Bennett Hendrix III. war von der Idee, Cybersicherheitsdetektiv zu werden, begeistert, nachdem er in der Oberschule eine Folge der Serie „ “ über den Serienmörder Dexter gesehen hatte. Später googelte er den Begriff „digitale Forensik“ und verbrachte Stunden damit, sich über Viren, Malware und einen boomenden Arbeitsmarkt zu informieren. Aufgrund dieser kurzen Erfahrung beschloss er, die Cybersicherheit zu seinem Beruf zu machen.
Da ich jedoch in einem überwiegend von Schwarzen bewohnten Stadtteil in der Nähe von St. Louis aufgewachsen bin, in einem Schulsystem, das keine MINT-Lehrpläne anbot, war dies jedoch schwierig. Obwohl er zu Beginn seines Studiums Schwierigkeiten hatte, schaffte er es schließlich auf die Dean’s List und finanzierte sich kurz vor seinem Abschluss selbst die Reise zu einer Jobmesse in Atlanta, wo er sich bei so vielen Unternehmen wie möglich bewarb. An dem Tag, an dem er sein Diplom erhielt, bekam er ein Angebot vom Beratungs- und Wirtschaftsprüfungsriesen PwC.
„Ehrlich gesagt, haben sie mich nicht gefunden. „Ich habe sie gefunden“, sagt Hendrix. Mit mittlerweile 24 Jahren ist er als Cybersicherheitsanalyst bei PwC tätig und unterstützt Kunden wie einen großen Einzelhändler und eine Regierungsbehörde bei der Bewältigung von Krisen im Bereich des Zugriffs- und Identitätsmanagements.
Heutzutage suchen immer mehr Unternehmen nach Menschen wie Hendrix, und das aus gutem Grund. Arbeitgeber mit hohem Sicherheitsbedarf sehen sich einer ganzen Reihe geschäftlicher Herausforderungen gegenüber: einer globalen Pandemie, die zu einer Verlagerung der Arbeit auf Homeoffice geführt hat, einem daraus resultierenden wirtschaftlichen Abschwung, der die IT-Budgets geschmälert hat, einem starken Anstieg der Cyberangriffe in jüngster Zeit sowie einem seit langem bestehenden globalen Fachkräftemangel .
Tatsächlich geben 56 % der im Rahmen der Studie „ : Cybersecurity Workforce Study“ von 2020 (ISC)2 befragten Unternehmen an, dass sie nicht über genügend Personal im Bereich Cybersicherheit verfügen. Andere Studien zeichnen ein ähnlich beunruhigendes Bild. Laut Emsi, einem auf Arbeitsmarktanalysen spezialisierten Unternehmen, benötigt die Welt derzeit 330 Millionen Fachkräfte im Bereich Cybersicherheit – verfügt jedoch nur über etwas mehr als die Hälfte dieser Zahl, nämlich etwa 178 Millionen.
[Lesen Sie: Drei Trends, die den Bedarf an Endgerätesicherheit vorantreiben]
COVID-19 hat die Lage nicht gerade verbessert. Zunächst einmal ist die Zahl der Cyberangriffe sprunghaft angestiegen, da Millionen von Menschen nicht mehr an sorgfältig überwachten Computern im Büro arbeiten, sondern auf Heim-PCs und Smartphones, die über handelsübliche Breitband-WLAN-Netzwerke verbunden sind. Und anstatt mehr Personal für die Bekämpfung dieser Angriffe einzusetzen, haben viele Unternehmen ihre Mitarbeiter im Bereich Cybersicherheit tatsächlich damit beauftragt, einfach dafür zu sorgen, dass all diese Heim-PCs mit dem Netzwerk verbunden werden.
„In der Eile, andere Probleme der Nutzer zu lösen, haben viele Unternehmen weniger darauf geachtet, sicherzustellen, dass alle aktuellen Sicherheitspatches installiert wurden“, sagt John Pescatore, Leiter des Bereichs „Emerging Security Trends“ beim SANS Institute, einem Unternehmen für IT-Forschung und -Schulungen. Die Pandemie hat zudem die Ausgabenpläne zunichte gemacht. Während 34 % der Mitte 2020 vom SANS Institute befragten Unternehmen angaben, sie würden ihre Ausgaben für Sicherheit aufgrund von COVID-19 erhöhen, gaben 26 % an, sie würden weniger ausgeben, und 40 % sagten, sie seien sich nicht sicher.
Die Lücke schließen
Um den dringenden Personalbedarf zu decken, gehen die Personalverantwortlichen in den Unternehmen immer kreativer vor. Einige wenden sich an traditionell unterrepräsentierte Gruppen wie Frauen, Schwarze und Latinos, um potenzielle Kunden wie Hendrix anzusprechen. Viele konzentrieren sich weniger auf die Anwerbung hochbezahlter Cybersicherheits-Spitzenkräfte und mehr auf die Umschulung ihrer eigenen Mitarbeiter oder die Einstellung von Absolventen neuer Cybersicherheitskurse, die von Volkshochschulen, Online-Bootcamps und Schulungsunternehmen angeboten werden, sagt Rob Sentz, Chief Innovation Officer bei Emsi, einem Unternehmen für Arbeitsmarktanalysen.
Laut Emsi verfügt mehr als die Hälfte der Beschäftigten im Bereich Cybersicherheit über einen Master-Abschluss. Allerdings erfordern viele Berufe im Bereich der Cybersicherheit keine derartigen höheren Abschlüsse, so Sentz. Im Jahr 2019 hatten viele der 700 000 Personen, die eine Laufbahn im Bereich Cybersicherheit einschlugen, ihren Abschluss nicht im Rahmen langwieriger technischer Studiengänge erworben, sondern in Form von Intensivprogrammen, die darauf ausgelegt waren, praktische Erfahrungen im Umgang mit den heutigen Cyberbedrohungen zu vermitteln. Auf diese Weise können sie bereits am ersten Tag ihre Arbeit aufnehmen.
So hat beispielsweise das „ “ der York University in Toronto unter eine 12-wöchige Version eines Kurses zum Thema Cybersicherheit entwickelt, dessen Absolvierung zuvor mehrere Monate in Anspruch genommen hatte. Auch unabhängige Cyber-Bootcamps und Online-Bildungsplattformen haben auf den Bedarf an Schulungen reagiert: Die Programme von „ “ ( ) kosten bis zu 19 000 US-Dollar und ermöglichen es den Absolventen, in noch kürzerer Zeit Zertifizierungen für den Umgang mit den aktuellen Cyberbedrohungen zu erwerben.
Maßnahmen wie diese beginnen, Früchte zu tragen. For the first time ever, the talent shortage in cybersecurity workers shrank in 2019, according to the 2020 (ISC)2 Cybersecurity Workforce Study. Dies ist auf diese 700 000 neuen Arbeitskräfte zurückzuführen, aber auch auf einen Rückgang der offenen Stellen von 4 Millionen auf 3,1 Millionen, der auf Stellenabbau infolge des Konjunkturabschwungs zurückzuführen ist.
Den Talentpool erweitern
Gleichzeitig hat die Pandemie den IT-Führungskräften vor Augen geführt, wie eine Belegschaft aussehen kann. Wie bei vielen anderen Berufsfeldern bedeutet die gesteigerte Produktivität von Mitarbeitern im Homeoffice, dass Sicherheitsteams eher bereit sind, Mitarbeiter einzustellen, unabhängig davon, wo diese wohnen.
Standard Chartered PLC, der in London ansässige Finanzriese, hat ein zweijähriges Ausbildungsprogramm ins Leben gerufen, das darauf abzielt, einen vielfältigeren, globalen Talentpool zu erschließen. „Wir haben erhebliche Anstrengungen unternommen, um herauszufinden, wie wir einen vielfältigen und nachhaltigen Nachschub an Fachkräften im Bereich Cybersicherheit schaffen können“, sagt Tanuj Kapilashrami, Leiter der Personalabteilung der Standard Chartered-Gruppe.
Auch andere Talente rücken zunehmend in den Fokus. Die australische Niederlassung von IBM hat kürzlich ein Programm angekündigt, mit dem 3 000 Veteranen des Militärs für den Einstieg in diesen Beruf ausgebildet werden sollen. Das New Yorker „ “ bietet arbeitslosen und unterbeschäftigten New Yorkern kostenlosen Zugang zu 4 000 Coursera-Kursen – darunter auch Kurse zum Thema Cybersicherheit. Unterdessen finden sich in Branchenblogs und auf virtuellen Konferenzen zahlreiche Ratschläge dazu, dass man davon absehen sollte, abschreckende Stellenanzeigen zu verfassen, in denen jahrelange Berufserfahrung und spezielle Zertifizierungen verlangt werden, um den Bewerberpool zu erweitern.
Aus den eigenen Reihen fördern
Letztendlich wird für die meisten Unternehmen die wichtigste Quelle für neue Talente aus den eigenen Reihen stammen. Viele Mitarbeiter verfügen über die erforderlichen mathematischen Fähigkeiten und die angeborenen Begabungen, um sich schnell zu leistungsfähigen Mitgliedern des Sicherheitsteams zu entwickeln. Buchhalter, Wirtschaftsprüfer, Qualitätssicherungsmanager oder allgemeine IT-Experten seien naheliegende Kandidaten, sagt Mark Hanson, Leiter des Bereichs Talent Analytics bei Emsi.
„Diese Fachleute verfügen bereits über umfassende Kenntnisse im Bereich IT-Systeme, legen größten Wert auf Details und verstehen es, eine Abfolge von Ereignissen nachzuvollziehen, um die Ursache eines Problems zu ermitteln“, sagt Hanson. So ist es beispielsweise wahrscheinlicher, dass ein Buchhalter einen ausgeklügelten Finanzbetrug aufdeckt. Zudem wissen Netzwerkadministratoren und IT-Mitarbeiter bereits, wie sie das Unternehmen schützen können, ohne die Computer aller Mitarbeiter zu verlangsamen.
[Lesen Sie: So verbessern Sie Ihre IT-Sicherheit]
Darüber hinaus sind viele dieser Arbeitnehmer in Beschäftigungsverhältnissen mit ungewisser Zukunft tätig. Unternehmen, die ihre IT-Dienste in die Cloud verlagern, benötigen häufig weniger Netzwerkadministratoren. Buchhalter und Beschäftigte in Bereichen wie Verwaltung oder Vertrieb sind den Risiken der Automatisierung ausgesetzt. Unternehmen wie AT&T, Morgan Stanley und die Bundesregierung – über ihre „ “ Federal Cybersecurity Reskilling Academy () – verzeichnen allesamt großes Interesse seitens Personen, die eine berufliche Laufbahn im Bereich Cybersicherheit anstreben.
Bei Standard Chartered steht die interne Talentförderung im Mittelpunkt. In den vergangenen 12 Monaten seien 33 % der über 700 eingestellten Sicherheitskräfte aus den eigenen Reihen rekrutiert worden, so Kapilashrami. Sie möchte diesen Wert in den nächsten Jahren auf 50 % und letztendlich auf 70 % steigern. „Wir konzentrieren uns darauf, einen internen Talentpool aufzubauen und unsere Belegschaft weiterzubilden“, sagt sie.
Inspiration für junge Menschen im Bereich der Informatik
Natürlich können Unternehmen aus eigener Kraft nur begrenzt etwas bewirken. Um den Nachschub an Talenten wieder vollständig aufzufüllen, seien neue Denkansätze erforderlich, so Pescatore. So hat sich beispielsweise SANS kürzlich mit der National Cyber Scholarship Foundation zusammengetan, um „CyberStart“ ins Leben zu rufen – einen Wettbewerb, bei dem Schüler der Oberstufe um Hochschulstipendien in Höhe von 2 Millionen Dollar wetteifern.
Die Schüler erzielen Erfolge, indem sie in spielerischen Wettbewerben gute Ergebnisse erzielen, um die Umwelt zu schützen, und lernen dabei Themen wie Programmierung, Kryptografie und Forensik kennen.
Damit sind wir wieder bei Hendrix angelangt, der durch das Anschauen einer Serie über Serienmörder eher zufällig in den Bereich der Cybersicherheit gelangt ist. Derzeit leistet er seinen Beitrag dazu, dass unterrepräsentierte Jugendliche schon von klein auf ein Bewusstsein für Cybersicherheit entwickeln. Obwohl die Pandemie dazu geführt hat, dass seine Vorträge zum Thema Technikkompetenz an Schulen im Raum San Antonio nicht mehr vor Ort stattfinden können, hat er kürzlich ein Buch mit dem Titel „Saleen, the CyberTeen“ veröffentlicht, in dem es um ein junges schwarzes Mädchen geht.
„Meine Aufgabe ist es, jüngere Generationen über die Möglichkeiten aufzuklären“, sagt Hendrix. „Und in der Branche setzt sich zunehmend die Erkenntnis durch, dass sie benötigt werden.“
