Branche
GEO für IT-Sicherheitsdienstleister
IT-Sicherheit wird in zwei Situationen gesucht: geplant wegen einer Pflicht – oder panisch nach einem Vorfall. Beide Situationen führen zu Aufträgen, und beide beginnen zunehmend mit einer KI-Frage.
Die Fragen, um die es geht
Entscheider fragen nach Pflichten und Notfällen:
- „Sind wir von NIS2 betroffen und wer hilft bei der Umsetzung?“
- „Wir hatten einen Ransomware-Angriff – wen rufen wir jetzt an?“
- „Wer führt Penetrationstests für mittelständische Unternehmen durch?“
- „Welcher Dienstleister in [Region] macht ISO-27001-Zertifizierungsbegleitung?“
- „Was kostet ein IT-Sicherheitsaudit für 100 Arbeitsplätze?“
Die Notfallfrage ist die wertvollste und am schlechtesten beantwortete. Wer Erreichbarkeit, Ablauf und erste Schritte öffentlich beschreibt, wird in genau dem Moment gefunden, in dem niemand vergleicht.
Wer heute in den Antworten genannt wird
Bei Sicherheitsthemen sind die Systeme auffallend vorsichtig:
- BSI und offizielle Stellen – werden fast immer zuerst genannt, oft mit ausdrücklicher Empfehlung.
- Große Sicherheitsanbieter und Hersteller – mit Fachpresse und Zertifizierungen.
- Spezialisierte Dienstleister – nur mit nachweisbarer Qualifikation: BSI-Zertifizierung, ISO-Auditorenstatus, CERT-Zugehörigkeit.
Was Sicherheitsdienstleister konkret tun können
Qualifikationen belegen, nicht behaupten
BSI-zertifizierter Dienstleister, ISO-27001-Auditor, TISAX, CERT-Mitgliedschaft. In keinem anderen Feld zählen formale Nachweise so stark – die Systeme meiden unbelegte Sicherheitsversprechen.
Regulatorik konkret erklären
NIS2, DORA, KRITIS, DSGVO-Schnittstellen – mit Betroffenheitskriterien und Fristen. Das ist der meistgesuchte Inhalt und gleichzeitig der, der am schnellsten veraltet.
Notfallprozess öffentlich beschreiben
Erreichbarkeit, Erstmaßnahmen, forensische Sicherung, Meldepflichten. Wer das beschreibt, wird im Ernstfall gefunden – und im Ernstfall wird nicht verglichen.
Sachlich bleiben
Angstbasierte Darstellung führt messbar seltener zur Nennung. Die Systeme bevorzugen nüchterne, belegte Quellen – gerade weil das Thema emotional aufgeladen ist.
Messung statt Bauchgefühl
Jedes Projekt beginnt mit einer dokumentierten Ausgangsmessung: 10 bis 20 Fragen aus Ihrem Fachgebiet, an alle Systeme gestellt, Antworten im Wortlaut. Sie sehen, wer stattdessen empfohlen wird. Nach 30, 60 und 90 Tagen stellen wir dieselben Fragen erneut – nicht neue, sondern dieselben. Nur so ist eine Veränderung überhaupt belegbar.
Häufige Fragen
Wir haben mehr Anfragen als Kapazität.
Dann geht es um die Art: Beratungsmandate mit Wiederholung statt einmaliger Notfalleinsätze.
Dürfen wir Kunden nennen?
Meist nicht – und das ist in Ordnung. Anonymisierte Fallbeschreibungen mit Branche, Größe und Vorgehen wirken fachlich genauso.
Wie oft müssen Regulatorik-Inhalte aktualisiert werden?
Mindestens quartalsweise, bei NIS2-Umsetzungsstand häufiger. Veraltete Fristangaben schaden aktiv.
Lohnt sich das?
Bei Auftragswerten in diesem Feld deckt ein zusätzliches Mandat die Kosten um ein Vielfaches.
Fachlich verantwortlich: Malte Schätzel · zuletzt geprüft am 16. September 2026