Externer CISO: Wie KI die Lücke schließt

(ISC)² schätzt, dass weltweit 3,5 Millionen Cybersicherheitsstellen unbesetzt sind (2025). Der Fachkräftemangel ist global, und KMU tragen die Hauptlast: Erfahrene CISOs verlangen Gehälter von 120 000 bis 200 000 USD, und die meisten kleinen bis mittelgroßen Unternehmen können schlicht nicht mitbieten. Das Ergebnis: Sicherheit wird "nebenbei" vom IT-Leiter, dem Systemadministrator oder von niemandem erledigt.

Die tatsächlichen Kosten eines internen CISO

Betrachten wir die Zahlen für ein Unternehmen mit 100-200 Mitarbeitern:

• Vollständiges CISO-Gehalt: 150 000 bis 250 000 USD/Jahr (inklusive Lohnnebenkosten und Sozialabgaben)

• Tools und Lizenzen: 30 000 bis 80 000 USD/Jahr (EDR, SIEM, Schwachstellenscanner, Schulungen)

• Rekrutierung: 6-12 Monate Suche, 15-25 % des Gehalts an Vermittlungsgebühren

• Bindung: Durchschnittliche Verweildauer eines CISO: 26 Monate (Heidrick & Struggles 2024). Fluktuation ist ein struktureller Kostenfaktor.

Minimalkosten: 200 000 bis 330 000 USD/Jahr für eine einzelne Person, die realistisch betrachtet nicht rund um die Uhr überall sein kann.

Der externe CISO (Teilzeit/virtuell)

Das Modell des externen CISO existiert seit über einem Jahrzehnt. Das Prinzip: Ein erfahrener Berater teilt seine Zeit auf 3 bis 6 Kunden auf. Er ist 2 bis 5 Tage pro Monat im Einsatz, steuert die Sicherheitsstrategie, erstellt Richtlinien, leitet Audits und reagiert auf schwerwiegende Vorfälle.

Vorteile

• Kontrollierte Kosten: 3 000 bis 8 000 USD/Monat je nach Umfang, also 36 000 bis 96 000 USD/Jahr

• Senior-Expertise: Sie erhalten Zugang zu einem Profil mit 10-15 Jahren Erfahrung, das Sie nicht in Vollzeit einstellen könnten

• Multi-Kunden-Perspektive: Der externe CISO sieht Bedrohungen und Best Practices aus verschiedenen Branchen

• Flexibilität: Aufstockung bei Audits oder Vorfällen möglich

Grenzen

• Verfügbarkeit: Bei 3 Tagen/Monat ist Ihr CISO nicht da, wenn der Vorfall am Freitagabend eintritt

• Tiefe: Er kennt Ihre Strategie, aber nicht unbedingt die Anomalie auf Server 47 in Rack B2

• Umsetzung: Der externe CISO steuert, setzt aber nicht um. Wer implementiert die Empfehlungen zwischen seinen Besuchen?

• Skalierbarkeit: Das menschliche Modell skaliert nicht. Der Markt wird enger, gute Profile sind überbegehrt.

Der KI-Agent als Kraftmultiplikator

Die Idee ist nicht, den externen CISO zu ersetzen, sondern ihn 10-mal effektiver zu machen. So wirkt ThreatClaw als Multiplikator:

• 24/7-Überwachung: Der Agent schläft nicht, macht keinen Urlaub, teilt nicht seine Zeit. Er überwacht kontinuierlich, während sich der menschliche CISO auf die Strategie konzentriert.

• Automatisierte Triage: Statt 200 zu sortierende Alarme am Besuchstag erhält der externe CISO 5 qualifizierte, priorisierte und dokumentierte Vorfälle.

• Umsetzung zwischen Besuchen: Die 49 Skills laufen kontinuierlich, Schwachstellenscans, Konfigurationsprüfungen, Compliance-Audits. Die operative Arbeit schreitet voran, auch wenn der CISO nicht da ist.

• Institutionelles Gedächtnis: Der externe CISO wechselt den Kunden oder verlässt den Markt? Der Agent bewahrt die gesamte Historie, Baselines, Konfigurationen und Berichte auf.

• Sofortige Reaktion: Im Sentinel- oder Hybrid-Modus alarmiert der Agent den CISO. Im autonomen Modus dämmt er die Bedrohung ein, ohne zu warten.

Das kombinierte Modell: Externer CISO + KI-Agent

In der Praxis sieht die effektivste Kombination so aus:

• Externer CISO (2-4 Tage/Monat): Governance, Sicherheitskomitee, Vorstandsbeziehungen, strategisches Risikomanagement, Audit-Steuerung, NIS2/DSGVO-Compliance

• ThreatClaw (24/7): Kontinuierliches Monitoring, Verhaltensbasierte Erkennung, Automatisierte Triage, Schwachstellenscans, Vorfallsreaktion, Berichtsgenerierung

• Interner Systemadministrator / DevOps: Setzt vom CISO freigegebene Abhilfemaßnahmen um, wartet Systeme, eskaliert Entscheidungen an den CISO

Gesamtkosten dieses Modells: 50 000 bis 120 000 USD/Jahr je nach CISO-Umfang und ThreatClaw-Plan. Das ist 2- bis 4-mal weniger als ein interner CISO, mit 24/7-Abdeckung, die der interne CISO allein nicht leisten kann.

Warnsignale: Wenn Ihr aktuelles Modell nicht mehr ausreicht

Wenn Sie eines dieser Signale erkennen, ist es Zeit, Ihren Ansatz zu überdenken:

• Ihr IT-Leiter macht "auch" Sicherheit, und das zeigt sich in den Audits

• Sie haben kein Echtzeit-Monitoring Ihrer Infrastruktur

• Ihr letzter Schwachstellenscan liegt mehr als 3 Monate zurück

• Sie könnten den NIS2 Art.23-Bericht nicht innerhalb von 24 Stunden erstellen

• Ihr Incident-Response-Plan steht in einer E-Mail von 2019

• Sie haben internetexponierte Anwendungen ohne WAF oder regelmäßiges Scanning

Der Fachkräftemangel ist kein vorübergehendes Problem

Seien wir realistisch: Der Fachkräftemangel in der Cybersicherheit wird nicht verschwinden. Das Bedrohungsvolumen wächst schneller als die Zahl ausgebildeter Fachleute. Das Modell, für jede Sicherheitsaufgabe einen Menschen zu suchen, ist strukturell gescheitert. KI ist kein Notbehelf, sie ist das neue operative Modell.

Organisationen, die das verstanden haben, kombinieren menschliche Expertise (Strategie, Governance, komplexe Entscheidungen) mit maschineller Ausführung (Monitoring, Erkennung, operative Reaktion). Genau das ermöglicht ThreatClaw.

FAQ

Kann ein KI-Agent einen CISO ersetzen?

Nein. Ein KI-Agent übernimmt operative Aufgaben: Erkennung, Triage, Scanning, Vorfallsreaktion. Der CISO liefert die strategische Vision, das geschäftliche Risikomanagement, die Vorstandsbeziehungen und den regulatorischen Dialog. Beide sind komplementär. Der Agent befreit den CISO von repetitiven Aufgaben, damit er sich auf das Wesentliche konzentrieren kann.

Was kostet ein externer CISO?

Die Tarife variieren nach Erfahrung und Umfang. Übliche Spanne: 1 500 bis 2 500 USD/Tag, bei einem Engagement von 2 bis 5 Tagen/Monat. Das sind 3 000 bis 12 500 USD/Monat. Einige Firmen bieten monatliche Pauschalen einschließlich Incident-Bereitschaft an. Vergleichen Sie mit 200-330 K USD/Jahr für einen internen CISO.

Kann mein Systemadministrator die Sicherheit mit ThreatClaw managen?

Für operative Aufgaben, ja. ThreatClaw automatisiert Erkennung, Triage und Reporting. Ihr Systemadministrator setzt die Abhilfemaßnahmen um. Aber Governance (Richtlinien, Risikoanalyse, Compliance) erfordert CISO-Expertise, auch wenn extern. Ein initiales Sicherheitsaudit wird empfohlen, um den Bedarf zu bewerten.

Ab welcher Größe braucht ein Unternehmen einen dedizierten CISO?

Als Faustregel gilt: Ab 500 Mitarbeitern oder in stark regulierten Branchen (Gesundheitswesen, Finanzen, Energie) ist ein interner CISO gerechtfertigt. Darunter bietet das Modell externer CISO + KI-Agent ein besseres Verhältnis von Abdeckung zu Kosten. Der entscheidende Faktor ist in der Regel das Volumen sensibler Daten und die regulatorischen Pflichten, nicht allein die Unternehmensgröße.