Build vs. Buy: Eigenentwicklung oder fertige Lösung für ISMS-Prozesse

Die Excel-Falle: Warum das Thema wichtiger ist, als es klingt

Fast jedes ISMS im Mittelstand beginnt mit Excel. Das ist verständlich: Excel ist verfügbar, die Lernkurve ist null, und für die ersten Schritte reicht es vollkommen aus. Du erstellst eine Risikobewertung als Tabelle, trackst Maßnahmen in einem weiteren Tabellenblatt, legst Richtlinien als Word-Dokumente auf dem Netzlaufwerk ab und verwaltest den Schulungsnachweis in einer dritten Datei.

Sechs Monate später hast du 15 Dateien in vier verschiedenen Ordnern, drei davon mit dem Suffix "_v2_final_korrigiert". Der ISB verbringt einen halben Tag pro Woche damit, Daten zwischen Tabellen manuell zu synchronisieren. Die Risikobewertung ist nicht mehr aktuell, weil die letzte Aktualisierung zwei Monate zurückliegt und niemand sicher weiß, welche Version die aktuelle ist. Der externe Auditor fragt nach dem Zusammenhang zwischen einem Risiko und der zugehörigen Maßnahme, und du brauchst zehn Minuten, um die richtige Zeile in der richtigen Tabelle zu finden.

Das ist keine Übertreibung. Es ist der Normalzustand in Unternehmen, die ihr ISMS mit Bordmitteln betreiben. Und es ist der Punkt, an dem die Frage "Build vs. Buy" von einer theoretischen Überlegung zu einer operativen Notwendigkeit wird.

Was bedeutet "Build" und was bedeutet "Buy"?

Bevor wir in die Analyse einsteigen, eine Klarstellung der Begriffe.

Build: Eigenentwicklung und Bordmittel

"Build" bedeutet nicht, dass du eine eigene ISMS-Software programmierst. Es bedeutet, dass du vorhandene Werkzeuge kombinierst und anpasst, um die ISMS-Prozesse abzubilden. Typische Build-Varianten:

• Excel und Word: Die Basisvariante. Risikobewertung als Spreadsheet, Richtlinien als Word-Dokumente, Maßnahmentracking als weitere Tabelle.
• SharePoint und Microsoft 365: SharePoint-Listen für Risiken und Maßnahmen, Power Automate für Workflows, Teams-Kanäle für Kommunikation, OneDrive für Dokumentenmanagement.
• Confluence und Jira: Richtlinien als Confluence-Seiten, Maßnahmen als Jira-Tickets, Dashboards für den Überblick.
• Eigenentwicklung: Ein intern entwickeltes Tool, beispielsweise eine Webanwendung oder eine Datenbanklösung, die genau auf die eigenen Prozesse zugeschnitten ist.
• Hybridlösungen: Kombination aus mehreren der obigen Ansätze, oft gewachsen statt geplant.

Buy: Spezialisierte ISMS-Software

"Buy" bedeutet, dass du ein dediziertes Tool einsetzt, das speziell für den Betrieb eines ISMS entwickelt wurde. Diese Tools bilden die Kernprozesse des ISMS ab: Risikobewertung, Maßnahmenmanagement, Dokumentenverwaltung, Audit-Management, Schulungsnachweise und Reporting.

Die Bandbreite reicht von schlanken, auf den Mittelstand zugeschnittenen Lösungen bis zu umfassenden GRC-Plattformen (Governance, Risk, Compliance), die neben ISMS auch Datenschutz, IT-Governance und Compliance-Management abdecken.

Die Build-Option im Detail

Vorteile der Eigenentwicklung

Keine zusätzlichen Lizenzkosten. Wenn du bereits Microsoft 365 oder Atlassian-Lizenzen hast, entstehen für die ISMS-Nutzung keine direkten Mehrkosten. Das ist ein starkes Argument, besonders in budgetsensiblen Umgebungen.

Maximale Flexibilität. Du kannst die Werkzeuge exakt an deine Prozesse anpassen. Wenn dein Risikobewertungsprozess eine ungewöhnliche Methodik verwendet oder du branchenspezifische Zusatzfelder brauchst, bist du nicht an die Vorgaben eines Tools gebunden.

Bekannte Umgebung. Die Mitarbeiter kennen Excel, SharePoint oder Confluence bereits. Die Einarbeitungszeit ist minimal, und du brauchst keine Schulung für ein neues Tool.

Schneller Start. Du kannst sofort loslegen. Keine Beschaffung, keine Implementierung, keine Konfiguration. Am ersten Tag des ISMS-Projekts erstellst du die erste Excel-Tabelle und beginnst mit der Arbeit.

Nachteile und versteckte Kosten

Manuelle Datenverknüpfung. Das größte Problem der Build-Option ist die fehlende Verknüpfung zwischen den verschiedenen ISMS-Prozessen. In einem spezialisierten Tool ist ein Risiko automatisch mit den zugehörigen Assets, Maßnahmen und Controls verknüpft. In Excel musst du diese Verknüpfungen manuell pflegen. Das kostet Zeit, ist fehleranfällig und macht die Auditvorbereitung aufwändig.

Versionschaos. Wer hat die aktuelle Version der Risikobewertung? Ist die Richtlinie auf dem Netzlaufwerk noch aktuell oder gibt es eine neuere Version im E-Mail-Postfach des ISB? Ohne ein dediziertes Versionierungssystem für ISMS-Dokumente entsteht Chaos, das im Audit peinlich wird.

Kein Audit-Trail. ISO 27001 und andere Standards erwarten, dass du nachvollziehen kannst, wer wann welche Änderung an einem Dokument oder einer Risikobewertung vorgenommen hat. Excel bietet das nicht. SharePoint bietet eine rudimentäre Versionierung, aber keinen vollständigen Audit-Trail.

Skalierungsprobleme. Was mit 30 Risiken und 50 Maßnahmen noch übersichtlich ist, wird mit 100 Risiken und 200 Maßnahmen unhandlich. Excel-Tabellen mit Hunderten von Zeilen und Dutzenden von Spalten sind kein effektives Managementinstrument mehr.

Wissensabhängigkeit. Wer hat die Excel-Makros geschrieben? Wer versteht die SharePoint-Workflows? Wer kennt die Verknüpfungslogik? Wenn der ISB das Unternehmen verlässt, steht sein Nachfolger vor einem System, das nur eine Person verstanden hat.

Wartungsaufwand. Die initiale Erstellung ist günstig, aber die laufende Pflege ist teuer. Jede Änderung an der Risikobewertungsmethodik erfordert manuelle Anpassungen an der Tabelle. Jedes neue Reporting-Format erfordert neue Pivot-Tabellen oder Charts. Der kumulative Aufwand über drei Jahre übersteigt in vielen Fällen die Kosten einer dedizierten Lösung.

Die Buy-Option im Detail

Vorteile spezialisierter ISMS-Tools

Integrierte Prozesslandschaft. Alles hängt zusammen: Risiken sind mit Assets und Maßnahmen verknüpft. Maßnahmen sind mit Controls verknüpft. Controls sind mit Richtlinien verknüpft. Das ergibt ein konsistentes Bild, das du im Audit mit wenigen Klicks demonstrieren kannst.

Audit-Trail und Nachvollziehbarkeit. Jede Änderung wird protokolliert. Wer hat wann die Risikobewertung geändert? Wann wurde die Richtlinie zuletzt freigegeben? Wer hat die Maßnahme als umgesetzt markiert? Diese Nachvollziehbarkeit ist im Audit Gold wert.

Standardisierte Vorlagen und Frameworks. Gute ISMS-Tools liefern Vorlagen für Risikobewertungen, Richtlinien und Controls mit, die an anerkannte Standards wie ISO 27001 oder BSI IT-Grundschutz angelehnt sind. Das spart Aufbauzeit und stellt sicher, dass du nichts Wesentliches vergisst.

Automatisiertes Reporting. Statusberichte, Reifegradanalysen, offene Maßnahmen, Risikoübersichten: All das generiert das Tool auf Knopfdruck. Statt Stunden in die Erstellung eines Management-Reports zu investieren, produzierst du ihn in Minuten.

Erinnerungen und Workflows. Fällige Maßnahmen, anstehende Reviews, ablaufende Richtlinien: Das Tool erinnert die Verantwortlichen automatisch. In einer Excel-Welt muss der ISB diese Termine manuell überwachen und Einzelpersonen ansprechen.

Nachteile und Risiken

Lizenzkosten. ISMS-Tools kosten Geld. Die Preisspanne reicht von 200 Euro pro Monat für schlanke Lösungen bis zu 5.000 Euro und mehr pro Monat für Enterprise-GRC-Plattformen. Diese Kosten müssen über die gesamte Nutzungsdauer betrachtet werden.

Einarbeitungszeit. Jedes neue Tool erfordert Einarbeitung. Der ISB muss das Tool verstehen und konfigurieren. Die Risikoeigner müssen lernen, wie sie Risiken im Tool bewerten. Die Geschäftsführung muss die Dashboards lesen können. Rechne mit zwei bis vier Wochen Einarbeitungszeit, bevor das Tool produktiv genutzt werden kann.

Vendor Lock-in. Deine gesamte ISMS-Dokumentation, deine Risikobewertungen und deine Maßnahmenhistorie liegen in einem Tool. Wenn der Anbieter die Preise erhöht, den Betrieb einstellt oder die Software in eine Richtung weiterentwickelt, die dir nicht passt, hast du ein Problem. Achte auf Exportmöglichkeiten und offene Datenformate.

Überangebot an Funktionen. Enterprise-GRC-Plattformen bieten oft so viele Funktionen, dass ein mittelständisches Unternehmen nur einen Bruchteil davon nutzt, aber den vollen Preis bezahlt. Und die Komplexität des Tools kann die Akzeptanz bei den Nutzern senken.

Anpassungsgrenzen. Kein Tool passt perfekt zu deinen Prozessen. In manchen Fällen musst du deine Prozesse an das Tool anpassen, nicht umgekehrt. Das kann sinnvoll sein (wenn das Tool Best Practices erzwingt) oder problematisch (wenn es deine bewährten Abläufe unnötig verkompliziert).

Kostenvergleich über drei Jahre

Ein fairer Vergleich muss die Gesamtkosten über mindestens drei Jahre betrachten, nicht nur die Anschaffungskosten im ersten Jahr. Hier eine vereinfachte Rechnung für ein Unternehmen mit 150 Mitarbeitern.

Build-Option (Excel und SharePoint)

Bei einem internen Stundensatz von 60 Euro ergibt das Personalkosten von rund 57.600 Euro über drei Jahre, plus das Risiko von Fehlern, Inkonsistenzen und einem Audit-Befund wegen mangelnder Nachvollziehbarkeit.

Buy-Option (spezialisiertes ISMS-Tool)

Personalkosten: rund 20.100 Euro. Plus 18.000 Euro Lizenzkosten. Gesamtkosten: 38.100 Euro über drei Jahre.

Der Unterschied von fast 20.000 Euro mag nach wenig klingen, aber er ignoriert die qualitativen Vorteile: bessere Audit-Ergebnisse, weniger Fehler, höhere Akzeptanz bei den Nutzern und die Möglichkeit, den ISB für wertschöpfende Arbeit statt für Datenpflege einzusetzen. Ein Tool wie ISMS Lite kostet ab 500 Euro pro Jahr oder als Einmalkauf für 2.500 Euro und liegt damit weit unter den 6.000 Euro pro Jahr in der obigen Rechnung, bei gleichzeitig integrierter Prozesslandschaft mit Risikobewertung, Maßnahmentracking und Audit-Trail.

Entscheidungsmatrix: Was passt zu deinem Unternehmen?

Nicht jedes Unternehmen braucht sofort ein spezialisiertes Tool. Und nicht jeder Build-Ansatz ist zum Scheitern verurteilt. Die richtige Entscheidung hängt von deiner spezifischen Situation ab.

Build ist sinnvoll, wenn ...

• Du gerade erst mit dem ISMS anfängst und den Scope noch nicht genau kennst
• Das Unternehmen weniger als 50 Mitarbeiter hat und das ISMS überschaubar ist
• Kein Budget für ein Tool vorhanden ist und du erstmal beweisen musst, dass ein ISMS funktioniert
• Du nur eine Handvoll Risiken und Maßnahmen managst
• Keine Zertifizierung angestrebt wird und das ISMS primär internen Zwecken dient

Buy ist sinnvoll, wenn ...

• Das Unternehmen mehr als 50 Mitarbeiter hat und die Komplexität des ISMS wächst
• Eine ISO-27001-Zertifizierung angestrebt wird oder bereits besteht
• Mehrere Personen am ISMS arbeiten und eine gemeinsame Datenbasis brauchen
• Regulatorische Anforderungen (NIS2, TISAX, DORA) eine nachvollziehbare ISMS-Dokumentation erfordern
• Der ISB mehr als einen halben Tag pro Woche für Toolpflege statt für inhaltliche Arbeit aufwendet

Hybridansatz als Kompromiss

In der Praxis funktionieren Hybridansätze oft am besten. Du nutzt ein spezialisiertes Tool für das Kernmanagement (Risikobewertung, Maßnahmentracking, Dokumentenverwaltung) und behältst bewährte Werkzeuge für Teilprozesse bei. Schulungen laufen weiter über dein LMS. Technische Maßnahmen werden im IT-Ticketsystem getrackt und im ISMS-Tool als referenziert hinterlegt. Richtlinien werden im ISMS-Tool verwaltet, aber über das Intranet publiziert.

Der Schlüssel ist, dass ein System als "Single Source of Truth" für den ISMS-Status dient. Egal wo die operative Arbeit stattfindet, der Gesamtüberblick muss an einer Stelle zusammenlaufen.

Auswahlkriterien für ISMS-Tools

Wenn du dich für den Buy-Ansatz entscheidest, stehst du vor einer Marktübersicht mit Dutzenden von Anbietern. Die folgenden Kriterien helfen dir bei der Auswahl.

Muss-Kriterien

• ISO-27001-Abdeckung: Das Tool muss die Kernprozesse der ISO 27001 abbilden (Risikobewertung, SoA, Maßnahmenmanagement, Audit-Management, Management Review)
• Benutzerfreundlichkeit: Wenn das Tool so komplex ist, dass nur der ISB es bedienen kann, hast du nichts gewonnen. Risikoeigner und Management müssen intuitiv damit arbeiten können
• Exportmöglichkeiten: Du musst jederzeit deine Daten exportieren können, in offenen Formaten (CSV, PDF, JSON). Das schützt dich vor Vendor Lock-in
• Audit-Trail: Vollständige Nachvollziehbarkeit aller Änderungen mit Zeitstempel und Benutzeridentifikation
• Hosting-Modell: Cloud oder Self-hosted? Je nach Branche und regulatorischen Anforderungen kann ein Self-hosted-Modell erforderlich sein

Soll-Kriterien

• Vorlagen und Frameworks: Mitgelieferte Vorlagen für ISO 27001, NIS2, BSI IT-Grundschutz sparen Aufbauzeit
• API-Schnittstelle: Für die Integration mit bestehenden Systemen (Ticketsystem, CMDB, Monitoring)
• Automatisierte Erinnerungen: Fälligkeitsbenachrichtigungen für Maßnahmen, Reviews und Richtlinien-Updates
• Dashboard und Reporting: Übersichtliche Darstellung des ISMS-Status für unterschiedliche Zielgruppen
• Multi-Mandantenfähigkeit: Relevant, wenn du mehrere Organisationseinheiten oder Standorte getrennt verwalten willst

Der richtige Zeitpunkt für den Wechsel

Wenn du aktuell mit Excel arbeitest und überlegst, auf ein spezialisiertes Tool umzusteigen, ist der Zeitpunkt wichtig. Ein Wechsel mitten in der heißen Phase der Auditvorbereitung ist keine gute Idee. Ebenso wenig ein Wechsel, wenn du gerade erst mit dem ISMS anfängst und noch nicht weißt, welche Prozesse du brauchst.

Gute Zeitpunkte für den Wechsel sind nach der ersten Zertifizierung (wenn du weißt, was du brauchst), zu Beginn eines neuen ISMS-Jahres (wenn du ohnehin die Risikobewertung aktualisierst) oder wenn ein konkretes Schmerzproblem den Ausschlag gibt (der ISB verbringt zu viel Zeit mit Datenpflege, der Auditor bemängelt die Nachvollziehbarkeit, neue Teammitglieder können das bestehende System nicht verstehen).

Plane für die Migration vier bis acht Wochen ein. In dieser Zeit überträgst du die bestehenden Daten, konfigurierst das Tool und schulst die Nutzer. Parallel fährst du das alte System weiter, bis das neue Tool produktiv ist. Ein harter Cutover ist riskant und unnötig.

Weiterführende Artikel

• ISMS-Software auswählen: Anforderungen, Vergleich und Entscheidungshilfe
• Self-hosted vs. Cloud: Was Compliance-Anforderungen für dein Hosting bedeuten
• Was kostet ein ISMS? Budgetplanung und ROI-Betrachtung
• ISMS-Dokumentation im Überblick: Was du wirklich brauchst
• ISMS-Projekt planen: Roadmap, Meilensteine und Ressourcen