Open-Source-GRC-Tools im Vergleich: vier Kandidaten für KMU

Wer GRC aus Excel herausholen will, landet schnell bei den grossen Suiten — und bei fünfstelligen Jahreslizenzen, die für ein KMU in keinem Verhältnis zum Nutzen stehen. Dabei gibt es im Open-Source-Bereich inzwischen vier ernsthafte Kandidaten. Sie sind nicht gleich gut, aber sie sind gut für unterschiedliche Dinge. Hier ist mein Vergleich, bewusst aus der Sicht eines Unternehmens mit 30 bis 300 Mitarbeitenden.

Kurz gesagt: CISO Assistant ist die modernste Plattform mit der grössten Framework-Bibliothek; verinice die beste Wahl, wenn BSI-Grundschutz oder TISAX im Spiel sind; SimpleRisk das einfachste Werkzeug für ein reines Risikoregister; Eramba der etablierte Klassiker, dessen Community-Edition man vor dem Einsatz prüfen sollte. Alle vier laufen self-hosted.

Die Kriterien

Ein GRC-Tool muss für ein KMU sieben Dinge können, sonst bleibt Excel am Ende doch offen:

1. Frameworks mitbringen — ISO 27001, NIS2, nDSG-relevante Kataloge — und mehrere davon auf dieselben Massnahmen abbilden.
2. Risikoregister mit Szenarien, Bewertung und Verknüpfung zu Massnahmen.
3. Massnahmen und Evidenzen mit Verantwortlichen, Terminen und Belegen.
4. Betrieb, der ohne eigene Entwicklerabteilung geht: Docker, Updates, Backups.
5. Lizenz, die auch in drei Jahren noch gilt.
6. Reifegrad: aktive Entwicklung, Community, Dokumentation.
7. Mehrbenutzer-Fähigkeit mit Rollen — Auditoren lesen, Verantwortliche pflegen, die Leitung sieht das Dashboard.

Bewusst nicht auf der Liste: die Anzahl Funktionen. Ein Tool, das alles kann, wird in einem KMU zu zehn Prozent genutzt und zu neunzig Prozent ignoriert. Entscheidend ist, ob die drei Personen, die damit arbeiten, es nach einem Monat noch öffnen. Das lässt sich nur im Test herausfinden — deshalb der Wochenplan weiter unten.

CISO Assistant

Das jüngste Projekt der vier, entwickelt von intuitem in Frankreich, Community-Edition unter AGPL. Der Kern ist ein sauberes Datenmodell: Frameworks, Assessments, Referenz- und angewandte Massnahmen, Evidenzen und Risikoszenarien sind Objekte mit Beziehungen — nicht Zeilen in Tabellen. Die Bibliothek umfasst über hundert Frameworks, von ISO 27001 über NIS2 und DORA bis zu CIS Controls und BSI-Grundschutz, und das Mapping zwischen ihnen ist die stärkste Funktion. Die Oberfläche ist modern (SvelteKit), das Backend Python.

Schwächen: Die Begriffe brauchen Einarbeitung, SSO gibt es erst in der Pro-Version, und die Release-Frequenz ist hoch — wer nicht regelmässig aktualisiert, bleibt schnell zurück. Ausführlich habe ich das Tool in CISO Assistant: GRC ohne Excel-Friedhof beschrieben.

Eramba

Eramba ist der Klassiker unter den Open-Source-GRC-Tools und seit über zehn Jahren im Einsatz, entwickelt in Argentinien und Grossbritannien. Der Funktionsumfang ist breit: Compliance-Management, Risiken, Richtlinien, Audits, Lieferantenbewertung, Awareness-Programme — vieles davon mit Workflows und Erinnerungen, die grössere Organisationen brauchen. Die Community ist erfahren, die Dokumentation umfangreich.

Die Einschränkung: Der Hersteller lenkt Neukunden klar zur Enterprise-Version, und die Community-Edition hat in den letzten Jahren an Bedeutung verloren; das Lizenzmodell hat sich mehrfach geändert. Wer heute startet, sollte den aktuellen Stand der Community-Edition, ihre Update-Politik und die Lizenz prüfen, bevor er Daten hineinträgt. Die Oberfläche wirkt gegenüber CISO Assistant gewöhnungsbedürftig.

verinice

verinice kommt von SerNet aus Göttingen und ist im deutschsprachigen Raum die Referenz für BSI-IT-Grundschutz. Das klassische verinice ist eine Desktop-Anwendung unter GPL, ergänzt um eine Serverversion für Teams; die neue, webbasierte Generation verinice.veo wird als Abonnement angeboten. Die Stärken liegen dort, wo deutsche Kataloge gefragt sind: Grundschutz-Kompendium, ISO 27001, TISAX (VDA ISA), Datenschutz nach DSGVO. Für ein Schweizer KMU ist das relevant, wenn deutsche Automobil- oder Industriekunden TISAX verlangen.

Schwächen: Die klassische Desktop-Oberfläche fühlt sich alt an, die Modellierung ist detailverliebt, und wer nur ISO 27001 braucht, trägt viel Grundschutz-Ballast mit.

SimpleRisk

SimpleRisk aus Texas macht eine Sache und macht sie einfach: Risikomanagement. Risiken erfassen, bewerten, Massnahmen planen, Reviews terminieren, Berichte ziehen — in einer Oberfläche, die man ohne Schulung versteht. Der Kern steht unter Mozilla Public License; Compliance-Funktionen, API und Benachrichtigungen kommen als bezahlte Erweiterungen dazu.

Für ein KMU, dessen erster Schritt ein sauberes Risikoregister ist, reicht das. Für Framework-Assessments mit Evidenzen und Mapping ist es zu schmal — dafür braucht es die Erweiterungen, und dann ist der Preisvorteil weg.

Vergleich auf einen Blick

	CISO Assistant	Eramba	verinice	SimpleRisk
Lizenz (Community)	AGPL	Prüfen, Modell geändert	GPL (klassisch)	MPL (Kern)
Schwerpunkt	Compliance + Risiko	Breites GRC	Grundschutz, ISO, TISAX	Risikoregister
Frameworks	100+, Mapping	Viele, manuell	Deutsche Kataloge stark	Wenige, Erweiterung nötig
Risikoregister	Ja, verknüpft	Ja	Ja	Ja, Kernfunktion
Evidenzen	Ja	Ja	Ja	Erweiterung
Betrieb	Docker	Docker	Desktop / Server	Docker, PHP
Rollen / SSO	Rollen ja, SSO Pro	Ja	Serverversion	Erweiterung
Einstieg	Mittel	Mittel bis hoch	Hoch	Einfach

Betrieb und Kosten im Vergleich

Alle vier laufen auf einem kleinen Server; ein virtueller Host für 20 bis 40 Franken im Monat genügt. Der Unterschied liegt in der Betriebszeit: CISO Assistant und SimpleRisk aktualisieren sich mit einem Docker-Befehl, Eramba ebenso, verinice klassisch verlangt Installationen auf jedem Arbeitsplatz. Backups sind bei allen Datenbank-Dumps plus hochgeladene Dateien — täglich, automatisiert, einmal im Quartal zurückgespielt. Rechnet man die Einarbeitung mit, liegt der Aufwand im ersten Jahr bei zwei bis fünf Arbeitstagen, danach bei ein bis zwei Stunden pro Woche. Kommerzielle Suiten nehmen einem diese Arbeit ab, kosten dafür typischerweise einen hohen vierstelligen bis fünfstelligen Betrag pro Jahr — für ein KMU meist mehr als das gesamte GRC-Budget.

So testet man in einer Woche

Ein Proof of Concept muss nicht lange dauern. Der Ablauf, den ich vorschlage:

1. Tag 1: Zwei Kandidaten per Docker installieren, je einen Benutzer anlegen, HTTPS über einen Reverse Proxy — wer das nicht in zwei Stunden schafft, hat das erste Kriterium beantwortet.
2. Tag 2: Das wichtigste Framework importieren und zehn Requirements ehrlich bewerten. Wie viele Klicks braucht ein Umsetzungsstand mit Kommentar?
3. Tag 3: Zwanzig Risiken aus der bestehenden Tabelle migrieren und mit Massnahmen verknüpfen. Geht der Import aus Excel oder nur von Hand?
4. Tag 4: Fünf Evidenzen hochladen und einer Auditor-Rolle lesenden Zugriff geben. Sieht sie, was sie sehen soll — und nichts anderes?
5. Tag 5: Dashboard und Export prüfen: Kann die Geschäftsleitung den Stand ohne Erklärung lesen? Dann entscheiden — und die Tabelle abschalten.

Welches Tool für wen

• Erster Schritt aus Excel, Fokus Risiken: SimpleRisk. In einem Nachmittag produktiv, keine Begriffe zu lernen.
• ISO 27001 oder NIS2 nachweisen, mehrere Frameworks, Daten im Haus: CISO Assistant. Das Mapping spart bei jedem zweiten Framework die Hälfte der Arbeit.
• Deutsche Industriekunden, TISAX oder Grundschutz gefordert: verinice. Kein anderes Tool bildet die Kataloge so genau ab.
• Organisation mit 200+ Mitarbeitenden und Bedarf an Workflows, Lieferantenmanagement und Awareness-Tracking: Eramba — mit vorheriger Klärung der Lizenzfrage, sonst direkt Enterprise.

Wer den Weg zur Zertifizierung vor sich hat, findet in ISO 27001 für Schweizer KMU den Fahrplan, in den sich jedes dieser Tools einfügt.

Was kein Tool löst

Alle vier sind nur so gut wie die Daten, die man hineinträgt. Ein Risikoregister mit zwanzig sorgfältig bewerteten Szenarien ist mehr wert als eines mit zweihundert kopierten. Ein Tool zwingt niemanden, Massnahmen umzusetzen — es macht nur sichtbar, dass sie fehlen. Und es ersetzt keine Entscheidung darüber, wie viel Sicherheit das Unternehmen sich leisten will: Dafür gibt der Security-Budget-Check einen Richtwert, bevor das erste Werkzeug installiert ist.