Vom Startup zum Großunternehmen: Compliance durch Automatisierung skalieren

Als Gründer eines schnell wachsenden europäischen Fintech-Start-ups stehen Sie vor einem Problem. Nach der Serie-B-Finanzierung und dem Wachstum von 30 auf 120 Mitarbeiter in acht Monaten ist das einst überschaubare Compliance-Programm zum Engpass geworden. Die Tabellen und geteilten Laufwerke, die für das kleine Team funktioniert haben, tragen das gewachsene Unternehmen nicht mehr. Und die geplante Expansion in weitere europäische Märkte bringt zusätzliche regulatorische Anforderungen mit, die Ihr schlankes Sicherheitsteam allein nicht abdecken kann.

Dieses Szenario wiederholt sich in der europäischen Tech-Landschaft ständig. Wenn Start-ups wachsen, verändern sich ihre Compliance-Anforderungen grundlegend. In der Frühphase reichen einfache manuelle Ansätze aus. Sobald Sie Mitarbeiter einstellen, neue Märkte erschließen und größere Kunden bedienen, tragen sie nicht mehr.

Der Sprung passiert selten allmählich. Er fällt meist mit einem konkreten Ereignis zusammen: der ersten Ausschreibung eines Großkunden, dem Eintritt in einen neuen Markt oder der Due Diligence vor der nächsten Finanzierungsrunde. Bis dahin wirkt das manuelle Vorgehen tragfähig; danach hält es Abschlüsse auf.

Das Wichtigste in Kürze

• Compliance-Pflichten hängen an Schwellenwerten: In Deutschland braucht ein Unternehmen einen Datenschutzbeauftragten, sobald 20 Personen ständig personenbezogene Daten automatisiert verarbeiten; ab 50 Beschäftigten gilt es nicht mehr als klein und fällt in einem NIS2-Sektor unter das NIS2-Umsetzungsgesetz.
• Auch der Auditaufwand wächst mit: Die Auditzeit-Tabelle der ISO/IEC 27006 sieht für die Erstzertifizierung nach ISO 27001 bei 1 bis 10 Personen im Scope 5 Audittage vor, bei 46 bis 65 Personen 10 und bei 126 bis 175 Personen 13.
• Treffen drei von fünf Signalen zu, lohnt sich die Automatisierung: mehr als zwei Frameworks, mehr als 50 Mitarbeiter, mehrere Rechtsräume, Unternehmenskunden mit strengen Sicherheitsanforderungen oder eine anstehende Serie B.
• Automatisieren Sie entlang der Wachstumsphasen: Richtlinienverwaltung und zentrale Nachweisablage bei 25 bis 75 Mitarbeitern, automatisierte Nachweiserfassung und kontinuierliche Überwachung bei 75 bis 200, framework-übergreifendes Mapping und API-Integration ab 200.
• Automatisierung erfasst Nachweise und überwacht Kontrollen; die Managementbewertung, die Entscheidung über Risiken und das unparteiische interne Audit nach Abschnitt 9.2 der ISO 27001 ersetzt sie nicht.

Die Herausforderung der Compliance-Skalierung

Die Schwierigkeiten beim Skalieren von Compliance haben nicht eine Ursache. Sie summieren sich aus mehreren Richtungen, während Ihr Unternehmen wächst. Wenn Sie sie kennen, können Sie sie einplanen, bevor sie zum operativen Engpass werden.

Mehr Frameworks

Unternehmen in der Frühphase konzentrieren sich meist auf ein einziges Framework, häufig ISO 27001 in Europa oder SOC 2 bei Ambitionen im US-Markt. In diesem Zuschnitt lässt sich Compliance manuell verwalten, mit Tabellen und einer einfachen Dokumentation.

Mit dem Unternehmen wachsen die Anforderungen. Die Expansion in Europa bringt die DSGVO mit. Kunden aus dem Finanzsektor verlangen PCI DSS. Kunden aus dem Gesundheitswesen erwarten zusätzliche Schutzmaßnahmen für Gesundheitsdaten. Und wer in einem NIS2-Sektor die Grenze von 50 Beschäftigten überschreitet, fällt unter das NIS2-Umsetzungsgesetz. Aus einem Framework werden auf dem Weg zur Serie B schnell drei oder vier.

Jedes zusätzliche Framework bringt nicht nur mehr Anforderungen, sondern auch Überschneidungen, die niemand pflegt, und Auslegungsfragen, die sich widersprechen können. Wie stark sich ISO 27001, DSGVO und NIS2 überschneiden, sehen Sie in der Framework-Übersicht.

Wachsende organisatorische Komplexität

Mit der Größe des Unternehmens wird Compliance komplexer. Kleine Teams profitieren von kurzen Wegen und direkter Aufsicht. Wächst Ihr Unternehmen, kommen Abteilungen, spezialisierte Rollen und Managementebenen dazu, oft verteilt auf mehrere Standorte.

Für die Compliance heißt das:

• mehr Beteiligte an Compliance-Aktivitäten
• komplexere Zugriffsverwaltung und Berechtigungsstrukturen
• verteilte Verantwortung für die Umsetzung von Kontrollen
• Verständigungslücken zwischen technischen und kaufmännischen Teams

Am deutlichsten zeigt sich das beim On- und Offboarding. Jede neue Person braucht eine Sicherheitsschulung, Zugriffsrechte und ein eingerichtetes Gerät; jedem Abgang müssen die Zugänge am selben Tag entzogen werden. Bei 15 Personen erledigt der CTO das aus dem Kopf. Bei 150 Personen und wöchentlichen Neueinstellungen ist ein vergessenes Offboarding die nächste Feststellung im Audit.

Steigende Anforderungen an den Nachweis

Wachsende Unternehmen stehen nicht nur mehr Anforderungen gegenüber, sondern auch einer höheren Nachweislast. In der Frühphase reicht oft ein grundlegender Beleg für die eigenen Aussagen. Mit größeren Kunden und regulierten Märkten steigt der Anspruch deutlich.

Unternehmenskunden verlangen in der Beschaffung eine vollständige Dokumentation der Sicherheitskontrollen, häufig als frameworkspezifisches Nachweispaket. Der öffentliche Sektor erwartet umfangreiche Belege. Und in späteren Finanzierungsrunden gehört eine Sicherheits- und Compliance-Prüfung inzwischen zur Due Diligence.

Der Nachweis hört dabei nie auf. Ein ISO-27001-Zertifikat gilt drei Jahre, mit Überwachungsaudits im ersten und zweiten Jahr und einem Rezertifizierungsaudit im dritten. In jedem davon zieht der Auditor Stichproben aus Tickets, Logs und Berechtigungsprüfungen, denn ein Audit prüft nicht, ob eine Richtlinie existiert; es prüft, ob sie gelebt wird.

Manuelle Ansätze kommen hier zuerst an ihre Grenze. Nicht weil die Kontrollen fehlen, sondern weil der Nachweis dafür in Postfächern, Screenshots und Tabellen verteilt liegt und für jedes Audit neu zusammengesucht werden muss.

Die Schwellenwerte, ab denen neue Pflichten gelten

Mehrere Pflichten hängen direkt an der Unternehmensgröße. Wer eine dieser Grenzen überschreitet, hat über Nacht eine neue gesetzliche Aufgabe. Die Tabelle zeigt die Schwellenwerte, die wachsende Unternehmen am häufigsten erreichen.

Die Größenklassen stammen aus der KMU-Definition der EU, die in der Empfehlung der Kommission festgelegt ist. Entscheidend ist die genaue Lesart: Klein ist ein Unternehmen nicht mehr, sobald es 50 Beschäftigte hat oder sobald Umsatz und Bilanzsumme beide 10 Mio. Euro übersteigen. Wer nur eine der beiden Finanzgrenzen überschreitet, wechselt nicht die Größenklasse. In Deutschland gilt das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 ohne Übergangsfrist; nach Schätzung des BSI müssen sich rund 29.500 Einrichtungen registrieren. Welche Maßnahmen NIS2 dann verlangt, von der Risikoanalyse bis zur Meldepflicht, behandeln wir im Beitrag zu den NIS2-Anforderungen.

Auch das Audit wächst mit. Zertifizierungsstellen bemessen ein ISO-27001-Audit nach der Zahl der Personen im Scope, anhand der Auditzeit-Tabelle der ISO/IEC 27006, und weichen in der Praxis um bis zu 30 Prozent davon ab.

Naheliegend ist, den Scope eng zu halten, damit das Audit klein bleibt. Oft ist das die teurere Variante. Jedes Team außerhalb des Scopes wird zu einer Schnittstelle, die Sie steuern müssen: Wechselt ein Entwickler aus einem Team außerhalb in eines innerhalb des Scopes, fehlen ihm dieselben Richtlinien, Schulungen und Zugriffskontrollen. Den ganzen Prozess in den Scope zu nehmen, ist häufig weniger Aufwand, als seine Ränder zu überwachen.

Warum Automatisierung

Mit wachsenden Anforderungen haben Sie drei Optionen: weiter mit zunehmend ineffizienten manuellen Prozessen arbeiten, deutlich mehr Compliance-Personal einstellen oder die Prozesse automatisieren. Für die meisten wachstumsorientierten Unternehmen ist die Automatisierung der tragfähigste Weg.

Wann Sie von manuellen Prozessen umstellen sollten

Der richtige Zeitpunkt ist schwer zu treffen. Investieren Sie zu früh, bauen Sie Infrastruktur für Anforderungen, die Sie noch nicht haben. Warten Sie zu lange, halten Compliance-Engpässe Abschlüsse und Finanzierungsrunden auf.

Diese Signale sprechen für den Umstieg:

• Sie verwalten mehr als zwei Frameworks gleichzeitig.
• Ihr Team ist auf über 50 Mitarbeiter gewachsen.
• Sie sind in mehreren Rechtsräumen tätig.
• Sie gewinnen Unternehmenskunden mit strengen Sicherheitsanforderungen.
• Sie bereiten die Serie B oder eine spätere Runde vor.

Treffen drei oder mehr davon zu, lohnt sich die Investition in der Regel sofort. Für Scale-ups ist das häufig genau der Moment zwischen zwei Finanzierungsrunden.

Ein Beispiel zur Veranschaulichung: Ein Münchner B2B-SaaS-Unternehmen mit 60 Mitarbeitern hat sich vor zwei Jahren mit 20 Personen im Scope nach ISO 27001 zertifizieren lassen; das Erstaudit lag damals bei rund 7 Audittagen. Seitdem hat sich das Team verdreifacht, ein US-Interessent verlangt einen SOC-2-Type-II-Bericht, ein Bestandskunde hat einen NIS2-Lieferantenfragebogen geschickt und die nächste Runde ist eine Serie B. Das sind vier von fünf Signalen. Dasselbe Erstaudit läge heute bei rund 10 Tagen; die Tabelle, die bisher 93 Annex-A-Controls für ein Framework abbildete, soll jetzt zusätzlich die SOC-2-Kriterien und die zehn NIS2-Risikomanagementmaßnahmen aus Art. 21 tragen, von Hand gemappt. Spätestens hier ist die Tabelle nicht mehr billig.

Der häufigste Fehler an dieser Stelle ist, mit der Automatisierung bis nach dem Zertifikat zu warten. Ein ISMS für Startups von Anfang an auf einer Plattform aufzubauen, ist weniger Aufwand, als ein über zwei Jahre gewachsenes Tabellen-ISMS später zu migrieren, weil niemand zwei Jahre Nachweise neu verknüpfen muss. Welche Bausteine dieses ISMS braucht, beschreiben wir im Beitrag zum Informationssicherheits-Managementsystem für Startups.

Automatisierung selbst bauen oder einkaufen

Wachsende Unternehmen diskutieren regelmäßig, ob sie eigene Compliance-Tools entwickeln oder eine etablierte Plattform einkaufen. Die Eigenentwicklung verspricht Passgenauigkeit. Sie bindet aber Engineering-Kapazität, die dem Produkt fehlt, und sie ist mit dem ersten Release nicht erledigt.

Der eigentliche Aufwand liegt in der Pflege. Frameworks werden überarbeitet, Kontrollkataloge ändern sich, Auditoren erwarten neue Nachweisformate, und jede Anbindung an ein Quellsystem muss mitwachsen. Diese Arbeit läuft dauerhaft und konkurriert mit Ihrer Produkt-Roadmap. Deshalb konzentrieren die meisten wachsenden Unternehmen ihre Entwicklungsressourcen auf das Kernprodukt und decken Compliance über eine bestehende Plattform ab.

Welche Automatisierung in welcher Wachstumsphase

Die wirksamsten Implementierungen richten sich nach dem Reifegrad des Unternehmens. Statt alles gleichzeitig einzuführen, lösen erfolgreiche Unternehmen zuerst den Engpass, den sie gerade haben.

Frühe Wachstumsphase (25 bis 75 Mitarbeiter)

In dieser Phase verwalten Sie ein bis zwei Frameworks und bereiten weitere vor. Die Prioritäten:

• Zentrale Richtlinienverwaltung: eine einzige Quelle für Sicherheitsrichtlinien, die sich auf mehrere Frameworks abbilden lässt
• Strukturierte Nachweisablage: ein fester Ort für Compliance-Dokumentation, mit Versionierung
• Erste Kontrollzuordnung: die Überschneidungen zwischen den Frameworks einmal sauber mappen, damit Doppelarbeit wegfällt

Mittlere Wachstumsphase (75 bis 200 Mitarbeiter)

Hier verwalten Sie typischerweise drei bis vier Frameworks und expandieren parallel in neue Märkte. Die Prioritäten verschieben sich:

• Automatisierte Nachweiserfassung: Konnektoren, die Belege direkt aus den Quellsystemen ziehen
• Kontinuierliche Überwachung: Wirksamkeit von Kontrollen laufend statt zum Stichtag
• Aufgabensteuerung über Teams hinweg: Workflows, die Compliance-Aufgaben dorthin bringen, wo sie erledigt werden

Scale-up-Phase (ab 200 Mitarbeitern)

Unternehmen in dieser Phase verwalten fünf und mehr Frameworks über mehrere Rechtsräume. Der Fokus liegt auf Integration und Governance:

• Framework-übergreifendes Mapping: komplexe Kontrollbeziehungen über alle Frameworks hinweg
• API-Integration: Anbindung der Compliance-Plattform an die übrige Sicherheits- und Systemlandschaft
• Eigene Risikomodelle: unternehmensspezifische Bewertung, abgestimmt auf die Compliance-Anforderungen

Was sich mit Automatisierung konkret ändert

Der Unterschied zeigt sich an drei Stellen, und keine davon liegt in der Compliance-Abteilung selbst.

Ein Kontrollset statt fünf Projekten. Überschneidende Anforderungen aus ISO 27001, SOC 2 und DSGVO werden einmal umgesetzt und mehrfach nachgewiesen, statt als getrennte Projekte nebeneinander zu laufen.

Nachweise entstehen laufend. Wenn Belege automatisch aus den Quellsystemen kommen, wird aus der Auditvorbereitung eine Prüfung des Bestands statt einer Sammelaktion über mehrere Wochen.

Sicherheitsfragebögen blockieren keine Abschlüsse mehr. Ein gepflegtes Nachweis-Repository beantwortet den Großteil der Fragen aus Material, das ohnehin vorliegt. Damit verschwindet einer der häufigsten Verzögerungsgründe im Enterprise-Vertrieb.

Mit Kertos hat AskUI die ISO-27001-Zertifizierung in acht bis zehn Wochen erreicht, ohne externe Berater, und jeder Kunde, den Kertos ins Audit begleitet hat, hat bestanden. Wie der Weg dahin aussieht, steht im Leitfaden zur ISO-27001-Zertifizierung.

Implementierung in wachsenden Unternehmen

Eine erfolgreiche Einführung ist mehr als die Auswahl der Technologie. Sie müssen sie auf Ihren Wachstumspfad, Ihre Ressourcen und Ihre dringendsten Anforderungen zuschneiden.

Schrittweise statt auf einmal

Teams mit begrenzten Ressourcen fahren besser, wenn sie in Stufen automatisieren:

1. Konsolidierung: ein einheitlicher Kontrollrahmen und eine zentrale Nachweisablage
2. Ausbau: automatisierte Nachweiserfassung und kontinuierliche Überwachung
3. Integration: Anbindung an die übrigen Sicherheits- und Geschäftssysteme

Jede Stufe bringt für sich einen Nutzen, und die Kosten verteilen sich über die Wachstumsphasen statt in einem Projekt aufzulaufen.

Auf die nächste Phase auslegen

Eine Plattform, die nur das aktuelle Problem löst, wird zur nächsten Migration. Prüfen Sie deshalb vor der Auswahl:

• Lassen sich weitere Frameworks ergänzen, ohne das Kontrollset neu aufzubauen?
• Skaliert die Nutzerverwaltung mit dem Teamwachstum?
• Werden mehrere Rechtsräume unterstützt?
• Gibt es Schnittstellen für einen reiferen Sicherheitsbetrieb?

Ressourcen dorthin, wo sie wirken

Statt alle Compliance-Bereiche gleichmäßig zu bedienen, lohnt es sich, zuerst die Funktionen zu besetzen, die den größten Anteil der manuellen Arbeit ersetzen:

• Framework-übergreifende Kontrollzuordnung
• Automatisierte Nachweiserfassung
• Sichtbarer Compliance-Status
• Aufgabenzuweisung und Nachverfolgung

Was Automatisierung nicht ersetzt

Ein verbreiteter Irrtum lautet, mit Automatisierung laufe Compliance von selbst. Die Geschäftsleitung muss das ISMS weiterhin bewerten (Managementbewertung, ISO 27001 Abschnitt 9.3), über die Akzeptanz von Risiken entscheiden und ein internes Audit beauftragen, das objektiv und unparteiisch ist (Abschnitt 9.2). In einem Unternehmen mit 40 Mitarbeitern ist die Person, die ein ISMS auditieren kann, meist dieselbe, die es aufgebaut hat. Ein externer interner Auditor ist dann die praktische Lösung und liefert zugleich eine zweite Meinung zu Prozessen und Risikoregister.

Erfolg messen, passend zur Wachstumsphase

Was Sie messen, sollte sich mit dem Unternehmen weiterentwickeln. Kennzahlen aus der Frühphase belegen später nichts mehr, was die Geschäftsführung interessiert.

Frühe Wachstumsphase

• Zeit bis zur fertigen Richtlinie
• Zeit für die Nachweiserfassung
• Vorlaufzeit bis zur Framework-Bereitschaft
• Auslastung der Compliance-Ressourcen

Mittlere Wachstumsphase

• Effizienz bei der Abdeckung mehrerer Frameworks
• Zeitaufwand der Fachbereiche für Compliance
• Einheitlichkeit der Kontrollumsetzung
• Vorlaufzeit für die Auditvorbereitung

Scale-up-Phase

• Einfluss von Compliance auf die Vertriebsgeschwindigkeit
• Zeit bis zum Markteintritt
• Anzahl der Sicherheitsvorfälle
• Compliance-Kosten als Anteil am Sicherheitsbudget

Fazit: Compliance als Wachstumsfaktor

Auf dem Weg vom Start-up zum Großunternehmen werden aus einfachen Compliance-Pflichten komplexe operative Aufgaben. Manuelle Ansätze, die am Anfang gut funktionieren, tragen nicht mehr, sobald Team, Frameworks und Nachweispflichten gleichzeitig wachsen.

Automatisierung löst das, ohne dass die Sicherheitsarbeit darunter leidet. Entscheidend ist, in jeder Phase die passenden Funktionen einzuführen, schrittweise vorzugehen und die Auswahl auf die nächste Wachstumsstufe auszulegen. Dann wird Compliance vom Engpass zum Argument im Vertrieb.

Kertos deckt ISO 27001, DSGVO, SOC 2, NIS2, TISAX und weitere Frameworks in einer Plattform ab, zusammen mit zertifizierten Experten, die die Umsetzung mit Ihnen verantworten. Kertos-Kunden schätzen besonders, dass die Struktur von Menschen kommt, die das Audit kennen:

Buchen Sie eine Demo, und wir ordnen Ihrer aktuellen Wachstumsphase die Automatisierung zu, die dazu passt.

Häufig gestellte Fragen

Was bedeutet es, Compliance zu skalieren?

Es bedeutet, das Compliance-Programm wirksam zu halten, während Frameworks, Teamgröße und Nachweispflichten gleichzeitig wachsen. Manuell wächst der Aufwand ungefähr mit der Mitarbeiterzahl; automatisiert deckt ein kleines Team deutlich mehr Anforderungen ab.

Ab wann sollte ein Startup Compliance automatisieren?

Sobald drei oder mehr dieser Punkte zutreffen: mehr als zwei Frameworks, mehr als 50 Mitarbeiter, mehrere Rechtsräume, Unternehmenskunden mit strengen Sicherheitsanforderungen oder eine anstehende Serie B. Davor reichen schlanke manuelle Prozesse meist aus, solange Richtlinien und Nachweise bereits an einem Ort liegen.

Ab wann braucht ein Unternehmen einen Datenschutzbeauftragten?

In Deutschland, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Unabhängig von der Zahl gilt die Pflicht außerdem, wenn eine Datenschutz-Folgenabschätzung nötig ist oder die Kerntätigkeit unter Art. 37 DSGVO fällt. Für wachsende Unternehmen ist ein externer Datenschutzbeauftragter oft die schlankere Lösung.

Gilt NIS2 für Startups?

Meist nicht, solange sie klein sind: Mit weniger als 50 Beschäftigten und Umsatz oder Bilanzsumme bis 10 Mio. Euro ist ein Unternehmen klein und in der Regel nicht betroffen. Einige Einrichtungen fallen unabhängig von der Größe darunter, etwa DNS-Diensteanbieter und Vertrauensdiensteanbieter. Überschreitet ein Unternehmen in einem Sektor nach Anhang I oder II die Grenze von 50 Beschäftigten, gilt NIS2, in Deutschland seit dem 6. Dezember 2025.

Sollten Scale-ups mit manuellen Prozessen oder mit Compliance-Software arbeiten?

Für ein Framework und ein Team unter 50 Personen reichen manuelle Prozesse meist aus. Treffen drei oder mehr der oben genannten Signale zu, lohnt sich Compliance-Software, weil Nachweiserfassung und framework-übergreifendes Mapping von Hand am schnellsten wachsen. Eigene Tools zu entwickeln, lohnt sich nur bei sehr speziellen Anforderungen, die kein Produkt abdeckt; ein solches Tool muss dann bei jeder Änderung eines Frameworks nachgezogen werden.