Für Solo-ISBs:10 starke KPIs für das Management

Sie sind als Solo-ISB in einem BaFin-regulierten Umfeld tätig und suchen nach KPIs für das Management? Gute Nachrichten: Sie brauchen kein KPI-Feuerwerk. Sie brauchen ein kleines, belastbares KPI/KRI-Set (8–10 Kennzahlen), das drei Dinge leistet:

1. Board-ready Steuerung: Jede Kennzahl hat Definition, Datenquelle, Zielwert, Trend und eine klare Konsequenz (Maßnahme/Invest/Entscheidung).
2. Weniger manuell, mehr automatisch: Automatisierung beginnt mit sauberen Definitionen und verlässlichen Datenquellen (SIEM/XDR, Ticketing/IR, Vulnerability Management, CMDB).
3. Weniger Report, mehr Entscheidung: Zeigen Sie Outcome + Exposure + Control + Investment in einem kompakten Portfolio. Jede rote Ampel endet in einer Managementfrage:
   „Akzeptieren wir das Risiko – oder investieren wir X, um es zu schließen?“

Lesetipp: Was ist eigentlich ein ISB?

Wenn Sie als Solo-ISB in einem regulierten Umfeld arbeiten, kennen Sie die Dynamik: DORA/ISO/NIS2 laufen parallel, Auditoren wollen Nachweise, und die Geschäftsführung möchte einen Status, der in 10 Minuten verständlich ist. Das Problem: Viele Reports dokumentieren zwar Aktivität, aber liefern wenig Steuerung und verursachen jedes Mal wieder manuellen Aufwand.

Dieser Artikel zeigt Ihnen ein kompaktes KPI/KRI-Portfolio, das Sie zuverlässig wiederkehrend reporten können,ohne jedes Mal Excel neu zusammenzuklicken.

Was „board-ready“ wirklich heißt

„Board-ready“ bedeutet nicht „mehr Metriken“, sondern weniger, dafür entscheidungsfähig:

• Maximal 8–10 Kennzahlen (alles darüber wird nicht genutzt).
• Jede Kennzahl hat zwingend: Definition, Datenquelle, Zielwert, Trend, Maßnahme.
• Segmentierung nach Schweregrad (kritisch/hoch/mittel), sonst sind Zahlen nicht interpretierbar.
• Jede Abweichung (rot/gelb) führt zu einer klaren Entscheidungsvorlage: Risiko akzeptieren vs. investieren.

So wird aus Reporting ein Steuerungsinstrument.

Lesetipp: ISO/IEC 27004 (Monitoring, Measurement, Analysis & Evaluation) – die Kernreferenz für ein Messprogramm im ISMS: wie man Informationssicherheits-Leistung und ISMS-Wirksamkeit systematisch bewertet (als Vertiefung zu ISO/IEC 27001, 9.1).

Die 8–10 KPIs für das Management, die wirklich steuern (inkl. board-ready Darstellung)

Unten finden Sie ein Set, das Outcome + Exposure + Control + Investment abdeckt. Genau diese Mischung sorgt dafür, dass Sie nicht nur Aktivität zeigen, sondern Risiko, Wirksamkeit und Handlungsoptionen.

1) MTTD – Mean Time to Detect (Zeit bis zur Entdeckung)

• Wofür: Wie lange Angriffe/kompromittierendes Verhalten unentdeckt bleiben.
• Datenquelle: SIEM/XDR, Alert-Zeitstempel, Case-Eröffnung.
• Board-ready: Trend + Zielwerte pro Severity (P1/P2/P3/P4).
• Typische Maßnahmen: Logging-Gaps schließen, Detection Use Cases priorisieren, Detection Engineering.

2) MTTR – Mean Time to Respond/Contain (Zeit bis zur Eindämmung)

• Wofür: Wie schnell Sie Schaden begrenzen: operativ, finanziell, regulatorisch.
• Datenquelle: Incident-/Ticket-System, „Detected → Contained/Closed“.
• Board-ready: MTTR nach Severity + SLA-Erfüllung + Top-Engpässe.
• Typische Maßnahmen: Playbooks, klare Ownership, Automatisierung im Incident-Workflow.

3) Top-Risiken & Residual Risk Trend (Rest-Risiko)

• Wofür: Ob Ihre größten Risiken nach Kontrollen wirklich sinken.
• Datenquelle: Risiko-Register, Assessments, Audit Findings.
• Board-ready: 3–7 Top-Risiken, Trendpfeil (↑/↓), Ampel ggü. Risk Appetite.
• Typische Maßnahmen: Maßnahmenplan + Managemententscheidung pro Risiko.

4) % kritische/hohe Vulnerabilities „past due“ (oder Vuln-MTTR)

• Wofür: Ob technische Exponierung konsequent nach SLA geschlossen wird.
• Datenquelle: Vulnerability Management + Asset Inventory/CMDB.
• Board-ready: Anteil über SLA + Trend + wichtigste Treiber (Asset-Gruppen).
• Typische Maßnahmen: Ownership, Patch-Fenster, Priorisierung nach Business Criticality.

5) Detection Coverage / Telemetry Utilization

• Wofür: Ob Sie genug „sehen“, um frühe Angriffe zu erkennen (keine Blind Spots).
• Datenquelle: Detection-Katalog, Telemetriequellen-Liste, MITRE-Mapping (optional).
• Board-ready: Coverage % nur für priorisierte Techniken/Assets + Trend.
• Typische Maßnahmen: Kritische Telemetrie zuerst, Coverage entlang Bedrohungsmodell aufbauen.

6) Threat Hunting Conversion / Hunt-initiated Detections

• Wofür: Ob Threat Hunting messbar Funde liefert, statt Beschäftigungstherapie.
• Datenquelle: Hunt-Reports, Incidents mit „hunt-origin“.
• Board-ready: Anteil Hunt-initiierter Detections + Conversion Rate + Learnings.
• Typische Maßnahmen: Hunt-Themen an Business-Risiken koppeln, wiederholbare Hunts.

7) Control Coverage: % kritischer Assets mit erforderlichen Controls

• Wofür: Ob Basiskontrollen wirklich flächig aktiv sind (z. B. EDR, MFA, Hardening).
• Datenquelle: Endpoint-/Config-Management, IAM, CMDB/EASM.
• Board-ready: „% kritische Assets compliant“ + Trend + Backlog/Abweichungen.
• Typische Maßnahmen: Standard-Baselines, Enforcement, Ausnahmen reduzieren.

8) Compliance Posture: % Controls in Scope erfüllt + wirksam belegt

• Wofür: Auditfähigkeit, nicht nur „Papier-Compliance“, sondern Wirksamkeit.
• Datenquelle: Control Tests, Internal Audit, Evidence-Status.
• Board-ready: „implemented“ vs. „operating effective“ + Trend + Maßnahmen aus Findings.
• Typische Maßnahmen: Evidence Owner, Testzyklen, Findings konsequent schließen.

9) High-impact incidents / Impact avoidance

• Wofür: Der Business-Teil: Vorfälle mit echtem Impact (oder vermiedener Impact durch frühe Erkennung).
• Datenquelle: Postmortems, Downtime, Datenabfluss-Bewertung.
• Board-ready: Anzahl High-Impact Incidents + 1 Satz Ursache + 1 Satz „was geändert“.
• Typische Maßnahmen: Wiederholungsvermeidung, Controls auf Impact-Pfade fokussieren.

10) (Optional) Security Spend & Spend Efficiency

• Wofür: Investment-Position und die Antwort auf „Was bringt uns das Budget?“
• Datenquelle: Budget, FTE, Run/Change, Projektkosten.
• Board-ready: Spend pro Mitarbeiter + Trend + KPI-Wirkung (z. B. MTTR-Reduktion).
• Typische Maßnahmen: Investitionen an messbare KPI-Verbesserung koppeln.

Lesetipp: BSI IT-Grundschutz – Lerneinheit 9.3 „Kennzahlen“. Der Artikel zeigt konkrete Beispiel-Kennzahlen (technisch und organisatorisch) und ist gut geeignet, um ISB-KPIs im deutschen Behörden-/Grundschutzkontext zu verankern.

Für Solo-ISBs: In 30 Tagen zum Board-One-Pager (ohne Overhead)

Woche 1: Definitionen festnageln

• Pro KPI: klare Definition, Start/Ende, Severity-Logik.
• Datenquellen eindeutig: SIEM/XDR, IR/Ticketing, VM, CMDB/Asset.

Woche 2: Normalisieren

• Einheitliche Severity, SLAs, „Case closed“-Definition.
• Datenqualität prüfen (doppelte Assets, fehlende Owner, fehlende Zeitstempel).

Woche 3: Dashboard + Board-One-Pager

• Eine Seite: Ampel, Trend, 1 Satz Interpretation, 1 Maßnahme.

Woche 4: Management-Review

• Jede rote Ampel bekommt genau eine Entscheidungsvorlage: Gap → Fix → Investment/Entscheidung.

Ergebnis: Sie liefern ein belastbares Update in 10 Minuten — ohne jedes Mal manuell zu basteln.

Häufige Fehler (Anti-Patterns), die Sie Zeit kosten

1. Zu viele KPIs → niemand liest es, Sie pflegen es trotzdem.
2. Uneinheitliche Definitionen → Diskussion über Zahlen statt Entscheidungen.
3. Kein Trend / keine Konsequenz → Reporting ohne Steuerung.
4. Report als Dokument → statt als Board Pack, das Entscheidungen auslöst.