Externer & Interim-CISO

Security-Führung als Service: Wir übernehmen Strategie, Budgetverantwortung, Board-Reporting und die Steuerung Ihrer Dienstleister, dauerhaft als externer CISO oder interim, um eine Vakanz zu überbrücken. Sie kaufen Führungskompetenz auf C-Level ein, die anpackt statt nur zu beschreiben, genau in dem Umfang, den Ihr Unternehmen wirklich braucht.

In den meisten mittelständischen Unternehmen liegt die Informationssicherheit dort, wo sie historisch gelandet ist: beim IT-Leiter, der sie neben Betrieb, Projekten und Tagesgeschäft mitträgt. Das funktioniert eine Weile, hat aber strukturelle Grenzen. Für Strategie, Risikoentscheidungen und Board-Reporting fehlt die Zeit, für den kritischen Blick die Distanz: Wer die Systeme selbst betreibt, bewertet am Ende die eigene Arbeit. Und ohne klaren Auftrag bleibt Sicherheit das Thema, das immer hinter dem nächsten Ausfall zurücksteht.

Gleichzeitig liegt die Verantwortung für Informationssicherheit heute ausdrücklich bei der Unternehmensleitung. § 38 BSIG verpflichtet die Geschäftsleitungen der von NIS2 erfassten Einrichtungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen; wer das versäumt, haftet der eigenen Einrichtung persönlich nach Gesellschaftsrecht. Dazu kommt eine regelmäßige Schulungspflicht: Die Leitung muss Risiken und Risikomanagement selbst beurteilen können. DORA formuliert Entsprechendes für den Finanzsektor. Diese Verantwortung bleibt bei Ihnen, ganz gleich, wie Sie die Rolle besetzen. Umso wichtiger ist, wer sie im Alltag ausfüllt. Gerade kleine und mittlere Unternehmen brauchen auf dieser Position jemanden, der betriebswirtschaftlich denkt: Viele Beauftragte fordern, was das Lehrbuch verlangt, ohne zu fragen, was das Unternehmen trägt. Ein guter CISO weiß, dass Geld erst verdient werden muss, bevor man es ausgeben kann, und priorisiert Sicherheit danach, was das Geschäft wirklich schützt. Profile, die Bedrohungslage, Budget und Vorstandssprache gleichermaßen beherrschen, sind rar, und im Wettbewerb um sie konkurriert der Mittelstand mit Konzernen und Beratungshäusern.

Dazu kommt ein strukturelles Problem: Die strategische CISO-Arbeit eines mittelständischen Unternehmens füllt selten eine Vollzeitstelle. Sicherheitsstrategie, Risikoentscheidungen, Board-Reporting und Dienstleistersteuerung sind in wenigen Tagen pro Monat leistbar, wenn sie konsequent gemacht werden. Eine Vollzeitbesetzung führt deshalb fast zwangsläufig in eines von zwei Szenarien: Entweder bezahlen Sie teure Überkapazität, oder die Rolle wird mit operativen Aufgaben aufgefüllt und die Führungsarbeit bleibt liegen.

Das Bruttogehalt ist nur der sichtbare Teil der Rechnung. Wer die Kosten einer Festanstellung ehrlich vergleichen will, muss die Vollkosten ansetzen:

Arbeitgeber-Nebenkosten

Die Arbeitgeberanteile zur Sozialversicherung kommen auf jedes Bruttogehalt obendrauf und machen bei Führungsgehältern schnell einen fünfstelligen Jahresbetrag aus.

Recruiting und Vakanz

Erfahrene CISOs werden fast immer über Personalberater besetzt, deren Honorar sich am Jahresgehalt bemisst. Dazu kommt die Vakanzzeit: Monate, in denen die Rolle unbesetzt ist, die Verantwortung der Geschäftsleitung aber weiterläuft.

Fortbildung, Zertifikate, Konferenzen

Ein CISO ist nur so gut wie sein aktuelles Lagebild. Zertifizierungen, Schulungen und Fachkonferenzen sind laufende Kosten, die bei einem externen CISO im Stundensatz enthalten sind. Dazu kommt, was sich nicht einkaufen lässt: Ein externer CISO lernt über viele Mandate hinweg und bringt Erfahrung aus unterschiedlichen Branchen und Umgebungen mit, während ein interner nur die eigene Organisation sieht.

Ausfall- und Fehlbesetzungsrisiko

Urlaub, Krankheit, Kündigung: Bei einer Ein-Personen-Rolle steht dann alles. Und eine Fehlbesetzung auf C-Level kostet nicht nur das Gehalt, sondern verlorene Zeit, die im Sicherheitsprogramm niemand zurückholt.

Langfristige Bindung und Kündigungsschutz

Eine Festanstellung ist eine Bindung auf Jahre: Ein angestellter CISO genießt zu Recht Kündigungsschutz, eine Trennung bedeutet Fristen, häufig Abfindung und monatelange Unsicherheit in einer sensiblen Rolle. Ein externes Mandat passt sich dagegen dem Bedarf an und endet, wenn es nicht mehr passt, zur vereinbarten Frist.

Auf der anderen Seite steht der externe CISO: sofort verfügbar, auf Senior-Niveau ab dem ersten Tag, abgerechnet nur für tatsächlich geleistete Arbeit, skalierbar, wenn ein Audit, ein Projekt oder ein Vorfall vorübergehend mehr Kapazität verlangt, und ohne die langfristige Bindung eines Arbeitsverhältnisses. Vergleichen Sie beide Modelle mit Ihren eigenen Zahlen:

Als externer CISO übernehmen wir die Führungsrolle vollständig, nicht nur beratend. Wir kennen den Einwand: Dann haben wir eben einen, der Schriftstücke schreibt, und es ändert sich nichts. Genau dafür sind wir nicht zu haben. Papier ist bei uns Mittel, nie Ergebnis: Wir treiben Maßnahmen bis zur Umsetzung, sitzen in der Dienstleisterverhandlung und im Krisenraum, prüfen selbst nach, ob Erkennung und Prozesse wirklich funktionieren, und messen uns an Wirkung statt an Dokumentenständen. Hands-on ist bei uns keine Paketbeschreibung, sondern die Mentalität des Hauses. Die Rolle umfasst insbesondere:

• Sicherheitsstrategie und Jahresplanung: bedrohungsgeleitet priorisiert statt am Auditkalender entlang
• Board-Reporting: Risiko- und Lageberichte in der Sprache der Geschäftsführung, entscheidbar aufbereitet
• Budgetverantwortung: Sicherheitsausgaben begründen, priorisieren und gegenüber der Leitung vertreten
• Steuerung von Dienstleistern: SOC, MSSP, Pentest-Anbieter und IT-Partner mit klaren Vorgaben führen
• Krisenfähigkeit: Ansprechpartner der Leitung im Sicherheitsvorfall, mit eingeübter Eskalation
• Aufsicht und Kunden: die Rolle nach außen nachweisbar besetzen, von der Kundenauditanfrage bis zur Behörde

Das Modell passt sich Ihrer Situation an: dauerhaft als fester externer CISO mit vereinbartem Monatskontingent, oder interim, um eine Vakanz zu überbrücken, bis Sie intern besetzt haben. Arbeitet bei Ihnen bereits ein Informationssicherheitsbeauftragter oder ein Sicherheitsmanager, führen wir diese Rollen fachlich, statt sie zu ersetzen. Und wenn Sie langfristig intern besetzen wollen, bauen wir die Rolle übergabefähig auf: dokumentiert, strukturiert und ohne Abhängigkeit von uns.

Zur Ehrlichkeit gehört auch: Ein externes Mandat funktioniert nicht gegen die Organisation, sondern mit ihr. Wir brauchen bei Ihnen einen verlässlichen Ansprechpartner, Fachbereiche und IT, die Informationen zuliefern, und benannte Verantwortliche, die Maßnahmen in ihren Systemen umsetzen. Diese Mitwirkung ist kein Kleingedrucktes, sondern die Bedingung dafür, dass Sicherheit bei Ihnen entsteht statt in unseren Ordnern.

Und wenn es brennt? Gerade dann zeigt sich die Stärke des Modells. Ein einzelner Angestellter ist im Ernstfall vielleicht im Urlaub, krank oder längst gekündigt. Im Mandat vereinbaren wir Erreichbarkeit für den Sicherheitsvorfall, und hinter Ihrem externen CISO steht dann unsere gesamte Incident-Response-Erfahrung: Lagebild, Eindämmung, Wiederanlauf und die Kommunikation mit Aufsicht, Kunden und Versicherung. Der Vorfall trifft Sie nicht mit einer Ein-Personen-Abwehr, sondern mit eingespielter Verstärkung.

Bei uns bekommen Sie keinen anonymen Beraterpool, sondern ausgewiesene Führungserfahrung: Unser Gründer wurde als CISO des Jahres 2026 ausgezeichnet und hat die Rolle über Jahre in einer internationalen Unternehmensgruppe getragen, zwischen Aufsichtsanforderungen, Budgetrealität und technischem Betrieb. Diese Erfahrung kaufen Sie anteilig ein, zu einem Bruchteil der Kosten einer Vollzeitbesetzung.

Inhaltlich führen wir nach dem Ansatz, der unser ganzes Haus prägt: Threat-Informed Defense. Ihre Sicherheitsstrategie richtet sich an den Techniken realer Angreifer aus, nicht an Checklisten. Das macht Prioritäten begründbar, Budgetentscheidungen verteidigbar und Ihr Programm messbar wirksamer. Compliance mit NIS2, DORA oder ISO 27001 ist dann das Ergebnis guter Sicherheitsarbeit, nicht ihr Zweck.

Der Markt für externe CISOs wächst, und die Angebote unterscheiden sich erheblich. Bevor Sie sich binden, lohnt ein nüchterner Blick auf fünf Punkte. Es sind dieselben Fragen, an denen Sie auch uns messen dürfen:

Regelmäßige, sichtbare Ergebnisse

Ein Mandat, das läuft, hinterlässt Spuren: Lageberichte, Gremientermine, nachgehaltene Maßnahmen. Wenn ein Anbieter nicht sagen kann, was Sie jeden Monat konkret in der Hand haben, kaufen Sie Verfügbarkeit statt Führung.

Klar umrissener Umfang

Was deckt das Kontingent ab, was wird zusätzlich beauftragt, und zu welchen Konditionen? Pauschale Monatsbeträge ohne Leistungsbeschreibung enden entweder in Enttäuschung oder in Nachträgen.

Saubere Verantwortlichkeiten

Wer entscheidet, wer liefert zu, wer setzt um? Ein seriöses Angebot benennt auch, was beim Kunden bleibt, allen voran die nicht delegierbare Verantwortung der Geschäftsleitung.

Fachliche Tiefe hinter der Person

Kein Einzelner beherrscht Regulatorik, Cloud-Härtung, Detection und Krisenmanagement gleichermaßen. Fragen Sie, auf welches Wissen Ihr CISO zugreifen kann, wenn es speziell wird.

Vertretung und Übergabe

Was passiert bei Urlaub, Krankheit oder Mandatsende? Dokumentation gehört in Ihre Systeme, Wissen muss übertragbar sein. Abhängigkeit ist kein Geschäftsmodell, sondern ein Warnsignal.

Unser Mandatsmodell ist entlang genau dieser Punkte gebaut: fester Umfang, feste Laufzeit, Ergebnisse, an denen wir uns messen lassen, und hinter der Person unser ganzes Haus.

So überzeugt wir von dem Modell sind: Es passt nicht für jeden. Ein externer CISO ist nicht sinnvoll, wenn:

• Ihre Organisation so groß oder so reguliert ist, dass Sicherheitsführung ein tägliches Vollzeitgeschäft ist, mit eigenem Security-Team, eigenem SOC und ständiger Präsenz im Haus. Dann gehört die Rolle intern besetzt; wir überbrücken höchstens die Zeit bis zur Besetzung.
• Sie jemanden suchen, der der Geschäftsleitung die Verantwortung abnimmt. Das kann kein CISO leisten, weder intern noch extern: NIS2 und DORA lassen diese Verantwortung ausdrücklich bei der Leitung.
• die Rolle bei Ihnen vor allem tägliche operative Arbeit bedeutet: Systeme administrieren, Tickets bearbeiten, Nutzer betreuen. Dafür ist ein CISO das falsche und zu teure Werkzeug; dann passt ein Sicherheitsmanager oder eine gestärkte IT besser.
• noch kein Fundament vorhanden ist und das Budget für eine kontinuierliche Führungsrolle fehlt. Dann bringt ein zweitägiger Strategie-Workshop mit priorisierter Roadmap mehr als ein Dauermandat.

Ob Ihr Fall dazugehört, klären wir im Erstgespräch, offen und ohne Verkaufsdruck. Wenn ein anderes Modell besser passt, sagen wir Ihnen das, und empfehlen es Ihnen auch dann, wenn wir daran nichts verdienen.