Drei Pflicht-Wellen in 18 Monaten
DORA seit 17.01.2025, NIS2 seit Oktober 2024, HinSchG seit 17.12.2023 für alle ab 50 Mitarbeitenden. Wer als RegTech-Anbieter sucht-affin ist, fischt im richtigen Moment.
CISO googelt anders
Der Compliance-Manager sucht nicht „GRC-Software“, er sucht „DORA Threat-Led-Penetration-Testing Anbieter“. Long-Tail mit Paragraph-Referenz schlägt Marken-Begriff in jeder Konversionsdimension.
Audit-Termin als Funnel
Wer einen BaFin-Audit im Q3 hat, kauft im Q1. Content-Timing entlang der Audit-Saison ist ein eigener Hebel — den die meisten Anbieter nicht spielen.
Regulierungs-Tsunami: drei gleichzeitige Pflichten, ein Buying-Window
Selten lag so viel Regulierung gleichzeitig auf dem Tisch deutscher Compliance-Abteilungen. DORA (Digital Operational Resilience Act) verpflichtet seit dem 17.01.2025 jede regulierte Finanzentität — Banken, Versicherer, Kapitalverwaltungsgesellschaften, sogar mittelständische Asset-Manager und Krypto-Dienstleister nach MiCAR — zu einem stringenten ICT-Risk-Framework, einschließlich TLPT (Threat-Led-Penetration-Testing nach TIBER-DE-Logik), einem ICT-Third-Party-Risk-Register für jeden externen IT-Dienstleister und einer Vorfallsmeldung binnen Stunden bei schwerwiegenden Vorfällen. Parallel dazu erweitert NIS2 den KRITIS-Kreis auf Sektoren wie Lebensmittel, Chemie, Post, Abfall, Forschung und mittelständische Hersteller mit über 50 Beschäftigten und 10 Mio. € Umsatz; das deutsche Umsetzungsgesetz NIS2UmsuCG zwingt Geschäftsführungen in die persönliche Haftung für unterlassene Cybersicherheitsmaßnahmen, mit Bußgeldern bis 10 Mio. € oder 2 % des Konzern-Welt-Umsatzes. Dazu kommt HinSchG, das Hinweisgeberschutzgesetz, das seit Dezember 2023 für alle Arbeitgeber ab 50 Mitarbeitenden eine geschlossene, anonyme Meldestelle vorschreibt — mit Bußgeldern bis 50.000 € bei Verstoß.
Für Anbieter wie LogPoint (SIEM mit DORA-Fokus), Onapsis (SAP-Compliance), ComplyAdvantage (AML-Screening), Veriff oder Onfido (KYC), Smart Communications (Customer-Communication-Compliance) und die GRC-Plattformen ServiceNow GRC, Diligent, MetricStream, LogicGate oder die deutsche otris software ist das Buying-Window so gross wie selten. Die Frage ist nicht, ob organisch Nachfrage existiert — die Frage ist, wer im richtigen Moment vor dem CISO steht, wenn der das BaFin-Schreiben oder das BSI-NIS2-Anschreiben in der Hand hält. Für jede dieser Pflichten existieren auf Buyer-Seite zwei Stadien: das „ich habe einen Brief bekommen“-Stadium, in dem in den ersten 48 Stunden gegoogelt wird, und das „ich baue ein Programm auf“-Stadium, das über 6–9 Monate läuft. Beide brauchen unterschiedliche Inhalte.
Was ein CISO wirklich googelt
Ich teste regelmäßig Such-Logfiles aus RegTech-Demo-Buchungen. Drei Beispiele aus dem Q1 2025: „DORA Software Bank Mittelstand“ (rund 90–140 Suchen/Monat, hoch transaktional), „NIS2 Compliance-Software KRITIS“ (60–110 Suchen, oft von IT-Leitern in Stadtwerken und Krankenhäusern), „Whistleblower-Software HinSchG“ (220–380 Suchen, häufig HR-getrieben). Keine dieser Anfragen führt heute zu einer technisch sauberen Anbieter-Landingpage in den Top 5 — was rankt, sind Beratungshäuser (PwC, KPMG, Deloitte), Anwaltskanzleien (Hengeler Mueller, Noerr, CMS, Gleiss Lutz) und Verbandsglossare (Bitkom, BdB, GDV). Genau hier liegt der unterbesetzte Korridor für Anbieter, die echte Tool-Tiefe in den Suchergebnissen platzieren wollen.
Persönliche Haftung als Buying-Beschleuniger
Was DORA und NIS2 von älteren Compliance-Wellen unterscheidet, ist die explizite persönliche Haftung der Geschäftsleitung. Für DORA-Artikel 5 ist die Verantwortlichkeit der Leitungsorgane explizit benannt — das BaFin schreibt Vorstände direkt an, nicht nur die Compliance-Abteilung. NIS2-§38 NIS2UmsuCG bestimmt Bußgeld-Adressaten als natürliche Personen. Diese Verschiebung von Organhaftung zu persönlicher Verantwortung treibt Buying-Entscheidungen aus der CISO-Ebene in die CEO/Vorstand-Ebene — und verändert die SEO-Anforderungen radikal. Was vor zwei Jahren ein technisches Whitepaper war, ist heute ein Vorstands-Briefing-Dokument. Anbieter, die das in der Sprache spiegeln, gewinnen.
Anbieter-Mapping: nach Pflicht, nicht nach Marketing-Slogan
Der häufigste Fehler von RegTech-SEO ist der Versuch, über generische Begriffe wie „Risikomanagement-Software“ oder „GRC-Tool“ zu ranken. Diese Begriffe sind von Atos, Inhaltsfarmen der Big-4 und Wikipedia besetzt. Sinnvoller ist ein Pflicht-zu-Modul-Mapping — jede Verordnung trifft auf konkrete technische Anforderungen, und jede Anforderung erzeugt ihre eigene Suchnachfrage. Ein Solo-Operator mit Branchen-Erfahrung kann diese Mapping-Tabelle in zwei Tagen aufbauen, während Marketing-Agenturen dafür Workshops verkaufen.
DORA-Mapping
DORA-Artikel 28 verlangt ein vollständiges Register aller ICT-Dienstleister inklusive Substituierbarkeits-Bewertung und Konzentrationsrisiko-Analyse. Das ist kein generisches GRC-Modul, das ist ein Third-Party-Risk-Register mit Vertrags-Diff-Funktion und einer eigenen Taxonomie-Logik für kritische ICT-Funktionen. Wer als Anbieter genau dieses Modul hat — z.B. Prevalent, Aravo, OneTrust Vendorpedia oder die deutsche Lösung otris contract — sollte eine eigene Landingpage für „ICT-Third-Party-Register DORA Artikel 28“ haben. Hat fast niemand. Genauso DORA-Artikel 17 (Vorfalls-Klassifizierung) oder DORA-Artikel 24/26 (Threat-Led-Penetration-Testing): jeder Artikel ist eine eigene Hub-Page wert.
NIS2-Mapping
NIS2-Pflichten teilen sich in Risiko-Management (Artikel 21), Vorfallsmeldung binnen 24 Stunden mit Erstmeldung und 72-Stunden-Folgemeldung (Artikel 23) und Lieferketten-Sicherheit. Für Anbieter wie Tenable, Qualys, Greenbone, HvS-Consulting oder r-tec IT Security bedeutet das: SEO-Hub-Seiten zu konkreten Sektoren bauen — Gesundheitsversorger, Stadtwerke, Lebensmittelproduzenten, Forschungseinrichtungen, Verwaltungen. Jeder dieser Sektoren hat eigene NIS2-Auslegungen, eigene Aufsichtsbehörden (BSI, BNetzA, BaFin, BAFA) und eigene Suchmuster. Ein Krankenhaus googelt „NIS2 Krankenhaus IT-Sicherheit“, ein Stadtwerk „NIS2 Stadtwerk Wasser Strom“.
HinSchG-Mapping
HinSchG-Software ist der Markt mit der größten organischen Nachfrage und gleichzeitig der größten Marketing-Verflachung. Anbieter wie EQS Integrity Line, Whistlelink, NAVEX EthicsPoint, Convercent oder die deutsche Lösung compliyance kommunizieren fast identisch — alle versprechen anonyme Meldungen, DSGVO-Konformität und Compliance-Workflows. Differenzierung über Branchen-Vertikalen (Krankenhaus, Konzern, Konzernverbund mit gemeinsamer Meldestelle nach §14 HinSchG, Hochschule mit Wissenschaftsfreiheit), über Sprache (mehrsprachige Meldestelle für internationale Konzerne, Gebärdensprache-Anbindung) und über sprachliche Nähe zur HR-Buyer-Persona ist der Hebel, den die meisten Anbieter ungenutzt liegen lassen.
Klassiker DSGVO als immergrüner Cluster
DSGVO ist seit 2018 in Kraft und damit kein neues Thema — aber gerade in Kombination mit Schrems-II, EU-US Data Privacy Framework, KI-Verordnung und sektoralen Auslegungen (BAIT, VAIT, KAIT, ZAIT) entstehen permanent neue Sub-Cluster. Wer als Datenschutz-Software-Anbieter wie OneTrust, DataGuard, caralegal, 2B Advice oder activeMind agiert, hat ein riesiges Long-Tail-Feld zu „DSGVO-Folgenabschätzung Software“, „TIA Schrems-II Software“, „ADV-Verwaltung Software“, „DSFA Vorlage Tool“ — jede dieser Anfragen ist hochintentional und kommt vom Datenschutzbeauftragten direkt.
Audit-Workflow als Content-Achse
Eine Compliance-Software wird nicht aus Begeisterung gekauft. Sie wird gekauft, weil der CISO einen TIBER-DE-Test besteht oder weil der Wirtschaftsprüfer im IDW PS 951-Bericht ein TDV-Defizit benennt. Content, der diesen Workflow inhaltlich abbildet — nicht abstrakt, sondern mit konkreten Prüfhandlungen, Prüfungs-Saison und Eskalationspfaden — rankt nachhaltiger als Feature-Listen. Der typische Audit-Lebenszyklus läuft über 9–15 Monate: Auditankündigung, Selbstauskunft, Vor-Ort-Prüfung, Mangelliste, Nachbesserungsfrist, Schlussbericht. In jedem dieser Schritte googelt jemand etwas Spezifisches.
SEO-Hebel speziell für RegTech-SaaS
RegTech ist eines der wenigen B2B-SaaS-Felder, in denen Sales-Cycles über 9 Monate normal sind und Vertragsvolumen schnell sechsstellig werden. Das verändert die SEO-Ökonomie komplett: jede einzelne Demo-Anfrage aus organischem Traffic ist betriebswirtschaftlich ein großer Posten, was Investitionen in tiefe technische Inhalte rechtfertigt — in einem Volumen, das fast keine andere Branche zulässt. Wo ein Marketing-SaaS bei einer Cost-per-Lead-Kalkulation von 80–200 € rechnet, kann ein RegTech-Anbieter problemlos 1.500–4.000 € Acquisition-Cost rechtfertigen, weil der Lifetime-Value entsprechend hoch ist.
Was wirkt
Konkrete Hebel, die im Ansatz mit RegTech-Anbietern funktionieren: erstens Verordnungs-zentrierte Hub-Pages (eine pro Pflicht: DORA, NIS2, HinSchG, ISO 27001, GwG, KWG, VAG, SREP), die jeweils 10–15 Sub-Cluster bedienen. Zweitens Branchen-Vertikalen: was ein Versicherer braucht, ist nicht das, was ein Krankenhaus oder ein Stadtwerk braucht. Drittens Kalkulator-Tools (z.B. ein NIS2-Anwendbarkeits-Check, ein DORA-Betroffenheits-Prüfer, ein HinSchG-Mitarbeitenden-Schwellenwert-Rechner), die organisch Backlinks aus Anwaltskanzleien einsammeln. Viertens DACH-spezifische Standards — BAIT, VAIT, KAIT, ZAIT, MaRisk, MaGo, MaComp — die international aktive Anbieter wie OneTrust oder LogicGate systematisch übersehen.
Was nicht wirkt
Generische „Was ist DORA?“-Erklärstücke. Diese Suchanfrage ist von BaFin selbst, von Bundeswirtschaftsministerium-Erklärseiten, von Anwaltskanzleien wie Hengeler Mueller und CMS, und von Branchenverbänden wie Bitkom besetzt. Da kommt kein Anbieter mehr rein, und es lohnt nicht. Was rankt, sind die zwei Stufen darunter: konkrete Implementierungsfragen, technische Tiefe, Sektor-Spezifika und Antworten auf Fragen, die sich ein CISO nach dem ersten Erklärartikel stellt. Genauso unwirksam: Newsletter-Sammelseiten ohne eigene Inhalts-Tiefe, Vergleichs-Tabellen ohne Eigenrecherche und das alte „Top 10 RegTech-Anbieter“-Listicle-Format.
Backlink-Realität in einem regulierten Feld
Backlinks im RegTech-Feld sind anders verteilt als in normalen B2B-SaaS-Märkten. Wertvoll sind: Anwaltskanzlei-Glossare und -Mandantenrundschreiben (Hengeler, CMS, Noerr, Gleiss Lutz), Branchenverband-Webseiten (BdB, GDV, BVI, Bitkom, eco-Verband), Aufsichtsbehörden-Linkfeeds (BSI-Lagebericht-Quellen) sowie Fachmedien wie Compliance Magazin, Risiko Manager, BankingHub von zeb. Diese Backlinks holt man über inhaltliche Tiefe, nicht über Outreach-E-Mails — ein gut gebauter NIS2-Anwendbarkeits-Check zieht in 6 Monaten organisch 30–80 Backlinks aus Anwaltskanzlei-Newslettern, die dann selbst in Vertretungen weitergeleitet werden.
Verwandte Themenfelder, in denen die gleichen Buyer suchen: ERP-SaaS im Mittelstand (oft IT-Leiter-Doppelrolle), Buchhaltungs-Software KMU (GoBD-Überlapp), PM-Tools B2B (Audit-Projektsteuerung) und HR-Tech (HinSchG-Nähe zum HR-Stakeholder).
Häufige Fragen aus Compliance-Teams
Wenn du im Compliance- oder RegTech-SaaS-Umfeld bist und sehen willst, wie das für dein Produkt aussehen kann: ich nehme das im Strategiegespräch konkret auseinander — mit deinen echten Suchanfragen, nicht mit Annahmen, und mit einem konkreten Vorschlag für die ersten drei Hub-Pages. 200 € Strategie-Termin buchen.