GRC-Tooling-Vergleich 2026: 6 Plattformen für KMU

Hauptartikel: Compliance Tool-Stack 2026 — der vollständige Pillar-Artikel zum Thema.

Die Auswahl entscheidet sich weniger am Funktionsumfang als an den Pflichten, die das Werkzeug tragen muss. Neu sind in dieser Fassung die rechtlichen Anker je Abschnitt: welche Pflicht welche Werkzeug-Funktion verlangt, welche Frist sie auslöst — und wo Deutschland und Österreich auseinandergehen.

Welche Pflichten ein GRC-Werkzeug tragen muss

Ein GRC-Werkzeug muss genau die Pflichtenkreise tragen, die Ihr Unternehmen tatsächlich treffen — im KMU sind das typischerweise fünf: Datenschutz, Cybersicherheit (NIS2), Hinweisgeberschutz, Gleichbehandlung und Künstliche Intelligenz. Jeder Kreis verlangt Dokumentation; für Datenschutz, Cybersicherheit, Hinweisgeberschutz und Gleichbehandlung laufen zudem eigene Fristen (siehe Fristen-Uhr). Bei Cybersicherheit, Hinweisgeberschutz und Gleichbehandlung gelten in Österreich andere Fundstellen als in Deutschland, DSGVO und KI-VO gelten in beiden Ländern identisch; die nationalen Ergänzungen dazu unterscheiden sich gleichwohl (Deutschland: § 25 TDDDG, § 38 und § 40 BDSG; Österreich: DSG).

Praxisempfehlung: Legen Sie die Modulliste eines Anbieters neben diese fünf Zeilen und markieren Sie jede Zeile, für die kein Modul benannt werden kann. Diese Lücken sind kein Ausschlussgrund — sie sind der Arbeitsvorrat, den Sie neben dem Werkzeug organisieren müssen, und der beste Verhandlungspunkt im Angebotsgespräch.

Wer ein Werkzeug braucht: Schwellen in Deutschland und Österreich

Ob überhaupt ein GRC-Werkzeug nötig ist, entscheidet nicht die Mitarbeiterzahl, sondern welche Pflichten greifen — und deren Auslöser sind je Regelwerk unterschiedlich gebaut. Die folgende Übersicht nennt zu jeder Zeile den gesetzlichen Anknüpfungspunkt genau der dort zitierten Norm.

Die 250er-Schwelle gilt also nur für Arten der Anlage 1: Ein Betrieb einer Anlage-2-Art wird allein über seine Größe nicht zur besonders wichtigen Einrichtung. Ab wann sich ein Werkzeug gegenüber Tabellen und Vorlagen rechnet, ordnen die ersten beiden FAQ-Antworten unten ein.

Die sechs Plattformen im Überblick

Die sechs verglichenen Plattformen unterscheiden sich in Preis, Schwerpunkt und Zielgröße wie folgt. Preise, Stärken und Schwächen dieser Tabelle stammen unverändert aus der Erstfassung (Stand siehe Quellen-Block); die rechtlichen Anker je Plattform stehen in den Abschnitten darunter.

Die Tabelle beantwortet die Preisfrage, nicht die Pflichtenfrage. Gegen die fünf Pflichtenkreise gelegt, sagt die Erstfassung Folgendes — und schweigt zum Rest:

Jedes Feld „nicht benannt" ist der Arbeitsvorrat, den Sie neben dem Werkzeug organisieren müssen — und die Liste der Punkte, die im Testzugang oder im Angebotsgespräch zu klären sind. Die folgenden sechs Abschnitte ordnen je Plattform die Normen zu, die hinter der im Bestand genannten Stärke oder Schwäche stehen — für MetricStream, wo der Bestand keinen Pflichtenkreis benennt, die Pflichten der Geschäftsleitung.

1. DataGuard (DACH-fokussiert)

DataGuard ist die DACH-orientierte Plattform des Vergleichs (8-25k EUR/Jahr, KMU 50-500 MA). Für die Auswahl entscheidend ist nicht die Sprachabdeckung, sondern welcher der fünf Pflichtenkreise oben durch ein benanntes Modul getragen wird — bei DataGuard ist das im Bestand für den Datenschutz belegt, für NIS2 ausdrücklich nicht.

Der Datenschutz-Pflichtenkreis, den ein solches Werkzeug tragen muss, ist eng umrissen: Verarbeitungsverzeichnis und technisch-organisatorische Maßnahmen (Art. 30, Art. 32 DSGVO), Anträge betroffener Personen (Art. 12 Abs. 3 DSGVO), Meldung von Datenpannen (Art. 33 Abs. 1 DSGVO) und Benachrichtigung Betroffener bei voraussichtlich hohem Risiko (Art. 34 DSGVO) — die Fristen dieser drei Pflichten stehen in der Fristen-Uhr weiter unten —, Datenschutz-Folgenabschätzung vor Verarbeitungen mit voraussichtlich hohem Risiko (Art. 35 DSGVO), Auftragsverarbeitungsverträge mit dem gesetzlichen Mindestinhalt (Art. 28 Abs. 1 und 3 DSGVO, ausformuliert in Abschnitt 2) und der Nachweis erteilter Einwilligungen (Art. 7 Abs. 1 DSGVO). In Deutschland kommt die Einwilligung für den Zugriff auf Endeinrichtungen hinzu (§ 25 TDDDG).

Die im Bestand genannte NIS2-Schwäche wiegt nur, wenn NIS2 Sie überhaupt erfasst. Ist das der Fall, klären Sie getrennt, wer den Mindestkatalog der Risikomanagementmaßnahmen dokumentiert (§ 30 BSIG; AT § 32 NISG 2026) und wer die Meldekette 24 Stunden / 72 Stunden / ein Monat bedient (§ 32 BSIG; AT § 34 NISG 2026). Praxisempfehlung: diese Zuständigkeit vor der Werkzeug-Entscheidung benennen, nicht danach.

2. OneTrust (größere Organisationen)

OneTrust adressiert Organisationen ab 500 Mitarbeitern (25-150k EUR/Jahr). Der Bestand nennt als Stärken nur Pauschalen — „alles abgedeckt", „sehr ausgereift" —, dazu Komplexität und US-Fokus als Schwächen; für die Auswahl heißt das: Die Pauschale muss je Pflichtenkreis in ein benanntes Modul aufgelöst werden, der US-Fokus an den österreichischen Fundstellen.

„Alles abgedeckt" prüfen Sie am besten gegen die fünf Pflichtenkreise oben: Für jede Zeile muss benannt sein, welches Modul die Dokumentation führt und welche Frist es auslöst. Unabhängig vom Sitz des Anbieters ist der Auftragsverarbeitungsvertrag ein Pflicht-Prüfpunkt: Verantwortliche dürfen nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und der Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festlegen (Art. 28 Abs. 1 und 3 DSGVO).

Die Angabe „ab 500 MA" ist eine Eignungsaussage, keine Rechtsschwelle — welche NIS2-Pflichten greifen, klärt die Tabelle im Abschnitt „Wer ein Werkzeug braucht". Für die Auswahl heißt das: Praxisempfehlung — lassen Sie sich die getrennte Führung beider Rechtsräume bei einem Anbieter mit US-Fokus im Angebotsgespräch schriftlich zusagen (Prüfschritt dafür in der FAQ zum Setup in Österreich).

3. ServiceNow GRC

ServiceNow GRC lohnt sich nur als Aufsatz auf eine vorhandene ServiceNow-Installation (30-200k EUR/Jahr einschließlich der ServiceNow-Lizenzen). Ohne diese Installation ist nicht der Preis die eigentliche Hürde, sondern der Umstand, dass die einzige im Bestand benannte Stärke — die ITIL-Integration — dann ins Leere läuft.

Der Vorteil einer ITIL-Integration liegt dort, wo Vorfälle Fristen auslösen. Der gesetzliche Mindestkatalog verlangt unter anderem Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity und Backup, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung (§ 30 Abs. 2 BSIG; AT § 32 Abs. 4 NISG 2026); die Einhaltung ist zu dokumentieren (§ 30 Abs. 1 BSIG). Erheblich — und damit meldepflichtig — ist ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste (AT: schwerwiegende finanzielle Verluste) verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG; AT § 35 Abs. 1 NISG 2026).

Praxisempfehlung: Halten Sie diese Einstufungsentscheidung im Vorfallsdatensatz fest — sie ist der Auslöser der 24-Stunden-Frühwarnung und im Zweifel der einzige Beleg dafür, wann die Uhr zu laufen begann. Liegt zugleich eine Verletzung des Schutzes personenbezogener Daten vor, läuft die Meldung an die Datenschutzaufsicht parallel (Art. 33 Abs. 1 DSGVO, Frist in der Fristen-Uhr): zwei Meldewege, ein Vorfall.

4. Vanta (Mid-Market)

Vanta ist die Automatisierungs-Plattform für SaaS-KMU (8-30k EUR/Jahr). Der Bestand nennt als Stärke ISO 27001 und SOC 2, als Schwäche NIS2 und HinSchG — damit fallen zwei der fünf Pflichtenkreise oben in genau den Bereich, für den Sie einen zweiten Weg benennen müssen.

Die genannte HinSchG-Schwäche betrifft einen Pflichtenkreis mit harten Fristen: Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten und betreiben (§ 12 Abs. 1 und 2 HinSchG; AT ab 50 Arbeitnehmer:innen § 3 Abs. 1, § 11 Abs. 1 HSchG), den Eingang spätestens nach sieben Tagen bestätigen (§ 17 Abs. 1 Nr. 1 HinSchG; AT sieben Kalendertage bei schriftlichen Hinweisen § 9 Abs. 1 HSchG), binnen drei Monaten nach der Eingangsbestätigung über geplante oder ergriffene Folgemaßnahmen zurückmelden (§ 17 Abs. 2 HinSchG; AT binnen drei Monaten nach Entgegennahme § 13 Abs. 9 HSchG) und die Identität vertraulich halten (§ 8 HinSchG; AT § 7 HSchG). In Deutschland ist das Fehlen einer internen Meldestelle mit einer Geldbuße bis zu 20.000 EUR bewehrt (Bußgeldrahmen nach § 40 Abs. 2 bis 6 HinSchG).

Zur Stärke: Eine Zertifizierung kann in Deutschland Teil der Nachweisführung nach § 39 Abs. 1 BSIG sein — diese Nachweispflicht trifft dort Betreiber kritischer Anlagen. In Österreich verlangt § 33 NISG 2026 von allen wesentlichen und wichtigen Einrichtungen binnen zwölf Monaten nach Eintritt der Registrierungspflicht eine strukturierte Selbstdeklaration und auf Aufforderung binnen zwei Jahren den Nachweis durch eine unabhängige Stelle; wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung nachweisen.

5. Drata (Vanta-Konkurrenz)

Drata besetzt dasselbe Segment wie Vanta zu einem niedrigeren Preis (7-25k statt 8-30k EUR/Jahr, SaaS-KMU). Die Preisdifferenz beträgt am unteren Rand 1k, am oberen 5k EUR/Jahr — über drei Jahre gerechnet also 3k bis 15k EUR.

Diese Spanne trägt eine Entscheidung nur, wenn der Funktionsumfang tatsächlich gleich ist; weil der Bestand Drata nur als „ähnlich Vanta, etwas günstiger" beschreibt, entscheidet die Nachweis-Mechanik im Testzugang. Praxisempfehlung: Fordern Sie dafür genau zwei Exporte an: die Einwilligungshistorie je Person mit Zeitpunkt, Inhalt und Widerruf (Art. 7 Abs. 1 und 3 DSGVO) und die Dokumentation der Risikomanagementmaßnahmen (§ 30 Abs. 1 BSIG; AT Selbstdeklaration § 33 NISG 2026, ausformuliert in Abschnitt 4) — jeweils mit Zeitstempel, Versionsstand und benannter verantwortlicher Person je Datensatz. Lässt sich der Export im Testzugang nicht zeigen, ist erfahrungsgemäß auch in der Kündigungsphase nicht damit zu rechnen.

6. MetricStream (Enterprise)

MetricStream adressiert Großorganisationen ab 1.000 Mitarbeitern (50-300k EUR/Jahr). Der Bestand nennt als Stärke „Großkonzern-Funktionen" und als Schwäche den Overkill für KMU — keiner der fünf Pflichtenkreise ist damit einem Modul zugeordnet; was in dieser Größenordnung neben den Funktionsumfang tritt, ist die persönliche Pflichtenlage der Geschäftsleitung.

In dieser Größenordnung tritt neben die Dokumentation regelmäßig die Haftungsfrage — die Pflichten der Geschäftsleitung gelten allerdings größenunabhängig für jede eingestufte Einrichtung. In Deutschland müssen Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen; verletzen sie diese Pflicht, haften sie ihrer Einrichtung für den schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts, und sie müssen regelmäßig an Schulungen teilnehmen (§ 38 Abs. 1 bis 3 BSIG). In Österreich haben die Leitungsorgane die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen und an spezifisch gestalteten Cybersicherheitsschulungen teilzunehmen (§ 31 NISG 2026); eine ausdrückliche Innenhaftungsnorm wie § 38 Abs. 2 BSIG enthält das NISG 2026 nicht — die Haftung folgt dort aus dem allgemeinen Gesellschaftsrecht (für die GmbH § 25 GmbHG (AT)), dafür kann die Cybersicherheitsbehörde den Leitungsorganen einer wesentlichen Einrichtung die Leitungsaufgaben vorübergehend mit Bescheid untersagen (§ 39 Abs. 4 Z 2 NISG 2026).

Der Bußgeldrahmen gegen die Einrichtung — bei Verstößen unter anderem gegen die Risikomanagement- und Meldepflichten: in Deutschland bis 10 Mio. EUR für besonders wichtige und bis 7 Mio. EUR für wichtige Einrichtungen; bei einem Gesamtumsatz von mehr als 500 Mio. EUR können abweichend bis zu 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes verhängt werden (§ 65 Abs. 5 Satz 1 Nr. 1, Abs. 6 und Abs. 7 BSIG). In Österreich bis 10 Mio. EUR oder 2 % für wesentliche und bis 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und 3 NISG 2026).

Empfehlung KMU

Die Größenempfehlung der Erstfassung lautet: 50-250 MA: DataGuard oder Vanta. 250-1.000 MA: DataGuard oder OneTrust. 1.000+: OneTrust oder MetricStream. Diese Zuordnung sagt, welche Plattform zu welcher Größe passt — nicht, ab wann sich eine Plattform gegenüber Tabellen und Vorlagen überhaupt rechnet; dieser Punkt ist nach Praxiserfahrung erreicht, wenn mehrere Regelwerke parallel laufen (etwa DSGVO, ISO 27001 und NIS2) und Kunden regelmäßig Audits verlangen. Maßgeblich ist die Zahl paralleler Pflichtenkreise, nicht die Kopfzahl. Die Größenempfehlung selbst ist eine Praxisempfehlung auf Basis der Angaben der Erstfassung, keine rechtliche Vorgabe. Für die Budgetplanung ist die Einzelspanne der jeweiligen Plattform maßgeblich (Anbieterangaben der Erstfassung, Stand 02.05.2026, Abschnitte 1 bis 6).

Als Reihenfolge hat sich in der Praxis bewährt: (1) Betroffenheit je Regelwerk schriftlich klären und das Ergebnis datieren; (2) die fünf Pflichtenkreise auf Module abbilden und Lücken benennen; (3) die Fristen unten gegen die Benachrichtigungen des Werkzeugs testen; (4) festlegen, in welchem Format Nachweise das Haus verlassen. Wie dringend das ist, lässt sich am Bußgeldrahmen ablesen: KI-VO bis 35 Mio. EUR oder 7 % des gesamten weltweiten Jahresumsatzes bei Verstößen gegen die verbotenen Praktiken, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 3 KI-VO; für KMU einschließlich Start-ups gilt jeweils der niedrigere der beiden Beträge, Art. 99 Abs. 6 KI-VO); DSGVO bis 20 Mio. EUR oder 4 % bei Verstößen gegen Verarbeitungsgrundsätze, Einwilligungsbedingungen und Betroffenenrechte und bis 10 Mio. EUR oder 2 % bei Verstößen unter anderem gegen die Pflichten der Art. 25 bis 39 (Art. 83 Abs. 4 und 5 DSGVO); NIS2 wie im Abschnitt 6 genannt.

In der Erstfassung ebenfalls genannt, aber ohne eigenen Vergleichsabschnitt: Eramba als kostenlose Open-Source-Alternative mit limitiertem Reporting sowie Hyperproof und Resilient, zu denen die Erstfassung weder Preis- noch Funktionsangaben führt.

Die Fristen-Uhr: was das Werkzeug mitzählen muss

Diese Fristen laufen unabhängig von Plattform, Preis und Ausbaustufe — ein Werkzeug taugt für Ihren Pflichtenkreis nur, wenn es sie auslöst und den Auslösezeitpunkt belegt. Alle Fristen dieser Tabelle sind gesetzliche Fristen; die eine ergänzte Praxisempfehlung ist als solche gekennzeichnet, Praxis-Rhythmen stehen in der Tabelle darunter.

Wiederkehrende Aufgaben im Werkzeug-Kalender

Neun wiederkehrende Aufgaben gehören in den Werkzeug-Kalender: fünf davon sind gesetzliche Pflicht mit frei wählbarem oder gesetzlich vorgegebenem Takt, drei sind Praxis-Takt zu einer gesetzlichen Pflicht, eine ist reine Praxisempfehlung. Wiederkehrend ist nicht gleich gesetzlich vorgeschrieben — und dieser Unterschied gehört in das Werkzeug, damit ein verschobener Termin nicht wie ein Fristversäumnis aussieht. Die Spalte „Typ" trennt gesetzliche Pflicht, Praxis-Takt zu einer gesetzlichen Pflicht und reine Praxisempfehlung.

Die nationalen Fundstellen dieser Tabelle sind, soweit nicht anders angegeben, deutsches Recht: In Österreich tritt das NISG 2026 an die Stelle des BSIG, das HSchG an die Stelle des HinSchG und das GlBG an die Stelle des AGG. DSGVO und KI-VO gelten in beiden Ländern identisch; die Entgelttransparenz-Richtlinie betrifft beide Länder gleichermaßen, wirkt für Arbeitgeber aber über das jeweilige nationale Umsetzungsrecht. Die Zeile Entgeltbericht ist der einzige Eintrag außerhalb der fünf Pflichtenkreise oben: ein sechster Pflichtenkreis (Entgelttransparenz), dessen Berichtspflicht gestaffelt ab dem 07.06.2027 bzw. 07.06.2031 greift, während die übrigen Arbeitgeberpflichten mit der nationalen Umsetzung wirksam werden (die Umsetzungsfrist ist am 07.06.2026 abgelaufen; ein Umsetzungsgesetz lag zum Stand 17.08.2026 weder in Deutschland noch in Österreich vor) — und für den das Werkzeug das geschlechtsspezifische Entgeltgefälle einschließlich variabler Bestandteile, Median-Werte, den Anteil der Beschäftigten je Entgeltquartil und das Entgeltgefälle je Arbeitnehmergruppe führen muss (Art. 9 Abs. 1 RL (EU) 2023/970); maßgeblich ist jeweils das nationale Umsetzungsrecht.