverteilung, zu Reaktionszeiten sowie zur Eskalationskette im Krisenfall sind dabei unerlässlich und sollten vor Vertragsabschluss im Detail besprochen werden. Denn auch beim Outsourcing bleibt die Verantwortung für den Schutz personenbezogener Daten und die Einhaltung von Vorschriften letztendlich beim beauftragenden Unternehmen.
