Security-Budget richtig planen: Leitfaden für CFOs

„Wie viel müssen wir eigentlich in IT-Security investieren?" Diese Frage stellt sich in jedem mittelständischen Unternehmen früher oder später – und sie wird erstaunlich oft falsch beantwortet. Mal entscheidet das Bauchgefühl des IT-Leiters, mal der Schreck nach einem Vorfall in der Branche, mal die Angebotssumme eines Dienstleisters. Was fehlt, ist eine nachvollziehbare Logik. Wer ein Security-Budget planen will, das vor der Geschäftsführung Bestand hat und im Ernstfall wirkt, braucht mehr als eine Zahl: Er braucht eine Methode.

Dieser Leitfaden richtet sich an CFOs und IT-Leiter gleichermaßen. Er zeigt, wie Sie eine sinnvolle Budget-Größenordnung herleiten, wie Sie risikobasiert priorisieren, wie Sie zwischen einmaligen Investitionen und laufenden Kosten unterscheiden – und vor allem, wie Sie das Budget gegenüber der Geschäftsführung als Business Case argumentieren, statt es als lästige Kostenstelle zu verteidigen.

Warum die Frage „wie viel" die falsche erste Frage ist

Die intuitive Herangehensweise lautet: „Was geben vergleichbare Unternehmen aus, und das machen wir auch." Das ist nachvollziehbar, aber methodisch riskant. Benchmarks sagen wenig darüber aus, ob Ihr Geld an der richtigen Stelle landet. Ein Unternehmen mit kritischem geistigem Eigentum und hoher Fertigungstiefe hat einen völlig anderen Schutzbedarf als ein Dienstleister mit überschaubarem Datenbestand – selbst bei gleicher Mitarbeiterzahl.

Die bessere erste Frage lautet daher nicht „Wie viel?", sondern „Wovor genau schützen wir uns, und was wäre der Schaden, wenn der Schutz versagt?" Erst aus der Antwort ergibt sich eine sinnvolle Budgethöhe. Die Zahl ist das Ergebnis der Risikobetrachtung, nicht ihr Ausgangspunkt.

Merksatz für die Budgetrunde
Ein Security-Budget ist keine Spende an die IT. Es ist eine Risikoinvestition mit messbarem Gegenwert: vermiedene Ausfallzeit, vermiedene Vertragsstrafen, vermiedene Haftung.

Orientierungsgrößen: Was als grober Rahmen taugt

Ganz ohne Zahlen kommt eine Budgetplanung nicht aus – schon, um einen Plausibilitätsrahmen zu haben. Zwei Bezugsgrößen sind im Mittelstand üblich:

• Anteil am IT-Budget: Als grobe Orientierung gelten in vielen Branchen etwa 10 bis 20 Prozent des gesamten IT-Budgets für Informationssicherheit. Unternehmen mit hohem Schutzbedarf oder unter regulatorischem Druck (NIS2, TISAX) liegen eher am oberen Ende oder darüber.
• Anteil am Umsatz: Als ergänzende Plausibilitätsgröße betrachten manche den Security-Anteil am Gesamtumsatz. Dieser bewegt sich im Mittelstand häufig im niedrigen Promillebereich – stark abhängig von Branche und Reifegrad.

Wichtig: Das sind Orientierungsgrößen, keine Zielvorgaben. Sie taugen, um eine geplante Summe auf Plausibilität zu prüfen („Sind wir mit unseren 3 Prozent vom IT-Budget eher unter- oder überdimensioniert?"), nicht als Begründung für eine Investition. Ein Unternehmen, das von einem sehr niedrigen Reifegrad startet, muss anfangs überproportional investieren, um den Rückstand aufzuholen – und kann später auf ein niedrigeres Erhaltungsniveau zurückgehen.

Der risikobasierte Ansatz: Budget folgt Risiko

Der Kern einer belastbaren Budgetplanung ist die risikobasierte Priorisierung. Sie läuft in drei Schritten ab:

Schritt 1: Kritische Werte identifizieren

Was sind die Kronjuwelen Ihres Unternehmens? Konstruktions- und Produktdaten, Kundendaten, produktionskritische Systeme, Zahlungsprozesse? Ohne diese Klarheit verteilt sich das Budget nach dem Gießkannenprinzip. Eine Informationsklassifizierung hilft, die schützenswerten Werte systematisch zu erfassen.

Schritt 2: Risiken bewerten

Für jedes kritische Asset werden die relevanten Bedrohungen nach Eintrittswahrscheinlichkeit und Schadenshöhe bewertet. Daraus ergibt sich eine Rangfolge: Welche Risiken sind so groß, dass sie zwingend behandelt werden müssen, welche sind tolerierbar?

Schritt 3: Maßnahmen den Risiken zuordnen

Erst jetzt kommen Maßnahmen und damit Kosten ins Spiel. Jede Budgetposition wird einem Risiko zugeordnet, das sie reduziert. Das hat einen unschätzbaren Vorteil: Jede einzelne Ausgabe ist gegenüber der Geschäftsführung begründbar – nicht mit „das ist Stand der Technik", sondern mit „das reduziert das Risiko X, das uns im Ernstfall Y kosten würde".

Praxis-Tipp
Erstellen Sie eine simple Tabelle mit drei Spalten: Risiko – Maßnahme – Kosten. Wenn eine geplante Ausgabe in keine Zeile passt, weil sie keinem Risiko zugeordnet werden kann, ist das ein starkes Signal, sie zu hinterfragen.

CAPEX und OPEX: Die zwei Hälften des Budgets

Ein häufiger Planungsfehler ist, Security nur als Investition zu denken. Tatsächlich besteht ein realistisches Budget aus zwei sehr unterschiedlichen Teilen:

CAPEX – einmalige Investitionen:

• Anschaffung von Hardware und Software (Firewalls, EDR-Lizenzen, SIEM-Einführung)
• Projektkosten für die Einführung eines ISMS oder die Umsetzung einer Roadmap
• Externe Beratung für Assessments, Konzeption und Implementierung

OPEX – laufende Kosten:

• Lizenzen und Wartung (oft der unterschätzte Posten)
• Personal- bzw. Dienstleisterkosten für den laufenden Betrieb
• Kontinuierliche Awareness-Programme und Phishing-Simulationen
• Regelmäßige Audits, Penetrationstests und Rezertifizierungen
• Strategic Security Advisor (SSA) für kontinuierliches Sparring und Steuerung

Der entscheidende Punkt: OPEX wird systematisch unterschätzt. Viele Unternehmen budgetieren die Anschaffung eines Tools, vergessen aber, dass dessen Betrieb über die Jahre ein Vielfaches der Anschaffung kostet. Wer ein SIEM einführt, aber nicht das Personal für dessen Auswertung einplant, hat ein teures Tool, das niemand bedient. Eine realistische Budgetplanung rechnet immer in Total Cost of Ownership über mindestens drei Jahre.

Der Business Case: Security als Investition rechnen

Der schwierigste, aber wichtigste Teil ist die Argumentation gegenüber der Geschäftsführung. Security hat ein strukturelles Kommunikationsproblem: Ihr Erfolg ist die Abwesenheit eines Ereignisses. Niemand bekommt einen Bonus dafür, dass nichts passiert ist. Genau deshalb muss der Wert von Security explizit gemacht werden.

Ein Security-ROI lässt sich nicht so präzise berechnen wie die Rendite einer neuen Maschine – aber er lässt sich greifbar machen. Die Logik:

1. Erwarteter Schaden ohne Maßnahme. Was würde ein erfolgreicher Ransomware-Angriff kosten? Hier zählen nicht nur Lösegeld (das ohnehin keine Garantie ist), sondern vor allem Ausfallzeit, Wiederanlaufkosten, Vertragsstrafen aus Lieferverzug, Reputationsschaden und mögliche Bußgelder. Für einen produzierenden Mittelständler bedeutet ein mehrwöchiger Produktionsstillstand schnell einen siebenstelligen Schaden.
2. Risikoreduktion durch die Maßnahme. Um wie viel senkt die Investition die Eintrittswahrscheinlichkeit oder die Schadenshöhe?
3. Verhältnis von Investition zu vermiedenem Schaden. Wenn eine Investition im niedrigen sechsstelligen Bereich die Wahrscheinlichkeit eines siebenstelligen Schadens deutlich senkt, ist die Rechnung eindeutig – auch ohne Nachkommastellen.

Hinzu kommen zunehmend Faktoren, die früher nicht budgetwirksam waren: Cyberversicherungen verlangen heute belastbare Security-Nachweise und senken bei gutem Reifegrad die Prämien. Kunden und Auftraggeber machen Aufträge zunehmend von Sicherheitsnachweisen abhängig – fehlende TISAX-Zertifizierung kann in der Automobilbranche schlicht den Marktzugang kosten. Und seit NIS2 in Deutschland (seit Dezember 2025 in Kraft) drohen bei Verstößen empfindliche Bußgelder sowie die persönliche Haftung der Geschäftsführung.

Argument für die Geschäftsführung
Security ist nicht mehr nur Schadensvermeidung, sondern zunehmend Voraussetzung für Geschäft. Kein TISAX, kein Auftrag. Keine NIS2-Konformität, ein Haftungsrisiko für die Geschäftsleitung persönlich. Das verschiebt Security von der Kosten- auf die Umsatz- und Risikoseite.

Ein Budget über drei Jahre denken

Eine einjährige Budgetplanung führt fast zwangsläufig in die Irre, weil sie die Folgekosten von Investitionen ausblendet. Sinnvoller ist ein rollierender Drei-Jahres-Horizont, der die typische Reise eines Unternehmens vom niedrigen zum stabilen Reifegrad abbildet:

• Jahr 1 – Aufholen. Der Investitionsbedarf ist am höchsten. Grundlegende Lücken werden geschlossen, Quick Wins gehoben, ein Assessment und eine Roadmap erstellt. Hier dominiert CAPEX, ergänzt um den Aufbau erster laufender Prozesse.
• Jahr 2 – Strukturieren. Der Schwerpunkt verschiebt sich von Anschaffung zu Etablierung. ISMS-Strukturen, Awareness-Programme und Rezertifizierungsprozesse werden eingeführt. CAPEX und OPEX halten sich etwa die Waage.
• Jahr 3 – Erhalten und optimieren. Das Niveau ist erreicht, jetzt geht es um den dauerhaften Betrieb, Audits, kontinuierliche Verbesserung. OPEX dominiert, CAPEX sinkt.

Diese Dynamik erklärt, warum ein einzelner Jahresvergleich mit Branchen-Benchmarks in die Irre führt: Ein Unternehmen im Aufholjahr gibt zwangsläufig überdurchschnittlich aus – und das ist richtig so. Wer das nicht einplant, gerät in Jahr 1 in eine Budgetdiskussion, die sich mit einem Mehrjahresplan elegant auflösen lässt.

Praxis-Tipp
Stellen Sie der Geschäftsführung nicht eine Jahreszahl vor, sondern eine Kurve über drei Jahre. Eine sichtbar sinkende Investitionslinie nach dem Aufholjahr ist eines der überzeugendsten Argumente überhaupt – sie zeigt, dass Security kein Fass ohne Boden ist, sondern eine Investition mit absehbarem Erhaltungsniveau.

Typische Fehler in der Budgetplanung

Aus der Beratungspraxis lassen sich einige wiederkehrende Fehler benennen, die Sie vermeiden sollten:

• Reaktive Ad-hoc-Budgets: Geld fließt nur nach Vorfällen, im Normalbetrieb wird gespart. Das führt zu Stop-and-go statt kontinuierlichem Aufbau und ist unterm Strich teurer.
• Nur CAPEX, kein OPEX: Anschaffung budgetiert, Betrieb vergessen – das klassische „Tool ohne Bediener"-Problem.
• Kein Mehrjahreshorizont: Security ist ein Programm, kein Projekt. Eine sinnvolle Planung umfasst mindestens drei Jahre.
• Budget ohne Roadmap: Geld ohne Plan, wofür es eingesetzt wird. Wie eine Roadmap aussieht, lesen Sie unter Security-Roadmap & Strategie.
• Benchmark statt Risikobezug: Sich am Branchendurchschnitt orientieren, statt am eigenen Schutzbedarf.

Wer wissen möchte, welche Posten externe Beratung dabei typischerweise ausmacht, findet eine Einordnung in unserem Beitrag zu den Kosten einer IT-Security-Beratung.

Wie welabs Sie bei der Budgetplanung unterstützt

welabs hilft Ihnen, ein Security-Budget aufzustellen, das vor der Geschäftsführung Bestand hat und im Ernstfall wirkt – mit Konzern-Methodik, übersetzt auf die Realität des Mittelstands.

Konkret unterstützen wir Sie mit:

• Risikobasierter Priorisierung – damit jeder Euro einem konkreten Risiko zugeordnet ist.
• Reifegrad-Assessment und Roadmap als Grundlage einer mehrjährigen Budgetplanung. Mehr dazu auf Security-Roadmap & Strategie.
• Business-Case-Aufbereitung – Übersetzung technischer Risiken in eine Sprache, die die Geschäftsführung überzeugt.
• Strategic Security Advisor (SSA) – kontinuierliche Begleitung, die Budgetentscheidungen über die Jahre steuert und nachjustiert.
• Compliance-Einordnung für NIS2, ISO 27001 und TISAX über Compliance & ISMS.

Sie stehen vor der nächsten Budgetrunde und wollen mit einer belastbaren Begründung hineingehen? In einem unverbindlichen Erstgespräch ordnen wir Ihre Situation ein – nehmen Sie Kontakt auf.

Fazit

Ein Security-Budget richtig zu planen bedeutet nicht, die passende Prozentzahl zu finden, sondern eine nachvollziehbare Logik zu etablieren: Risiken identifizieren, bewerten, Maßnahmen zuordnen und Kosten über CAPEX und OPEX realistisch hochrechnen. Orientierungsgrößen wie 10 bis 20 Prozent des IT-Budgets helfen bei der Plausibilitätsprüfung – ersetzen aber nie die Risikobetrachtung.

Der eigentliche Hebel liegt in der Argumentation. Wer Security als Risikoinvestition mit messbarem Gegenwert darstellt – vermiedene Ausfallzeit, gesicherter Marktzugang, reduzierte Haftung –, verschiebt die Diskussion von „Was kostet das?" zu „Was kostet es uns, es nicht zu tun?". Genau diese Verschiebung entscheidet darüber, ob Ihr Budget durchkommt – und ob es im Ernstfall hält.