Interner vs. externer ISB: Die ehrliche Entscheidungsmatrix

Interner Mitarbeiter oder externer Dienstleister — vor dieser Frage steht jede Geschäftsleitung, die einen Informationssicherheitsbeauftragten bestellen muss. Die ehrliche Antwort hängt von Ihrer Unternehmensgröße, Ihrem Budget und Ihrem Zeitdruck ab. Hier ist die Entscheidungsmatrix.

Was für die interne Lösung spricht

Tiefe Unternehmenskenntnis: Ein interner ISB kennt Prozesse, Systeme und die informellen Abläufe, die in keiner Dokumentation stehen. Ständige Präsenz: Er ist im Haus, sichtbar, ansprechbar. Kulturelle Verankerung: Sicherheitsbewusstsein lässt sich von innen oft nachhaltiger prägen.

Diese Vorteile tragen — ab einer gewissen Größe. Realistisch lohnt eine interne Vollzeitstelle ab etwa 500 Mitarbeitenden oder bei sehr hoher regulatorischer Dichte (KRITIS, mehrere Zertifizierungen, komplexe OT-Umgebungen).

Was dagegen spricht

Kosten und Auslastung: 95.000–130.000 € Jahresgehalt plus Nebenkosten für eine Rolle, die im Mittelstand selten eine Vollzeitstelle füllt. Der Arbeitsmarkt: Qualifizierte Kandidaten sind rar, Besetzungen dauern drei bis sechs Monate, und die besten Leute haben mehrere Angebote gleichzeitig. Betriebsblindheit: Wer täglich dieselben Prozesse sieht, verliert den kritischen Blick — Gewohnheiten werden zur akzeptierten Norm. Interessenkonflikte: Der Klassiker ist der IT-Leiter in Doppelrolle, der faktisch sich selbst kontrolliert. Auditoren sehen das zunehmend kritisch, und jede unabhängige Prüfungslogik widerspricht dieser Konstruktion.

Was für die externe Lösung spricht

Wirtschaftlichkeit: Ein Bruchteil der Kosten, skalierbar mit dem tatsächlichen Bedarf. Sofortige Verfügbarkeit: Bestellung in Tagen statt Monaten. Strukturelle Unabhängigkeit: Bericht direkt an die Geschäftsleitung, ohne interne Politik. Querschnittswissen: Ein externer ISB sieht Dutzende Umgebungen und bringt erprobte Lösungen mit, statt jedes Problem zum ersten Mal zu lösen. Kein Ausfallrisiko: Bei seriösen Anbietern übernimmt eine benannte Vertretung mit vollem Kontext — Urlaub und Krankheit sind kein Dokumentationsloch.

Die ehrlichen Nachteile der externen Lösung

Ein Externer kennt Ihr Haus anfangs nicht — die ersten Wochen sind Lernphase. Er ist nicht täglich präsent, und bei sehr knappen Stundenkontingenten bleibt die Betreuung zwangsläufig an der Oberfläche. Wer ein 300-€-Mandat bucht, bekommt genau das. Achten Sie deshalb auf ausgewiesene Stundenkontingente und einen festen, namentlich benannten Ansprechpartner.

Die Entscheidungsmatrix

Bis ca. 150 Mitarbeitende: extern, in praktisch allen Fällen — die interne Stelle ist nicht auslastbar. 150–500 Mitarbeitende: meist extern, ggf. kombiniert mit einem internen Sicherheitskoordinator als Schnittstelle. Ab 500 Mitarbeitenden oder KRITIS: interne Stelle prüfen, häufig ergänzt um externe Spezialleistungen (Audits, Pentests, Zertifizierungsbegleitung). Bei akutem Zeitdruck (Frist, Audit, Versicherung): extern starten — eine spätere Internalisierung bleibt jederzeit möglich, und ein sauber aufgebautes ISMS lässt sich übergeben.