Cybersecurity-Firma gründen: NIS2, Haftung & Kosten
Von Maximilian Rothenberger, IHK-zertifizierter Gründungsberater · geprüft am 1.10.2026
Du kennst dich mit IT-Sicherheit aus. Den Weg zur eigenen Firma gehen wir gemeinsam: Rechtsform, Haftung und Förderung, Schritt für Schritt.
- Angst vor Haftung? Klare Aufträge, Dokumentation und eine passende Versicherung senken das Risiko deutlich.
- Wenig Startkapital? Beratung startet mit Laptop und Know-how, große Investitionen sind selten nötig.
- Keine Lust auf Papierkram? Businessplan, Finanzplan und Anträge machen wir zusammen.
Kostenlos · unverbindlich · 10 Minuten
Kurz gesagt
Für eine Cyber Security Firma brauchst du keine behördliche Zulassung. Entscheidend sind eine klare Spezialisierung, ein schriftlicher Auftrag für jeden Sicherheitstest, eine Vermögensschadenhaftpflicht und die passende Rechtsform. Reine Beratung kann freiberuflich sein, Managed Services und Lizenzverkauf sind gewerblich. Seit Dezember 2025 gilt das NIS2-Umsetzungsgesetz, das nach Schätzungen rund 29.500 Unternehmen in Deutschland zu mehr IT-Sicherheit verpflichtet.
Keine Zulassung
Der Beruf ist nicht geschützt. Zertifikate und Referenzen schaffen das Vertrauen, das Kunden erwarten.
Schriftlicher Auftrag
Jeder Pentest braucht vorher eine schriftliche Freigabe mit genauem Umfang. Sonst drohen Strafverfahren.
Freiberuf oder Gewerbe
Beratung und Audits können freiberuflich sein. Betrieb, Überwachung und Lizenzverkauf sind gewerblich.
Nachfrage durch NIS2
Rund 29.500 Unternehmen fallen nach Schätzungen unter die neuen Pflichten, viele davon im Mittelstand.
Lohnt sich eine eigene Cyber Security Firma?
Die Nachfrage ist hoch, weil Angriffe zunehmen und NIS2 viele Unternehmen erstmals zu Risikomanagement, Meldewegen und Schulungen verpflichtet. Gerade im Mittelstand fehlen dafür Personal und Wissen. Erfolgreich wirst du aber selten mit einem Bauchladen. Kunden kaufen eine klar umrissene Leistung von jemandem, dem sie in einem sensiblen Thema vertrauen.
| Nische | Leistung | Typische Kunden |
|---|---|---|
| Informationssicherheit und NIS2 | Managementsysteme nach ISO 27001 oder BSI IT-Grundschutz aufbauen, Audits vorbereiten | Mittelstand, Zulieferer |
| Penetrationstests | Netzwerke, Webanwendungen und Cloud kontrolliert angreifen, Schwachstellen berichten | Softwarefirmen, Onlinehandel, Finanzbranche |
| Managed Security | Systeme überwachen und auf Vorfälle reagieren, oft rund um die Uhr | Firmen ohne eigene Sicherheitsabteilung |
| Schulungen | Mitarbeitende für Phishing und sicheren Umgang mit Daten sensibilisieren | alle Branchen, guter Einstieg |
| Notfallhilfe und Forensik | nach einem Angriff Spuren sichern und den Betrieb wiederherstellen | Unternehmen in akuten Krisen |
Ist Pentesting legal?
Ja, wenn der Auftraggeber vorher schriftlich zugestimmt hat und du dich genau an den vereinbarten Umfang hältst. Wer ohne Erlaubnis Zugangssicherungen überwindet und sich Zugang zu Daten verschafft, macht sich nach § 202a StGB strafbar. Dort drohen bis zu drei Jahre Freiheitsstrafe. Der schriftliche Auftrag ist deshalb dein wichtigster Schutz.
In den Auftrag gehören mindestens diese Punkte:
- genauer Umfang: welche Systeme, IP-Adressen, Domains und Anwendungen getestet werden dürfen
- erlaubte und ausgeschlossene Methoden, zum Beispiel keine Lastangriffe auf Produktivsysteme
- Zeitfenster für die Tests und ein erreichbarer Notfallkontakt beim Kunden
- Umgang mit gefundenen Daten, Vertraulichkeit und Form des Abschlussberichts
Systeme Dritter
Bin ich als IT-Sicherheitsberater Freiberufler?
Das hängt von deiner Tätigkeit und deinem Wissen ab. Beratung, Audits und Sicherheitskonzepte können als ingenieurähnliche Tätigkeit nach § 18 EStG freiberuflich sein, wenn deine Kenntnisse in Breite und Tiefe einem Informatikstudium entsprechen. Betrieb von Systemen, laufende Überwachung und der Verkauf von Lizenzen sind gewerblich. Die Einstufung trifft das Finanzamt.
Kann freiberuflich sein
- Sicherheitskonzepte und Architektur
- Audits und Beratung nach ISO 27001
- NIS2-Beratung
- Penetrationstests mit Bericht und Empfehlungen
In der Regel gewerblich
- Überwachung als Managed Service
- Verkauf von Firewalls und Lizenzen
- Weitervermittlung von Fachleuten
- Betrieb von Systemen für Kunden
Gemischte Tätigkeiten
Welche Rechtsform passt zu einer Cyber Security Firma?
Für reine Beratung genügt am Anfang oft ein Einzelunternehmen mit guter Haftpflicht. Bietest du Managed Services an, arbeitest im Team oder übernimmst große Projekte, schützt eine UG oder GmbH dein Privatvermögen besser. Die PartG mbB kommt meist nicht infrage, weil ihre Haftungsbeschränkung eine gesetzlich vorgeschriebene Berufshaftpflicht voraussetzt.
| Rechtsform | Haftung | Kapital | Passt für |
|---|---|---|---|
| Einzelunternehmen | mit dem Privatvermögen | kein Mindestkapital | Beratung und Audits zum Start |
| GbR | alle Gesellschafter persönlich | kein Mindestkapital | Teams, die schnell starten wollen |
| UG (haftungsbeschränkt) | auf das Gesellschaftsvermögen begrenzt | ab 1 €, 25 % des Jahresüberschusses als Rücklage | günstiger Einstieg mit Haftungsschutz |
| GmbH | auf das Gesellschaftsvermögen begrenzt | 25.000 €, davon mindestens 12.500 € bei Anmeldung | Managed Services, Personal, große Kunden |
Eine UG oder GmbH ist immer gewerblich, auch wenn sie nur berät. Die Unterschiede im Detail stehen unter UG gründen.
Wie sichere ich mich gegen Haftungsrisiken ab?
Du schuldest in der Regel fachgerechte Arbeit, keinen absoluten Schutz vor Angriffen. Haften kannst du aber, wenn dir ein Fehler nachgewiesen wird, etwa eine übersehene offensichtliche Lücke oder ein Systemausfall durch einen unvorsichtigen Test. Dagegen helfen drei Dinge: eine Vermögensschadenhaftpflicht, klare Verträge und eine lückenlose Dokumentation deiner Arbeit.
Vermögensschadenhaftpflicht
Verträge
Dokumentation
Eigene Sicherheit
Einen Überblick über alle Policen für Gründer findest du unter Versicherungen für Selbstständige.
Was kostet die Gründung einer Cyber Security Firma?
Als Berater startest du mit wenigen Tausend Euro für Technik, Software, Versicherung und Verträge. Teurer werden Zertifizierungen und eine GmbH, für die bei der Anmeldung mindestens 12.500 Euro Stammkapital eingezahlt sein müssen. Wer ein eigenes Überwachungszentrum aufbauen will, braucht deutlich mehr Kapital und meist von Anfang an Personal.
| Kostenposition | Betrag |
|---|---|
| Hardware und Software für Tests | grob 2.000 – 5.000 € |
| Zertifizierung inklusive Vorbereitung | grob 1.000 – 5.000 € je Zertifikat |
| Vermögensschadenhaftpflicht | grob 200 – 2.500 € im Jahr, mit Pentests eher mehr |
| Verträge und Auftragsvorlagen durch eine Kanzlei | grob 1.000 – 3.000 € |
| Notar und Handelsregister bei einer GmbH | grob 400 – 1.500 € |
| Gesamt ohne Stammkapital | grob 4.000 – 15.000 € |
Grobe Richtwerte, stark abhängig von Spezialisierung, Rechtsform und Versicherungsumfang.
Zur Orientierung: Der Median der Stundensätze von IT-Freelancern lag laut Freelancer-Kompass 2026 bei 95 Euro. Für Spezialisten in der IT-Sicherheit kann dein Satz darüber liegen. Rechne ihn trotzdem aus deinen eigenen Kosten.
Welche Schritte führen zur eigenen Cyber Security Firma?
Am Anfang steht die Spezialisierung, danach kommen Rechtsform, Anmeldung, Versicherung und Verträge. Erst wenn Auftragsvorlagen und Haftpflicht stehen, solltest du den ersten Test durchführen. Wer den Gründungszuschuss nutzen will, stellt den Antrag, bevor er die Selbstständigkeit aufnimmt. Sonst kann der Anspruch verloren gehen.
- 1
Spezialisierung und Businessplan
Nische, Zielgruppe, Preise und Finanzplan festlegen. Wie das geht, steht unter Businessplan erstellen. - 2
Rechtsform wählen
Einzelunternehmen für den schlanken Start, UG oder GmbH bei Managed Services oder Team. - 3
Anmelden
Freiberufler melden sich direkt beim Finanzamt, gewerbliche Anbieter beim Gewerbeamt. Den Fragebogen zur steuerlichen Erfassung reichst du innerhalb eines Monats über ELSTER ein. - 4
Versicherung und Berufsgenossenschaft
Vermögensschadenhaftpflicht abschließen. Den Betrieb innerhalb einer Woche bei der Berufsgenossenschaft anmelden, für die IT-Branche ist das meist die VBG. - 5
Verträge und Vorlagen
Rahmenvertrag, Auftrag für Sicherheitstests und Vertraulichkeitsvereinbarung vorbereiten. - 6
Erste Kunden
Mit einem klaren Einstiegsangebot starten, etwa einem NIS2-Check für eine bestimmte Branche.
Aus meiner Praxis
– Maximilian Rothenberger, IHK-zertifizierter Gründungsberater
Welche Förderung kommt für deine Gründung infrage?
Welche Förderung passt, hängt vor allem davon ab, ob du arbeitsuchend gemeldet bist, Arbeitslosengeld beziehst und was du investieren musst. Über jeden Antrag entscheidet die zuständige Stelle im Einzelfall.
Welche Förderung passt zu dir?Der Gründungsnavigator zeigt es dir in 2 Minuten, kostenlos und ohne Anmeldung.AVGS-Gründungscoaching
Wenn du arbeitsuchend oder arbeitslos gemeldet bist, kann die Agentur für Arbeit oder das Jobcenter einen Aktivierungs- und Vermittlungsgutschein ausstellen. Mit bewilligtem Gutschein ist das Gründungscoaching für dich kostenfrei.
AVGS-GründercoachingGründungszuschuss
Beziehst du Arbeitslosengeld I und hast bei der Gründung noch mindestens 150 Tage Anspruch, kannst du den Gründungszuschuss beantragen. Er ist eine Ermessensleistung und setzt Businessplan und Tragfähigkeitsbescheinigung voraus.
GründungszuschussFörderkredite
Für Investitionen und Betriebsmittel gibt es zinsgünstige Kredite, etwa den ERP-Gründerkredit der KfW über deine Hausbank. Eine Bank erwartet dafür einen schlüssigen Businessplan mit Finanzplan.
KfW-GründerkreditWie läuft das Gründungscoaching mit mir ab?
- 1
Kostenloser Gründungscheck
In 10 Minuten siehst du, wo du stehst und welcher nächste Schritt für dich sinnvoll ist.
- 2
Förderung klären
Ich sage dir, ob ein AVGS infrage kommt und wie du ihn bei Agentur für Arbeit oder Jobcenter ansprichst.
- 3
Gemeinsam ausarbeiten
Geschäftsmodell, Businessplan und Finanzplan, online oder vor Ort, in deinem Tempo.
- 4
Sicher starten
Du hast vollständige Unterlagen für Bank und Agentur für Arbeit und einen klaren Plan für die ersten Monate.
Kostenlos · unverbindlich · 10 Minuten
Häufige Fragen: Cybersecurity-Firma gründen
Brauche ich Zertifikate, um als Cyber Security Firma Aufträge zu bekommen?
Rechtlich nicht, aber viele Auftraggeber fragen danach. Für Pentests sind praxisnahe Prüfungen wie OSCP verbreitet, für Beratung zu Informationssicherheit etwa der ISO 27001 Lead Auditor oder CISSP. Wähle Zertifikate passend zu deiner Nische, statt möglichst viele zu sammeln.
Bin ich als kleiner Anbieter selbst von NIS2 betroffen?
Meist nicht direkt, weil NIS2 Größenschwellen hat. Anbieter verwalteter Sicherheitsdienste werden zwar ausdrücklich genannt, die Pflichten greifen aber in der Regel erst ab mittlerer Unternehmensgröße. Deine Kunden, die betroffen sind, werden von dir trotzdem Nachweise zu deiner eigenen Sicherheit verlangen.
Kann ich als IT-Sicherheitsberater nebenberuflich starten?
Ja. Informiere deinen Arbeitgeber und prüfe, was dein Arbeitsvertrag zu Nebentätigkeiten und Wettbewerb sagt. Gerade in der IT-Sicherheit solltest du Interessenkonflikte vermeiden, etwa wenn du Kunden deines Arbeitgebers berätst.
Was ist mit Scheinselbstständigkeit bei langen Projekten über Vermittler?
Arbeitest du lange und weisungsgebunden für nur einen Kunden, kann die Deutsche Rentenversicherung eine abhängige Beschäftigung annehmen. Mehrere Auftraggeber, eigene Arbeitsmittel und freie Zeiteinteilung sprechen dagegen. Im Zweifel kannst du ein Statusfeststellungsverfahren beantragen.
Wie finde ich die ersten Kunden für meine Cyber Security Firma?
Am besten über ein klar umrissenes Einstiegsangebot, etwa einen NIS2-Check oder eine Schulung gegen Phishing für eine bestimmte Branche. Kontakte aus deiner bisherigen Arbeit, Verbände und regionale Unternehmernetzwerke bringen oft die ersten Aufträge. Empfehlungen zählen in diesem Vertrauensgeschäft besonders viel.
Kann ich das Gründungscoaching kostenlos bekommen?
Wenn du arbeitsuchend oder arbeitslos gemeldet bist, kann die Agentur für Arbeit oder das Jobcenter einen AVGS für ein Gründungscoaching ausstellen. Dann übernimmt die Förderung die Kosten. Im Erstgespräch kläre ich mit dir, wie du den Gutschein ansprichst.
Über den Autor
IHK-zertifizierter Gründungsberater · B.Sc. Wirtschaftspsychologie
Seit 2021 habe ich rund 50 Gründungsvorhaben begleitet, als Dozent und Coach seit 2016 über 10.000 Menschen unterrichtet und gecoacht. Ich kenne Gründung mit ihren Höhen und Rückschlägen aus eigener Erfahrung, und genau das fließt in jede Beratung ein.
Inhalt geprüft am 1.10.2026
Du willst deine eigene Cyber Security Firma gründen?
In 10 Minuten bekommst du Klarheit, wo du stehst und was bei Businessplan, Finanzierung und Förderung als Nächstes sinnvoll ist. Danach weißt du, ob und wie ich dich begleiten kann.
Kostenlos · unverbindlich · 10 Minuten
Hinweis: Dieser Artikel dient ausschließlich der allgemeinen Information und ersetzt keine individuelle Rechts‑, Steuer‑ oder Finanzberatung. FoundingFits bietet keine Rechtsberatung oder Steuerberatung an. Für verbindliche Auskünfte wende dich bitte an eine Steuerberatung, eine Anwaltskanzlei oder eine andere zuständige Beratungsstelle. Alle Angaben ohne Gewähr.