Kostenlose ISMS-Software: Open Source und Free-Tarife im Vergleich

Kostenlose ISMS-Software gibt es in zwei Formen: Open-Source- und Community-Editionen wie verinice, CISO Assistant und eramba Community, die Sie selbst betreiben, und befristete Free-Tarife wie der Basic-Tarif der fuentis Suite mit 0 € für 12 Monate ab Vertragsstart, 1 Named User und bis zu 500 ISMS-Objekten. Lizenzfrei heißt nicht kostenfrei. Betrieb, Updates, Katalogpflege und Support kosten in jeder Variante Zeit oder Geld.

Wie sich die Wahl in der Praxis entscheidet, schätzt der Autor so ein:

„

Die Lizenz ist bei einem ISMS-Tool selten der größte Posten. Teuer wird es, wenn niemand die Kataloge pflegt. Ab dem 01.01.2027 können laut BSI Zertifizierungsanträge für ISO 27001 auf Basis von Grundschutz++ gestellt werden, und ein selbst betriebenes Tool zieht nur mit, wenn jemand im Haus die Updates einspielt und die Zuordnungen prüft. Diese Frage sollte vor der Auswahl beantwortet sein, nicht vor dem Audit.

Srdan Manasijevic, CEO fuentis

Welche kostenlose und Open-Source-ISMS-Software gibt es 2026?

Als kostenlose ISMS-Software kommen 2026 vier Optionen infrage: verinice (Open Source, AGPL, Grundschutz-Herkunft), CISO Assistant Community (AGPLv3, über 200 Frameworks), eramba Community (kostenlos, selbst gehostet) und ein Free-Tarif (SaaS, 0 € für 12 Monate ab Vertragsstart). Hinzu kommt Excel als Status quo. Die Optionen unterscheiden sich vor allem darin, wer betreibt und wer Kataloge pflegt.

Quellen: Herstellerseiten verinice, CISO Assistant, eramba sowie die Preisseite des Basic-Tarifs. Stand: 21.10.2026.

Die Tabelle gibt Herstellerangaben wieder und bewertet nicht; der Herausgeber dieses Beitrags bietet eine der Optionen an. Wer nicht auf kostenlose Optionen beschränkt sucht, findet einen breiteren Überblick unter ISMS-Tools aus Deutschland im Vergleich.

Was leisten die kostenlosen ISMS-Tools im Einzelnen?

Im Detail zeigt sich, was jede Option selbst übernimmt und was bei Ihnen bleibt.

Ist verinice kostenlos und Open Source?

Ja, verinice ist Open Source, kostenlos ist allerdings nur der Quellcode. Der Hersteller SerNet GmbH schreibt dazu: „Since 2006, verinice has been produced completely open source by SerNet GmbH.“ Das Tool kommt aus dem IT-Grundschutz-Umfeld und unterstützt laut verinice-Website zudem ISO 27001, NIS2 und VDA ISA, einschließlich lizenzierter IT-Grundschutz-Inhalte. Sie betreiben es in der Cloud oder On-Premise.

Den SerNet-eigenen Code stellt der Hersteller unter der AGPL frei auf GitHub bereit. Der verinice.PRO Server steht unter GPLv3, wird aber als Subscription mit Preis auf Anfrage bezogen.

Für verinice.cloud gibt es eine kostenlose Testinstanz für rund zwei Monate, danach ein Abo. Die On-Premise-Bundles kosten laut verinice.SHOP ab 5.750 € pro Jahr. Die klassische Einzelplatzversion und verinice.PRO stellt SerNet bis zum 31.12.2027 bereit; als Nachfolger bietet der Hersteller verinice.cloud und verinice.onprem an.

verinice passt zu Organisationen mit Grundschutz-Fokus, die einen eigenen IT-Betrieb oder Budget für das Abo haben.

Was bietet CISO Assistant Community als Open-Source-ISMS?

CISO Assistant Community von intuitem ist ein selbst gehostetes Open-Source-ISMS ohne Lizenzkosten.

• Lizenz und Preis: AGPLv3, ausgenommen der Ordner „enterprise“ mit kommerzieller Lizenz; laut Preisseite 0 € ohne Zeitlimit („forever“).
• Frameworks: über 200, darunter ISO 27001:2022 und das BSI IT-Grundschutz-Kompendium.
• Betrieb: per Docker oder Docker Compose, alternativ Kubernetes; Support über die Community.
• Pro-Version: als SaaS ab 39 € pro Contributor und Monat bei jährlicher Abrechnung, mit Priority-Support, Premium-Features sowie gehosteten Updates und Backups.

Die Community Edition eignet sich für Teams mit Container-Know-how. Was nur Pro enthält, etwa Audit-Log, Änderungshistorie pro Objekt und Anbindungen an Jira oder ServiceNow, listet der Editionsvergleich von intuitem.

Was fehlt in eramba Community?

eramba Community ist die kostenlose, selbst gehostete Edition der GRC-Software eramba, laut Hersteller ohne Nutzer- oder Zeitlimit. Eine Lizenzbezeichnung nennt der Hersteller auf seiner Website nicht.

Enthalten sind vier von sieben Use Cases, nämlich Risk, Compliance, Data Privacy und Incidents (Editionsvergleich von eramba).

Nicht enthalten sind GRC-Templates (Compliance Frameworks, Policies, Internal Controls, Questionnaires), REST-APIs, Reporting, Automations und Support.

Upgrades spielen Sie selbst ein, Hilfe gibt es über Forum und Dokumentation. Zudem hält die Installationsseite fest: „eramba cannot run fully offline“. Als Mindestausstattung nennt eramba 1 vCPU, 4 GB RAM und 10 GB Swap.

Was umfasst der Free-Tarif fuentis Basic?

fuentis Basic, auf der Preisseite als „free/Basic“ geführt, kostet 0 € für 12 Monate ab Vertragsstart. Die Software ist kein Open Source. Der Anbieter übernimmt den Betrieb als SaaS; On-Premise gibt es nur in der Enterprise-Version.

Sie bekommen 1 Named User, 1 Einheit, 1 Geltungsbereich, bis zu 500 ISMS-Objekte. Enthalten sind Strukturanalyse, Schutzbedarfsfeststellung, Risikoanalyse, Sicherheitschecks, Incident Management, ISMS-Monitoring sowie BSI IT-Grundschutz und ISO 27001.

GAP-Analyse und Katalog-Manager fehlen, beide gibt es erst ab dem Standard-Tarif. Die Preisseite listet den Funktionsumfang aller Tarife.

Nach 12 Monaten wechseln Sie mit Ihrer bestehenden Datenbasis in einen kostenpflichtigen Tarif (Standard: 379 € pro Monat) oder lassen die Daten für 79 € pro Monat weiter speichern, jeweils zzgl. MwSt.

Eine ISO-27001-Zertifizierung ist laut Hersteller je nach Größe der Organisation und Vorhaben mit der kostenfreien Version möglich; größere Organisationen und Verbünde können an Grenzen stoßen. Für die Freischaltung brauchen Sie eine geschäftliche E-Mail-Adresse und den Namen Ihres Unternehmens. Den Aufbau des ISMS-Moduls der fuentis Suite beschreibt die Produktseite.

Reichen Excel und Word als kostenloses ISMS?

Viele Organisationen starten ihr ISMS mit Excel-Tabellen und Word-Vorlagen, weil die Lizenzen meist ohnehin vorhanden sind. Die Grenze zeigt sich bei jeder Änderung: Assets, Schutzbedarf, Risiken und Maßnahmen hängen in getrennten Dateien nicht zusammen, jede Anpassung bedeutet Handarbeit in mehreren Dokumenten. Wie weit Sie ohne Software kommen, zeigt der Beitrag zum Thema ISMS ohne Tool aufbauen.

Was kostet „kostenlose“ ISMS-Software wirklich?

Kostenlose ISMS-Software spart die Lizenz, nicht den Betrieb. Hosting, Updates, Katalogpflege, Normtexte und Support bleiben, und der Prüfdruck steigt: Seit dem NIS-2-Umsetzungsgesetz fallen rund 29.500 Einrichtungen statt bisher rund 4.500 unter die BSI-Regulierung. Entscheidend ist, wer diese Aufgaben dauerhaft im Haus übernimmt.

Diese Einrichtungen sind verpflichtet, „Risikomanagementmaßnahmen zu implementieren und diese zu dokumentieren“. Ein halb gepflegtes Tool wird so zur Dokumentationslücke. Den Schaden durch Diebstahl, Spionage und Sabotage beziffert der Bitkom Wirtschaftsschutz 2026 auf 211 bis 270,8 Mrd. Euro, davon 76 % (160,4 bis 205,8 Mrd. Euro) durch Cyberattacken.

Auch die Kataloge ändern sich. Ab dem 01.01.2027 können laut BSI Zertifizierungsanträge für ISO 27001 auf Basis von Grundschutz++ gestellt werden. „Die Zertifizierbarkeit des IT-Grundschutz endet“ am 30.11.2031, und die Bibliothek „Stand der Technik“ löst das IT-Grundschutz-Kompendium ab. Im Selbstbetrieb spielen Sie neue Kataloge selbst ein und prüfen die Zuordnungen.

Den Normtext kaufen Sie in jedem Fall separat: ISO/IEC 27001:2022 kostet im IEC-Webstore CHF 155. Welche Prozesse ein ISMS-Tool abdecken muss, bestimmt die übrigen Posten:

Planen Sie den Ausstieg vorab, bei jeder Option: Ein Free-Tarif endet zu einem festen Datum, die klassische verinice-Generation läuft bis 31.12.2027, und eramba Community aktualisieren Sie manuell.

Welches kostenlose ISMS-Tool passt zu Ihrer Ausgangslage?

Wer IT-Grundschutz selbst betreiben will und Admin-Kapazität hat, prüft verinice. Wer viele Frameworks braucht und Container-Know-how mitbringt, testet CISO Assistant Community. Wer ohne eigenen Server mit ISO 27001 und IT-Grundschutz starten will, nutzt einen Free-Tarif wie fuentis Basic und plant die Entscheidung nach 12 Monaten fest ein.

Wenn Sie GRC breiter als ISMS denken und Risiken, Datenschutz und Incidents in einem System führen wollen, kommt eramba Community infrage. Voraussetzung: Sie können ohne vorgefertigte Framework-Vorlagen und ohne Herstellersupport starten.

Für den Free-Tarif gilt ein kurzer Realitätscheck. Schätzen Sie vor der Registrierung, wie viele Objekte Ihre Strukturanalyse umfassen wird, denn Basic deckt bis zu 500 ISMS-Objekte und einen Geltungsbereich ab. Welche Funktionen dahinterstehen, zeigt das ISMS-Modul der fuentis Suite. Passt der Rahmen, registrieren Sie den Basic-Tarif und legen Sie gleich fest, welche Option Sie nach 12 Monaten wählen: Wechsel in einen kostenpflichtigen Tarif oder Weiterspeicherung der Daten.

Häufige Fragen

Gibt es ein Open-Source-ISMS?

Ja. verinice von SerNet wird seit 2006 als Open Source entwickelt, der SerNet-eigene Code steht unter der AGPL, die Herkunft liegt im IT-Grundschutz. CISO Assistant Community steht unter AGPLv3 und bringt über 200 Frameworks mit, darunter ISO 27001:2022 und das BSI IT-Grundschutz-Kompendium. Beide Tools betreiben Sie selbst; vom Hersteller betriebene verinice-Varianten sind kostenpflichtig.

Kann ich ein ISMS-Tool dauerhaft kostenlos nutzen?

Ja, mit Open-Source- und Community-Editionen. eramba Community hat laut Hersteller kein Nutzer- oder Zeitlimit, CISO Assistant Community kostet 0 € ohne Befristung. Betrieb, Updates und Backups liegen dann bei Ihnen. Anders der Free-Tarif der fuentis Suite: fuentis Basic ist auf 12 Monate ab Vertragsstart befristet.

Kann ich mit kostenloser ISMS-Software nach ISO 27001 zertifiziert werden?

Zertifiziert wird das ISMS Ihrer Organisation, nicht das Tool; Auditoren prüfen Prozesse und Nachweise. Für den Basic-Tarif gibt fuentis an, dass eine ISO-27001-Zertifizierung je nach Größe der Organisation und Vorhaben möglich ist. Größere Organisationen und Verbünde können an Grenzen stoßen. Den Normtext kaufen Sie in jedem Fall separat, im IEC-Webstore für CHF 155.

Was passiert nach Ablauf eines Free-Tarifs?

Bei fuentis Basic endet die kostenfreie Nutzung 12 Monate nach Vertragsstart. Sie wechseln dann in einen kostenpflichtigen Tarif und behalten Ihre bestehende Datenbasis, oder Sie lassen die Daten für 79,00 € pro Monat weiter speichern. Ein Export zu einem anderen Anbieter ist laut Preisseite möglich, sofern umsetzbar, und wird nach Aufwand („Time & Material“) abgerechnet. Alle Preise verstehen sich zzgl. MwSt.