Compliance-Outsourcing vs. Inhouse: Kosten mit eigenen Zahlen vergleichen

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche Kostenfaktoren sind einschlägig?

Bei der Entscheidung zwischen Outsourcing und Inhouse-Aufbau spielen in der KMU-Praxis mehrere Kostenfaktoren eine Rolle, deren Gewichtung von der individuellen Konstellation abhängt:

• Honoraraufwand externer Spezialisten (DSB, ISO-Beratung, NIS2-Beratung)
• Personalkosten interner Stellen (Brutto-Gehalt, Lohnnebenkosten, Ausbildung, Fortbildung)
• Opportunitätskosten (Vertretungs-Regelungen bei Krankheit/Urlaub, Wissens-Risiko bei Job-Wechsel)
• Wegekosten und Transaktionskosten (Onboarding externer Dienstleister, Zugangsmanagement)
• Compliance-Risiko (Verfügbarkeit, Reaktionszeit im Vorfall)

Eine isolierte Kostenbetrachtung greift zu kurz, Verfügbarkeit, Vertraulichkeit und Spezialisierungs-Tiefe sind häufig ebenso entscheidend wie der Honorarsatz.

Wie rechnet man die einzelnen Posten?

Externer Datenschutzbeauftragter (DSB):

Externe DSB bieten spezialisierte Beratungsunternehmen, Datenschutz-Kanzleien und freiberufliche DSB an. Der Berufsverband der Datenschutzbeauftragten (BvD) nennt auf seiner Kostenseite nur grobe Größenordnungen und keine nach Mitarbeiterzahl gestaffelten Honorare. Für den eigenen Vergleich zählt das konkrete Angebot:

• Monatspauschale × 12
• plus Zusatzleistungen außerhalb der Pauschale: Stunden × Stundensatz laut Angebot
• plus eigener Aufwand für Zuarbeit an den DSB: Stunden × interner Stundensatz

Im Angebot zu klären ist, was die Pauschale abdeckt, etwa Audit, Schulungen, Reaktionszeit, Unterstützung bei Anfragen Betroffener oder Behörden, und was gesondert abgerechnet wird, etwa Datenschutz-Folgenabschätzungen oder Projektberatung.

Interner Datenschutzbeauftragter:

Die Kosten ergeben sich aus dem Anteil der Arbeitszeit, den die Aufgabe bindet, × Personalkosten der benannten Person (Bruttogehalt plus Arbeitgeberanteile). Hinzu kommen die Erstausbildung (Lehrgangsgebühr laut Anbieter plus Arbeitszeit für die Lehrgangstage) und laufende Fortbildung; der Verantwortliche muss dem DSB die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellen (Art. 38 Abs. 2 DSGVO). Den Zeitanteil bestimmen Zahl der Verarbeitungstätigkeiten, besondere Datenkategorien und die Zahl der Anfragen.

NIS2-Beratung, Projekt-Geschäft:

NIS2-Beratungs-Engagements sind häufig projektbasiert strukturiert.

• Erstaufsetzung (einmalig): Beratertage × Tagessatz laut Angebot. Umfasst typischerweise Risikoanalyse, Gap-Analyse zu den Maßnahmen nach § 30 BSIG, Incident-Response-Plan, Lieferanten-Risiko-Management, Awareness-Konzept und Dokumentation.
• Laufende Begleitung (jährlich): vereinbartes Stundenkontingent × Stundensatz oder Jahrespauschale laut Angebot. Umfasst etwa Dokumentations-Updates, Vorfall-Begleitung und Audit-Unterstützung.

Eine interne Alternative setzt eine Person mit IT-Security-Hintergrund voraus, die für die Dauer des Projekts freigestellt werden kann. Rechnung: freigestellter Stellenanteil × Projektdauer × Personalkosten, plus Sachkosten für Schulung, Vorlagen und gegebenenfalls externe Reviews laut Angebot.

Welche Marktoptionen sind verbreitet?

Managed Security Operations Center (SOC):

SOC-Leistungen lassen sich als Managed Service beziehen. Die Preise werden meist nach Zahl der überwachten Endgeräte bzw. Systeme, Service-Level und Erkennungstiefe kalkuliert: überwachte Einheiten × Preis je Einheit laut Angebot, plus gegebenenfalls Einrichtung. Inhaltlich typischerweise: 24/7-Monitoring, Angriffs-Erkennung, Alarmierung, gegebenenfalls Erst-Reaktion.

Ein vollständig inhouse betriebenes SOC mit 24/7-Besetzung braucht mehrere Vollzeitkräfte im Schichtdienst, weil eine Woche 168 Stunden hat, dazu SIEM-Lizenzen und laufende Schulung. Rechnung: Zahl der Stellen × Personalkosten, plus Lizenzen und Schulung. Diese Summe gegen das Managed-SOC-Angebot halten.

Mögliche Modelle (Orientierung, keine Marktstatistik):

• Rein extern: liegt nahe, wenn das interne Aufgabenvolumen eine eigene Stelle nicht auslastet.
• Hybrid: interne Koordination, etwa durch einen Informationssicherheitsbeauftragten, plus externe Spezialisten für DSB, NIS2-Beratung und gegebenenfalls Managed SOC.
• Überwiegend intern: eigenes Security-Team; extern bleiben etwa Pentests, Audits und gegebenenfalls der DSB. Ein externer DSB kann helfen, Interessenkonflikte nach Art. 38 Abs. 6 DSGVO zu vermeiden.

Welche Entscheidungs-Dimensionen sind relevant?

Vier Fragen, die in der Praxis häufig den Ausschlag geben:

1. Auslastung: Eine eigene Stelle rechnet sich nur bei ausreichendem Aufgabenvolumen. Maßstab ist der Vergleich: gebundener Zeitanteil × Personalkosten gegen den Angebotspreis.
2. Expertise: Ein bestimmtes Zertifikat schreibt das Gesetz nicht vor; verlangt wird Fachwissen nach Art. 37 Abs. 5 DSGVO. DSB-Lehrgänge dauern wenige Tage bis rund zwei Wochen (die GDD-Ausbildung etwa 10 Tage). Praxiserfahrung, auch zu NIS2, entsteht erst über die laufende Tätigkeit.
3. Vertraulichkeit der Daten: Bei sehr hoher Sensitivität kann inhouse trotz Unwirtschaftlichkeit sinnvoll sein. Auch externe DSB sind gesetzlich zur Verschwiegenheit verpflichtet (Art. 38 Abs. 5 DSGVO; § 38 Abs. 2 i. V. m. § 6 Abs. 5 S. 2 BDSG).
4. Risiko- und Wissens-Strategie: Externe bringen Querschnitts-Erfahrung aus vielen Mandaten, interne bauen tiefes Hauswissen auf, beide Wege haben Vor- und Nachteile.

Welche Konstellationen erfordern abweichendes Vorgehen?

• Solo-Selbständige und Kleinstunternehmen: Ein DSB ist nicht erforderlich, wenn weder § 38 Abs. 1 BDSG (in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt, Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen, oder geschäftsmäßige Verarbeitung zum Zweck der Übermittlung oder für Markt- oder Meinungsforschung) noch Art. 37 Abs. 1 DSGVO greift. Die übrigen DSGVO-Pflichten bleiben bestehen; punktuelle Beratung kann dann ausreichen.
• Sehr einfache IT-Struktur (vollständig Cloud-basiert, kein eigener Server): Ob NIS2-Pflichten bestehen, hängt nach § 28 BSIG von der Einrichtungsart (Anlagen 1 und 2) und der Größe ab, bei Betreibern kritischer Anlagen, Vertrauensdiensteanbietern, TLD-Registries und DNS-Diensteanbietern unabhängig von der Größe, nicht aber von der IT-Struktur. Eine schlanke IT kann aber den Umsetzungsaufwand verringern.
• Stark regulierte Sektoren (Gesundheit, Finanzdienstleister, KRITIS): Sektorspezifische Vorgaben können sowohl interne Funktions-Anforderungen als auch externe Beratungs-Bedarfe deutlich erhöhen.

• Konzern-Tochtergesellschaften: Häufig konzerninterne Compliance-Vorgaben, die das hier skizzierte Modell überlagern.
• Stark internationalisierte Unternehmen: Mehrere Jurisdiktionen erfordern häufig spezialisierte externe Begleitung mit Länder-Expertise.

Nächster Schritt

Für eine erste Klärung der eigenen NIS2-Betroffenheit steht der NIS2-Check zur Verfügung; er liefert eine erste Grundlage für die Inhouse-versus-Extern-Entscheidung. Vertiefend: NIS2 selbst machen vs. Berater: Kostenvergleich.

Die riskanteste Variante ist weder rein extern noch rein intern, sondern die Variante „keine strukturierte Befassung", diese kann im Vorfall überproportional teuer werden und ist mit zunehmender Regulierungs-Dichte nicht mehr tragfähig.