Leadgenerierung für Cybersecurity-Anbieter: Kaltakquise in DACH

Wer im Mittelstand über Sicherheitsbudgets entscheidet

Im deutschen Mittelstand gibt es selten die eine Person, die Sicherheit einkauft. Es gibt drei Rollen, die zusammen entscheiden, und eine Kaltakquise, die nur eine davon anspricht, bleibt in aller Regel ohne Antwort.

Die erste Rolle ist die Sicherheitsverantwortung. In Konzernen sitzt dort ein CISO mit eigenem Budget. In einem Unternehmen mit 200 bis 800 Mitarbeitenden trägt diese Verantwortung fast immer die IT-Leitung nebenbei, oft ohne eigene Kostenstelle und ohne ein Team, das ein weiteres Werkzeug betreiben könnte. Wer dieser Person eine Plattform anbietet, die zwei Vollzeitstellen für den Betrieb voraussetzt, bekommt keine Ablehnung, sondern gar keine Reaktion.

Die zweite Rolle ist die Geschäftsführung. Sie gibt frei, was über dem laufenden IT-Budget liegt, und sie ist seit dem NIS2-Umsetzungsgesetz auch persönlich in der Pflicht. Das verändert die Sprache: Ein Geschäftsführer will wissen, welche Pflicht er damit erfüllt und was passiert, wenn er es lässt, und er will es in zwei Sätzen wissen.

Die dritte Rolle ist Datenschutz, Compliance oder Qualitätsmanagement. Diese Rolle startet die Suche häufiger, als der Vertrieb annimmt, weil sie die Frist im Kalender stehen hat. Sie kann kein Budget freigeben, sie kann ein Thema aber auf die Tagesordnung setzen, und in vielen Häusern ist das der eigentliche Startschuss.

Praktisch heißt das: Erstkontakt bei der IT-Leitung, Argumentation für die Geschäftsführung mitliefern, und die Compliance-Rolle als zweiten Adressaten in derselben Firma einplanen. Wer nur den CISO anschreibt, schreibt an eine Position, die es in der Hälfte der Zielunternehmen gar nicht gibt.

NIS2 ist der Zeitanlass, den der Markt gerade liefert

Kaltakquise ohne Anlass ist im Sicherheitsmarkt nahezu wirkungslos. Der Anlass, den der deutsche Markt derzeit von sich aus liefert, ist die Umsetzung der NIS2-Richtlinie.

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und gilt seitdem, wie die Übersicht auf openKRITIS dokumentiert, abgerufen am 9. September 2026. Dieselbe Quelle beziffert den Anwendungsbereich auf rund 8.250 besonders wichtige und 21.600 wichtige Einrichtungen, also grob das Sechsfache des bisherigen KRITIS-Kreises.

Für den Vertrieb zählt vor allem der Stand der Registrierung. Das BSI schreibt auf seiner Seite für NIS-2-regulierte Unternehmen: "Die gesetzliche Registrierungsfrist ist bereits abgelaufen" und fordert betroffene Unternehmen auf, sich umgehend im BSI-Portal zu registrieren (BSI, abgerufen am 9. September 2026). Ein erheblicher Teil des Marktes ist also formal in der Pflicht und praktisch noch nicht dort, wo er sein müsste.

Das ist ein starker Anlass und zugleich der am häufigsten falsch verwendete. Eine E-Mail, die mit der Frist droht, sagt dem Empfänger nichts, was er nicht längst weiß, und stellt den Absender in eine Reihe mit zwanzig anderen. Die tragfähige Variante nennt die Pflicht in einem Nebensatz und danach, welche Arbeit der Anbieter dem Adressaten abnimmt: die Erstbewertung des Anwendungsbereichs, die Meldewege, den Nachweis nach Paragraf 30 BSIG. Der Unterschied zwischen beiden Mails ist der Unterschied zwischen einer Antwortquote und keiner.

Warum Kaltakquise bei Sicherheitskäufern schwerer ist

Sicherheitsverantwortliche prüfen beruflich Behauptungen auf Substanz. Genau diese Fähigkeit richten sie auf jede Vertriebsnachricht, die bei ihnen ankommt, und sie tun es schneller als jede andere Zielgruppe im B2B.

Dazu kommt eine gesättigte Aufmerksamkeit. Der Markt ist voll, jeder Anbieter verspricht Schutz, und die Vokabeln der Branche sind so abgenutzt, dass sie keine Information mehr tragen. Wer "ganzheitliche Sicherheit" oder "KI-gestützte Erkennung" schreibt, ohne zu sagen, was der Mechanismus tut, hat in diesem Postfach bereits verloren.

Drei Fehler beenden das Gespräch sofort, und alle drei sind im deutschen Markt regelmäßig zu sehen. Erstens der Hinweis auf eine angeblich gefundene Schwachstelle in der Infrastruktur des Empfängers. Unaufgeforderte Scan-Ergebnisse führen zu einer Beschwerde, nicht zu einem Termin. Zweitens die Angstnummer mit einer Schadenssumme aus einer Studie, die jeder Wettbewerber ebenfalls zitiert. Drittens eine Absenderdomain, deren SPF-, DKIM- und DMARC-Einträge nicht sauber sind. Sicherheitsleute lesen Header, und ein Sicherheitsanbieter mit fehlerhafter E-Mail-Authentifizierung disqualifiziert sich in dem einen Punkt, in dem er kompetent aussehen müsste.

Was trägt, ist eine nachprüfbare Beobachtung im ersten Satz, ein konkret benanntes Problem im zweiten und eine kleine erste Bitte im dritten. Fünfzehn Minuten Fachgespräch oder die Erlaubnis, eine zweiseitige Architekturnotiz zu schicken, werden häufiger angenommen als ein Demo-Termin. Die längere Fassung dieser Argumentation steht in unserem englischsprachigen Leitfaden Outbound for cybersecurity.

Einstellungssignale zeigen, wer gerade Kapazität aufbaut

Ein Unternehmen, das eine Stelle für Informationssicherheit ausschreibt, hat drei Dinge bereits getan, die für einen Anbieter interessant sind. Es hat die Lücke intern anerkannt, es hat Geld für eine Personalstelle bewilligt bekommen, und es hat einen Termin, zu dem die Funktion arbeitsfähig sein soll.

Diese drei Punkte sind mehr, als eine Technografie-Liste je hergibt. Eine Liste eingesetzter Werkzeuge sagt, was ein Unternehmen gestern gekauft hat. Eine offene Stelle sagt, dass es gerade eine Fähigkeit aufbaut, und ein Aufbau zieht Werkzeuge, externe Unterstützung und Schulung nach sich.

Verwertbar wird das Signal erst mit drei Zusatzangaben. Die erste ist die Zahl gleichzeitig offener Sicherheitsstellen im selben Unternehmen: Eine einzelne Stelle deutet auf einen Ersatz hin, drei parallele Stellen auf den Aufbau einer Funktion, und beide Fälle brauchen eine andere Ansprache. Die zweite ist die Seniorität: Wer erstmals einen Leiter Informationssicherheit sucht, hat vorher niemanden gehabt. Die dritte ist die Standzeit der Anzeige, weil eine seit drei Monaten offene Stelle ein Problem beschreibt, das der Adressat kennt und über das er reden kann.

Aus diesen drei Angaben entsteht die erste Zeile einer Mail, die kein Wettbewerber schreiben kann, weil sie auf einer Beobachtung beruht statt auf einer Behauptung. Wie wir diese Signale erheben, steht in unserer Methodenbeschreibung zu Einstellungssignalen.

Was die Zahlen für Deutschland hergeben

Wir haben den Sicherheitsarbeitsmarkt im August 2026 in sieben europäischen Märkten gezählt und die Ergebnisse nach Stellentitel geprüft. Deutschland führt mit 2.878 geprüften Cybersecurity-Stellen bei 931 Unternehmen, das sind 3,1 Stellen je suchendem Unternehmen. Über alle sieben Märkte waren es 10.056 Stellen bei 3.454 verschiedenen Unternehmen. Die vollständige Tabelle und die Zählmethode stehen in Wie viele Cybersecurity-Stellen sind in Europa offen?, Stand August 2026.

Die Quote von 3,1 ist die für den Vertrieb wichtigste Zahl auf dieser Seite. Ein deutscher Arbeitgeber, der überhaupt sucht, sucht im Schnitt drei Leute gleichzeitig. Er ersetzt also nicht, er baut auf, und ein Aufbau hat ein Budget, einen Zeitplan und eine Person, die für das Ergebnis geradesteht.

Wer die Anzeigen zählt, muss allerdings unterscheiden, wer da inseriert. In der Auswertung der größten Inserenten halten 57 Organisationen zusammen 2.564 der 10.056 Stellen, und der Kopf dieser Liste besteht überwiegend aus Vermittlern statt aus Endkunden. IT-Dienstleister wie NTT mit 181 Stellen in fünf Märkten oder Sopra Steria mit 114 besetzen Projekte, die sie bereits gewonnen haben. Personaldienstleister wie Syntex mit 61 oder Amadeus Fire mit 47 platzieren Kandidaten. Der größte echte deutsche Eigenbedarf in der Auswertung ist die BWI GmbH mit 58 Stellen, gefolgt von adesso SE mit 49 und HiSolutions AG mit 32. Die vollständige Aufschlüsselung nach vier Organisationstypen steht auf unserer englischsprachigen Seite Which employers advertise the most cybersecurity jobs in Europe.

Für die Zielliste folgt daraus eine klare Regel: Wer Produkte verkauft, filtert Vermittler heraus und arbeitet mit der langen Reihe der Unternehmen, die ein bis drei Stellen ausschreiben. Wer Dienstleistung oder Personal verkauft, dreht die Regel um, weil der Vermittler dann der Kunde ist.

Paragraf 7 UWG: Telefon und E-Mail liegen unterschiedlich

Der Kanalmix im deutschsprachigen Markt folgt keiner Geschmacksfrage. Er folgt Paragraf 7 des Gesetzes gegen den unlauteren Wettbewerb, und der behandelt Anruf und E-Mail nach unterschiedlichen Maßstäben.

Für Werbung mittels elektronischer Post verlangt die Vorschrift grundsätzlich eine vorherige ausdrückliche Einwilligung des Adressaten. Eine allgemeine Ausnahme für den B2B-Bereich enthält sie nicht, und ein Funktionspostfach ist ebenso erfasst wie eine personenbezogene Adresse. Die Einzelheiten dazu stehen in Kaltakquise per E-Mail: DSGVO und UWG.

Beim Telefon liegt es anders. Gegenüber sonstigen Marktteilnehmern, also Unternehmen, Selbständigen und Freiberuflern, genügt eine mutmaßliche Einwilligung. Sie muss sich aus objektiven Umständen ergeben, die vor dem Anruf erkennbar waren, und die Beweislast dafür trägt der Anrufer. Eine öffentlich ausgeschriebene Stelle für Informationssicherheit ist genau ein solcher Umstand: Sie belegt einen sachlichen Bezug zum Geschäftsbetrieb und benennt den Anlass, ohne dass der Anrufer etwas hineindeuten müsste. Der Maßstab und seine Grenzen stehen in Telefonische Kaltakquise im B2B.

Die DSGVO ist eine zweite, davon getrennte Ebene. Sie beantwortet, ob die Daten verarbeitet werden dürfen, meist über das berechtigte Interesse nach Art. 6 Abs. 1 lit. f, verbunden mit der Informationspflicht aus Art. 14 und dem Widerspruchsrecht aus Art. 21 Abs. 2. Beide Prüfungen müssen bestehen. Für den Kanalmix in DACH heißt das: Recherche und Kontaktaufbau über LinkedIn, der Anruf mit einem konkreten Anlass durch Ihr eigenes Vertriebsteam, und die E-Mail dort, wo eine Einwilligung oder eine bestehende Geschäftsbeziehung vorliegt. Dieser Abschnitt gibt allgemeine Information zur Rechtslage wieder und ersetzt keine Rechtsberatung.

Was Ripe Leads übernimmt und was beim Anbieter bleibt

Wir bauen die Zielliste aus dem Einstellungssignal und öffentlichen Unternehmensdaten, prüfen jeden Datensatz vor dem Versand, schreiben die Ansprache auf Deutsch, betreiben die Versandinfrastruktur mit eigenen Domains und Aufwärmphase, führen die Nachfassschritte und leiten interessierte Antworten in Ihr Postfach.

Wir arbeiten schwerpunktmäßig für Personaldienstleister und spezialisierte B2B-Dienstleister in Deutschland, Polen, den Niederlanden, den nordischen Ländern und dem Baltikum, und unsere Kampagnen laufen auf Deutsch, Englisch, Polnisch, Litauisch und Russisch. Für den DACH-Markt ist das ein praktischer Punkt: Eine Sicherheitsentscheiderin, die Ihre Erklärung erst übersetzen muss, liest sie meistens gar nicht.

Was beim Anbieter bleibt, benennen wir vorab, damit niemand es später klären muss. Sie führen das Gespräch und schließen ab. Sie liefern die fachliche Substanz, also den einen prüfbaren Beweispunkt, der Ihre Lösung von der nächsten unterscheidet. Sie entscheiden über Preis und Angebot. Wir führen keine Sicherheitsprüfungen an fremden Systemen durch, wir leisten keine Rechtsberatung, wir kaufen keine Adresslisten zu, und wir sagen keine feste Anzahl an Terminen zu, weil niemand das seriös kann. Ein Telefonteam betreiben wir nicht: Die Anrufe führt Ihr Vertrieb, wir liefern den Anlass und den Kontakt dazu.

Wenn Outbound für Ihr Angebot der falsche Kanal ist, etwa weil der Zielkreis in Deutschland aus dreißig Unternehmen besteht, die Sie alle namentlich kennen, sagen wir das im Erstgespräch statt eine Kampagne zu starten.

Was es kostet

Der Preis ist veröffentlicht und für alle Branchen gleich: 3.750 € im ersten Monat für Aufbau und Start, danach 2.850 € monatlich, ohne Mindestlaufzeit und monatlich kündbar. Darin enthalten sind Zielliste, Datenprüfung, Domains, Postfächer und Aufwärmphase, Texterstellung, Versand und Nachfassen.

Nicht enthalten ist alles, was fachlich aus Ihrem Haus kommen muss: Produktunterlagen, technische Nachweise, Zertifikate und die Zeit Ihrer Fachleute für die Gespräche, die aus der Kampagne entstehen. Ein Vergleich mit den Preismodellen anderer Anbieter steht in Was kostet eine B2B-Outbound-Agentur in Deutschland 2026?.

Realistisch zum Zeithorizont: Sicherheitskäufe durchlaufen eine Lieferantenprüfung, den Einkauf und häufig eine Datenschutzfolgenabschätzung. Drei bis neun Monate von der ersten Antwort bis zur Unterschrift sind im Mittelstand normal. Eine Kampagne nach sechs Wochen an der Zahl der Abschlüsse zu messen, führt zu einer falschen Entscheidung.