Thomas Walther · IT Consultant
Externer CISO und externer ISB für den Mittelstand
Sie erhalten Klarheit über Ihre Sicherheitsrisiken, einen priorisierten Maßnahmenplan und belastbare Berichte für die Geschäftsführung.
kostenlos · Telefon oder Video
Antwort innerhalb eines Werktags
oder direkt an kontakt@walther.systems
● Peilung aktiv · 4 Begriffe · antippen für Erklärung
Thomas Walther · IT Consultant
Externer CISO und externer ISB für den Mittelstand
Sie erhalten Klarheit über Ihre Sicherheitsrisiken, einen priorisierten Maßnahmenplan und belastbare Berichte für die Geschäftsführung.
30-Minuten-Erstgespräch anfragenkostenlos · Telefon oder Video
Antwort innerhalb eines Werktags
oder direkt an kontakt@walther.systems
01 / Lage
Wo Sie gerade stehen
Für die meisten Unternehmen schreibt kein Gesetz einen Informationssicherheitsbeauftragten vor. Meine Einschätzung: Die Gefährdung hängt nicht davon ab, ob ein Unternehmen gesetzlich reguliert ist. Hinzu kommen Fragen von Investoren, Kunden und Versicherern nach dem Stand der Informationssicherheit.
Ich steuere die Informationssicherheit, unabhängig von Ihrer IT, und berichte direkt an Sie. Dabei bin ich Ihr Übersetzer: Ich erkläre die Vorschläge von IT und Dienstleistern in der Sprache des Geschäfts und gebe Ihre Entscheidungen als Aufträge zurück. → Rollen
Die Erwartungen eines Beirats an Berichte und die Fragen einer Due Diligence sind mir aus der Praxis vertraut. Register, Berichte und Nachweise aus der Haltedauer pflege ich so, dass sie sich für die Due Diligence des Käufers vorlegen lassen. → Über mich
Als externer ISB bereite ich die Antworten mit Ihnen aus den vorhandenen Unterlagen vor. Register und Nachweise halte ich so geordnet, dass sich auch der nächste Fragebogen daraus beantworten lässt. → Rollen
Woher der Druck kommt
- BSI-Lagebericht 2025
- Von 950 angezeigten Ransomware-Angriffen trafen 80 % kleine und mittlere Unternehmen.
- Invest Europe
- Das Handbuch des Branchenverbands zählt „information technology“ ausdrücklich zu den Bereichen, die die Due Diligence eines Zielunternehmens untersucht.
- Cyberversicherung
- Der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) veröffentlicht für Cyberversicherungen einen unverbindlichen „Muster-Fragebogen zur Risikoerfassung“ für kleine und mittelständische Unternehmen.
02 / Über mich
Über mich
Ich bin Thomas Walther, IT-Consultant, und arbeite als externer CISO und externer ISB.
Werdegang
Mein Weg in die Informationssicherheit führt über die Technik. Im Jahr 2000 begann ich die Ausbildung zum IT-Systemelektroniker. Es folgten Jahre in der Systemadministration, die Verantwortung für die IT-Infrastruktur und schließlich die Leitung der IT in mehreren Unternehmen und Branchen. Parallel dazu habe ich vor der Industrie- und Handelskammer die Prüfung zum Industriemeister, Fachrichtung Elektrotechnik, abgelegt und die Ausbildereignung erworben.
Sicherheit gehörte in all diesen Jahren zu jeder Architekturentscheidung. Seit mehr als zehn Jahren ist sie mein Schwerpunkt. Ich beobachte systematisch, wie sich Angriffstechniken verändern. Daraus leite ich ab, welche Schutzmaßnahmen tatsächlich wirken. Defense in Depth ist die Arbeitsweise, nach der ich Systeme aufbaue und bewerte.
Heute verantworte ich die IT eines Unternehmens im KRITIS-nahen Umfeld, einschließlich des Einsatzes von KI. Daneben begleite ich mehrere Unternehmen als externer Informationssicherheitsbeauftragter.
Ich betreibe selbst, was ich absichere: Website, Mandantenzugang und Anmeldung laufen auf eigener Hardware. Die Probleme, über die ich Ihnen berichte, kenne ich aus dem eigenen Betrieb.
Lebenslauf
- Nachweis
- IT-Security-Manager (TÜV), PersCert TÜV Rheinland, 10.06.2025, Zertifikat Nr. 4034805, gültig bis 09.06.2028
- Nachweis
- IT-Security-Beauftragter (TÜV), PersCert TÜV Rheinland, 26.07.2024, Zertifikat Nr. 4008692, gültig bis 25.07.2027
- Nachweis
- T.I.S.P. (TeleTrusT Information Security Professional), DEKRA Certification, 27.09.2024, Registrier-Nr. PC24924-00029, gültig bis 26.09.2027
- Qualifikation
- IT-Systemelektroniker, Industriemeister Elektrotechnik (IHK, 2006), Ausbildereignung
- Erfahrung
- IT seit 2000 · Schwerpunkt Informationssicherheit seit mehr als zehn Jahren · rund 15 Jahre im Umfeld von Private Equity
- Branchen
- Hotellerie, Steuer- und Rechtsberatung, Bau, Medizin, Start-up, Sportstätten
- Profil
- LinkedIn: de.linkedin.com/in/the-it-enthusiast (öffnet neuen Tab)
Grundsätze
Keine Aussage ohne Quelle.
Was ich nicht weiß, schreibe ich so hin.
Ich prüfe, was als erledigt gemeldet wird.
Ich bin unabhängig. Ich verkaufe keine Produkte, nehme keine Provisionen und bin an keinem Anbieter beteiligt. Gearbeitet wird mit den Werkzeugen, die Sie schon haben, oder mit quelloffener Software. So bleibt alles in Ihrer Hand, auch nach dem Mandat.
Sie wollen wissen, mit wem Sie es zu tun haben? Reden wir. → Kontakt
03 / Rollen
Externer CISO, externer ISB oder beides?
Die Aufteilung ist meine Leistungsbeschreibung, keine Norm. Sie hilft bei der Frage, wer was bekommt und wer was liest.
Ich bereite Entscheidungen und Budgets vor, berichte an Geschäftsführung, Beirat und Investor und begleite Due-Diligence-Prüfungen bei Kauf und Verkauf. Einmal im Jahr prüfen wir Strategie und Roadmap und passen sie an.
Ich bewerte Risiken, plane Maßnahmen, prüfe deren Umsetzung durch IT und Dienstleister, organisiere Schulungen für die Mitarbeitenden und berichte regelmäßig an die Leitung. Meine Schlussfolgerung: Wer die IT verantwortet, sollte nicht zugleich die eigenen Maßnahmen kontrollieren. Ein externer ISB steht außerhalb dieser Linie.
Für kleinere Unternehmen und Portfoliounternehmen lohnen sich zwei getrennte Mandate nach meiner Einschätzung selten. Dann übernehme ich beide Zuschnitte. Sie bekommen einen gemeinsamen Quartalsbericht mit Statusteil (ISB) sowie Strategie- und Investorenteil (CISO). → Kosten
Fünf Fragen zur Entscheidung
Wer liest den Bericht: nur die Geschäftsführung oder auch Beirat und Investor?
Beirat und Investor im Verteiler sprechen für den CISO-Teil.
Steuert heute schon jemand den Sicherheitsprozess im Alltag?
Wenn nicht, fehlt zuerst der ISB.
Steht ein Kauf, ein Verkauf oder eine Due Diligence an?
Due Diligence und Unterlagen für den Verkauf gehören zum CISO-Zuschnitt.
Brauchen Sie vor allem Strategie, Budget und Roadmap, oder vor allem geordnete Register und Nachweise?
Das Erste ist CISO, das Zweite ISB.
Lohnen sich bei Ihrer Größe zwei getrennte Mandate?
Wenn nicht: beides in einer Person.
Was Sie in der Hand haben
- Sicherheitslagebild
- Ampel, Risiken, Maßnahmen und Lieferanten auf einer Seite → Arbeitsweise
- Risikoregister
- laufend gepflegt, dazu Register für Werte, Maßnahmen, Lieferanten
- Maßnahmenplan
- priorisiert, mit Zuständigkeiten, geschätztem Aufwand und Terminen
- Roadmap
- Ziele, Prioritäten und Reihenfolge, nur mit CISO-Teil
- Entscheidungsgrundlagen
- Quartalsbericht mit Entscheidungsbedarf vorn, mit CISO-Teil Budgetvorlagen
- Nachweise
- Alle Nachweise liegen im Bereich Ihres Unternehmens im Mandantenzugang.
Was ich nicht mache
- Nicht
- Ihre IT betreiben oder Systeme selbst einrichten. Die technische Umsetzung bleibt bei Ihrer IT oder Ihrem Dienstleister.
- Nicht
- Penetrationstests, Rund-um-die-Uhr-Bereitschaft, Zertifizierungsaudits. Wo Fachleute nötig sind, koordiniere ich sie.
- Nicht
- Die Rolle des Datenschutzbeauftragten übernehmen. Mit einem vorhandenen Datenschutzbeauftragten stimme ich die Schnittstellen ab. → Fragen
Ich berate, bereite vor und berichte. Ich entscheide nicht und gebe kein Budget frei.
04 / Arbeitsweise
Vom Erstgespräch zum Quartalsbericht.
Die Zusammenarbeit beginnt mit einem kostenlosen Erstgespräch und geht nach Bestandsaufnahme und Maßnahmenplan in eine laufende Betreuung mit Quartalsbericht über. Mit CISO-Teil kommt einmal im Jahr die Strategieprüfung dazu.
Ablauf ab dem Erstgespräch
Kostenlos, Telefon oder Video. Wir klären Ausgangslage, Anlass und die Erwartungen von Gesellschaftern, Kunden oder Versicherern. Nichts vorbereiten. Sie schreiben mir eine E-Mail mit zwei oder drei Zeitfenstern. → Kontakt
Ich erfasse Systeme, Daten, Dienstleister und vorhandene Regelungen und bewerte die wichtigsten Risiken. Schriftlicher Ist-Stand mit Risikobild, Festpreis ab 2.400 €.
Aus den Risiken entsteht ein priorisierter Plan mit Zuständigkeiten, geschätztem Aufwand und Terminen. Plan für die ersten 90 Tage, Teil der Bestandsaufnahme. Die Geschäftsführung entscheidet und gibt frei.
Ich steuere die Umsetzung mit Ihrer IT und Ihren Dienstleistern, pflege die Register, prüfe Lieferanten, koordiniere Schulungen für Ihre Mitarbeitenden und berichte jedes Quartal an Geschäftsführung, Beirat oder Investor. → Kosten
Nur mit CISO-Teil. Wir prüfen Strategie und Roadmap und bereiten das Budget für das Folgejahr vor. Eine aktualisierte Roadmap und eine Budgetvorlage. → Rollen
Dauer je nach Umfang. Die Verantwortung bleibt in jedem Schritt bei der Geschäftsführung.
Er regelt Aufgaben, Rechte und Pflichten, die Vertraulichkeit und die geordnete Übergabe aller Unterlagen bei Vertragsende, so wie es der IT-Grundschutz des BSI für externe ISB vorsieht. Erreichbarkeit und Reaktionszeiten werden vertraglich festgelegt.
Ihre Register, Berichte und Nachweise liegen im Bereich Ihres Unternehmens im Mandantenzugang und hängen nicht an mir. Zugänge richte ich einzeln und persönlich ein, eine Selbstregistrierung gibt es nicht. Anmeldung mit Passkey, Sicherheitsschlüssel oder Einmalcode. Ohne zweiten Faktor geht es nicht. Upload-Link für Dienstleister: Nachweise ablegen ohne Konto und ohne Einblick in andere Inhalte. Die Bewertung der Nachweise mache ich selbst. Dokumente direkt im Browser bearbeiten, ohne Download und ohne Mailanhang.
Gliederung des Quartalsberichts
Feste Gliederung, Entscheidungsbedarf vorn, jede Zeile mit Kennung aus dem Register. Das Lagebild ist das Deckblatt. Ampel, Risiken, Maßnahmen und Lieferanten auf einer Seite.
- 01
- Management-Summary mit Entscheidungsbedarf
- 02
- Stand des Sicherheitsmanagements
- 03
- Vorfälle
- 04
- Risiken
- 05
- Maßnahmenplan
- 06
- Sensibilisierung
- 07
- Prüfungen und Lieferanten
- 08
- Kennzahlen im Vergleich zum Vorquartal
- 09
- Ausblick auf das nächste Quartal
- 10
- Strategie- und Investorenteil, nur mit CISO-Teil
05 / Kosten
Was kosten externer CISO und externer ISB?
Die Kosten hängen vor allem vom Umfang ab: Größe des Unternehmens, Zahl der Standorte, Systeme und Dienstleister, vorhandene Dokumentation und Anforderungen von Investoren, Kunden oder Versicherern. Bei mir gliedert sich die Arbeit in eine einmalige Bestandsaufnahme zum Festpreis und eine laufende Betreuung mit Quartalsbericht.
- Laufzeit
- Für alle drei Zuschnitte gleich: 12 Monate Laufzeit, 3 Monate Kündigungsfrist zum Laufzeitende.
- Abrechnung
- Abgerechnet wird über das monatliche Stundenkontingent. Zusätzlichen Aufwand besprechen wir vorher.
- Umsatzsteuer
- Alle Preise sind Endpreise. Als Kleinunternehmer im Sinne von § 19 UStG weise ich keine Umsatzsteuer aus.
Für ein konkretes Angebot sprechen wir zuerst 30 Minuten, kostenlos. → Kontakt
06 / Fragen
Fragen zu externem CISO und externem ISB
Was vor einer Entscheidung zu klären ist, beantworte ich hier kurz.
Braucht ein Unternehmen einen ISB, wenn kein Gesetz ihn verlangt?
Eine allgemeine gesetzliche Pflicht gibt es nicht, nur einzelne Branchenregeln wie § 166 TKG. Den Bedarf begründen die Sorgfaltspflicht der Geschäftsführung und die Fragen von Investoren, Kunden und Versicherern.
Darf der ISB extern sein?
Ja. Der IT-Grundschutz des BSI sieht einen externen ISB ausdrücklich vor, wenn die Rolle intern nicht besetzt werden kann (Baustein ISMS.1, Anforderung A5). Der Vertrag regelt danach Aufgaben, Vertraulichkeit und die Übergabe bei Vertragsende.
Und wenn wir die Rolle intern besetzen?
Eine interne Besetzung bedeutet Personalkosten, Zeit für Fortbildungen und eine Vertretung. Dass eine interne Person die Abläufe kennt, ist kein dauerhafter Vorsprung: Abläufe lassen sich lernen und dokumentieren. Wo sie noch nicht dokumentiert sind, ist genau das die erste Aufgabe.
Worin unterscheiden sich ISB und Datenschutzbeauftragter?
Der Datenschutzbeauftragte überwacht den Umgang mit personenbezogenen Daten, der ISB steuert den Schutz aller wichtigen Informationen. Beide Rollen in einer Person hält das BSI für „nicht unkritisch“. Mit einem vorhandenen Datenschutzbeauftragten stimme ich die Schnittstellen ab.
Was passiert, wenn mein externer CISO oder ISB ausfällt?
Eine Vertretung gibt es nicht. Ihre Register, Berichte und Nachweise liegen im Bereich Ihres Unternehmens im Mandantenzugang; Übergabe und Datenzugang regelt der Vertrag.
Ihre Frage ist nicht dabei? Im Erstgespräch beantworte ich sie direkt. → Kontakt
Diese Antworten geben einen Überblick und ersetzen keine Rechtsberatung.
07 / Kontakt
Erstgespräch: 30 Minuten, kostenlos.
Im Erstgespräch klären wir, ob und in welcher Rolle ich Ihnen helfen kann: als externer CISO, als externer ISB oder in beiden Rollen. Sie schreiben mir eine E-Mail, wir sprechen per Telefon oder Video.
Wege zum Erstgespräch und zu mir
Nennen Sie mir zwei oder drei Zeitfenster. Fragen vorab und Unterlagen gern dazu.
Per Mail mit Terminvorschlag oder mit dem gewünschten Rückruf.
Sie schildern Anlass und Lage. Ich frage nach, was Investor, Kunden oder Versicherer erwarten. Am Ende sage ich Ihnen offen, ob und in welcher Rolle ich helfen kann. Vorbereiten müssen Sie nichts.
Passt es, erhalten Sie ein Angebot für die Bestandsaufnahme und die laufende Betreuung mit Quartalsbericht. → Arbeitsweise
Vor Ort und aus der Ferne
Wie viel Präsenz Sie brauchen, legen wir gemeinsam fest. Der Regelfall ist die Arbeit aus der Ferne mit Terminen vor Ort, wenn es darauf ankommt: Bestandsaufnahme, Begehung, Sitzung mit Geschäftsführung oder Beirat. So betreue ich Unternehmen in Deutschland, Österreich und der Schweiz. Wünschen Sie regelmäßige Präsenz im Haus, ist das im Raum Berlin möglich.
Direkt ins Postfach. Kein Formular, kein eingebetteter Kalender, keine Weitergabe an Dritte: Ihre Mail geht direkt in mein Postfach. Ihre Angaben verwende ich nur für dieses Gespräch. Was bei einer E-Mail gespeichert wird und wie lange, steht in der Datenschutzerklärung. → Datenschutzerklärung
Eine Mail, 30 Minuten, dann wissen wir beide mehr.