Sie müssen IT nicht können. Sie müssen sie beurteilen können.
Wer entscheidet, wer die IT macht, braucht kein Fachwissen, aber ein Bild davon, was überhaupt dazugehört, welche Pflichten ab welcher Größe greifen und woraus die Kosten bestehen. Diese Seite liefert alle drei.
Alle Bereiche
Ein typischer Betrieb im Gewerbegebiet. Jeder Punkt hier muss laufen und für jeden muss jemand zuständig sein. Wählen Sie einen Bereich oder tippen Sie direkt auf ein Element.
Was ab welcher Größe gilt
Die Stufen sind nicht ausgedacht, sie stammen aus den tatsächlichen gesetzlichen Schwellen. Wählen Sie Ihre Größe.
Die erste harte Schwelle
- Datenschutzbeauftragter wird Pflicht
- Sobald in der Regel mindestens 20 Personen ständig personenbezogene Daten automatisiert verarbeiten (§ 38 Abs. 1 BDSG). Gemeint ist jeder, der am Rechner mit Kunden- oder Personaldaten arbeitet, nicht nur die IT.
- Unabhängig von der Zahl
- Die Pflicht greift auch ohne 20 Personen, wenn eine Datenschutz-Folgenabschätzung nötig ist oder Daten geschäftsmäßig zur Übermittlung verarbeitet werden.
- Rechte und Rollen
- Ab dieser Größe lässt sich nicht mehr begründen, warum alle auf alles zugreifen können.
Die Struktur, die bei acht Leuten gereicht hat, trägt bei dreißig nicht mehr. Meist fällt das erst auf, wenn ein Mitarbeiter geht und niemand weiß, welche Zugänge er hatte.
Auf Abruf oder projektbezogen
Siehe Schritt 3. Welche Form richtig ist, hängt davon ab, wer bei Ihnen schon da ist.
Keine Rechtsberatung. Ob NIS2 für ein konkretes Unternehmen gilt, hängt zusätzlich vom Sektor ab; das BSI weist ausdrücklich darauf hin, dass Unternehmen das selbst prüfen müssen. Alle Angaben verweisen unten auf die Primärquelle.
Wer die Verantwortung übernimmt
Es gibt nicht eine Antwort, sondern fünf. Welche für Sie richtig ist, hängt nicht davon ab, was wir verkaufen wollen, sondern davon, wie groß Sie sind und wer bei Ihnen schon da ist.
Wir machen die IT
typischerweise 1 bis 30Es gibt keine eigene IT. Wir sind sie, von der Beschaffung über den Betrieb bis zur Störung.
Auf Abruf
typischerweise 10 bis 60Jemand im Haus kümmert sich nebenbei. Wir springen ein, wenn es über das Nebenbei hinausgeht, und bleiben ansprechbar.
Projektbezogen
jede GrößeNetzwerk, Umzug, Migration, Sicherheitstechnik. Abgegrenzt, mit Anfang und Ende und einem Preis, der vorher feststeht.
Wir beliefern und unterstützen
ab etwa 50Es gibt eine IT-Abteilung. Wir liefern Hardware, Lizenzen und Fachwissen zu, das sie nicht dauerhaft vorhalten kann.
Externe IT-Leitung
typischerweise 50 bis 250Es gibt Techniker, aber niemanden, der die Linie vorgibt, Prioritäten setzt und gegenüber der Geschäftsführung einordnet. Das übernehmen wir.
Für manche Unternehmen ist eine eigene IT-Stelle richtig.
Dann unterstützen wir diese Person, statt sie zu ersetzen. Das sagen wir auch im Gespräch, wenn es so ist.
Woraus IT-Kosten bestehen
Sie finden im Netz Tabellen, die Ihnen sagen, wie viel Prozent vom Umsatz Sie für IT ausgeben sollten. Diese Zahlen stammen aus der Konzernwelt, sind selten belegt und helfen einem Betrieb mit dreißig Leuten nicht. Nützlicher ist die Frage, woraus die Kosten bestehen und was sie treibt, denn daran können Sie etwas ändern.
Arbeitsplätze
wächst mit: MitarbeiterzahlRechner, Bildschirme, Lizenzen, Einrichtung. Wächst fast linear mit der Zahl der Menschen.
Infrastruktur
wächst mit: Fläche und StandorteNetzwerk, Verkabelung, WLAN, Server. Wächst in Sprüngen, nicht linear, ein zweiter Standort kostet mehr als doppelt so viel wie der erste.
Betrieb und Überwachung
wächst mit: Anzahl der SystemeAktualisierungen, Datensicherung, Monitoring. Wächst mit dem, was betrieben wird, nicht mit dem Umsatz.
Pflichten
wächst mit: Größe, Sektor, RechtsformDatenschutz, Dokumentation, Nachweise, ab bestimmten Schwellen auch Meldewege. Springt an den Schwellen oben.
Projekte
wächst mit: VorhabenEinmalig und planbar. Der einzige Block, den man verschieben kann, mit der Folge, dass er später teurer wird.
Störungen
wächst mit: Zustand der übrigen BlöckeDer Block, den niemand plant. Er wird kleiner, wenn die anderen stimmen, und sehr groß, wenn sie es nicht tun.
Zahlen, die belegt sind
Jede Zahl auf dieser Seite hat eine Quelle und einen Stand. Wo uns keine belastbare Zahl vorliegt, nennen wir keine.
| Befund | Quelle | Stand |
|---|---|---|
| 19 % der Unternehmen ab 10 Beschäftigten hatten eigene IT-Fachkräfte, 2015 waren es 21 % | Statistisches Bundesamt | 2019 |
| 69 % der Unternehmen, die IT-Fachkräfte einstellen wollten, berichteten von Problemen bei der Besetzung, 2015 waren es 46 % | Statistisches Bundesamt | 2019 |
| 50 % lassen IT-sicherheitsrelevante Arbeiten von externen Anbietern erledigen | Statistisches Bundesamt | 2019 |
| 87 % der Unternehmen waren von Datendiebstahl, Spionage oder Sabotage betroffen, im Vorjahr 81 % | Bitkom Wirtschaftsschutz | Sept. 2025 |
| 289,2 Mrd. € Gesamtschaden, davon 202,4 Mrd. € durch Cyberangriffe. Basis: 1.002 Unternehmen ab 10 Beschäftigten | Bitkom Wirtschaftsschutz | Sept. 2025 |
| rund 29.500 Einrichtungen fallen neu unter BSI-Aufsicht, bisher waren es etwa 4.500 | BSI | Dez. 2025 |
| Pflicht zum Datenschutzbeauftragten ab 20 Personen, die ständig personenbezogene Daten automatisiert verarbeiten | § 38 BDSG | geltendes Recht |
| Geschäftsführer schulden die Sorgfalt eines ordentlichen Geschäftsmannes; bei Pflichtverletzung haften mehrere solidarisch | § 43 GmbHG | geltendes Recht |
Die drei Zahlen des Statistischen Bundesamtes stammen aus der Erhebung 2019 und sind damit die aktuellsten amtlichen Werte zu diesem Thema, sie sind älter als die übrigen Angaben. Das sagen wir dazu, statt es zu verschweigen.
Sie wissen jetzt, worüber Sie entscheiden
Wenn Sie wollen, gehen wir das für Ihren Betrieb durch, welche Schwellen Sie erreichen, was davon bei Ihnen schon abgedeckt ist und was nicht. Danach wissen Sie, ob Sie uns brauchen. Manchmal ist die Antwort nein.