Cybersecurity-Vertrieb: Sicherheit an technische Käufer verkaufen

Zwanzig Minuten nach Beginn des Termins unterbricht die Sicherheitsarchitektin die Demo. „Bevor wir weitermachen: Können Sie mir den Datenfluss aufzeichnen? Wohin gehen unsere Logs, wer bei Ihnen kann sie lesen, und was passiert mit ihnen, wenn wir kündigen?“

Jonas, der Account Executive, hat eine polierte Präsentation und eine starke Geschichte über Bedrohungen. Das Diagramm hat er nicht. Drei Wochen später liegt der Deal „auf Eis“. (Ein zusammengesetztes Beispiel aus Situationen, die Security-Verkäufer oft beschreiben.)

Das ist Cybersecurity-Vertrieb in einer Szene. Sie können das Interesse des CISO mit einer Geschichte über Risiken gewinnen und trotzdem an den Leuten scheitern, die die Details prüfen. Sie sind technisch, gründlich und werden dafür bezahlt, Anbietern zu misstrauen.

Dieser Leitfaden zeigt, was der Job umfasst und was er einbringt, und wer im Einkaufsgremium für Sicherheit sitzt. Sie erhalten die Nachweise, die jeder Käufer braucht, 12 Discovery-Fragen, einen Plan für die Sicherheitsprüfung des Anbieters und eine ausgearbeitete POC-Scorecard. Zum Schluss geht es darum, die Notizen über einen langen Deal hinweg stimmig zu halten.

Was ist Cybersecurity-Vertrieb?

Cybersecurity-Vertrieb bedeutet, Sicherheitsprodukte und -dienstleistungen an Organisationen zu verkaufen, die Risiken senken und Compliance-Vorgaben erfüllen müssen. Denken Sie an Endpoint-Schutz, E-Mail-Sicherheit, Identitätsmanagement, Cloud-Sicherheit, Managed Detection und Penetrationstests. Der Verkäufer arbeitet meist mit einem Sales Engineer zusammen und verkauft an ein Einkaufsgremium unter Führung des CISO oder der IT-Leitung.

Die Rollen ähneln denen im übrigen B2B-Technologievertrieb: Sales Development Reps vereinbaren Termine, Account Executives führen die Deals, und ein Sales Engineer für Cybersecurity verantwortet die technische Seite von Demos und Pilotprojekten. Was sich ändert, ist der Käufer. Sie verkaufen an Menschen, deren Job es ist, Schwachstellen zu finden.

Die Bezahlung ist gut. CyberSN, eine auf Cybersecurity spezialisierte Personalberatung, beziffert das Grundgehalt eines Cyber Sales Professional auf 105.000 USD am unteren Ende, 155.000 USD im landesweiten Durchschnitt und 205.000 USD am oberen Ende (Marktbeobachtungen, Juli 2025). Provisionen kommen hinzu und schwanken je nach Unternehmen und Gebiet.

Wenn Sie sich fragen, wie Sie in den Cybersecurity-Vertrieb einsteigen, lautet die kurze Antwort der Stellenportale: zuerst B2B-Vertriebserfahrung, dann genug Sicherheitswissen, um ein technisches Gespräch zu führen. Um dieses Gespräch geht es im Rest dieses Leitfadens.

Wie Sicherheitskäufer entscheiden

Sicherheitskäufer kaufen nicht, weil eine Präsentation ihnen Angst gemacht hat. Die meisten kennen die Bedrohungslage besser als der Verkäufer, der sie präsentiert. Sie kaufen, wenn ein Auditbefund, ein Vorfall, eine neue Vorschrift oder ein neues System die aktuelle Lösung zu riskant macht.

Drei Dinge bestimmen, wie sie mit Ihnen umgehen:

• Sie werden mit Anfragen überflutet. Justin Kingston, CISO der Farnsworth Group, sagte es in einer Diskussion der CISO Series über Anbieterkontakte ganz direkt: „Eskalierende Taktiken sind ein guter Weg, meine Aufmerksamkeit zu bekommen, aber wahrscheinlich nicht die Aufmerksamkeit, die Sie wollen.“
• Sie werden am Risiko gemessen, nicht an Funktionen. Der geschäftliche Rahmen sind die Kosten eines Fehlers. IBMs Cost of a Data Breach Report 2026, erstellt mit dem Ponemon Institute, beziffert die durchschnittlichen weltweiten Kosten einer Datenpanne auf 4,99 Mio. USD, 12 % mehr als im Vorjahr und ein Rekordwert.
• Sie prüfen alles. Eine Behauptung, die Sie nicht belegen können, ist schlechter als gar keine. Eine Zahl, die sich zwischen Demo und Fragebogen ändert, ist ein Warnsignal.

Der Vertriebsprozess im Cybersecurity-Vertrieb belohnt also den Verkäufer, der präzise Fragen stellt, die Antworten exakt notiert und mit Nachweisen zurückkommt. Wenn das nach Verkaufen an Ingenieure klingt: genau. Sicherheitskäufer sind Ingenieure mit einem Bedrohungsmodell.

Sie möchten jede Antwort aus diesem ersten technischen Termin wortwörtlich festhalten? Testen Sie ParrotNotes kostenlos: Zeichnen Sie das Gespräch mit Zustimmung aller Beteiligten auf und erhalten Sie zu jeder Aufnahme ein Transkript und eine KI-Zusammenfassung.

Das Einkaufsgremium für Sicherheit: wer welche Nachweise braucht

Ein Security-Deal hat selten nur einen Käufer. Sie treffen mindestens vier Arten von Menschen, und jede sucht etwas anderes. Legen Sie diese Übersicht neben Ihre Stakeholder-Map.

Einkauf und Rechtsabteilung kommen gegen Ende mit Vertrags- und Auftragsverarbeitungsbedingungen dazu. Unser Leitfaden zum Verkaufen an den Einkauf behandelt diesen Termin.

Beim Architekten und bei der SOC-Leitung sterben die meisten Deals still und leise. Der CISO mag Sie mögen, setzt sich aber selten über ein „Nein“ der Person hinweg, die Ihr Produkt um 2 Uhr nachts betreiben muss.

Discovery-Fragen für ein Gespräch im Cybersecurity-Vertrieb

Vage Fragen („Was raubt Ihnen den Schlaf?“) bekommen vage Antworten von Menschen, die sie schon 200-mal gehört haben. Diese 12 Fragen führen zu Fakten, die Sie notieren und wiedergeben können. Eine größere Sammlung finden Sie in unseren Discovery-Fragen im Vertrieb.

Der Auslöser

1. Was hat das gerade jetzt zur Priorität gemacht: ein Auditbefund, ein Vorfall, ein neues System oder eine neue Anforderung?
2. Was passiert, wenn sich in den nächsten 12 Monaten nichts ändert?
3. Wer hat das Thema zuerst angesprochen, und wer muss die Lösung freigeben?

Die aktuelle Lösung

4. Was setzen Sie heute dafür ein, und was ist das eine, das es nicht kann?
5. Mit welchen Tools müsste unseres zusammenarbeiten: Ihrem SIEM, Ihrem Identity Provider, Ihrem Ticketsystem?
6. Wie viele Benutzer, Endpunkte, Postfächer oder Cloud-Konten sind betroffen?

Das Team

7. Wer betreibt das im Alltag, und wie viele Alarme kann das Team pro Schicht bearbeiten?
8. Was hat das letzte Sicherheitstool, das Sie eingeführt haben, falsch gemacht?

Nachweis und Risiko

9. Wie werden Sie es testen, und welches Ergebnis gilt als bestanden?
10. Welchen Sicherheitsfragebogen oder welche Anbieterprüfung müssen wir durchlaufen, und wer ist dafür verantwortlich?
11. Welche Zertifizierungen oder Vertragsbedingungen sind für einen Anbieter hier Pflicht?
12. Was würde Sie dazu bringen, die Evaluierung abzubrechen?

Frage 8 ist oft die nützlichste. Jedes Sicherheitsteam hat eine Geschichte über ein Tool, das es mit Alarmen überflutet oder ein Produktivsystem lahmgelegt hat. Diese Geschichte sagt Ihnen genau, was Ihr POC beweisen muss. Wenn Sie mit MEDDPICC qualifizieren, füllen die Fragen 3, 9 und 10 die Felder Economic Buyer, Decision Criteria und Paper Process.

Die Sicherheitsprüfung des Anbieters bestehen

Irgendwann zwischen Demo und Vertrag schickt Ihnen das GRC-Team des Käufers einen Sicherheitsfragebogen. Das kann eine eigene Tabelle mit 300 Fragen sein oder ein Standardfragebogen wie der CAIQ der Cloud Security Alliance, ein Ja/Nein-Fragebogen, mit dem Käufer die Kontrollen eines Cloud-Anbieters prüfen.

Behandeln Sie die Prüfung als Vertriebsphase, nicht als Papierkram:

• Fragen Sie früh danach. Mit Frage 10 erfahren Sie Format und Verantwortlichen schon im ersten Termin, nicht erst in Woche 20.
• Leiten Sie sie an die richtigen Leute weiter. Ihre Sicherheits- und Engineering-Teams beantworten sie. Die Aufgabe des Verkäufers sind Frist und Nachfassen.
• Antworten Sie ehrlich. Ein „Nein“ mit einer ausgleichenden Kontrolle und einem Datum ist in Ordnung. Ein „Ja“, das sich als falsch herausstellt, beendet den Deal und die Beziehung.
• Behaupten Sie nie eine Zertifizierung, die Ihr Unternehmen nicht hat. Wenn Sie nach SOC 2 oder ISO 27001 gefragt werden, nennen Sie genau, was Ihr Unternehmen hat, für welchen Geltungsbereich und von wann der Bericht stammt. Wenn Sie unsicher sind, sagen Sie, dass Sie es klären.
• Protokollieren Sie jede Antwort. Dieselbe Frage kommt vom Architekten, im Fragebogen und von der Rechtsabteilung. Ihre Antworten müssen übereinstimmen.

So geht der letzte Punkt schief. Leonie, Account Executive bei einem Cloud-Security-Start-up, sagt dem Architekten eines Interessenten, Kundendaten „verlassen nie die EU-Region“. Sechs Wochen später steht in der Fragebogenantwort ihres Engineering-Teams, dass Backups in eine US-Region gehen.

Dasselbe Unternehmen, zwei Antworten. Die GRC-Leitung markiert den Widerspruch, und aus einer zweiwöchigen Prüfung werden zwei Monate. (Ebenfalls ein zusammengesetztes Beispiel, um das Muster zu zeigen.)

Einen Security-POC mit Scorecard durchführen

Sicherheitskäufer wollen fast immer testen, bevor sie kaufen. Ein Proof of Concept ohne schriftliche Erfolgskriterien wird zu einer Testphase, die nie endet. Vereinbaren Sie die Scorecard schriftlich, bevor der POC beginnt, und berichten Sie dann anhand dieser Kriterien. Unser Leitfaden zum Proof of Concept enthält die allgemeine Vorlage; so sieht eine für ein Sicherheitsprodukt aus.

Ausgearbeitetes Beispiel (fiktiv): ein 30-tägiger POC für E-Mail-Sicherheit bei einem Logistikunternehmen mit 900 Mitarbeitenden in Hamburg. Markus ist der Account Executive, Elena leitet beim Kunden das SOC, und das Produkt läuft im reinen Überwachungsmodus neben dem bestehenden Filter.

Zwei Dinge machen diese Scorecard wirksam. Elena misst die Sicherheitsergebnisse, nicht Markus, also streitet niemand über die Zahlen. Und die „eine Konfigurationsänderung“ wird aufgeschrieben statt versteckt, weil der Architekt sie ohnehin finden würde.

Im Abschlusstermin liest Markus jede Zeile vor und stellt eine Frage: „Erfüllt das die Messlatte, die Sie am ersten Tag festgelegt haben?“ Alles danach ist kaufmännisch.

Notizen, die einen neunmonatigen Deal im Cybersecurity-Vertrieb überstehen

Security-Deals sind lang und voller Beteiligter. Im fünften Monat haben Sie den CISO zweimal getroffen, den Architekten viermal, das SOC-Team im POC und die GRC-Leitung über einen Fragebogen. Jeder von ihnen merkt sich, wenn Sie sein Detail falsch wiedergeben.

Das Notizproblem im Cybersecurity-Vertrieb ist also nicht ein einzelner Termin. Es sind 15 Termine, die zueinander passen müssen. Ein paar Gewohnheiten helfen:

• Ein Protokoll pro Termin, mit Teilnehmenden, ihren Fragen, den genauen Zahlen, die sie genannt haben, und Ihren Zusagen.
• Jede technische Aussage mit Quelle. „Logs bleiben in eu-west-1 (bestätigt von unserem Plattformleiter, 12. März)“ schlägt „Daten bleiben in der EU“.
• Offene Fragen mit Verantwortlichem und Datum. Sicherheitskäufer merken, wenn auf „Ich prüfe das“ nie etwas folgt.
• Eine Zusammenfassung zum Vorlesen am Ende jedes technischen Termins. Sie fängt die falsche Zahl ab, bevor sie im Fragebogen landet.

Hier passt ParrotNotes, mit einer Regel vorweg: Fragen Sie alle im Raum, bevor Sie aufnehmen, respektieren Sie ein Nein und prüfen Sie die Regeln zur Einwilligung in Aufnahmen, wo Sie sich befinden. Viele Sicherheitsteams haben eine eigene Richtlinie zu Aufnahmen, fragen Sie also im ersten Termin danach.

Mit Zustimmung legen Sie Ihr Handy auf den Tisch und tippen auf Aufnahme. ParrotNotes transkribiert den Termin, und Pro ergänzt die Sprechererkennung, sodass Sie sehen, welche Zahlen vom Architekten kamen und welche von der SOC-Leitung. Die KI-Zusammenfassung und die Aufgaben listen offene Fragen und Zusagen auf, und die entworfene Follow-up-E-Mail beginnt mit dem, was tatsächlich gesagt wurde. Durchsuchen Sie Ihre Notizen, wenn der Fragebogen etwas wissen will, das der Architekt im zweiten Monat erklärt hat.

Ist eine Aufnahme nicht erlaubt, diktieren Sie direkt nach dem Termin eine zweiminütige Nachbesprechung, im Auto oder in der Lobby, solange die Details frisch sind. Bauen Sie daraus Ihre Follow-up-E-Mail.

Sie führen einen langen Security-Deal mit einem Dutzend Beteiligter? Laden Sie ParrotNotes kostenlos herunter. Der kostenlose Tarif bietet 100 Minuten Aufnahme pro Monat, eine KI-Zusammenfassung für jede Aufnahme und KI-Auswertungen für 5 Aufnahmen pro Monat.

Fehler, mit denen Sie technische Sicherheitskäufer verlieren

• Mit Angst verkaufen. Sie kennen die Bedrohungen. Sprechen Sie über ihre Lücke, ihre Zahlen und ihr Team.
• Bei einer technischen Antwort bluffen. „Ich lasse das bis Donnerstag von unserem Engineer bestätigen“ schafft Vertrauen. Eine selbstbewusste falsche Antwort beendet es.
• Über den Kopf des Architekten hinweg gehen. Wer zum CIO eskaliert, um ein technisches „Nein“ zu umgehen, verliert meist beide.
• Ein POC ohne Abschlusskriterien. Er zieht sich hin, und das Budget geht an den, der seinen Test abgeschlossen hat.

Cybersecurity-Vertrieb belohnt den sorgfältigen Verkäufer

Sicherheit an technische Käufer zu verkaufen läuft auf drei Dinge hinaus: präzise Fragen, Nachweise statt Adjektive und Antworten, die vom ersten Termin bis zum Vertrag übereinstimmen. Erfassen Sie das Gremium, fragen Sie früh nach der Sicherheitsprüfung und vereinbaren Sie vor jedem POC eine Scorecard.

Jonas aus der Eingangsszene hat nicht verloren, weil sein Produkt schwach war. Er hat verloren, weil die Architektin Nachweise verlangt hat, die er nicht vorbereitet hatte. Bringen Sie das Diagramm mit, notieren Sie, was jeder Käufer sagt, und kommen Sie mit Antworten zurück, die halten.

Am schwierigsten ist es, über Monate von Terminen jedes Detail im Griff zu behalten. Lassen Sie Ihr Handy die Notizen machen. Laden Sie ParrotNotes kostenlos herunter und zeichnen Sie Ihren nächsten technischen Termin mit Zustimmung aller auf, damit Ihr Follow-up mit dem beginnt, was der Käufer tatsächlich gesagt hat.