Dienstagmorgen in einem Maschinenbaubetrieb mit 80 Beschäftigten: Auf dem Schreibtisch des Geschäftsführers liegt ein Fragebogen seines größten Kunden. Er soll belegen, wie die Firma Daten und Computer schützt, und niemand weiß, wo die Nachweise liegen.
Hier setzt dieses Geschäftsmodell an: Du verkaufst eine SaaS, also Software, die man im Browser nutzt und monatlich mietet, und sie ordnet genau solche Nachweise. Gebraucht wird sie für NIS2, ein EU-Gesetz zum Schutz vor Hackerangriffen, oder ISO 27001, eine weltweite Sicherheitsnorm, die Prüfer bestätigen; Software dafür kostet bei Proliance ab 500 Euro im Monat. S
Überraschend ist: Rund 29.500 Einrichtungen in Deutschland fallen laut BSI, dem Bundesamt für Sicherheit in der Informationstechnik, unter NIS2. A Gleichzeitig verschenken zwei Gründer aus Köln ihre NIS2-Plattform. Wie du trotzdem Geld verdienst, liest du hier.
Kurz gesagt: Bei dem Geschäftsmodell IT-Sicherheits- und Compliance-Software für Unternehmen entwickelst du eine Software, mit der kleine und mittlere Unternehmen Pflichten aus NIS2, ISO 27001, TISAX (dem Sicherheitsnachweis der Autoindustrie) oder der Datenschutz-Grundverordnung (DSGVO) abarbeiten und belegen. Verdient wird an Abos; dein Vorteil gegenüber großen Plattformen ist der Zuschnitt auf eine Branche.
Was ist eine IT-Sicherheits- und Compliance-Software für Unternehmen und wie funktioniert das Geschäftsmodell?
Eine IT-Sicherheits- und Compliance-Software für Unternehmen ist ein Programm im Browser, das Sicherheitsregeln, Risiken, Aufgaben und Belege sammelt. Compliance heißt Regeltreue: Die Firma zeigt Kunden, Prüfern oder Behörden, dass sie Vorgaben einhält.
Der Kern ist eine Liste von Anforderungen, etwa die zehn Mindestmaßnahmen aus § 30 Abs. 2 BSIG, dem deutschen Gesetz zu NIS2. A Dein Beitrag ist die Übersetzung dieser Normensprache in Aufgaben mit Vorlagen und Fristen, die ein Betrieb ohne eigene Sicherheitsabteilung erledigen kann.
Welchen Umsatz kannst du mit einer IT-Sicherheits- und Compliance-Software realistisch erreichen?
Pro Kunde verdienst du die Abo-Gebühr abzüglich Server und Versicherung, bei Software für Firmen meist einige Hundert Euro im Monat. E Mehr ist oft drin, wenn Schulungen oder Begleitung bis zur Prüfung dazukommen.
Als realistisches Ziel nach dem ersten Jahr rechne ich mit 1.000 bis 5.000 Euro Umsatz im Monat E, also mit etwa zehn zahlenden Firmen, denn Firmen prüfen Sicherheitsthemen lange. Ein Anbieter beziffert Plattformen für ein ISMS, also ein geordnetes System für Informationssicherheit, auf 500 bis 3.000 Euro im Monat (Orbiq, gelesen am 22.10.2026) S:
Wie viel Spielraum nach oben bleibt, zeigt SECJUR aus Hamburg mit rund 8.000 Euro pro Jahr (SECJUR, 10.09.2026). S Geteilt durch zwölf sind das etwa 667 Euro im Monat E, mehr als das Fünffache einer reinen Datenschutz-Software.
Das heißt für dich: Paragrafen sind frei verfügbar, verkauft wird der kürzeste Weg zum Nachweis.
Welche Fähigkeiten solltest du initial lernen, um erfolgreich eine IT-Sicherheits- und Compliance-Software anbieten zu können?
Am wichtigsten ist echtes Fachwissen in Informationssicherheit, denn Kunden verlassen sich vor Prüfern auf deine Vorlagen. Programmieren übernimmt die KI zu großen Teilen.
Meine Einschätzung E: 100 % hieße, ohne diese Fähigkeit geht es nicht.
Welche Eckdaten hat eine IT-Sicherheits- und Compliance-Software für Unternehmen?
| Klasse und Modelltyp | K2 Digitales Produkt · Software, Tools und KI-Agenten |
|---|---|
| Themenfeld | KI, Technik und Entwickler-Tools |
| Startkapital | 500 bis 5.000 Euro E |
| Zeit bis zum ersten Euro | 3 bis 6 Monate mit Branchenvorlage, 6 bis 12 mit voller Plattform E |
| Wochenstunden | 11 bis 20 in der Aufbauphase E |
| Zulassungshürde | frei; Gewerbe und Datenschutzpflichten, siehe Abschnitt Recht |
| Reichweite nötig | 2 von 5: Vertrieb über Kontakte und Berater |
| Passiv-Grad | 3 von 5: Normen ändern sich, Pflege bleibt |
| Umsatzklasse | 1.000 bis 5.000 Euro im Monat nach einem Jahr E |
| Wettbewerb | hoch |
| KI-Hebel | 4 von 5 |
| Sinn-Faktor | 4 von 5 |
| Passt zu den Gründertypen | Visionärer Architekt, Detailverliebter Fachexperte |
| Wirtschaftszweig (WZ 2025) | 58.29 Verlegen von sonstiger Software (eigene Software, auch im Abo). E WZ 2025 ist die amtliche Klassifikation der Wirtschaftszweige (Destatis), nach der dein Gewerbe eingeordnet wird. |
Datenlücke: Wie viele kleine und mittlere Unternehmen schon Compliance-Software nutzen, habe ich nicht gefunden. Die meisten Anbieter nennen Preise nur auf Anfrage (Kertos, 05.10.2026). S
Was kostet der Start und wie viel Zeit brauchst du?
Der Start kostet meist 500 bis 5.000 Euro für fachliche Prüfung, Server und Versicherung. E Am besten rechnet man mit 11 bis 20 Wochenstunden und drei bis sechs Monaten bis zur ersten zahlenden Firma.
| Baustein | Was es kostet |
|---|---|
| Offene ISMS-Software zum Vergleichen (verinice, NISD2) | 0 Euro Lizenz (secjur.com, 10.09.2026; nisd2.eu, gelesen am 22.10.2026) S |
| Fachliche Prüfung deiner Vorlagen durch Berater | 1.000 bis 2.000 Euro je Tag (secjur.com, 10.09.2026) S |
| NIS2-Schulung für Geschäftsleitungen als Grundlage | ab 600 Euro (proliance.ai, gelesen am 22.10.2026) S |
Wie startest du eine IT-Sicherheits- und Compliance-Software Schritt für Schritt?
Du startest mit einer Branche und einer Pflicht, etwa NIS2 für Maschinenbau-Zulieferer oder TISAX für kleine Autozulieferer. Der erste Schritt: mit fünf Geschäftsführern sprechen und ihre Fragebögen ansehen.
- Nische wählen. Ein Regelwerk, das du selbst schon umgesetzt hast.
- Nachfrage prüfen. Welche Nachweise fordern Kunden oder Behörden, und was kosten heute Beratertage?
- Prototyp bauen. Aufgabenliste mit Vorlagen, Fristen und Bericht für Prüfer.
- Rechtliches vorbereiten. Die vier Punkte aus dem Abschnitt Recht: Gewerbe, Auftragsverarbeitung, Haftungsgrenzen, Gesetzesstand.
- Pilotkunden gewinnen. Zwei bis drei Firmen zum Vorzugspreis bis zur ersten Prüfung begleiten.
- Berater einbinden. IT-Dienstleister nutzen deine Software bei ihren Kunden.
- Paket schnüren. Abo, Einrichtung, Schulung und auf Wunsch Beratung.
Wie findest du die ersten Kunden für deine IT-Sicherheits- und Compliance-Software?
Am schnellsten über Firmen, die gerade einen Nachweis liefern müssen, etwa für einen Großkunden oder das BSI. Sie kaufen keine Software, sondern das Ende einer drohenden Strafe (Stichwort: Pain Fokus, also das drängendste Problem).
Bis Ende Juli 2026 hatten sich laut BSI mehr als 19.000 Einrichtungen registriert (ZfK, 04.08.2026) A, rechnerisch fehlen rund 10.000. E Gute Kanäle: Verbände, IT-Systemhäuser, LinkedIn.
Welche Tools und KI-Werkzeuge helfen bei einer IT-Sicherheits- und Compliance-Software?
Unverzichtbar ist ein sauberer Katalog der Anforderungen, verknüpft mit Aufgaben, Belegen und Fristen. Ziel ist es, jede Maßnahme mit einem Klick einer Fundstelle zuzuordnen.
Secfix aus München verspricht, die Zeit bis zur Zertifizierung um bis zu 90 Prozent zu verkürzen (StartingUp, 25.02.2026). S
Welche Risiken hat eine IT-Sicherheits- und Compliance-Software für Unternehmen?
Das größte Risiko: Gut finanzierte Plattformen und Gratis-Angebote besetzen den Markt, bevor du eine Nische hast. Dagegen hilft Branchentiefe.
Kapitalstarke Konkurrenz
Kertos aus München sammelte im September 2025 in einer Series A, also einer großen Investorenrunde, 14 Millionen Euro ein (Startbase, 17.09.2025). SGratis-Angebote
NISD2 aus Köln bietet seine NIS2-Plattform für 0 Euro an (nisd2.eu, gelesen am 22.10.2026). SHaftung für Fehler
Geschäftsleitungen haften für Pflichtverletzungen (§ 38 Abs. 2 BSIG) A und suchen im Schadensfall die falsche Vorlage.Unsichere Marktgröße
Das BSI prüft, ob 29.500 Betroffene zu hoch geschätzt waren (ZfK, 04.08.2026). S| Ergebnisstreuung | 5 von 5: wie weit Erfolg und Misserfolg auseinanderliegen; hier von null bis zu Millionen im Monat bei Vanta M |
|---|---|
| Regulatorik | 4 von 5 |
| Inhaberabhängigkeit | 4 von 5, Fachwissen und Vertrieb hängen an dir |
| Wiederkehrender Umsatz | über 90 Prozent über Monats- und Jahresabos E |
| KI-Exposition | plus 1, KI schreibt Richtlinien, senkt aber die Einstiegshürde für Konkurrenz |
| Kanalabhängigkeit | 2 von 4 |
Fortbestand: Von Gründungen mit Startkapital bis zu 5.000 Euro sind nach fünf Jahren 54 Prozent aktiv (KfW-Gründungsmonitor 2025). S 2025 gab es 69 Unternehmensinsolvenzen je 10.000 Unternehmen (Destatis, 13.03.2026). A
Praxisbeispiel: Wie Oneleet in drei Jahren ohne Werbebudget über 750 Kunden gewann
Im Gespräch mit TechCrunch erzählt Bryan Onel, wie aus zehn Jahren als Penetrationstester, also als bezahlter Hacker, der Firmen auf Sicherheitslücken prüft, die Compliance-Plattform Oneleet wurde. Das 2022 gegründete Startup aus dem Programm von Y Combinator hatte im Oktober 2025 nach eigener Angabe über 750 Kunden und einen wiederkehrenden Jahresumsatz von über 7 Millionen Dollar S; TechCrunch nennt nach einer Korrektur 9 Millionen Dollar. S
- So kam er auf die Geschäftsidee
- Onels Vater war Schlosser, er selbst sieht sich als die digitale Variante davon. Hacken war sein Hobby, er studierte Künstliche Intelligenz und prüfte danach nach eigener Angabe über 150 Firmen aller Branchen auf Lücken. S Immer wieder kam er in Systeme von Firmen, die gerade ihre Sicherheitsprüfung bestanden hatten. Sicherheit war aus seiner Sicht entweder teuer und wirksam oder billig und wirkungslos. Seine Kunden fragten ihn wiederholt nach einer Lösung für ihre Compliance, also baute er eine.
- So fing es an
- 2022 gründete er Oneleet mit seiner Frau Ora Onel und dem Studienfreund Erik Vogelzang. Im Sommer 2022 kam die Firma in das Förderprogramm von Y Combinator.
- So gewinnt er Kunden
- Ohne Ausgaben für Marketing, wie das Startups Magazine berichtet. S Der wichtigste Kanal ist das Netzwerk von Y Combinator: Zwei Drittel der neuen Firmen im Portfolio des Programms sind nach Firmenangabe Kunden von Oneleet. S Laut dem Analysedienst Sacra steigen Startups oft schon mit 10 bis 20 Mitarbeitern ein, damit sie Sicherheitsprüfungen großer Firmenkunden schneller bestehen; viele kommen auf Empfehlung anderer Gründer.
- Sein Angebot
- Oneleet bündelt Penetrationstests, Code-Scans, Cloud-Sicherheit, Überwachung der Angriffsfläche und Schulungen in einer Plattform und arbeitet für die formale Zertifizierung mit unabhängigen Prüfern zusammen. Abgedeckt werden unter anderem SOC 2, ISO 27001, HIPAA und die DSGVO. KI entwirft Bedrohungsanalysen und Richtlinien, Menschen prüfen das Ergebnis. Gegen große Anbieter wie Vanta und Secureframe grenzt Onel sich ab, indem er reine Nachweissammlung als Compliance-Theater bezeichnet: Wirksame Sicherheit führe automatisch zur Compliance, nicht umgekehrt.
- So schnell ist er gewachsen
- Innerhalb von drei Jahren nach der Gründung kam Oneleet auf über 7 Millionen Dollar wiederkehrenden Jahresumsatz und war nach Firmenangabe schon vor der großen Finanzierungsrunde profitabel. S Im Oktober 2025 sammelte die Firma 33 Millionen Dollar in einer Series-A-Runde unter Führung von Dawn Capital ein, insgesamt sind es 35 Millionen Dollar. S
- Was du daraus mitnimmst
- Für Deutschland heißt das: Mit NIS2 müssen deutlich mehr Unternehmen ihre Sicherheit nachweisen. Eine Software, die echte Sicherheitsprüfungen mit den Nachweisen verbindet und auf eine Gruppe zugeschnitten ist, etwa Zulieferer mit TISAX-Pflicht, kann wie Oneleet über ein enges Netzwerk und Empfehlungen wachsen statt über Werbung. E Die Zahlen sind Selbstauskünfte und Medienangaben und nicht unabhängig geprüft.
Zur Quellenlage: Die Zahlen sind uneinheitlich: Startups Magazine nennt über 7 Millionen Dollar wiederkehrenden Jahresumsatz und über 750 Kunden, TechCrunch und Sacra rund 9 Millionen Dollar und über 1.000 Teams. Ein ausführliches Gründerinterview gibt es nicht, nur Berichte zu Finanzierungsrunden.
Quellen: TechCrunch (über Yahoo Finance): Oneleet raises $33M to shake up the world of security compliance, von Dominic-Madori Davis, 02.10.2025, gelesen am 30.10.2026. finance.yahoo.com; Startups Magazine: Oneleet raises $33M Series A led by Dawn Capital, von Tilly Colby, 02.10.2025, gelesen am 30.10.2026. startupsmagazine.co.uk; SiliconANGLE: Oneleet raises $33 million to deliver compliance through security, von Kyt Dotson, 02.10.2025, gelesen am 30.10.2026. siliconangle.com; Sacra: Kurzanalyse zu Oneleet, Stand Oktober 2025, gelesen am 30.10.2026. sacra.com
Welche Beispiele für eine IT-Sicherheits- und Compliance-Software gibt es in Deutschland, Österreich und der Schweiz?
Das stärkste Beispiel aus Deutschland ist Secfix aus München von Fabiola Munguia, Grigory Emelianov und Branko Džakula: Im Februar 2026 sammelte das Startup 12 Millionen US-Dollar Venture Capital, also Geld von Investoren, ein (StartingUp, 25.02.2026). S
Für kleine Gründer spannender: Simon Orzel und Cory Hisey aus Köln bauen NISD2 ohne Investorengeld und wollen an Schulungen und Beratung verdienen (nisd2.eu, gelesen am 22.10.2026). S
- SECJUR aus Hamburg, mitgegründet vom Juristen Niklas Hanitsch, erhielt 2022 eine Startfinanzierung über 5,5 Millionen Euro (Startbase, 01.12.2022). S
- Kertos aus München, 2021 gegründet, Chef ist Mitgründer Dr. Kilian Schmidt (Startbase, 17.09.2025). S
- Vanta aus San Francisco, 2018 von Christina Cacioppo gegründet, sammelt Nachweise für ISO 27001 automatisch. Starter Story schätzt den Umsatz auf 25 Millionen US-Dollar im Monat (Starter Story, 22.02.2025). M
Was musst du rechtlich bei einer IT-Sicherheits- und Compliance-Software beachten?
Eine Zulassung brauchst du nicht, aber vier Punkte werden einmal sauber aufgesetzt. Das Wichtigste: Deine Software muss so sicher sein, wie du es empfiehlst.
- Gewerbe anmelden, bevor das erste Abo verkauft wird.
- Vertrag zur Auftragsverarbeitung mit jedem Kunden.
- Haftung begrenzen: Die Verantwortung bleibt bei der Geschäftsleitung des Kunden.
- Gesetzesstand pflegen für Deutschland, Österreich und die Schweiz.
Die Details mit Paragrafen und Fristen
NIS2 in Deutschland: Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 (BSI, 05.12.2025). A Betroffen sind Firmen der genannten Sektoren ab 50 Beschäftigten oder mit Jahresumsatz und Bilanzsumme von je über 10 Millionen Euro (§ 28 Abs. 2 BSIG). A
Pflichten deiner Kunden: Sie müssen sich registrieren (§ 33 BSIG), Mindestmaßnahmen umsetzen (§ 30 BSIG), und die Geschäftsleitung muss die Umsetzung überwachen und sich regelmäßig schulen lassen (§ 38 BSIG). A
Bußgelder: Eine versäumte Registrierung kann bis zu 500.000 Euro kosten, Verstöße wichtiger Einrichtungen bis zu 7 Millionen Euro, besonders wichtiger bis zu 10 Millionen Euro (§ 65 Abs. 5 BSIG). A
Dein eigener Betrieb: Der Verkauf von Software im Abo ist ein Gewerbe (§ 14 GewO), und mit jedem Kunden brauchst du einen Vertrag nach Art. 28 DSGVO. A
Österreich und Schweiz: In Österreich gilt seit 1. Oktober 2026 das NISG 2026 für schätzungsweise rund 4.000 Unternehmen (Forvis Mazars, gelesen am 22.10.2026) M; in der Schweiz müssen Betreiber kritischer Infrastrukturen Cyberangriffe seit 1. April 2025 binnen 24 Stunden melden (IT Reseller, 10.03.2025). A
Keine Rechtsberatung: Lass Verträge und Pflichten einmal fachlich prüfen.
Für wen passt eine IT-Sicherheits- und Compliance-Software für Unternehmen und für wen nicht?
Es passt zu Menschen, die Informationssicherheit aus der Praxis kennen und gern Systeme bauen, etwa zum Visionären Architekten oder zum Detailverliebten Fachexperten, auch als zweites Standbein für Berater.
Lass es, wenn
- du ISO 27001 und das BSIG nur vom Hörensagen kennst,
- du Geschäftsführern Risiken nicht ruhig erklären magst,
- du schnelles Geld brauchst, denn Firmen prüfen Sicherheitssoftware oft monatelang.
Welche Fragen stellen Menschen am häufigsten zur IT-Sicherheits- und Compliance-Software?
Ist mein Unternehmen von NIS2 betroffen?
Wenn es in einem Sektor des Gesetzes tätig ist und mindestens 50 Beschäftigte oder über 10 Millionen Euro Jahresumsatz und Bilanzsumme hat (§ 28 BSIG). A Prüfen muss das jede Firma selbst.
Schreibt NIS2 eine ISO-27001-Zertifizierung vor?
Nein. Das Gesetz verlangt Maßnahmen nach § 30 BSIG und deren Dokumentation, kein bestimmtes Zertifikat. A Ein Zertifikat kann aber als Beleg gegenüber Kunden helfen.
Was kostet eine Compliance-Software im Monat?
Datenschutz-Software gibt es ab 118 Euro, ISMS-Software ab 500 Euro im Monat (Proliance, gelesen am 22.10.2026) S; offene Lösungen wie NISD2 kosten 0 Euro. S
Welche Geschäftsideen ähneln der IT-Sicherheits- und Compliance-Software für Unternehmen?
Simon Hubert
Gründer von x8, Agenturgründer seit 2011
Simon Hubert hat 2011 seine erste Digitalagentur gegründet und betreut seitdem Websites, Sichtbarkeit und Abläufe für kleine und mittlere Betriebe in Deutschland, Österreich und der Schweiz. Er hält einen Master in Business Informatics der Universität Mannheim und ist seit über 20 Jahren in Digitalisierung und IT unterwegs, mehrere Jahre davon in Großkonzernen. Mit x8 prüft er Geschäftsideen so, wie er es für sich selbst tun würde: mit belastbaren Zahlen, nachvollziehbaren Quellen und einer Rechnung, die du Schritt für Schritt selbst nachprüfen kannst.
Woher stammen die Zahlen auf dieser Seite?
Jede Zahl trägt ein Kennzeichen. Fährst du mit der Maus darüber, steht die Herkunft im Klartext. Was ich selbst gerechnet oder eingeschätzt habe, ist immer mit E markiert und im Text begründet.
Quellen und Prüfstand: alle Angaben geprüft am 22. Oktober 2026
- BSI: Cybersicherheitsrecht: NIS-2-Umsetzungsgesetz ab morgen in Kraft, Pressemitteilung vom 05.12.2025, gelesen am 22.10.2026. bsi.bund.de
- BSI: NIS-2-Pflichten, gelesen am 22.10.2026. bsi.bund.de
- ZfK: NIS2-Nachfrist abgelaufen, 04.08.2026, gelesen am 22.10.2026. zfk.de
- Proliance: Lösungen und Preise, gelesen am 22.10.2026. proliance.ai
- SECJUR: NIS2 Kosten, 10.09.2026, gelesen am 22.10.2026. secjur.com
- SECJUR: ISMS-Tool im Vergleich, 10.09.2026, gelesen am 22.10.2026. secjur.com
- Orbiq: ISMS-Tool-Vergleich 2026, gelesen am 22.10.2026. orbiqhq.com
- Kertos: Which NIS2 software is best for companies in Germany?, Stand 05.10.2026, gelesen am 22.10.2026. kertos.io
- NISD2: Wer wir sind, gelesen am 22.10.2026. nisd2.eu
- NISD2: Preise, gelesen am 22.10.2026. nisd2.eu
- StartingUp: 12 Mio. USD für Secfix, 25.02.2026, gelesen am 22.10.2026. starting-up.de
- Startbase: Kertos sichert sich 14 Millionen Euro in Series-A-Runde, 17.09.2025, gelesen am 22.10.2026. startbase.de
- Startbase: Secjur erhält 5,5 Millionen Euro in Seed-Finanzierungsrunde, 01.12.2022, gelesen am 22.10.2026. startbase.com
- Starter Story: Vanta Breakdown, 22.02.2025, gelesen am 22.10.2026 (von Simon Hubert eingeloggt gelesen). starterstory.com
- Gesetzestexte: §§ 28, 30, 33, 38 und 65 BSIG, gelesen am 22.10.2026; § 14 GewO; Art. 28 DSGVO. gesetze-im-internet.de
- Forvis Mazars Österreich: Neue Registrierungsphase für NIS2, 01. Oktober 2026, gelesen am 22.10.2026. forvismazars.com
- IT Reseller: Ab 1. April 2025 gilt Meldepflicht für Cyberangriffe, 10.03.2025, gelesen am 22.10.2026. itreseller.ch
- Destatis: Klassifikation der Wirtschaftszweige, Ausgabe 2025. destatis.de
- TechCrunch (über Yahoo Finance): Oneleet raises $33M to shake up the world of security compliance, von Dominic-Madori Davis, 02.10.2025, gelesen am 30.10.2026. finance.yahoo.com
- Startups Magazine: Oneleet raises $33M Series A led by Dawn Capital, von Tilly Colby, 02.10.2025, gelesen am 30.10.2026. startupsmagazine.co.uk
- SiliconANGLE: Oneleet raises $33 million to deliver compliance through security, von Kyt Dotson, 02.10.2025, gelesen am 30.10.2026. siliconangle.com
- Sacra: Kurzanalyse zu Oneleet, Stand Oktober 2025, gelesen am 30.10.2026. sacra.com
Änderungsprotokoll: 22. Oktober 2026 Erstfassung.