Aufgrund von pandemiebedingtem Burnout und Stress blieben im Jahr 2021 im Vergleich zum Vorjahr mehr Stellen im Bereich Cybersicherheit unbesetzt. Und es gibt keine Anzeichen dafür, dass diese Stellen in absehbarer Zeit mit qualifizierten Fachkräften besetzt werden, um den erhöhten Bedrohungsstufen im Zusammenhang mit dem russischen Krieg gegen die Ukraine sowie der Warnung von Präsident Biden in dieser Woche, dass russische Cyberangriffe „bevorstehen“, gerecht zu werden.
Das wirft die Frage auf: Wo sind die heutigen Führungskräfte im Bereich Cybersicherheit?
„Die ‚Great Resignation‘ verschärft die seit Langem bestehenden Herausforderungen bei der Personalbeschaffung und -bindung, mit denen die Cybersicherheitsbranche bereits seit Jahren konfrontiert ist“, sagt Jonathan Brandt, Direktor für berufliche Praxis und Innovation bei der ISACA (Information Systems Audit and Control Association). Der internationale IT-Verband hat heute seine achte jährliche Umfrage „ : State of Cybersecurity“ ( ) veröffentlicht, für die mehr als 2 000 Cybersicherheitsexperten weltweit befragt wurden.
Die besorgniserregenden Ergebnisse sprechen für sich: Mehr als sechs von 10 Befragten gaben an, unterbesetzt zu sein. Jeder Fünfte gab an, dass es mehr als sechs Monate dauert, einen qualifizierten Bewerber für eine Stelle zu finden.
Demnach sind in den USA laut CyberSeek fast 600 000 Stellen im Bereich Cybersicherheit unbesetzt. Tausende von Unternehmen sind einem erhöhten Risiko durch Cyberangriffe ausgesetzt. Tatsächlich gaben 69 % der Befragten der ISACA-Umfrage, die im vergangenen Jahr Opfer einer Cyberattacke geworden waren, an, unter Personalmangel zu leiden.
Einschätzung der Qualifikationslücke im Bereich Cybersicherheit
Die Suche nach qualifizierten Fachkräften zur Schließung der Qualifikationslücke im Bereich Cybersicherheit sei schwierig, so die Teilnehmer der ISACA-Umfrage. Etwas mehr als die Hälfte gab an, dass es den Bewerbern an sozialen Kompetenzen mangele, darunter Kommunikationsfähigkeit, kritisches Denken und Problemlösungsfähigkeit. An zweiter Stelle der am häufigsten fehlenden Kompetenzen standen Kenntnisse im Bereich Cloud Computing, gefolgt von der Implementierung von Sicherheitsmaßnahmen, der Programmierung und der Softwareentwicklung.
Da gute Kandidaten schwer zu finden sind, ist es kaum verwunderlich, dass viele Unternehmen dazu übergegangen sind, Fachkräfte aus dem Bereich Cybersicherheit abzuwerben. Fast 60 % der Unternehmen gaben an, dass die meisten Fachkräfte ihren Arbeitsplatz verließen, weil sie von einem anderen Unternehmen abgeworben wurden. Die weiteren Hauptgründe für den Jobwechsel während der Pandemie waren unzureichende finanzielle Anreize, begrenzte Aufstiegs- oder Weiterentwicklungsmöglichkeiten, hoher Arbeitsstress sowie mangelnde Unterstützung durch die Führungskräfte.
Einige Arbeitgeber drängten ihre Mitarbeiter im vergangenen Jahr dazu, ins Büro zurückzukehren, was möglicherweise dazu geführt hat, dass mehr Menschen das Unternehmen verlassen haben. ISACA berichtete, dass in diesem Jahr mehr Befragte als im Vorjahr eingeschränkte Möglichkeiten zur Telearbeit sowie unflexible Arbeitsrichtlinien nannten. ISACA vermutete, dass sich der Arbeitskräftemangel verschärfen könnte, wenn Mitarbeiter ihre Stellen zugunsten besserer Arbeitszeiten aufgeben, während Unternehmen, die Remote-Arbeit ermöglichen, möglicherweise einen Vorteil bei der Gewinnung qualifizierter Fachkräfte haben.
„Es herrscht eine enorme Spannung zwischen Arbeitgebern und Arbeitnehmern“, sagt Brandt. „Unsere Herausforderungen sind selbstverschuldete Probleme.“
Und die Kluft zwischen den Generationen verstärkt den Fachkräftemangel im Bereich der Cybersicherheit nur noch weiter. „Bei dieser neuen Generation geht es nicht nur um das Gehalt“, fügt Brandt hinzu. „Was wir beobachten, ist, dass sie am Ende des Tages einfach abschalten möchten.“ „Sie wünschen sich Ausgewogenheit.“
Die Lücke bei Fachkräften im Bereich Cybersicherheit schließen
Um den Fachkräftemangel im Bereich Cybersicherheit zu beheben, erweitern Unternehmen daher ihren Bewerberpool um Personen, die keinen Hochschulabschluss haben. Nur 52 % der Befragten geben an, dass sie mittlerweile einen Hochschulabschluss verlangen – das sind 6 Prozentpunkte weniger als noch vor einem Jahr. Und der Anteil der Unternehmen, die ihren derzeitigen Mitarbeitern, die sich für Cybersicherheit interessieren, bereichsübergreifende Fortbildungen anbieten, stieg um 2 %. Ein Vorteil des bereichsübergreifenden Trainings besteht darin, dass die Mitarbeiter bereits über gewisse Kenntnisse des Unternehmens und seiner Arbeitsweise verfügen.
Gemeinnützige Organisationen wie „ “ (), „NPower“ (), die technische Schulungen für benachteiligte Bevölkerungsgruppen anbieten, sowie die „Cybersecurity Talent Initiative“ des „ “ (), die Fachkräfte im Bereich Cybersicherheit mit Unternehmen zusammenbringt, die Stellen in diesem Bereich besetzen möchten, spielen eine entscheidende Rolle bei der Sicherung des künftigen Nachwuchspools.
Die Zahl der Befragten, die Berater und Auftragnehmer hinzugezogen haben, um Personalengpässe am Arbeitsplatz zu beheben, stieg im Vergleich zum Vorjahr um 5 Prozentpunkte. Experten wie Rebecca Herold, Geschäftsführerin von „Privacy and Security Brainiacs“, , erklärten kürzlich gegenüber, , und Endpoint , dass externe Unterstützung am besten funktioniert, wenn dabei auch die eigenen Mitarbeiter geschult werden.
Möglicherweise aufgrund des Mangels an qualifizierten Fachkräften gaben lediglich 41 % der Befragten gegenüber der ISACA an, im vergangenen Jahr eine „ “-Cyber-Risikobewertung durchgeführt zu haben. Als Hauptgründe dafür, dass keine regelmäßigen Kontrollen durchgeführt wurden, wurden Zeitmangel – von 43 % der Befragten genannt – und ein Mangel an geschultem Personal – von 40 % genannt – angegeben. Eine Überprüfung einmal pro Jahr sei wahrscheinlich ausreichend, so die ISACA, da Hacker ihre Angriffsmethoden sehr schnell ändern.
[Lesen Sie auch: Cyber-Risikobewertungen sollten mehr sein als nur eine Zahl]
Zwar stellt Brandt fest, dass jährliche Cyber-Risikobewertungen offenbar die Regel sind, doch „gibt es einen wachsenden Wunsch, den Zeitraum zwischen diesen Risikobewertungen zu verkürzen“. Eine Bewertung, so sagt er, werde oft als „großes, formelles Monstrum“ angesehen. Eine Alternative zu häufigeren Gesamtbewertungen sollte die „ “-Bedrohungssuche, die Beseitigung unsachgemäßer Vorgehensweisen sowie die Umsetzung grundlegender Cyberhygiene sein.
Trotz der anhaltenden Herausforderungen der heutigen Zeit – oder vielleicht gerade deswegen – ist Brandt der Ansicht, dass Führungskräfte aus Wirtschaft und Technologie daraus eine wichtige Lehre ziehen können. Die Pandemie und der Krieg in der Ukraine haben gezeigt, dass „jeder Teil der Lieferkette anfällig ist und alles Manipulationen ausgesetzt ist“. Dieses Wissen, so sagt er, „sollte zu fundierteren Entscheidungen in Bezug auf Risiken führen.“
Weitere Informationen zur Behebung des Fachkräftemangels im Bereich Cybersicherheit
Unternehmen gehen kreative Wege, um die Qualifikationslücke im Bereich Cybersicherheit zu schließen
3 Möglichkeiten, Mitarbeitern dabei zu helfen, mit dem Stress während der Pandemie umzugehen
Um die Motivation Ihrer Mitarbeiter zu steigern, engagieren Sie sich für deren Gemeinden
Wie NPower Wege zum Wohlstand ebnet
Wie Code.org Schulkindern weltweit das Programmieren beibringt
