Als die Deutsche Post DHL Group – einer der weltweit größten Kurierdienstleister – für David Thornewill in der Abteilung „ März 2020“ eine maßgeschneiderte globale Position im Bereich Cybersicherheit schuf, war dies mehr als nur ein Vertrauensbeweis in sein Talent. Laut Thornewill war dies die Erkenntnis, dass der multinationale Konzern mit seinen zahlreichen Geschäftsbereichen, die in Hunderten von Ländern tätig sind, einen einheitlichen Ansatz zur Abwehr von Cyberangriffen benötigte.
„Als das Thema Cybersicherheit zunehmend an Bedeutung gewann und auch finanziell mehr Ressourcen beanspruchte, wurde uns klar, dass wir eine bessere Koordination benötigten“, sagt Thornewill. „Denn die Menschen greifen keine Geschäftsbereiche an, sondern Marken.“
Derzeit ist Thornewill als Chief Information Security Officer (CISO) des Logistikriesen tätig und wird voraussichtlich im nächsten Jahr sein bisheriges Amt als CIO für den Hauptsitzbetrieb niederlegen. (Das Unternehmen ging aus der privatisierten Deutschen Post hervor und erzielte im Jahr 2020 einen Umsatz von
77 Milliarden Dollar.) Aufgrund seiner Größe und seiner Vertriebsnetze spielen seine für die Cybersicherheit zuständigen Verantwortlichen eine entscheidende Rolle. Jeder Geschäftsbereich – darunter DHL Express, DHL Supply Chain und DHL Global Forwarding – verfügt ebenso wie jeder Geschäftsbereich über einen CIO und einen CISO. Thornewills Aufgabe besteht darin, die verschiedenen Maßnahmen im Bereich der Cybersicherheit zwischen allen Beteiligten zu koordinieren.
Nicht jedes Unternehmen hat einen ebenso großen Bedarf wie die Deutsche Post. Thornewills neue Position verdeutlicht jedoch treffend die wachsende Bedeutung qualifizierter CISOs angesichts der heutigen globalen Cybersicherheitskrise, und diese gestiegene Bedeutung spiegelt sich auch in ihrer Vergütung wider.
Laut einer Umfrage „ “ der Personalberatung Heidrick & Struggles stieg das mittlere Gesamtgehalt von CISOs in den USA in diesem Jahr um 19 % auf 936 000 Dollar, ausgehend von 784 000 Dollar im Jahr 2020. Die Gesamtvergütung stieg um durchschnittlich 12 %, wobei die großzügigsten Vergütungspakete bei Unternehmen an der Westküste zu finden waren. In dieser Region liegt die durchschnittliche jährliche Gesamtvergütung laut einer Studie von Hitch Partners mit dem Titel „ “ ( ) bei börsennotierten Unternehmen bei über 1 Million US-Dollar und bei privaten Unternehmen bei 731 000 US-Dollar.
Herausforderungen bei der Personalbeschaffung
Während Unternehmen die Pandemie hinter sich lassen, ihren Betrieb wieder auf das Niveau vor der Pandemie hochfahren, ihre digitale Transformation im Bereich „ “ fortsetzen und sich um die Absicherung ihrer Netzwerke bemühen, stellen sie fest, dass es schwierig ist, CISOs zu finden.
Die Suche wird immer schwieriger: Sicherheitsexperten leiden unter Burnout aufgrund der mit ihrer Tätigkeit verbundenen Belastungen, und die Bewerber werden immer wählerischer hinsichtlich der Gehaltsvorstellungen und der Berichtswege, die sie akzeptieren.
Infolgedessen widmen Fachleute wie Bryan Kissinger, Vizepräsident und CISO bei Trace3, einem Technologie- und IT-Beratungsunternehmen, zunehmend Zeit der Bereitstellung von CISO-Beratern für Organisationen, die es sich nicht leisten können, diese fest anzustellen. Zwar behauptet Kissinger, ein Ungleichgewicht zwischen Angebot und Nachfrage an Fachkräften sei gut für das Geschäft, doch gibt es auch eine Kehrseite. „Ich arbeite mit ehemaligen CISOs zusammen und stehe dabei täglich vor der Herausforderung, sie an das Unternehmen zu binden und ihnen ein Gehalt zu zahlen, das hoch genug ist, um ihr Interesse aufrechtzuerhalten“, sagt er.
[Lesen Sie auch: Was ist ein Cyber-Risiko-Score und warum ist er von Bedeutung?]
Die Deutsche Post begegnet dieser Herausforderung, indem sie die Weiterqualifizierung von Mitarbeitern fördert, die bereits über Kompetenzen in den Bereichen Anwendungssicherheit, DevOps, Risikomanagement oder Threat Hunting verfügen, und ihnen dabei hilft, die erforderlichen Zertifizierungen zu erwerben, sowie Karriereberatung anbietet. „Ich würde lieber jemanden einstellen, der mit Leidenschaft bei der Sache ist, als jemanden, der gut ausgebildet ist“, sagt Thornewill. „Einen begeisterten Menschen kann ich immer ausbilden“, sagt er.
CISOs müssen anpassungsfähig und schlagfertig sein; zudem ist es von Vorteil, wenn sie zweisprachig sind, d. h. wenn sie sowohl die Fachsprache der Technik als auch die der „ “ beherrschen und Geschäftsergebnisse einem Führungskräftepublikum vermitteln können. Laut der Heidrick-Umfrage berichten rund 90 % der CISOs vor den Vorständen ihrer Unternehmen, wobei drei Viertel dies vierteljährlich tun. „Vorstände stellen mehr Fragen zum Thema Technologie als je zuvor“, sagt Martha Heller, Geschäftsführerin von Heller Search Associates, einem Personalberatungsunternehmen, das CIOs, CTOs und CISOs für Unternehmen vermittelt. „Die Fähigkeit des CISO, mit dem CEO, dem CFO und dem Vorstand zu kommunizieren, ist die wichtigste Kompetenz, nach der wir suchen.“
Wer ist wem unterstellt?
Für CISOs wird die Frage, wem sie unterstellt sind, zu einem entscheidenden Faktor bei der Abwägung von Stellenangeboten. In vielen Branchen unterstehen CISOs traditionell den CIOs. Dies hat häufig zu Vorwürfen eines Interessenkonflikts seitens der CISOs geführt, die beklagen, dass ihre Sicherheitsprioritäten hinter den betrieblichen und geschäftlichen Zielen des CIO zurückstehen.
“„Die Fähigkeit des CISO, mit dem CEO, dem CFO und dem Vorstand zu kommunizieren, ist die wichtigste Kompetenz, nach der wir suchen.“Martha Heller, Geschäftsführerin, Heller Search Associates
Laut der Heidrick-Umfrage ist es auch heute noch üblich, dass CISOs einem CIO unterstellt sind: 38 % der Befragten gaben diese Struktur an, 16 % berichteten an einen CTO oder einen Leiter des Entwicklungsbereichs, 12 % an einen COO oder eine Führungskraft im Verwaltungsbereich, 11 % an den CEO und der Rest an eine Vielzahl anderer Positionen, darunter Global CISO und Chief Risk Officer.
„Es besteht durchaus die Gefahr von Konflikten in den Berichtswegen“, so Thornewill. Beispielsweise möchte ein CISO möglicherweise, dass Kunden die Multi-Faktor-Authentifizierung von nutzen, während der CIO hingegen eher Wert auf Benutzerfreundlichkeit legt. CISOs können nicht erwarten, in jedem Fall die Oberhand zu behalten, da es zum Geschäftsleben gehört, gewisse Risiken in Kauf zu nehmen. Doch sie möchten, dass ihre Bedenken ernst genommen werden, sagt Thornewill.
Innerhalb seiner eigenen Unternehmensstruktur berichtet Thornewill direkt an den Vorstandsvorsitzenden der Deutschen Post. Er erklärt, dass die CISOs in den wichtigsten Geschäftsbereichen des Konzerns den Großteil der Arbeit zur Gewährleistung der Sicherheit des Unternehmens leisten und einer eher traditionellen Berichtsstruktur unterliegen. „Die CISOs der einzelnen Geschäftsbereiche unterstehen dem jeweiligen CIO vor Ort; ich bin mir zwar nicht sicher, ob dies die beste Struktur ist, aber so handhaben wir es“, sagt Thornewill.
Er versucht, den CISOs der einzelnen Geschäftsbereiche „eine Alternative“ zu bieten, falls man ihnen kein Gehör schenkt. Die Frage, wem der CISO unterstellt sein sollte – vielleicht dem COO, wenn nicht sogar dem CEO –, sei „eine ernsthafte Überlegung wert“, so Thornewill.
Die ideale Struktur hänge wahrscheinlich vom Reifegrad des Cybersicherheitsprogramms ab, so Kissinger. Verfügt eine Organisation über ein gut ausgearbeitetes Programm, könnte es für den CISO von Vorteil sein, über mehr Unabhängigkeit zu verfügen. Andererseits könne es für einen CISO in einem Unternehmen, der versucht, ein Cybersicherheitsprotokoll aufzubauen und weiterzuentwickeln, „sehr, sehr wertvoll sein, Teil des IT-Teams zu sein“, sagt er.
Der sich ständig wandelnde CISO
Während der Bedarf an CISOs steigt, unterliegen ihre Aufgaben und Zuständigkeiten einem ständigen Wandel.
Traditionell erfordert diese Tätigkeit sowohl technische IT-Kenntnisse als auch fundierte Kenntnisse in den Bereichen Netzwerk- und Anwendungssicherheit, Penetrationstests, „ “ sowie defensive Gegenmaßnahmen. Da der Bedarf an immer ausgefeilteren und teureren Sicherheitswerkzeugen und -prozessen zunimmt, müssen CISOs strategische Einblicke und Erfahrungen aus anderen Unternehmensbereichen, wie beispielsweise dem Finanzwesen und der Compliance, einbringen.
Der CISO muss zudem sowohl über ausgeprägte Kommunikationsfähigkeiten verfügen als auch ein Experte in den Bereichen Governance, Regulierung, Risikomanagement und Revision sein.
[Lesen Sie auch: Was ist „Threat Hunting“ und warum ist es wichtig?]
Thornewill verfügt über einen MBA-Abschluss, was ihm dabei hilft, im Gespräch mit dem Vorstandsvorsitzenden und dem Finanzvorstand die Sprache der Wirtschaft und der Finanzwelt zu sprechen. In den 20 Jahren, die er im Unternehmen tätig war, hat er in vielen Bereichen des Unternehmens gearbeitet, darunter auch in der Logistik. Er sagt, dass einige seiner CISO-Kollegen über fundiertere technische Kenntnisse verfügen, während andere einen Hintergrund in den Bereichen Finanzen und Compliance haben. Vor allem, so Thornewill, müssen CISOs neugierig sein und ständig dazulernen.
Einarbeitung
Da der Wert von CISOs zunehmend in ihrer Einarbeitung am Arbeitsplatz liegt, sind Arbeitgeber zunehmend bereit, Bewerber in Betracht zu ziehen, die nur einige der auf ihrer Wunschliste aufgeführten Eigenschaften erfüllen und Entwicklungspotenzial zeigen.
„Wir arbeiten überwiegend mit Kandidaten zusammen, die noch nicht voll ausgebildet sind“, sagt Michael Piacente, geschäftsführender Gesellschafter und Mitbegründer von Hitch Partners, einem Unternehmen, das Fachkräfte im Bereich Cybersicherheit für Cloud-orientierte Technologieunternehmen vermittelt. Er sagt, dass Kandidaten zwar über eine besondere „Superkraft“ in den Bereichen Netzwerksicherheit, Anwendungssicherheit oder Governance, Risiko und Compliance verfügen mögen, jedoch in anderen Fähigkeiten gecoacht werden müssen, wie beispielsweise der Fachjargon-freien Kommunikation gegenüber dem Vorstand.
Eine Strategie, um einen talentierten CISO für sich zu gewinnen, besteht darin, dessen Ambitionen zu verwirklichen – beispielsweise durch das Angebot eines Sitzes im Vorstand des Unternehmens. In der Umfrage von Heidrick gaben zwar nur 4 % der CISOs an, einem Vorstand anzugehören, doch die Hälfte von ihnen äußerte den Wunsch, Vorstandsmitglied zu werden. Heidrick erklärt, dieses Ziel sei möglicherweise erreichbar, da viele CISOs bereits in Beiräten vertreten sind, „und da die Cybersicherheit weiter an Bedeutung gewinnen wird, je mehr Bereiche des Betriebs vollständig digitalisiert werden.“
Ein schwieriges Problem bei der Personalbeschaffung war bislang der traditionelle Talentpool für CISOs. In der CISO-Umfrage von Heidrick waren mehr als 80 % der Befragten weiß und mehr als 80 % männlich. Das könnte sich in naher Zukunft ändern: . Der Personalvermittler erklärt, dass in diesem Jahr „eine größere Vielfalt bei den Personen zu beobachten ist, die die CISO-Position übernehmen, und dass Unternehmen verstärkt darauf achten, CISOs mit unterschiedlichem Hintergrund einzustellen“.
Heidrick geht davon aus, dass Unternehmen zunehmend über die Grenzen der traditionellen Branche hinausblicken werden, „um die besten Führungskräfte für die jeweilige Position zu finden, darunter auch Personen, die hinsichtlich Geschlecht, ethnischer Herkunft sowie Branchen- und Fachkompetenz vielfältig sind.“
