Die Rolle des externen Informationssicherheitsbeauftragten im Mittelstand

Viele kleine und mittelständische Unternehmen verorten das Thema Informationssicherheit ausschließlich in der IT-Abteilung. Dieses Inseldenken kann für die Sicherheitsarchitektur fatale Folgen haben. Bei dünner Personaldecke unterstützt ein externer Informationssicherheitsbeauftragter (ISB), indem er ganzheitlich auf die Infrastrukturen blickt.  

Autor: Ralf Lüneburg, Managing Consultant Informationssicherheit bei der intersoft consulting services AG/dcg

Kein Vorfall ist kein Sicherheitsgarant 

Laut BKA Bundeslagebericht Cybercrime 2025 treffen rund 90 Prozent aller Ransomware-Angriffe den Mittelstand. Wer herausfinden möchte, ob die eigene Infrastruktur den zunehmend durch KI gesteuerten Angriffen Stand hält, findet im reinen Ausbleiben von Angriffen kein verlässliches Indiz. Dahinter stecken oft nur Glück oder eine unentdeckte Kompromittierung. Resilienz zeigt sich erst im Ernstfall. Eine belastbare Vorbereitung erfolgt durch auf Best Practices basierende Managementsysteme wie ISO 27001 oder den BSI-Grundschutz, Kombiniert mit regelmäßigen Notfallübungen. Hier versichern sich Geschäftsführende, dass Kommunikationswege und Rollen im Ernstfall tragen und das Unternehmen in der von Kunden und Eigentümern erwarteten Zeit wieder handlungsfähig sind.

Klassische Schwachstellen im Mittelstand

Die Achillesferse liegt fast immer in der Organisation und den Prozessen, selten in der Technik. Die Führungsebene kennt ihre Firma wirtschaftlich gesehen in- und auswendig, doch welche Programme ineinandergreifen, wo Remote-Zugriffe bestehen oder welche Hardware veraltet ist, wissen die wenigsten. Ohne objektive Bewertung entscheiden Führungskräfte nicht nur im Angriffsfall aus dem Bauch heraus. Das Ergebnis: falsche Prioritäten, Fehlinvestitionen und im schlimmsten Fall persönliche Haftung.

Geschäftsführende haften nach § 43 GmbHG persönlich für Sorgfaltspflichtverletzungen. Mit NIS-2 und branchenspezifischen Regularien wie DORA ist der Druck 2026 noch einmal deutlich gestiegen. NIS-2 verpflichtet die Geschäftsleitung ausdrücklich, Cybersicherheitsmaßnahmen zu etablieren, ihre Umsetzung zu überwachen und sich regelmäßig zu schulen.

Sicherheit von extern

Informationssicherheit sieht auf den ersten Blick wie ein weiterer Kostenblock aus. Viele Unternehmenslenker delegieren das Thema an die IT-Abteilung und wenden sich dem Tagesgeschäft zu. Doch Informationssicherheit ist längst kein IT-Thema mehr, sondern eine Managementaufgabe. Eine tragfähige Strategie umfasst weit mehr als eine gute Firewall: Verantwortlichkeiten, Eskalationsstufen, Kommunikationspfade. Wer das sauber aufsetzt, spart im Ernstfall Zeit und Geld – und schafft Vertrauen bei Kunden, Geschäftspartnern und Versicherern.

Der ISB unterstützt die Geschäftsführung dabei, Informationssicherheit systematisch im Unternehmen zu verankern. Konkret heißt das: Ein Informationssicherheitsmanagementsystem (ISMS) aufbauen; also einen strukturierten Rahmen zur Erkennung, Bewertung und Steuerung von Risiken. Der Experte schafft Transparenz über den aktuellen Sicherheitsstatus, bewertet neue regulatorische Anforderungen frühzeitig und agiert als strategischer Sparringspartner der Führungsebene.

Ein Unternehmen sollte die Funktion besetzen, wenn intern das Spezialwissen oder personelle Kapazitäten fehlen. Externe ISB bringen bewährte Methoden aus vielen Unternehmen mit und setzen Maßnahmen zielgerichtet und wirtschaftlich um. Das ist deutlich günstiger als eine feste Vollzeitstelle. In der Regel reichen einige Beratungstage pro Monat.

Für Unternehmen, die ihre Investitionen in Cyberresilienz priorisieren müssen, empfehlen sich diese drei Bausteine:  

1. Backup- und Wiederherstellungsstrategie inklusive Redundanz und regelmäßiger Restore-Tests. Ein Backup, das nicht getestet wurde, ist kein Backup.

• Awareness der Mitarbeitenden durch praxisnahe Schulungen und eine offene Fehlerkultur, damit Phishing & Co. früh erkannt und Vorfälle sofort gemeldet werden.

• Incident-Response-Fähigkeit – ein erprobter Notfallplan mit klaren Rollen, Eskalationswegen und externen Ansprechpartnern. Wer erst im Angriffsfall überlegt, wen er anruft, hat schon verloren.

Über allem steht das Bewusstsein der Geschäftsführung: Informationssicherheit liegt in ihrem Verantwortungsbereich. Externe ISB können Risiken identifizieren und Schwachstellen aufdecken; aber ohne aktive Mitarbeit der Führungsebene bringt die beste Analyse keinen Mehrwert.

Über den Autor: Ralf Lüneburg ist Managing Consultant für Informationssicherheit bei der intersoft consulting services AG. Seit mehr als 20 Jahren begleitet er Unternehmen beim Aufbau und der Weiterentwicklung von Informationssicherheitsmanagementsystemen. Als zertifizierter ISO-27001- und ISO-22301-Lead-Auditor verfügt er über umfassende Erfahrung in der Prüfung und Umsetzung regulatorischer Anforderungen. Zu seinen Schwerpunkten zählen der BSI-IT-Grundschutz, NIS-2, KRITIS, Business Continuity Management und die Sicherheit Infrastrukturen