Compliance-Tools-Stack: Verbreitete Konfigurationen für KMU

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche Kostenfaktoren sind einschlägig?

Bei der Tool-Auswahl für KMU-Compliance treten in der Praxis häufig folgende Kostenfaktoren auf, deren Gewichtung von der individuellen Konstellation abhängt:

• Office- und Produktivitäts-Plattform mit aktivierten Security-Features
• Datenschutz-Management (Verfahrensverzeichnis, AVV-Verwaltung, DSFA, Lösch-Konzept)

• Awareness-Plattform (E-Learning, Phishing-Simulation, Schulungs-Tracking)
• Schwachstellen-Scanner oder Vulnerability-Management
• Backup-Lösung mit Verschlüsselung und Wiederherstellungs-Tests
• Passwort-Manager und Identity-Management
• Incident-Response-Workflow (bei NIS2-Pflicht zunehmend relevant)
• ISMS- oder Audit-Software (bei formalen Zertifizierungs-Vorhaben)

Verbindliche Anforderungen ergeben sich aus DSGVO Art. 32, NIS2-Mindeststandards und sektorspezifischen Vorgaben. Welche Tools diese Anforderungen abdecken, ist eine technische und betriebswirtschaftliche Einzelentscheidung.

Welche Konstellation passt typisch zu deinem KMU-Profil?

Basis-Konfiguration (verbreitet bei kleineren KMU):

In dieser Konstellation steht häufig eine produktive Office-Plattform im Mittelpunkt. Microsoft 365 Business Premium enthält unter anderem Microsoft Entra ID P1 (Multi-Faktor-Authentifizierung, Conditional Access), Intune (Geräteverwaltung) und Microsoft Purview (u. a. Data Loss Prevention). Bei Google Workspace hängen vergleichbare Funktionen von der gebuchten Edition ab; vor dem Kauf den Editionsvergleich des Anbieters prüfen. Rechnung: Nutzer × Preis je Nutzer und Monat × 12.

Datenschutz-Management-Tools:

Für das Verfahrensverzeichnis (Art. 30 DSGVO), die AVV-Verwaltung, Datenschutz-Folgenabschätzungen und Lösch-Konzepte bieten Anbieter wie Proliance und DataGuard Software-Lösungen an; Preis laut Angebot, meist als Jahreslizenz. In sehr kleinen Strukturen kann eine Eigenlösung mit den kostenfreien Mustern der Aufsichtsbehörden ausreichen; bis zu welcher Größe diese Variante tragfähig bleibt, ist eine Einzelfallentscheidung. Für diese Rechnung zählt auch der eigene Pflegeaufwand: Stunden × interner Stundensatz.

AVV-Verwaltung:

Mit jedem Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nötig; der Verwaltungsaufwand wächst mit der Zahl der Dienstleister. Manche Datenschutz-Tools integrieren dieses Modul. Rechnung für eine separate Lösung: Lizenzpreis laut Angebot plus Pflegestunden × interner Stundensatz.

Awareness-Plattformen:

E-Learning für DSGVO und Informationssicherheit, regelmäßige Phishing-Simulationen und Tracking der Schulungs-Quoten. Anbieter sind etwa SoSafe, KnowBe4, Hornetsecurity und G DATA. Abgerechnet wird meist je Nutzer: Mitarbeitende × Preis je Nutzer und Monat × 12.

Externer Datenschutzbeauftragter (DSB):

Nach § 38 Abs. 1 BDSG ist ein DSB zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, sowie unabhängig von der Personenzahl bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen, oder bei geschäftsmäßiger Verarbeitung zur Übermittlung oder für Markt- und Meinungsforschung. Hinzu kommt Art. 37 Abs. 1 DSGVO. Kosten: Monatspauschale laut Angebot × 12 plus gesondert abgerechnete Leistungen.

Welche Marktoptionen sind verbreitet?

Schwachstellen-Scanner:

Tools wie Greenbone (Open Source), Tenable Nessus, Qualys und vergleichbare Lösungen scannen Netzwerke regelmäßig auf bekannte Schwachstellen. Relevant vor allem bei eigener Server-Infrastruktur oder aus dem Internet erreichbaren Systemen. Open-Source-Varianten verursachen vor allem Konfigurations- und Betriebsaufwand (Stunden × interner Stundensatz); kommerzielle Lösungen werden meist nach Zahl der gescannten Systeme lizenziert (Systeme × Preis laut Angebot).

Passwort-Manager:

Beispiele sind 1Password Business, Bitwarden Teams und Keeper Business; Rechnung: Nutzer × Preis je Nutzer und Monat × 12. Das BSI empfiehlt Passwort-Manager auf seinen Verbraucherseiten; im IT-Grundschutz-Kompendium verlangt der Baustein ORP.4 (Identitäts- und Berechtigungsmanagement) in der Anforderung ORP.4.A8, die Nutzung eines Passwort-Managers zu prüfen.

Backup-Lösungen mit Verschlüsselung:

Veeam, Acronis, Synology Active Backup und vergleichbare Lösungen werden bei eigenen Servern oder Datenbeständen außerhalb der Cloud-Plattform relevant. Rechnung: Lizenz nach geschützten Systemen oder Datenvolumen laut Angebot, plus Hardware bzw. Speicher, plus Zeit für regelmäßige Wiederherstellungstests.

Incident-Response-Tools:

Für strukturierte Fallbearbeitung gibt es Plattformen wie TheHive (StrangeBee) und DFIR-IRIS (Open Source). Für viele KMU reicht zunächst ein dokumentierter Incident-Response-Plan mit Meldewegen; NIS2-Einrichtungen müssen die Fristen nach § 32 BSIG (24 Stunden / 72 Stunden / ein Monat) einhalten können. Kosten: Lizenz bzw. Betriebsaufwand laut Angebot oder eigener Kalkulation.

ISMS- und Audit-Software:

Beispiele sind HiScout und verinice. Preis laut Angebot, dazu Einführungs- und Pflegeaufwand (Stunden × interner Stundensatz). Sinnvoll vor allem bei formaler ISO-27001- oder BSI-Grundschutz-Zielsetzung; bei reiner DSGVO-Compliance kann eine Eigenlösung ausreichen.

Was sind verbreitete Fehlkauf-Muster?

Drei Muster, die sich vermeiden lassen:

Muster 1: Enterprise-Suite ohne Bedarf. Eine umfassende Suite mit hohem Setup-Aufwand wird angeschafft, ohne dass die Organisation die Komplexität trägt. Folge: hohe Initialkosten ohne entsprechende Nutzung.

Muster 2: Tool ohne Pflege-Plan. Ein Tool wird angeschafft, ohne dass eine verantwortliche Pflege definiert ist. Verfahrensverzeichnisse veralten, AVVs werden nicht eingepflegt, der Reifegrad sinkt trotz Lizenz-Kosten.

Muster 3: Mehrfach-Tools für die gleiche Aufgabe. Datenschutz-Generator, separates AVV-Tool und ISMS, die nicht integriert sind, führen zu doppelter Pflege und doppelten Kosten.

Welche Konstellationen erfordern abweichendes Vorgehen?

• Solo-Selbständige ohne Mitarbeitende: Oft genügen eine Office-Plattform mit aktivierter Multi-Faktor-Authentifizierung, ein Passwort-Manager und ein selbst gepflegtes Verarbeitungsverzeichnis. Einen Datenschutzbeauftragten verlangt § 38 Abs. 1 BDSG hier in der Regel nicht.
• Vereine: Die DSGVO gilt auch für Vereine, sobald sie personenbezogene Daten wie Mitgliederdaten verarbeiten. Der Tool-Bedarf richtet sich nach Umfang der Verarbeitung; oft reichen Vorlagen und ein gepflegtes Verarbeitungsverzeichnis.
• Unternehmen mit ausschließlich anonymen Daten: Die Anonymisierung muss dokumentiert und regelmäßig überprüft sein, eine pauschale Annahme „wir verarbeiten keine personenbezogenen Daten" trägt im Auditfall meist nicht.

• Stark regulierte Sektoren (Gesundheit, Finanzdienstleister, KRITIS): Sektorspezifische Vorgaben, etwa DORA im Finanzsektor, können zusätzliche Anforderungen an den Tool-Stack stellen.
• Konzern-Lieferanten: Anforderungen aus Lieferanten-Audits können den Stack über die gesetzliche Mindestanforderung hinaus erweitern.

Nächster Schritt

Für eine erste Orientierung zum eigenen Verfahrensverzeichnis steht der Verfahrensverzeichnis-Generator zur Verfügung. Mehr zum Tool-Stack unter NIS2: NIS2-Tools-Stack: Verbreitete KMU-Konfigurationen.

Tool-Auswahl ist kein einmaliger Akt. Eine jährliche Stack-Review mit dokumentierter Nutzungs-Auswertung deckt ungenutzte Lizenzen auf, die vermeidbare laufende Kosten verursachen.