Montagmorgen, halb acht, in einem Maschinenbaubetrieb mit 180 Beschäftigten: Der Geschäftsführer soll sein Unternehmen beim BSI registrieren, Risiken managen und selbst an Schulungen teilnehmen. Niemand im Haus weiß, wo man anfängt.
Dieses Geschäftsmodell übernimmt genau diese Rolle: Du betreust Unternehmen laufend als externer Informationssicherheitsbeauftragter oder als Sicherheitschef auf Zeit und bekommst dafür eine feste Monatspauschale. Für die Beauftragtenrolle nennt ein Compliance-Anbieter in Deutschland etwa 275 bis 2.500 Euro im Monat. M
Die Spannung: Ein interner Vollzeit-Sicherheitsbeauftragter kostet laut einem Anbieter oft über 80.000 Euro im Jahr S, die Pflichten aus dem neuen Gesetz treffen aber vor allem Firmen ab 50 Beschäftigten. A Wie aus dieser Lücke ein Abo-Geschäft wird und wo die Haftungsgrenzen liegen, liest du hier.
Kurz gesagt: Bei dem Geschäftsmodell IT-Sicherheitsberatung im Abo für Unternehmen betreust du kleine und mittlere Firmen laufend in der Informationssicherheit: Risikoanalysen, Richtlinien, Schulungen, Notfallpläne und Vorbereitung auf Prüfungen. Verdienen kannst du über feste Monatspauschalen, etwa als externer Informationssicherheitsbeauftragter oder als Sicherheitschef auf Zeit.
Was ist eine IT-Sicherheitsberatung im Abo und wie funktioniert das Geschäftsmodell?
Eine IT-Sicherheitsberatung im Abo ist ein Monatsvertrag, bei dem du für ein Unternehmen die Informationssicherheit steuerst, ohne dort angestellt zu sein. Bezahlt wird sie von Firmen, die gesetzliche oder vertragliche Pflichten haben, sich aber keine eigene Vollzeitstelle leisten wollen.
Im englischen Sprachraum heißt das vCISO, also virtueller Chief Information Security Officer. Du baust feste Regeln und Abläufe für die Sicherheit auf, hältst sie aktuell und berichtest der Geschäftsführung; die Technik betreut meist weiter der IT-Dienstleister.
Nischen, die ich mir ansehen würde E: Lebensmittelhersteller ab 50 Beschäftigten, die noch nie ein Sicherheitskonzept hatten. Autozulieferer, die für ihre Kunden eine Prüfung nach dem Branchenstandard TISAX brauchen. Pflegedienste mit Patientendaten auf Tablets. Und als Hypernische Pflichtschulungen für Geschäftsführer.
Welchen Umsatz kannst du mit einer IT-Sicherheitsberatung im Abo realistisch erreichen?
Pro Kunde zahlen Unternehmen in Deutschland für die Rolle des externen Beauftragten etwa 275 bis 2.500 Euro im Monat, für eine steuernde vCISO-Rolle etwa 3.600 bis 8.500 Euro. M Der Hebel ist, wie viele Kunden du mit festen Vorlagen und Abläufen betreust.
Als realistisches Ziel nach dem ersten Jahr rechne ich mit 5.000 bis 20.000 Euro Umsatz im Monat E, wenn du schon Erfahrung und Zertifikate mitbringst. Ohne Vorerfahrung dauert der Aufbau meist deutlich länger.
Kertos rechnet aus den Pauschalen einen Tagessatz von etwa 1.200 bis 1.700 Euro heraus und nennt für die Beauftragtenrolle meist 4 bis 16 Stunden im Monat. M Bei sechs Kunden mit je 1.500 Euro und zwölf Stunden sind das 9.000 Euro für rund 72 Stunden im Monat. E
Das heißt für dich: Wenige gute Abo-Kunden reichen, wenn du deine Vorlagen einmal sauber gebaut hast.
Welche Fähigkeiten solltest du initial lernen, um erfolgreich eine IT-Sicherheitsberatung im Abo anbieten zu können?
Am wichtigsten ist belastbares Fachwissen zu Normen wie ISO 27001 und zum neuen Gesetz, am besten mit Zertifikat. Fast genauso wichtig ist, Risiken so zu erklären, dass eine Geschäftsführung entscheiden kann.
Meine Einschätzung E: 100 % hieße, ohne diese Fähigkeit geht es nicht.
Welche Eckdaten hat eine IT-Sicherheitsberatung im Abo?
| Klasse und Modelltyp | K1 Dienstleistung · Produktisierte Dienstleistung, Agentur und KI-Automatisierung |
|---|---|
| Themenfeld | Arbeit, Produktivität und B2B-Prozesse |
| Startkapital | 500 bis 5.000 Euro ohne Zertifikate, mit Zertifikaten mehr E |
| Zeit bis zum ersten Euro | 1 bis 3 Monate mit bestehendem Netzwerk E |
| Wochenstunden | 21 bis 40 E |
| Zulassungshürde | frei; Gewerbe oder freier Beruf abklären, siehe Abschnitt Recht |
| Reichweite nötig | 3 von 5: überwiegend remote, Termine vor Ort |
| Passiv-Grad | 2 von 5: laufende Betreuung, Vorfälle unplanbar |
| Umsatzklasse | 5.000 bis 20.000 Euro im Monat nach einem Jahr, mit Vorerfahrung E |
| Wettbewerb | mittel |
| KI-Hebel | 3 von 5 |
| Sinn-Faktor | 4 von 5 |
| Passt zu den Gründertypen | Detailverliebter Fachexperte |
| Wirtschaftszweig (WZ 2025) | 62.20.1 Erbringung von Beratungsleistungen auf dem Gebiet der Informationstechnologie. E WZ 2025 ist die amtliche Klassifikation der Wirtschaftszweige (Destatis), nach der dein Gewerbe eingeordnet wird. |
Datenlücke: Wie viele Unternehmen in Deutschland genau unter das neue Gesetz fallen, habe ich auf den gelesenen amtlichen Seiten nicht gefunden. Umsätze kleiner externer Sicherheitsbeauftragter aus dem deutschsprachigen Raum habe ich ebenfalls nicht gefunden.
Was kostet der Start und wie viel Zeit brauchst du?
Der Start kostet meist 500 bis 5.000 Euro E, vor allem für Versicherung, Vorlagen und eine Website; Zertifikate kommen dazu, wenn du sie noch nicht hast. Am besten rechnet man mit ein bis drei Monaten bis zum ersten Abo-Kunden.
| Baustein | Was es kostet |
|---|---|
| Website mit WordPress und Hosting | ALL-INKL Privat 4,95 Euro, Privat+ 7,95 Euro im Monat (all-inkl.com, gelesen am 29.10.2026) S |
| Kosten einer internen Vollzeitstelle als Vergleich für Kunden | oft über 80.000 Euro im Jahr (iso-easy, Notivia GmbH, Februar 2026) S |
Wie startest du eine IT-Sicherheitsberatung im Abo Schritt für Schritt?
Du startest mit einer Branche, deren Pflichten du kennst, und mit einem festen Paket. Der erste Schritt: mit der Betroffenheitsprüfung des BSI für drei Betriebe aus deinem Umfeld klären, ob sie unter das Gesetz fallen.
- Branche wählen. Eine Branche mit klaren Pflichten, etwa Lebensmittel, Logistik oder Autozulieferer.
- Paket festlegen. Erstanalyse zum Festpreis, danach Monatspauschale mit Stundenkontingent, Berichten und Schulungen.
- Vorlagen bauen. Risikoanalyse, Richtlinien, Notfallplan und Schulungsfolien, die du je Kunde anpasst.
- Rechtliches vorbereiten. Die Punkte aus dem Abschnitt Recht: Gewerbe oder freier Beruf klären, keine Rechtsberatung, Vertrag zur Auftragsverarbeitung, Haftungsgrenze und Versicherung.
- Partner gewinnen. IT-Systemhäuser, Steuerberater und Datenschutzbeauftragte, die Kunden mit Sicherheitsfragen haben.
- Ersten Kunden betreuen. Erfahrungen in Vorlagen zurückspielen, damit Kunde Nummer zwei schneller geht.
Wie findest du die ersten Kunden für deine IT-Sicherheitsberatung im Abo?
Am schnellsten über Geschäftsführer, die eine Frist oder eine Kundenanforderung auf dem Tisch haben und persönlich haften. Sie kaufen keine Beratung, sondern die Ruhe, dass ihr Betrieb vorbereitet ist (Stichwort: Pain Fokus, also der Schmerz des Kunden).
Gute Kanäle sind Branchenverbände, IHK-Veranstaltungen zum Thema, LinkedIn und Partner aus der IT. Taylor Hersom fand seine ersten Kunden auf Upwork und danach über Empfehlungen, ohne Geld für Vertrieb auszugeben (Starter Story, 11.10.2020). S
Welche Tools und KI-Werkzeuge helfen bei der IT-Sicherheitsberatung im Abo?
Unverzichtbar ist eine Vorlagenbibliothek für Risikoanalysen, Richtlinien und Berichte, die du für jeden Kunden anpasst. Ziel ist es, dass jeder Kunde dieselbe Qualität bekommt, egal wie viele du betreust.
Ich arbeite selbst als Informationssicherheitsbeauftragter und CISO in der Industrie: KI spart beim Schreiben viel Zeit, aber die Bewertung, ob eine Maßnahme zum Betrieb passt, bleibt Arbeit mit Menschen vor Ort.
Welche Risiken hat eine IT-Sicherheitsberatung im Abo?
Das größte Risiko: Beim Kunden passiert ein Sicherheitsvorfall, und es wird gefragt, was du hättest verhindern müssen. Dagegen helfen ein klarer Vertrag, eine Versicherung und dokumentierte Empfehlungen, die die Geschäftsführung abzeichnet.
Haftung
Die Geschäftsleitung haftet nach § 38 BSIG für schuldhaft verursachte Schäden, wenn sie Maßnahmen nicht umsetzt. ABegrenzte Kapazität
Taylor Hersom nennt es „offensichtlich ein Problem“, dass jeder vCISO nur wenige Kunden betreuen kann (Starter Story, 11.10.2020). SZu billig gestartet
Hersom gab frühen Kunden „einen hohen Rabatt“ (Starter Story, 11.10.2020). SRechtsberatung
Ob eine Auslegung des Gesetzes im Einzelfall schon Rechtsberatung ist, musst du gegebenenfalls mit einem Anwalt abklären (RDG). A| Ergebnisstreuung | 3 von 5: wie weit Erfolg und Misserfolg auseinanderliegen; von Nebenverdienst bis kleines Team |
|---|---|
| Regulatorik | 3 von 5 |
| Inhaberabhängigkeit | 5 von 5, Kunden kaufen dein Fachwissen und dein Vertrauen |
| Wiederkehrender Umsatz | meist über 75 Prozent über Monatspauschalen E |
| KI-Exposition | plus 1, KI beschleunigt Dokumente, die Verantwortung bleibt beim Menschen E |
| Kanalabhängigkeit | 2 von 4 |
Fortbestand: Von Gründungen mit Startkapital bis zu 5.000 Euro sind nach fünf Jahren 54 Prozent aktiv (KfW-Gründungsmonitor 2025). S 2025 gab es 69 Unternehmensinsolvenzen je 10.000 Unternehmen (Destatis, 13.03.2026). A
Praxisbeispiel: Wie Taylor Hersom mit Eden Data Sicherheitsberatung zum Abo machte
Im Interview mit Starter Story erzählt Taylor Hersom aus Austin in Texas, wie er im März 2020 Eden Data gründete, eine Sicherheitsberatung für Startups mit vCISO im Abo. Im September 2020 lag der wiederkehrende Umsatz bei rund 45.000 US-Dollar im Monat. S
- So kam er auf die Geschäftsidee
- Hersom war IT-Prüfer bei Deloitte und wurde 2018 mit 28 Jahren Sicherheitschef einer Beratungsfirma in Austin. Beim Aufbau eines vCISO-Angebots dort sah er, dass kleine und mittlere Firmen sich keinen Vollzeit-Sicherheitschef leisten können. Weil die Geschäftsleitung seine Richtung nicht teilte, kündigte er Ende Februar 2020.
- So fing es an
- In der ersten Märzwoche 2020 gewann er Kunden auf Upwork und testete dort ein festes Monatsabo statt Stundenabrechnung. Er baute Abläufe und Vorlagen für Ergebnisse und testete neue Arbeitsweisen mit den ersten Kunden. Die Startkosten beschränkten sich auf Website, Büro-Software und eine Mail-Domain.
- So gewinnt er Kunden
- Nach Upwork vor allem über Empfehlungen und Kontakte aus seiner alten Firma, dazu Blogartikel, Podcasts, Webinare, LinkedIn und Gründer-Communitys. Bis zum Interview hatte er nach eigener Aussage null Dollar für Vertrieb ausgegeben.
- Seine Preise
- Ein fester Monatspreis ohne Stundenabrechnung und ohne lange Bindung, bewusst günstiger als eine Vollzeitstelle oder eine projektbasierte Beratung. Konkrete Beträge nennt er nicht.
- Seine größte Hürde
- Jeder vCISO kann nur eine begrenzte Zahl von Kunden betreuen, was das Wachstum deckelt. Dazu kamen zu niedrige Preise am Anfang, Einzelprojekte außerhalb des Abos und Kunden, die mehr Ärger als Nutzen brachten.
- Diese Werkzeuge nutzt er
- Google Workspace für Mail und Dateien, Nifty für Projektmanagement, Typeform für Kundenabfragen und Slack für die interne Abstimmung.
- So schnell ist er gewachsen
- Mehrere Kunden in den ersten zwei Wochen, danach etwa ein neuer Kunde pro Woche. Im September 2020 hatte er 11 aktive Kunden, 4 weitere in der Einarbeitung und insgesamt 23 betreut, mit drei Sicherheitsfachleuten im Team.
- Sein Rat
- Das eigene Netzwerk ausbauen und alle respektvoll behandeln, weil Kunden zu langfristigen Partnern und Empfehlern werden. Und anfangen, bevor alles fertig durchdacht ist.
- Was du daraus mitnimmst
- Für dich in Deutschland heißt das: Ein festes Abo statt Stunden verkauft sich gut, wenn du Vorlagen hast und dein Netzwerk kennt, was du kannst; das neue Gesetz schafft hier zusätzliche Anlässe. E Die Zahlen sind Selbstauskünfte aus dem Interview.
Zur Quellenlage: Die Zahlen sind uneinheitlich: Der Text nennt rund 45.000 US-Dollar wiederkehrenden Umsatz im September 2020, der Kopf der Starter-Story-Seite 230.000 US-Dollar im Monat ohne Erklärung. Auch die Teamgröße weicht ab: vier Menschen im Text, 20 im Kopf.
Quelle: Starter Story: How I Started A $45K/Month Cybersecurity Consulting Firm For Startups, 11.10.2020, gelesen am 01.11.2026. starterstory.com
Welche Beispiele für eine IT-Sicherheitsberatung im Abo gibt es in Deutschland, Österreich und der Schweiz?
Das stärkste DACH-Beispiel ist ADVISORI aus Frankfurt am Main mit vCISO-Paketen nach Unternehmensgröße: bis 250 Beschäftigte, bis 1.000 und darüber, jeweils mit Prüfung nach dem neuen Gesetz (advisori.de, gelesen am 01.11.2026). S Preise gibt es nur auf Anfrage.
- iso-easy von der Notivia GmbH bietet externe Informationssicherheitsbeauftragte mit laufender Betreuung an und nennt für eine interne Vollzeitstelle oft über 80.000 Euro im Jahr (iso-easy.de, Februar 2026). S
- Eden Data aus Austin in den USA startete 2020 als vCISO im Abo, mehr dazu im Praxisbeispiel oben (Starter Story, 11.10.2020). S
Was musst du rechtlich bei der IT-Sicherheitsberatung im Abo beachten?
Vier Dinge setzt du einmal sauber auf, dann gelten sie für jeden Kunden. Das Wichtigste: Du berätst zur Sicherheit, die Verantwortung für die Umsetzung bleibt bei der Geschäftsführung.
- Gewerbe oder freien Beruf klären, bevor der erste Kunde zahlt.
- Keine Rechtsberatung im Einzelfall, sondern Zusammenarbeit mit Kanzleien.
- Vertrag zur Auftragsverarbeitung, wenn du Zugriff auf personenbezogene Daten bekommst.
- Leistung und Haftung begrenzen und eine Vermögensschadenhaftpflicht abschließen.
Die Details mit Paragrafen und Fristen
Pflichten deiner Kunden: Betroffene Einrichtungen bestimmt § 28 BSIG, in den genannten Branchen meist ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme; die Leitung muss Maßnahmen umsetzen und sich schulen lassen (§ 38 BSIG). A
Gewerbe oder freier Beruf: Ob deine Beratung als Gewerbe (§ 14 GewO) oder als freier Beruf (§ 18 EStG) gilt, musst du gegebenenfalls mit deinem Steuerberater abklären. A
Datenschutz: Verarbeitest du personenbezogene Daten im Auftrag, brauchst du einen Vertrag nach Art. 28 DSGVO A; in der Schweiz gilt Art. 9 DSG. A
Österreich: Unternehmensberatung ist dort ein reglementiertes Gewerbe; ob deine Tätigkeit darunter fällt, musst du gegebenenfalls zum Start bei der Wirtschaftskammer abklären.
Keine Rechtsberatung: Lass Verträge und Pflichten einmal fachlich prüfen.
Für wen passt eine IT-Sicherheitsberatung im Abo und für wen nicht?
Es passt zum detailverliebten Fachexperten mit Erfahrung in IT, Prüfung oder Compliance und zum empathischen Guide, der Menschen ohne Angstmache durch ein ungeliebtes Thema führt.
Lass es, wenn
- du ohne Berufserfahrung in IT-Sicherheit startest und auf schnelle Kunden hoffst,
- du es nicht aushältst, im Ernstfall am Wochenende erreichbar zu sein,
- du lieber Technik baust, als Richtlinien zu schreiben und Gespräche mit der Geschäftsführung zu führen.
Welche Fragen stellen Menschen am häufigsten zur IT-Sicherheitsberatung im Abo?
Was kostet ein externer Informationssicherheitsbeauftragter?
In Deutschland etwa 275 bis 2.500 Euro im Monat bei meist 4 bis 16 Stunden; ein vCISO mit zwei bis sechs Beratertagen etwa 3.600 bis 8.500 Euro (Kertos, August 2026). M
Ab welcher Größe fällt ein Unternehmen unter NIS2?
In den genannten Branchen meist ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme (§ 28 Abs. 2 BSIG). A Das BSI bietet dafür eine Betroffenheitsprüfung an.
Welche Geschäftsideen ähneln der IT-Sicherheitsberatung im Abo?
Simon Hubert
Gründer von x8, Agenturgründer seit 2011
Simon Hubert hat 2011 seine erste Digitalagentur gegründet und betreut seitdem Websites, Sichtbarkeit und Abläufe für kleine und mittlere Betriebe in Deutschland, Österreich und der Schweiz. Er hält einen Master in Business Informatics der Universität Mannheim und ist seit über 20 Jahren in Digitalisierung und IT unterwegs, mehrere Jahre davon in Großkonzernen. Mit x8 prüft er Geschäftsideen so, wie er es für sich selbst tun würde: mit belastbaren Zahlen, nachvollziehbaren Quellen und einer Rechnung, die du Schritt für Schritt selbst nachprüfen kannst.
Woher stammen die Zahlen auf dieser Seite?
Jede Zahl trägt ein Kennzeichen. Fährst du mit der Maus darüber, steht die Herkunft im Klartext. Was ich selbst gerechnet oder eingeschätzt habe, ist immer mit E markiert und im Text begründet.
Quellen und Prüfstand: alle Angaben geprüft am 1. November 2026
- Starter Story: How I Started A $45K/Month Cybersecurity Consulting Firm For Startups, Interview mit Taylor Hersom, 11.10.2020, gelesen am 01.11.2026. starterstory.com
- Kertos: Which vCISO provider is right for your company?, Zahlen erhoben im August 2026, gelesen am 01.11.2026. kertos.io
- Unicis: CISO as a Service Pricing, gelesen am 01.11.2026. unicis.tech
- iso-easy (Notivia GmbH): Infos externer ISB, Februar 2026, gelesen am 01.11.2026. iso-easy.de
- ADVISORI: vCISO, gelesen am 01.11.2026. advisori.de
- BSI: NIS-2-regulierte Unternehmen, gelesen am 01.11.2026. bsi.bund.de
- BSI: Die Lage der IT-Sicherheit in Deutschland 2025, Online-Bericht, gelesen am 01.11.2026. medien.bsi.bund.de
- Bundesministerium der Justiz: § 28 BSIG, gelesen am 01.11.2026. gesetze-im-internet.de
- Bundesministerium der Justiz: § 38 BSIG, gelesen am 01.11.2026. gesetze-im-internet.de
- ALL-INKL: Tarife, gelesen am 29.10.2026. all-inkl.com
- Gesetzestexte: § 14 GewO, § 18 EStG, Art. 28 DSGVO, Rechtsdienstleistungsgesetz. gesetze-im-internet.de
Änderungsprotokoll: 1. November 2026 Erstfassung.