Externer ISB oder interner Beauftragter?

Spätestens wenn ein Unternehmen ein ISMS aufbaut, NIS2-Pflichten erfüllen muss oder eine ISO-27001-Zertifizierung anstrebt, stellt sich eine personelle Grundsatzfrage: Wer übernimmt die Rolle des Informationssicherheitsbeauftragten? Soll diese Aufgabe intern besetzt werden – oder lohnt sich ein externer ISB? Die Entscheidung wirkt auf den ersten Blick wie eine reine Kostenfrage. Tatsächlich berührt sie Unabhängigkeit, Verfügbarkeit, Know-how und Haftung gleichermaßen – und die richtige Antwort hängt stark von Größe und Reifegrad Ihres Unternehmens ab.

Dieser Vergleich beleuchtet die Rolle des Informationssicherheitsbeauftragten, stellt die Vor- und Nachteile beider Modelle gegenüber und gibt Ihnen eine praxistaugliche Entscheidungshilfe an die Hand. Geschrieben aus der Erfahrung zahlreicher ISMS-Projekte im Mittelstand, wo diese Personalfrage über Erfolg oder Stillstand entscheidet.

Die Rolle des Informationssicherheitsbeauftragten

Der Informationssicherheitsbeauftragte (ISB) – im englischen Kontext oft als CISO bezeichnet – verantwortet die Informationssicherheit eines Unternehmens auf operativer und steuernder Ebene. Anders als der Datenschutzbeauftragte ist der ISB gesetzlich nicht für jedes Unternehmen zwingend vorgeschrieben, faktisch aber kaum verzichtbar, sobald ein ISMS betrieben wird. Die ISO/IEC 27001:2022 verlangt klar zugewiesene Rollen und Verantwortlichkeiten für die Informationssicherheit (Kap. 5.3), und auch NIS2 rückt die Verantwortung für Cybersicherheit explizit auf die Leitungsebene.

Zu den typischen Aufgaben gehören:

• Aufbau und Pflege des ISMS – Steuerung von Richtlinien, Prozessen und Nachweisen.
• Risikomanagement – Risiken identifizieren, bewerten und Behandlungsmaßnahmen koordinieren.
• Beratung der Geschäftsleitung – Sicherheitslage transparent machen, Entscheidungen vorbereiten.
• Awareness und Schulung – die Belegschaft sensibilisieren.
• Incident-Koordination – im Sicherheitsvorfall steuern und nachbereiten.
• Audit-Vorbereitung und -begleitung – interne wie externe Audits.
• Schnittstelle – zu IT, Datenschutz, Geschäftsleitung, Behörden und Auditoren.

Wichtig zur Verantwortung
Die Rolle ISB delegiert Aufgaben, aber nicht die Letztverantwortung. Die bleibt – gerade unter NIS2, die seit Dezember 2025 in Deutschland in Kraft ist – bei der Geschäftsleitung. Ein ISB, intern oder extern, entlastet die Leitung operativ, enthebt sie aber nicht ihrer Pflichten.

Der interne Informationssicherheitsbeauftragte

Beim internen Modell übernimmt eine eigene Mitarbeiterin oder ein Mitarbeiter die ISB-Rolle – entweder in Vollzeit (in größeren Häusern) oder, häufiger im Mittelstand, als zusätzliche Funktion neben anderen Aufgaben.

Vorteile des internen ISB

• Nähe zum Unternehmen: Der interne ISB kennt Kultur, Prozesse, Menschen und gewachsene Strukturen. Er weiß, wo die Leichen liegen und wen man wofür ansprechen muss.
• Ständige Verfügbarkeit: Er ist im Haus, ansprechbar und bei Vorfällen sofort präsent.
• Identifikation und Akzeptanz: Eine vertraute Person trägt Sicherheitskultur oft glaubwürdiger ins Team als ein Externer.
• Aufbau internen Know-hows: Das Wissen bleibt im Unternehmen.

Nachteile des internen ISB

• Begrenztes Spezialwissen: Informationssicherheit ist breit – ISO 27001, NIS2, TISAX, technische Härtung, Recht, Awareness. Eine einzelne interne Kraft deckt selten alles ab und muss sich vieles erst aneignen.
• Interessenkonflikte und fehlende Unabhängigkeit: Wer aus der IT kommt und nun deren Sicherheit bewertet, prüft faktisch die eigene Arbeit. Für das interne Audit nach ISO 27001 (Kap. 9.2) ist das ein echtes Problem, weil dort Unabhängigkeit gefordert ist.
• Verfügbarkeitsfalle bei Nebenrolle: Ist der ISB „nebenbei" auch IT-Leiter, gewinnt im Zweifel das Tagesgeschäft – Sicherheit bleibt liegen.
• Klumpenrisiko: Verlässt die Person das Unternehmen, geht das gesamte Wissen mit. Bei einer Ein-Personen-Funktion ein erhebliches Risiko.
• Fortbildungsaufwand: Zertifizierungen und kontinuierliche Weiterbildung kosten Zeit und Geld.

Der externe ISB

Beim externen Modell beauftragen Sie einen spezialisierten Dienstleister oder Berater, der die ISB-Rolle ganz oder teilweise übernimmt – mit definiertem Leistungsumfang, festen Ansprechzeiten und vertraglich geregelter Verantwortung.

Vorteile des externen ISB

• Tiefe und Breite an Know-how: Ein externer ISB bringt Erfahrung aus vielen Unternehmen und Branchen mit. Was bei Ihnen erstmalig ansteht, hat er andernorts schon mehrfach umgesetzt – das verkürzt Lernkurven drastisch.
• Unabhängigkeit: Als Außenstehender hat er keine Betriebsblindheit und keine Loyalitätskonflikte. Er benennt unbequeme Wahrheiten – ein klarer Vorteil für ehrliche Risikobewertung und interne Audits.
• Sofortige Einsatzfähigkeit: Kein langes Onboarding, keine Aufbau-Lernphase. Methoden, Vorlagen und Vorgehensmodelle sind vorhanden.
• Planbare Kosten ohne Fixkostenfalle: Sie zahlen für tatsächlichen Bedarf statt für eine Vollzeitstelle – inklusive Fortbildung, Urlaub und Krankheit, die beim Externen nicht zu Ihren Lasten gehen.
• Aktualität: Ein Externer ist beruflich gezwungen, bei Norm-Änderungen, neuen Bedrohungen und regulatorischen Entwicklungen am Ball zu bleiben.

Nachteile des externen ISB

• Geringere Präsenz vor Ort: Ein Externer ist nicht jeden Tag im Haus. Bei akuten Vorfällen ist schnelle Erreichbarkeit vertraglich zu sichern.
• Einarbeitung in Spezifika: Die individuellen Prozesse und die Kultur Ihres Hauses muss er sich zunächst erschließen.
• Abhängigkeit vom Dienstleister: Wechselt der Dienstleister oder die Person dort, braucht es eine saubere Übergabe – ein Grund, auf gute Dokumentation und einen verlässlichen Partner zu achten.
• Kommunikation: Sicherheitskultur ins Team zu tragen, gelingt einem Externen nur mit echten internen Multiplikatoren an seiner Seite.

Praxis-Tipp
Der häufigste Denkfehler ist, externen ISB rein über den Stundensatz zu bewerten. Rechnen Sie ehrlich: Eine interne ISB-Vollzeitstelle kostet inklusive Lohnnebenkosten, Fortbildung, Tooling und Ausfallzeiten schnell deutlich mehr als ein bedarfsgerecht eingesetzter externer Experte – der zudem mehr Erfahrung mitbringt.

Direkter Vergleich: intern vs. extern

Die ehrliche Erkenntnis aus der Praxis: Es gibt kein pauschal „besseres" Modell. Es gibt nur das zu Ihrer Größe, Ihrem Reifegrad und Ihrer Risikolage passende.

Was sagt das zur Haftung?

Ein oft übersehener Aspekt: Die Letztverantwortung für Informationssicherheit verbleibt grundsätzlich bei der Geschäftsleitung – das gilt für beide Modelle. Weder ein interner noch ein externer ISB „übernimmt die Haftung" der Leitung. NIS2 hat diese Leitungsverantwortung in Deutschland sogar ausdrücklich geschärft.

Der Unterschied liegt im Detail: Ein interner ISB handelt im Rahmen seines Arbeitsverhältnisses, ein externer im Rahmen seines Dienstleistungsvertrags. Ein professioneller externer Dienstleister verfügt in der Regel über eine Berufs-/Vermögensschadenhaftpflicht und vertraglich klar geregelte Pflichten – das schafft im Vergleich zur reinen internen Nebenrolle oft mehr formale Klarheit darüber, wer wofür einsteht. Verlassen Sie sich hier nicht auf Bauchgefühl, sondern auf einen sauberen Vertrag.

Entscheidungshilfe nach Unternehmensgröße

In der Praxis hat sich folgende Orientierung bewährt – als Ausgangspunkt, nicht als Dogma:

• Kleine Unternehmen (bis ca. 50 Mitarbeitende): Eine interne Vollzeit-ISB-Stelle ist meist unwirtschaftlich, das interne Wissen oft zu dünn. Ein externer ISB ist hier in der Regel die effizienteste Lösung – Sie bekommen Top-Know-how zu planbaren Kosten.
• Mittelständische Unternehmen (ca. 50–250 Mitarbeitende): Hier ist häufig ein hybrides Modell ideal: Ein interner Verantwortlicher als fester Ansprechpartner und Kulturträger, flankiert von externer Expertise für Aufbau, Audits, Spezialthemen und Unabhängigkeit. Das interne Audit übernimmt sinnvollerweise der Externe.
• Größere Unternehmen (ab ca. 250 Mitarbeitende): Eine interne ISB-Funktion, teils im Team, wird zunehmend tragfähig und sinnvoll. Externe Unterstützung bleibt für Spitzenlasten, Spezialthemen und unabhängige Prüfungen wertvoll.

Entscheidend sind neben der reinen Größe auch Branche, Regulierung (NIS2-Betroffenheit, TISAX-Pflicht) und der aktuelle Reifegrad. Ein kleines, aber stark reguliertes Unternehmen braucht mehr Expertise als seine Mitarbeiterzahl vermuten ließe.

Merksatz
Die Frage ist selten „intern oder extern", sondern „in welchem Mischverhältnis". Das hybride Modell – interne Verankerung plus externe Tiefe – ist im Mittelstand fast immer die belastbarste Antwort.

Das hybride Modell im Detail

Weil das hybride Modell für den breiten Mittelstand so oft die beste Antwort ist, lohnt ein genauerer Blick auf die Aufgabenteilung. Bewährt hat sich folgende Verteilung:

• Der interne Verantwortliche ist Gesicht und Ansprechpartner der Informationssicherheit im Haus. Er kennt die Prozesse, trägt die Sicherheitskultur ins Team, koordiniert Meldungen und ist im Alltag präsent. Diese Rolle braucht keine tiefe Norm-Expertise, sondern Verankerung, Vertrauen und Durchsetzungskraft.
• Der externe ISB liefert die methodische Tiefe: ISMS-Aufbau, Risikomethodik, SoA, Audit-Vorbereitung, regulatorisches Spezialwissen und – besonders wertvoll – das unabhängige interne Audit, das eine interne Kraft aus Unabhängigkeitsgründen kaum leisten kann.

Diese Aufteilung kombiniert die Stärken beider Welten: Nähe und Akzeptanz von innen, Tiefe und Unabhängigkeit von außen. Sie federt zugleich das Klumpenrisiko ab – fällt der interne Verantwortliche aus, hält der externe Partner das ISMS am Laufen, und umgekehrt.

Worauf Sie bei einem externen ISB achten sollten

Entscheiden Sie sich für externe Unterstützung, ist die Auswahl des Partners entscheidend. Achten Sie auf:

• Nachweisbare Qualifikation: anerkannte Zertifizierungen wie CISM oder ISO 27001 Lead Implementer / Lead Auditor – nicht nur Marketingbegriffe.
• Mittelstandserfahrung: Konzernmethoden eins zu eins auf 80 Mitarbeitende zu übertragen, geht schief. Der Partner muss übersetzen können.
• Klare Verfügbarkeitszusagen: definierte Reaktionszeiten, besonders für Vorfälle.
• Saubere Verträge: Leistungsumfang, Verantwortlichkeiten, Haftung und Vertraulichkeit eindeutig geregelt.
• Befähigungsanspruch: Ein guter Partner baut Ihr internes Wissen auf, statt Sie dauerhaft abhängig zu machen.

Praxis-Tipp
Fragen Sie einen potenziellen externen ISB nach einem konkreten Projekt in vergleichbarer Unternehmensgröße – und danach, was dort nicht funktioniert hat. Wer nur Erfolgsgeschichten erzählt, hat selten echte Tiefe. Ehrlichkeit über Stolpersteine ist ein gutes Auswahlkriterium.

Wie welabs Sie als externer Partner unterstützt

welabs übersetzt Konzern-Sicherheitsexpertise in den Mittelstand – genau die Breite und Unabhängigkeit, die ein externes ISB-Modell wertvoll macht. Statt einer reinen Vertretungsrolle setzen wir auf den Strategic Security Advisor (SSA): kontinuierliche, strategische Begleitung, die Ihr internes Team stärkt, statt es zu ersetzen.

Wir unterstützen Sie konkret bei:

• Strategic Security Advisor (SSA) – ein erfahrener Sparringspartner auf Augenhöhe für Geschäftsleitung und IT, der Sicherheit steuerbar macht. Mehr dazu auf unserer Seite Security-Roadmap & Strategie.
• Aufbau und Betrieb des ISMS – von der ersten Richtlinie bis zur gelebten Praxis. Details auf unserer Seite Compliance & ISMS.
• Unabhängigen internen Audits – die Außensicht, die ein interner Beauftragter nicht leisten kann.
• Befähigung Ihres internen Verantwortlichen – wir bauen Wissen auf, statt Abhängigkeit zu schaffen.

Sie sind unsicher, welches Modell zu Ihnen passt? Vereinbaren Sie ein kostenloses Erstgespräch – wir geben Ihnen eine ehrliche, größenpassende Einschätzung.

Fazit

Ob externer ISB oder interner Beauftragter – die richtige Wahl folgt nicht der Mode, sondern Ihrer Größe, Risikolage und Reife. Kleine Unternehmen fahren mit einem externen ISB meist am effizientesten, größere bauen interne Funktionen auf, und der breite Mittelstand profitiert vom hybriden Modell aus interner Verankerung und externer Tiefe. Über allem steht: Die Letztverantwortung bleibt bei der Geschäftsleitung, und die Rolle muss klar zugewiesen, dokumentiert und mit echter Zeit und Autorität ausgestattet sein.

Bewerten Sie die Optionen nicht über den nackten Stundensatz, sondern über Gesamtkosten, Unabhängigkeit, Know-how und Risiko. Eine schlecht besetzte interne Nebenrolle ist teurer als ein gut eingesetzter externer Experte – weil unwirksame Informationssicherheit am Ende immer am teuersten ist.