Kurzantwort: Mein Tagessatz beginnt bei 1.950 Euro zzgl. MwSt. Für erfahrene Interim CISOs mit echter Führungs- und Ergebnisverantwortung halte ich 1.500 bis 2.500 Euro für eine realistische Budgetorientierung in Deutschland und Österreich. Entscheidend für Ihr Budget ist aber nicht der Tagessatz, sondern der Umfang: Ein Mandat mit zwei Tagen pro Woche über drei Monate liegt bei rund 51.000 Euro.
Die meisten Anbieter schreiben an dieser Stelle „auf Anfrage". Das ist bequem, hilft aber niemandem, der ein Budget vorbereiten muss. Deshalb hier die Rechnung.
Was ein Mandat tatsächlich kostet
Ein Tagessatz allein sagt wenig. Drei Größen bestimmen die Summe: Tagessatz, Tage pro Woche und Laufzeit.
Gerechnet mit 13 Wochen je Quartal, netto und ohne Reisekosten. Größenordnungen für die Budgetplanung, kein Angebot.
Die Frage, die wichtiger ist als der Tagessatz
Was soll nach 90 Tagen besser funktionieren als heute?
Wer darauf keine konkrete Antwort geben kann, verkauft Anwesenheit. Und wer sie als Auftraggeber nicht beantworten kann, kauft sie. Die Zahl weiter oben ist der einfache Teil der Entscheidung.
Sechs Faktoren, die den Preis bewegen
Innerhalb der Spanne entscheidet nicht der Markt, sondern das Mandat.
- Verantwortungsumfang. Fachliche Steuerung ist etwas anderes als disziplinarische Führung eines Teams mit Budgetverantwortung.
- Dringlichkeit. Ein Start in vier Wochen ist planbar. Ein Start in fünf Tagen verdrängt anderes.
- Unternehmensgröße und Komplexität. Zwei Standorte und ein IT-Dienstleister sind nicht dasselbe wie zwölf Landesgesellschaften mit eigenen Infrastrukturen.
- Regulatorischer Druck. Ein laufendes Audit, eine Kundenanforderung mit Frist oder eine anstehende Nachweisführung erhöhen Taktung und Haftungsrelevanz.
- Reisetätigkeit. Remote mit monatlichem Vor-Ort-Termin ist günstiger als zwei feste Präsenztage pro Woche.
- Ausgangslage. Eine geordnete Übergabe vom Vorgänger spart Wochen. Eine Organisation ohne Risikobild, ohne Roadmap und ohne Reporting kostet sie.
Der Vergleich, der oft falsch gerechnet wird
Ein Interim-Mandat ist nicht die günstigere Variante einer unbesetzten Stelle. Eine Vakanz spart zunächst Gehalt, ein Mandat verursacht zusätzliche Ausgaben. Wer das Gegenteil behauptet, rechnet sich etwas zurecht.
Die richtige Frage lautet deshalb nicht, ob sechs Monate Interim-Führung rund 100.000 Euro kosten. Sie lautet: Welche geschäftskritischen Entscheidungen stehen in diesen sechs Monaten an, und was passiert, wenn sie niemand verantwortet? Ein liegengebliebener Auditbefund, eine verzögerte Kundenfreigabe oder ein Projekt, das ohne Sicherheitsbewertung startet, haben einen Preis. Er steht nur in keiner Rechnung. Dazu gehört auch die Frage, wer in dieser Zeit überhaupt ein Risiko akzeptieren darf.
Zum Einordnen: die Festanstellung
Ein fest angestellter CISO kostet je nach Unternehmensgröße, Region und Verantwortungsumfang typischerweise im sechsstelligen Bereich; für erfahrene Führungsprofile im gehobenen Mittelstand sind 130.000 bis 200.000 Euro Jahresgehalt eine gängige Größenordnung, in Konzernrollen auch deutlich mehr. Dazu kommen Arbeitgeberkosten, variable Vergütung, Nebenleistungen und die Kosten der Suche selbst.
Dazu kommt Zeit. Die Besetzung einer CISO-Position dauert von der Ausschreibung bis zum ersten Arbeitstag erfahrungsgemäß mehrere Monate, Kündigungsfristen eingerechnet oft deutlich länger. Wie lange genau, hängt vom Markt, der Region und dem Anforderungsprofil ab — belastbar vorhersagen lässt es sich nicht.
Ein Interim-Mandat ersetzt die Festanstellung nicht. Es überbrückt sie, und es tut das zu planbaren Kosten.
Passt der Umfang zur Verantwortung?
Zwei Tage pro Woche sind der häufigste Zuschnitt, aber nicht automatisch ausreichend. In einem Unternehmen mit etabliertem Security-Team, funktionierenden Eskalationswegen und klar delegierter operativer Verantwortung reichen sie gut. Bei dreißig Security-Mitarbeitenden, mehreren Geschäftsbereichen, offenen Auditfeststellungen oder einer aktiven Incident-Lage reichen sie nicht.
Drei Dinge müssen zusammenpassen: Einsatzumfang, Entscheidungsbefugnis und Erreichbarkeit außerhalb der vereinbarten Tage. Ein Mandat mit voller Führungsverantwortung und einem Tag pro Woche funktioniert nicht, egal zu welchem Satz.
Unabhängig davon bleibt die gesetzliche Verantwortung der Unternehmensleitung bestehen. Ein externer CISO übernimmt Führung, Steuerung und Entscheidungsvorbereitung — die Pflichten der Geschäftsleitung gehen dadurch nicht auf ihn über. Das gilt auch für regulatorische Anforderungen: Welche Nachweispflichten ein Unternehmen konkret treffen, hängt von seiner Einstufung ab und betrifft nicht alle Betroffenen gleichermaßen.
Woran Sie ein passendes Angebot erkennen
Ein niedriger Tagessatz ist kein Warnsignal. Er kann aus einem langfristigen Mandat kommen, aus geringer Reisetätigkeit, einem anderen Marktsegment oder schlicht aus einem kleineren Verantwortungsumfang. Umgekehrt sagt ein hoher Satz allein nichts über Eignung.
Ein niedriger Tagessatz ist dann ein gutes Angebot, wenn das Profil zum Mandat passt. Prüfen lässt sich das an konkreter Erfahrung, nicht am Preis:
- Hat die Person bereits Cyberrisiken gegenüber einer Geschäftsleitung vertreten?
- Hat sie Priorisierungskonflikte zwischen Security, IT und Business gelöst?
- Hat sie Budgets verantwortet und Programme gestoppt, nicht nur gestartet?
- Hat sie Führung in einer schwierigen Lage übernommen, nicht nur beraten?
- Lassen sich diese Punkte an Mandatsergebnissen belegen?
Wer vier von fünf Fragen mit Beispielen beantwortet, bringt die Rolle mit. Der Tagessatz ist dann eine Verhandlung, keine Qualitätsfrage.
Was im Tagessatz enthalten sein sollte
Preisvergleiche scheitern meistens daran, dass Unterschiedliches verglichen wird. Diese Punkte gehören ohne gesonderte Berechnung in jedes Mandat:
- Führung des bestehenden Security-Teams im vereinbarten Rahmen
- regelmäßiges Reporting an Geschäftsleitung oder CIO
- Teilnahme an den relevanten Gremien
- laufende Dokumentation von Risiken, Entscheidungen und offenen Punkten
- eine strukturierte Übergabe am Ende, nicht als Zusatzleistung
Gesondert vereinbart gehören: Reisekosten, Einsätze außerhalb der vereinbarten Tage während eines Vorfalls, und spezialisierte operative Leistungen wie Penetrationstests oder SOC-Betrieb. Ein Interim CISO führt und steuert; er ersetzt keinen Security Engineer.
Was nach 90 Tagen stehen sollte
Hier entscheidet sich, ob sich ein Mandat gelohnt hat. Nicht an Anwesenheitstagen, sondern daran, was danach anders funktioniert.
Abhängig von Ausgangslage und Mandatsumfang, und bewusst kein Leistungsversprechen. Aber ein Zielbild, das sich am Ende überprüfen lässt — und genau daran sollte ein Mandat gemessen werden.
Häufige Fragen
Was kostet ein Interim CISO pro Tag?
Mein Tagessatz beginnt bei 1.950 Euro zzgl. MwSt. Für erfahrene Interim CISOs mit Führungs- und Ergebnisverantwortung halte ich 1.500 bis 2.500 Euro für eine realistische Budgetorientierung in Deutschland und Österreich. Der konkrete Preis hängt von Verantwortungsumfang, Dringlichkeit, Unternehmensgröße, Reisetätigkeit und Ausgangslage ab.
Was kostet ein typisches Interim-CISO-Mandat insgesamt?
Der häufigste Zuschnitt sind zwei Tage pro Woche über drei bis sechs Monate. Bei 1.950 Euro ergibt das 50.700 Euro für drei Monate und 101.400 Euro für sechs Monate, netto und ohne Reisekosten.
Ist ein Interim CISO günstiger als eine Festanstellung?
Nein, so lässt sich das nicht rechnen. Eine unbesetzte Stelle verursacht zunächst keine Personalkosten, ein Mandat dagegen schon. Ein Interim CISO ist keine günstigere Alternative zur Vakanz, sondern eine befristete Investition in Führungsfähigkeit und Entscheidungsqualität — sinnvoll genau dann, wenn das Unternehmen diese Fähigkeit in dieser Phase nicht aus eigener Kraft bereitstellen kann.
Welcher Umfang ist üblich?
Zwei bis drei Tage pro Woche bei einer initialen Laufzeit von drei bis sechs Monaten. Entscheidend ist nicht das Zeitmodell, sondern dass Einsatzumfang, Entscheidungsbefugnis und Erreichbarkeit zur übertragenen Verantwortung passen. Ein Mandat mit voller Führungsverantwortung und einem Tag pro Woche funktioniert nicht.
Kommen zum Tagessatz weitere Kosten hinzu?
Reisekosten nach Aufwand, falls regelmäßige Präsenz vereinbart ist. Führung, Reporting, Gremienarbeit, Dokumentation und die Übergabe gehören in den Tagessatz. Spezialisierte operative Leistungen wie Penetrationstests oder SOC-Betrieb sind nicht Teil eines CISO-Mandats.
Übernimmt ein externer CISO die Verantwortung der Geschäftsleitung?
Nein. Ein Interim CISO übernimmt Führung, Steuerung und Entscheidungsvorbereitung im vereinbarten Mandat. Die gesetzlichen Pflichten der Unternehmensleitung bleiben bei der Unternehmensleitung und lassen sich nicht auslagern.
Wie schnell kann ein Mandat starten?
Das hängt von Verfügbarkeit und benötigtem Umfang ab. Bei absehbarer Vakanz oder geplanter Transformation lohnt es sich, früh über Starttermin, Verantwortung und Umfang zu sprechen. Kurzfristige Starts sind möglich, aber teurer und schlechter vorbereitet.