Sicherheitsberatung
Ihr externer ISB begleitet Ihr Unternehmen kontinuierlich: mit einem festen Ansprechpartner, Risikomanagement und Berichten für die Geschäftsführung. Ab 1.500 € pro Monat netto. Umfang und Start stimmen wir im Erstgespräch ab.
Vertrauen unserer Kunden
Intern vs. Extern
Ein interner ISB kostet inklusive Sozialabgaben, Weiterbildung und Zertifizierungen mindestens 100.000 EUR jährlich, die Rekrutierung dauert 3-6 Monate und qualifizierte Kandidat:innen sind auf dem Arbeitsmarkt Mangelware. Der direkte Vergleich zeigt: Für die meisten mittelständischen Unternehmen ist der externe Informationssicherheitsbeauftragte wirtschaftlicher und qualitativ hochwertiger.
| Kriterium | Externer ISB (AWARE7) | Interner ISB |
|---|---|---|
| Kosten / Jahr | ab 18.000 EUR zzgl. USt. | rund 100.000-142.000 EUR |
| Verfügbarkeit | Start nach Abstimmung | 3-6 Monate Recruiting |
| Unabhängigkeit | Objektiv, keine internen Abhängigkeiten | Teil der Hierarchie, Interessenkonflikte möglich |
| Branchenerfahrung | Aus Dutzenden Unternehmen | Nur eigenes Unternehmen |
| Vertretung | Vertretung im Team | Einzelperson-Risiko |
| Flexibilität | Skalierbar nach Bedarf | Festanstellung, Kündigungsschutz |
| Weiterbildung | Inklusive, ständig aktuell | Zusätzliche Kosten (5.000-15.000 EUR/Jahr) |
| Betriebsblindheit | Keine (frische Perspektive) | Steigendes Risiko über Zeit |
Aufgaben
Ihr externer ISB übernimmt alle Aufgaben eines Informationssicherheitsbeauftragten: von ISMS-Aufbau und Risikomanagement über Incident Management und Schulung bis zu Audit-Begleitung und Reporting an die Geschäftsführung.
Die Verantwortung der Geschäftsführung bleibt bestehen. Den Umfang der Zusammenarbeit vereinbaren wir individuell.
Entwicklung, Implementierung und kontinuierliche Verbesserung Ihres ISMS nach ISO 27001 oder BSI IT-Grundschutz. Von der Leitlinie bis zur Zertifizierung.
Regelmäßige Risikobewertungen, Pflege des Risikoregisters und Überwachung der Risikobehandlungsmaßnahmen. Priorisierung nach Business Impact.
Bewertung und Koordination bei Sicherheitsvorfällen. Unterstützung bei Meldepflichten nach NIS-2 und DSGVO. Notfallplanung und -übungen.
Regelmäßige Sensibilisierung der Mitarbeitenden, Phishing-Simulationen, Schulungsprogramme für Führungskräfte und IT-Personal.
Vorbereitung und Begleitung bei internen Audits, externen Zertifizierungsaudits und Überwachungsaudits. Nachverfolgung von Maßnahmen.
Regelmäßige Statusberichte an die Geschäftsführung, jährliches Managementreview, KPI-Tracking zur Informationssicherheit. Entscheidungsvorlagen für das Management.
Qualifikation
Die Qualität eines ISB steht und fällt mit seiner Qualifikation, Erfahrung und Unabhängigkeit. Unsere Informationssicherheitsbeauftragten erfüllen alle drei Kriterien, nachweisbar und überprüfbar.
Methodik
In vielen Mandaten haben wir gelernt, dass keine zwei Unternehmen dieselbe Ausgangssituation haben. Methodik und Umfang richten wir deshalb immer an den konkreten Anforderungen aus.
Vollkosten
Viele Unternehmen unterschätzen die Gesamtkosten einer internen ISB-Stelle. Neben dem Gehalt kommen erhebliche versteckte Kosten hinzu. Hier die vollständige Kalkulation im Vergleich zum externen Informationssicherheitsbeauftragten.
Externer Informationssicherheitsbeauftragter: deutlich geringere Gesamtkosten als eine interne Vollzeitstelle.
Bei gleicher oder höherer Qualität, dank Branchenerfahrung, eingespielter Methodik und Vertretung im Team. Welches Modell zu Ihrem Unternehmen passt, klären wir im kostenlosen Erstgespräch: Bedarf analysieren und Angebot erhalten.
Ein externer ISB unterstützt Sie dabei, Verantwortlichkeiten, Risikomanagement und Nachweise zu organisieren. Welche Anforderungen gelten und welchen Umfang AWARE7 übernimmt, klären wir für Ihr Unternehmen.
NIS-2-betroffene Unternehmen
Anforderungen und Verantwortlichkeiten individuell klären
KRITIS-Betreiber
Sicherheitsmanagement und Nachweise organisieren
ISO 27001 zertifizierte / anstrebende Unternehmen
Benannte Rolle für Informationssicherheit erforderlich
Zulieferer und Dienstleister
Kunden fordern zunehmend Sicherheitsnachweise
KMU mit Wachstumsambitionen
Proaktiver Sicherheitsaufbau als Wettbewerbsvorteil
IT-Leiter als "Teilzeit-ISB"
Klassischer Interessenkonflikt: er müsste seine eigene Arbeit kontrollieren
Gesetze und Standards
Gesetze und Standards stellen unterschiedliche Anforderungen an Informationssicherheit und Verantwortlichkeiten. Welche davon für Ihr Unternehmen gelten und wie eine externe ISB-Rolle unterstützen kann, klären wir individuell.
Die NIS-2-Richtlinie wurde durch das NIS2UmsuCG in deutsches Recht umgesetzt (in Kraft seit Dezember 2025). Betroffen sind rund 29.500 Unternehmen in 18 Sektoren. Artikel 20 der Richtlinie verpflichtet die Geschäftsführung, Maßnahmen zur Cybersicherheit zu billigen, deren Umsetzung zu beaufsichtigen und an Schulungen zur Informationssicherheit teilzunehmen. Die persönliche Haftung der Geschäftsleitung ist ein zentrales neues Element.
Artikel 21 definiert zehn Mindestanforderungen an das Risikomanagement, darunter Risikoanalyse, Incident Handling, Business Continuity, Lieferkettensicherheit und Security Awareness. Ein externer ISB kann bei der Organisation dieser Maßnahmen unterstützen. Die konkrete Aufgabenverteilung und die Verantwortung der Geschäftsführung sind dabei gesondert zu klären.
ISO 27001 fordert in Kapitel 5.3, dass die Geschäftsführung Rollen und Verantwortlichkeiten für die Informationssicherheit zuweist und kommuniziert. Die Norm verlangt eine Person, die sicherstellt, dass das ISMS den Anforderungen der Norm entspricht und über dessen Leistung an die Geschäftsführung berichtet. In der Praxis wird diese Rolle als ISB, ITSiBe oder CISO besetzt.
Die 93 Controls in Anhang A der ISO 27001:2022 decken organisatorische, personelle, physische und technologische Sicherheitsmaßnahmen ab. Der ISB verantwortet die Erstellung der Statement of Applicability (SoA), die für jedes Control dokumentiert, ob und wie es umgesetzt wird. Eine externe ISB-Rolle kann die Vorbereitung und den Betrieb des ISMS unterstützen. Die Besetzung allein garantiert keine Zertifizierung.
Das BSI IT-Grundschutz-Kompendium definiert in BSI-Standard 200-1 die Anforderung an ein ISMS und benennt den IT-Sicherheitsbeauftragten als zentrale Rolle. Die BSI-Standards 200-1, 200-2 und 200-3 beschreiben den Aufbau eines ISMS, die Vorgehensweise nach IT-Grundschutz und die Risikoanalyse im Detail.
Für KRITIS-Betreiber schreibt das BSI-Gesetz (BSIG) vor, dass angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit informationstechnischer Systeme getroffen werden müssen. KRITIS-Betreiber sind verpflichtet, dem BSI alle drei Jahre Nachweise über die Einhaltung dieser Vorkehrungen vorzulegen (§39 BSIG). Ein ISB koordiniert diese Nachweispflicht.
Der Verband der Automobilindustrie (VDA) hat mit TISAX einen branchenspezifischen Standard geschaffen, der auf ISO 27001 basiert. OEMs wie Volkswagen, BMW und Mercedes-Benz fordern von ihren Zulieferern ein TISAX-Label als Voraussetzung für die Zusammenarbeit. Das VDA ISA Prüfkatalog verlangt einen benannten Informationssicherheitsbeauftragten, der den Assessment-Prozess steuert und die Anforderungen an Prototypenschutz, Datenschutz und Informationssicherheit koordiniert.
Das BaFin-Rundschreiben BAIT (Bankaufsichtliche Anforderungen an die IT) fordert ein Informationsrisikomanagement mit einer klaren Rollenverteilung. Die MaRisk verlangen die Etablierung eines Informationssicherheitsmanagements. Mit DORA (Digital Operational Resilience Act) kommen ab 2025 zusätzliche EU-weite Anforderungen hinzu. Ein ISB ist für regulierte Institute faktisch unverzichtbar.
Krankenhäuser mit mehr als 30.000 vollstationären Fällen pro Jahr gelten als KRITIS und müssen nach § 391 SGB V angemessene organisatorische und technische Vorkehrungen treffen. Der branchenspezifische Sicherheitsstandard B3S des DKG (Deutsche Krankenhausgesellschaft) definiert konkrete Anforderungen an die Informationssicherheit im Krankenhaus. Ein ISB koordiniert deren Umsetzung und Nachweisführung gegenüber dem BSI.
Die DSGVO schreibt in Artikel 32 angemessene technische und organisatorische Maßnahmen (TOMs) zum Schutz personenbezogener Daten vor. Obwohl die DSGVO keinen ISB explizit fordert, ergänzen sich die Rollen von ISB und Datenschutzbeauftragtem ideal: Der ISB stellt die technischen und organisatorischen Schutzmaßnahmen sicher, auf die sich der DSB bei seiner Arbeit stützt. In der Praxis ist ein ISMS nach ISO 27001 die effektivste Methode, die DSGVO-Anforderungen an die IT-Sicherheit nachweisbar zu erfüllen. Für die DSB-Rolle selbst: Externer Datenschutzbeauftragter von AWARE7.
Begriff
Ein Informationssicherheitsbeauftragter (ISB) ist die zentrale Ansprechperson in einem Unternehmen für alle Fragen rund um den Schutz von Informationen. Er verantwortet den Aufbau und Betrieb eines Informationssicherheitsmanagementsystems (ISMS), steuert das Risikomanagement und stellt die Einhaltung regulatorischer Anforderungen sicher. Der ISB berichtet direkt an die Geschäftsführung und fungiert als Bindeglied zwischen IT-Abteilung, Fachabteilungen und Management.
In der Praxis werden verschiedene Bezeichnungen synonym verwendet: IT-Sicherheitsbeauftragter (ITSiBe), Chief Information Security Officer (CISO) oder Informationssicherheitsbeauftragter der Behörde (ISB-B). Die Kernaufgabe bleibt dieselbe: den Schutz von Vertraulichkeit, Integrität und Verfügbarkeit aller Unternehmensinformationen sicherstellen, unabhängig davon, ob diese digital oder analog vorliegen.
Wichtig: Der ISB ist nicht identisch mit dem Datenschutzbeauftragten (DSB). Während der DSB den Schutz personenbezogener Daten nach DSGVO verantwortet, kümmert sich der ISB um die Sicherheit aller Informationswerte. Das BSI weist darauf hin, dass eine Personalunion von ISB und DSB nicht unkritisch ist, da Rollenkonflikte entstehen können. Ebenso sollte der ISB nicht aus der IT-Abteilung stammen, um seine Unabhängigkeit zu wahren.
Der ISB steht für die drei klassischen Schutzziele der Informationssicherheit ein: Vertraulichkeit: nur berechtigte Personen dürfen auf sensible Informationen zugreifen, der ISB definiert Zugriffsrechte und kontrolliert deren Einhaltung; Integrität: Daten dürfen nicht unbemerkt verändert werden, der ISB stellt Revisionssicherheit und Nachvollziehbarkeit aller Änderungen sicher; Verfügbarkeit: Systeme und Daten müssen bei Bedarf erreichbar sein, der ISB minimiert Ausfallzeiten durch Notfallplanung und Business Continuity Management.
Branchen
Jede Branche hat eigene regulatorische Anforderungen an die Informationssicherheit. Unsere externen ISBs bringen branchenspezifische Erfahrung mit und kennen die relevanten Standards und Prüfanforderungen.
BaFin-regulierte Unternehmen unterliegen strengen Anforderungen durch BAIT und DORA. Unser externer ISB kennt die Prüfschwerpunkte der BaFin und bereitet Sie gezielt auf IT-Prüfungen vor. Wir unterstützen Ihr Informationsrisikomanagement und die Prüfung Ihres Auslagerungsmanagements im individuell vereinbarten Umfang.
Krankenhäuser, Kliniken und medizinische Einrichtungen verarbeiten hochsensible Patientendaten. Unser externer ISB kennt den branchenspezifischen Sicherheitsstandard B3S, die Anforderungen des Patientendatenschutzgesetzes (PDSG) und die besonderen Herausforderungen der Medizintechnik-Integration. Für KRITIS-eingestufte Häuser unterstützen wir die Vorbereitung der Nachweise gegenüber dem BSI.
OEMs fordern von ihren Zulieferern zunehmend TISAX-Zertifizierungen als Voraussetzung für die Zusammenarbeit. Unser externer Informationssicherheitsbeauftragter begleitet den TISAX-Assessment-Prozess, baut Ihr ISMS nach VDA ISA auf und bereitet Sie auf das Assessment durch einen akkreditierten Prüfdienstleister vor. Von der Schutzbedarfsfeststellung bis zur Vorbereitung des Assessments.
Software-Unternehmen und SaaS-Anbieter müssen ihren Kunden Informationssicherheit nachweisen, sei es durch ISO 27001, SOC 2 oder eigene Sicherheitsfragebögen. Unser externer ISB unterstützt beim Aufbau eines ISMS, das sowohl die internen Entwicklungsprozesse als auch die Produktsicherheit abdeckt. DevSecOps, sichere Softwareentwicklung und Vendor-Security-Assessments gehören zu unserem Alltag.
Betreiber kritischer Infrastrukturen sind gesetzlich verpflichtet, angemessene Sicherheitsvorkehrungen zu treffen und dies dem BSI nachzuweisen. Unser externer ISB übernimmt die Koordination der Nachweispflichten nach BSI-Gesetz, unterstützt bei der Umsetzung branchenspezifischer Sicherheitsstandards (B3S) und bereitet Sie auf BSI-Prüfungen vor. Besondere Erfahrung im Bereich OT-Security und Netzwerksegmentierung.
Produzierende Unternehmen stehen vor der Herausforderung, IT- und OT-Sicherheit unter einen Hut zu bringen. Unser externer Informationssicherheitsbeauftragter versteht die Besonderheiten von Produktionsnetzwerken, Steuerungssystemen und der zunehmenden Vernetzung im Rahmen von Industrie 4.0. Wir helfen bei der Absicherung der Schnittstelle zwischen Office-IT und Produktions-OT.
Preis
Keine Pakete von der Stange: Umfang, Rhythmus und Konditionen legen wir im Erstgespräch fest, passend zu Unternehmensgröße, Reifegrad und regulatorischen Anforderungen.
Modell
ISB as a Service bedeutet: Sie bekommen einen vollwertigen Informationssicherheitsbeauftragten, ohne selbst einen einzustellen. Das Modell kombiniert die Vorteile einer festen Besetzung mit der Flexibilität eines Dienstleisters.
Projektberater kommen, implementieren und gehen. Ihr externer ISB bleibt, als fester Ansprechpartner für Geschäftsführung, IT und Mitarbeitende. Er kennt Ihr Unternehmen, Ihre Prozesse und Ihre Risiken.
Ihr externer Informationssicherheitsbeauftragter wird offiziell als ISB benannt und kommuniziert in dieser Rolle mit Auditoren, Kunden und Behörden. Er ist Ihr Ansprechpartner gegenüber dem BSI, Zertifizierern und bei Sicherheitsvorfällen.
Keine Überraschungen bei der Abrechnung. Der monatliche Betrag steht im Angebot, ebenso der vereinbarte Leistungsumfang. Zusätzliche Aufwände (z.B. für Sonderprojekte) werden vorher abgestimmt.
Für größere Unternehmen oder solche mit komplexen Sicherheitsanforderungen bieten wir CISO as a Service an. Der Unterschied zum klassischen ISB: ein CISO (Chief Information Security Officer) agiert auf C-Level und verantwortet die gesamte Sicherheitsstrategie.
Ihre Ansprechpartner für den externen ISB
Sprechen Sie direkt mit unseren zertifizierten Informationssicherheitsexperten. Kostenlose Erstberatung, unverbindlich und vertraulich.
Geschäftsführender Gesellschafter der AWARE7 GmbH mit langjähriger Expertise in Informationssicherheit, Penetrationstesting und IT-Risikomanagement. Absolvent des Masterstudiengangs Internet-Sicherheit an der Westfälischen Hochschule (if(is), Prof. Norbert Pohlmann). Bestseller-Autor im Wiley-VCH Verlag und Lehrbeauftragter der ASW-Akademie. Einschätzungen zu Cybersecurity und digitaler Souveränität erschienen u.a. in Welt am Sonntag, WDR, Deutschlandfunk und Handelsblatt.
M.Sc. Internet-Sicherheit (if(is), Westfälische Hochschule). COO und Prokurist mit Expertise in Informationssicherheitsberatung und Security Awareness. Nachwuchsprofessor für Cyber Security an der FOM Hochschule, CISO-Referent bei der isits AG und Promovend am Graduierteninstitut NRW.
Vom Erstgespräch zum Betrieb
In fünf Schritten vom Erstgespräch zum laufenden ISB-Betrieb.
Kostenlose Bestandsaufnahme: Wir klären Ihren Branchenkontext, regulatorische Anforderungen (NIS-2, ISO 27001, KRITIS) und den aktuellen Stand Ihrer Informationssicherheit. Sie erhalten eine erste Einschätzung und ein individuelles Angebot.
Systematische Analyse Ihrer IT-Landschaft, vorhandener Dokumentation und organisatorischer Strukturen. Identifikation von Quick Wins und kritischen Lücken. Ihr fester Ansprechpartner begleitet das vereinbarte Onboarding.
Entwicklung oder Optimierung Ihres Informationssicherheits-Managementsystems: Risikoanalyse, Sicherheitsleitlinie, Richtlinien und Verfahrensanweisungen, angepasst an Ihre Unternehmensgröße und Branche.
Ihr ISB im laufenden Betrieb: Sicherheitsvorfälle bewerten, Maßnahmen koordinieren, Mitarbeitende sensibilisieren, regelmäßige Statusberichte an die Geschäftsführung erstellen.
Jährliches Managementreview, Anpassung an neue Bedrohungslagen und regulatorische Änderungen. Audit-Vorbereitung und -Begleitung bei internen und externen Prüfungen.
Ein Jahr im Betrieb
Informationssicherheit ist kein Projekt mit Anfang und Ende, sondern ein kontinuierlicher Prozess. So sieht ein typisches ISB-Jahr in der Zusammenarbeit mit AWARE7 aus, von der Bestandsaufnahme bis zur kontinuierlichen Verbesserung.
Im ersten Quartal steht die Grundlagenarbeit im Fokus. Ihr externer Informationssicherheitsbeauftragter verschafft sich einen vollständigen Überblick über Ihre IT-Landschaft, vorhandene Sicherheitsmaßnahmen und organisatorische Strukturen.
Im zweiten Quartal beginnt die operative Umsetzung. Parallel zum strukturellen ISMS-Aufbau werden die kritischsten Sicherheitslücken geschlossen, damit Sie schnell messbare Ergebnisse sehen.
Das ISMS läuft, die Grundstrukturen stehen. Jetzt geht es um Vertiefung, Übung und die Verankerung der Informationssicherheit im täglichen Betrieb. Ihr externer ISB stellt sicher, dass das System nicht nur auf dem Papier existiert.
Das vierte Quartal steht im Zeichen der Überprüfung und Weiterentwicklung. Das interne Audit und das Managementreview bilden den Abschluss des PDCA-Zyklus und die Grundlage für das nächste Jahr.
Unabhängig vom Quartal übernimmt Ihr externer Informationssicherheitsbeauftragter folgende Daueraufgaben:
Ihr ISB-Mandat gemeinsam planen
Beschreiben Sie kurz Ihren Bedarf, etwa einen Neuaufbau, die Übergabe einer bestehenden ISB-Rolle oder laufende Betreuung. Hilfreich sind Unternehmensgröße, Branche und gewünschter Start. Umfang und Konditionen klären wir im Erstgespräch.
Auftragsverarbeitung vorab geprüft: AWARE7 ist auf die behördlich genehmigte Verhaltensregel Trusted Data Processor (Art. 40 DSGVO) verpflichtet - als eines von vier Unternehmen in Deutschland (Stand: Juni 2026). Das vereinfacht Ihre Dienstleisterprüfung nach Art. 28 DSGVO. Details & Nachweise
Lieber direkt einen Termin? Erstberatung buchen →
Aus der Beratungspraxis
In unserer Beratungspraxis begegnen wir immer wieder den gleichen Fehlern, die Unternehmen bei der Organisation ihrer Informationssicherheit machen. Diese Muster führen regelmäßig zu Audit-Findings, Sicherheitsvorfällen oder gescheiterten Zertifizierungen.
Der häufigste Fehler: Die ISB-Rolle wird dem IT-Leiter oder einem IT-Administrator zusätzlich zu seinen bestehenden Aufgaben übertragen. Das Problem ist doppelt: Erstens fehlt die notwendige Unabhängigkeit, da der IT-Leiter seine eigene Arbeit kontrollieren müsste. Ein klassischer Interessenkonflikt. Zweitens bleibt neben dem Tagesgeschäft kaum Zeit für die systematische Arbeit an der Informationssicherheit. Das BSI empfiehlt ausdrücklich, die Rollen IT-Betrieb und ISB zu trennen. Ein externer Informationssicherheitsbeauftragter löst beide Probleme: Er ist unabhängig und bringt dedizierte Kapazität für die ISB-Aufgaben mit.
Viele Unternehmen verstehen den ISMS-Aufbau als reines Dokumentationsprojekt: Richtlinien werden geschrieben, unterschrieben und abgelegt, aber nie gelebt. Die Folge: Beim Zertifizierungsaudit stellt der Auditor fest, dass zwischen Dokumentation und gelebter Praxis eine erhebliche Lücke klafft. ISO 27001 fordert nicht nur Policies, sondern deren nachweisbare Umsetzung und Wirksamkeit. Ein erfahrener externer ISB sorgt dafür, dass Richtlinien praxistauglich formuliert, kommuniziert und in den Arbeitsalltag integriert werden. Er prüft regelmäßig, ob Soll und Ist übereinstimmen.
Die Risikoanalyse wird einmal durchgeführt, dann nicht mehr angefasst, bis zum nächsten Audit. In der Zwischenzeit hat sich die IT-Landschaft verändert, neue Systeme wurden eingeführt, Mitarbeiter haben gewechselt und die Bedrohungslage hat sich weiterentwickelt. ISO 27001 fordert eine "regelmäßige Informationssicherheitsrisikobeurteilung" (Kapitel 8.2). Das bedeutet: in regelmäßigen, selbst festzulegenden Abständen und bei wesentlichen Änderungen anlassbezogen. Ihr externer Informationssicherheitsbeauftragter pflegt das Risikoregister kontinuierlich, passt Bewertungen an und stellt sicher, dass neue Risiken zeitnah identifiziert und behandelt werden.
Einmal im Jahr eine PowerPoint-Präsentation zum Thema "Passwortsicherheit". Das reicht nach ISO 27001 und NIS-2 nicht aus. Wirksame Security Awareness erfordert regelmäßige, zielgruppenspezifische Maßnahmen: Phishing-Simulationen, praxisnahe Schulungen für verschiedene Abteilungen, spezielle Trainings für Führungskräfte (gerade unter NIS-2 zur persönlichen Haftung) und kontinuierliche Sensibilisierung im Arbeitsalltag. Unser externer ISB entwickelt ein nachweisbares Awareness-Programm mit messbaren KPIs: von der Phishing-Klickrate bis zur Schulungsquote.
Viele Unternehmen haben keinen Incident-Response-Plan oder er existiert nur auf dem Papier, wurde aber nie getestet. Im Ernstfall (Ransomware-Angriff, Datenpanne, gezielter Angriff) fehlt dann alles: Wer entscheidet was? Wer kommuniziert mit Kunden, Behörden, Presse? NIS-2 verlangt die Erstmeldung eines erheblichen Sicherheitsvorfalls innerhalb von 24 Stunden beim BSI, ohne vorbereitete Prozesse ist diese Frist kaum einzuhalten. Die jährliche Incident-Response-Übung im Q3 unseres ISB-Betriebs stellt sicher, dass Eskalationswege und Kommunikationsketten im Ernstfall tatsächlich funktionieren.
Kennzahlen
Informationssicherheit muss messbar sein: sowohl für die Geschäftsführung als auch für die kontinuierliche Verbesserung des ISMS. Diese KPIs liefern wir unseren Mandanten regelmäßig als Teil des ISB-Reportings.
Bewertung des Reifegrads Ihres Informationssicherheitsmanagementsystems auf einer Skala von 0 (nicht vorhanden) bis 5 (optimiert). Typisches Ziel im ersten Jahr: von Stufe 1 auf Stufe 3. Der Reifegrad wird anhand der Umsetzung der ISO-27001-Controls und der Prozessreife gemessen.
Anzahl identifizierter Risiken, Anteil der behandelten vs. offenen Risiken und durchschnittliche Umsetzungsdauer der Risikobehandlungsmaßnahmen. Ein sinkender Trend bei offenen Hochrisiken zeigt die Wirksamkeit des ISB. Ziel: keine Risiken mit kritischer Bewertung ohne laufende Behandlung.
Anteil der Mitarbeitenden, die im laufenden Jahr eine Informationssicherheitsschulung absolviert haben. Ergänzt durch die Phishing-Klickrate aus simulierten Angriffen: eine sinkende Klickrate belegt den Lerneffekt. Typisches Ziel: 95% Schulungsquote und unter 5% Phishing-Klickrate nach zwölf Monaten.
Anzahl und Schwere der Sicherheitsvorfälle im Berichtszeitraum sowie die mittlere Erkennungs- und Reaktionszeit (MTTD/MTTR). Ein gut aufgestellter ISB-Betrieb zeigt sich nicht durch null Vorfälle (das wäre unrealistisch), sondern durch schnelle Erkennung, strukturierte Reaktion und wirksame Nachbereitung.
Ergebnis interner und externer Audits: Anzahl der Major und Minor Non-Conformities, Beobachtungen und Verbesserungspotenziale. Bei einer Zertifizierungsvorbereitung ist der Zielwert klar: null Major Non-Conformities beim Stage-2-Audit. Ergänzt durch den prozentualen Compliance-Status gegenüber der jeweiligen Norm.
Anteil der Systeme mit aktuellem Patch-Level, Anzahl bekannter und offener Schwachstellen sowie die durchschnittliche Zeit zwischen Bekanntwerden und Behebung einer Schwachstelle. Ein ISB überwacht nicht selbst jeden Patch, aber er stellt sicher, dass ein funktionierender Schwachstellenmanagementprozess existiert und dessen Kennzahlen im Reporting auftauchen.
Nachweise
Warum AWARE7
Rund 20% unseres Umsatzes stammen aus Forschungsprojekten für BSI und BMBF. Unsere Studien analysieren Millionen von Websites und Zehntausende Phishing-E-Mails, publiziert auf ACM- und Springer-Konferenzen. Drei unserer Führungskräfte sind gleichzeitig Professoren an deutschen Hochschulen.
Ihre Daten liegen vom Erstkontakt bis zum Abschlussbericht auf unseren eigenen Servern in Deutschland - ohne US-Cloud-Anbieter, ohne Drittlandtransfer. Alle Mitarbeiter sind festangestellt, sozialversicherungspflichtig und einheitlich rechtlich verpflichtet.
Ihr fester Ansprechpartner begleitet die laufende ISB-Betreuung. Abstimmungswege, Reaktionszeiten und Vertretung vereinbaren wir passend zu Ihrem Bedarf. Kontinuität schafft Vertrauen.
Peer-reviewte Publikationen
Different Seas, Different Phishes - Large-Scale Analysis of Phishing Simulations
ACM AsiaCCS 2025
Oskar Braun, Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
A Platform for Physiological and Behavioral Security
NSPW 2025
Jan Hörnemann
Privacy from 5 PM to 6 AM: Tracking and Transparency in the HbbTV Ecosystem
IEEE/IFIP DSN 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Understanding Regional Filter Lists: Efficacy and Impact
PoPETS 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Bereit für professionelle Informationssicherheit?
Wir analysieren Ihren Bedarf und zeigen Ihnen, wie ein externer ISB Ihr Unternehmen absichert, ab 1.500 EUR pro Monat zzgl. USt. ISB-Angebot anfordern oder unverbindlich sprechen: Kostenlose Erstberatung buchen.
Ergänzend
Vom Gap-Assessment bis zur Zertifizierung: Wir begleiten den gesamten Weg zu Ihrem ISO-27001-Zertifikat.
ISO-Beratung starten 02Prüfung Ihres ISMS durch zertifizierte Lead Auditoren. Optimale Vorbereitung auf das externe Zertifizierungsaudit.
Audit anfragen 03Technische Sicherheitsprüfung Ihrer Systeme durch zertifizierte Pentester. Die perfekte Ergänzung zum ISB-Service.
Pentest anfragenAus dem Blog
Welche Sicherheitsnachweise Cyberversicherer 2026 im Underwriting verlangen, was KI daran ändert und wie der Katalog zu den Controls der ISO 27001 passt.
Jan Hörnemann 
Art. 22 DSGVO verbietet rein automatisierte Entscheidungen mit erheblicher Wirkung grundsätzlich. Warum die KI-Verordnung diese Pflicht nicht ablöst.
Jan Hörnemann 
BSI IT-Grundschutz für KMU: pragmatischer Einstieg mit dem KMU-Profil, wichtigste Bausteine, kostenlose BSI-Werkzeuge und Unterschied zu ISO 27001.
Oskar Braun 
Arturs Nikitins
Erstberatung & Bedarfsanalyse
Persönliche Beratung gewünscht?
Unverbindlich · Antwort werktags innerhalb 24h
