Ein kürzlich veröffentlichter Tweet von Jen Easterly, der Leiterin der führenden US-Behörde für Cybersicherheit, ist nicht nur eine intensivierte Rekrutierungskampagne, sondern auch ein Signal dafür, dass die Regierung dringend Hilfe benötigt.
„Werden Sie Teil unseres Teams“, heißt es in dem Beitrag „ “ unter , untermalt von lauter Rockmusik. „Sie sind das fehlende Teil“, heißt es, während das letzte Teil eines Zauberwürfels an seinen Platz rutscht und das Logo ihrer Agentur zum Vorschein kommt. Easterly (@CISAJen), die Direktorin der Cybersecurity and Infrastructure Security Agency, schreibt in ihrem Tweet, dass sie ohne ihre Neugier und ihre „Liebe zu Rätseln“ ihren beruflichen Weg möglicherweise nicht gefunden hätte.
Die Regierung braucht dringend mehr Menschen wie sie. Laut Daten von „ “, die von „ “ CyberSeek – einem dem Handelsministerium angegliederten Projekt zur Personalvermittlung im Bereich Cybersicherheit – erhoben wurden, gibt es mehr als 36 000 unbesetzte Stellen im Bereich Cybersicherheit im öffentlichen Dienst. Im vergangenen Sommer schätzte das Ministerium für Innere Sicherheit, dass allein in seiner Behörde etwa 1 700 Stellen zu besetzen waren.
Zwar gab es in der Privatwirtschaft schon immer eine Qualifikationslücke im Technologiebereich, doch stellt der sich verschärfende Fachkräftemangel im öffentlichen Dienst ein Risiko für die vielbeachtete Cybersicherheitskampagne „ “ der Biden-Regierung sowie für die Sicherheitsintegrität der Nation dar. Dieses Thema gewann am 3. November zusätzlich an Dringlichkeit, als die Regierung eine weitreichende Cybersicherheitsverordnung des „ “ erließ, in der nahezu alle Bundesbehörden angewiesen wurden, Hunderte von Sicherheitslücken zu schließen, die als erhebliche Risiken für Eindringversuche und Schäden an Bundesnetzwerken gelten.
„Wir wussten bereits vor fünf Jahren, dass wir Zehntausende neuer Fachkräfte für Cybersicherheit in die US-Regierung aufnehmen mussten, um erfolgreich zu sein“, sagt Ari Schwartz, ehemaliger Senior Director für Cybersicherheit im Weißen Haus unter Obama. „Da die Fluktuation weiterhin hoch ist, erreichen wir einen kritischen Punkt, an dem der US-Regierung schlichtweg die Fachkräfte fehlen, die sie benötigt“, sagt Schwartz, der als Geschäftsführer für Cybersicherheitsdienstleistungen bei Venable, einer Kanzlei für Rechtsberatung und Unternehmensberatung, tätig ist.
Die Regierung steht bei ihren Bemühungen, Fachkräfte im Bereich Sicherheitstechnologie zu gewinnen und zu halten, vor zahlreichen Herausforderungen. Diese Herausforderungen – Vergütung, Finanzierung, Ressourcen und Arbeitsbedingungen – sind kein spezifisches Problem des öffentlichen Dienstes. Sie entwickeln sich zu hartgesottenen „ “ in einer Arbeitswelt , in der die Bereitschaft, den Beruf aufzugeben, mit fortschreitender Pandemie immer größer wird. Im August haben laut einem Bericht von „ “ ()
4,3 Millionen amerikanische Arbeitnehmer ihren Arbeitsplatz verlassen, und laut CyberSeek gibt es derzeit landesweit fast 465 000 offene Stellen im Bereich Cybersicherheit im privaten und öffentlichen Sektor.
Obergrenze
Die größte Herausforderung, vor der die Regierung bei der Rekrutierung von erfahrenen Fachkräften im Bereich Cybersicherheit steht, ist die Vergütung. IT-Fachkräfte können in der Privatwirtschaft bis zu 50 % mehr verdienen als im öffentlichen Dienst, so John Bambenek, Experte für Cybersicherheit bei Netenrich, einem Anbieter von Dienstleistungen zur Erkennung von Cyberbedrohungen.
Im öffentlichen Sektor gibt es zudem häufig eine Obergrenze für die Vergütung, selbst für Leistungsträger, was (natürlich) in der Privatwirtschaft nicht der Fall ist. In staatlichen Ämtern „kommt man irgendwann an einen Punkt, an dem man ein politisches Amt bekleiden muss“, sagt er.
“„Da die Fluktuation weiterhin hoch ist, nähern wir uns einem kritischen Punkt.“Ari Schwartz, ehemaliger Leitender Direktor für Cybersicherheit im Weißen Haus unter Obama
Auf Landesebene könnte die Vergütung ein noch größeres Thema sein. Laut CyberSeek mussten die Bundesstaaten im vergangenen Sommer 9 000 Stellen im Bereich Cybersicherheit besetzen. Im vergangenen Jahr lag das durchschnittliche Jahresgehalt eines in der Cyber-Sicherheit tätigen Mitarbeiters einer Kommunal- oder Landesbehörde bei etwa 95 412 US-Dollar, was einem Rückstand von etwa 25 000 US-Dollar gegenüber den Gehältern der Bundesregierung entspricht.
„Es bedarf einiger kreativer Ideen, um mit der Tatsache umzugehen, dass es einfach lukrativer ist, den öffentlichen Dienst zu verlassen und in die Privatwirtschaft zu wechseln“, sagt Bambenek.
Für Quentin Hodgson, einen leitenden Forscher im Bereich Cybersicherheit bei Rand, einem gemeinnützigen Forschungs- und Beratungsunternehmen, ist die Entscheidung, den Staatsdienst zu verlassen, oft darauf zurückzuführen, dass die Beschäftigten die Nase voll haben. Einer der größten Kritikpunkte betreffe die Ressourcen und die Finanzierung, sagt er.
In der sich rasant entwickelnden Welt der Technik verliert man nur allzu leicht den Anschluss. Finanzierungsbeschränkungen und Verzögerungen bei der Bereitstellung von Ressourcen können schnell zu veralteten Systemen führen. Ein Bereich, der für den Aufbau einer robusten Cyberabwehr in der Privatwirtschaft zunehmend an Bedeutung gewinnt, ist die sich etablierende Praxis von „ “ (DevSecOps) –, , –, eine Strategie, bei der Sicherheitsteams von Beginn an in Softwareentwicklungsprojekte eingebunden werden. Dies ermöglicht es ihnen wiederum, potenzielle Schwachstellen im Netzwerk zu erkennen, bevor diese Projekte zu weit fortgeschritten sind. Experten sind der Ansicht, dass die Cybersicherheit der Regierung bei der Einführung dieser Vorgehensweise weit hinterherhinkt.
Die mangelnden Investitionen in die Cybersicherheit erhöhen das Risiko für Behörden – das Risiko, Opfer von Hackerangriffen zu werden, dass sensible Daten nach außen gelangen und dass Netzwerke ausfallen. Local government agencies are under threat, with some 25% saying breach attempts happen every hour and 14% reporting an attempt every day, according to a 2020 International City/County Management Association survey.
„Die Menschen sind frustriert über Bürokratie, langwierige Abläufe und den Mangel an Ressourcen“, sagt Hodgson. „Sie haben das Gefühl, dass ihnen die Ressourcen fehlen, die sie zur Erfüllung ihrer Aufgaben benötigen.“ Und sie haben das Gefühl, dass man Sie als Experte für Cybersicherheit völlig ignoriert, bis etwas schiefgeht, und dann stürzen sich alle auf Sie und fragen: „Warum?“
Ausgebrannt
Viele Mitarbeiter im Bereich Cybersicherheit im öffentlichen Sektor sind ausgebrannt. „Wenn man sich die Gründe ansieht, warum Menschen das Unternehmen verlassen, so stand dies in der Vergangenheit in der Regel im Zusammenhang mit Burnout“, sagt J. Michael Daniel, der ehemalige Cybersicherheitsbeauftragte von Präsident Obama. „Für alle, die sich während der Pandemie mit Cybersicherheit befassen, hat sich die Lage höchstwahrscheinlich nur noch verschlimmert – aufgrund der Anforderungen durch die Arbeit im Homeoffice und der Herausforderungen, die eine hybride Belegschaft mit sich bringt.“
Erschwerend kommt noch ein umständliches Einstellungsverfahren hinzu. Die Bundesregierung führt häufig umfassende Hintergrundüberprüfungen durch – eine Praxis, die Arbeitnehmer abschrecken kann, da solche Überprüfungen in der Privatwirtschaft nur selten verlangt werden. Sollte ein Bewerber zudem eine Vorgeschichte im Zusammenhang mit Drogenkonsum haben – selbst wenn es sich um einen geringfügigen Vorfall aus der Schul- oder Studienzeit handelt –, ist es ihm in der Regel untersagt, im öffentlichen Dienst zu arbeiten.
Branchenexperten weisen zudem darauf hin, dass man jüngere Talente aus einem anderen Blickwinkel betrachten müsse. Daniel, der derzeit Präsident und Geschäftsführer der Cyber Threat Alliance, einer gemeinnützigen Vereinigung für Cybersicherheit, ist der Ansicht, dass einige Anforderungen im Bildungsbereich unnötig sind.
„Stellen wir willkürliche Anforderungen, die Menschen abschrecken?“ sagt er. „Verlangen Sie Master-Abschlüsse, obwohl Sie keinen Master-Abschluss benötigen?“
In Anbetracht dieser besonderen Herausforderung hat DHS-Minister Alejandro Mayorkas ein „Honors-Programm“ ins Leben gerufen, das unter anderem darauf abzielt, Absolventen mit Abschlüssen in Bereichen der Cybersicherheit für einen einjährigen Weiterbildungskurs zu gewinnen. Diejenigen, die das Programm erfolgreich abschließen, können sich für Vollzeitstellen im Bereich Cybersicherheit in der Behörde bewerben.
Robert Spalding, ein Brigadegeneral der Luftwaffe im Ruhestand, der als Verteidigungsbeamter in Peking tätig war, erklärt, er habe das Militär verlassen, nachdem er es satt gehabt habe, auf B-2-Stealth-Bombern veraltete Systeme zu verwenden. Er sagt, der Mangel an Fachkräften und Infrastruktur der Regierung in den Bereichen Cybersicherheit und Verteidigungstechnologie habe einen kritischen Punkt erreicht.
„Wir befinden uns nicht nur in einer Krisensituation, sondern schon seit einiger Zeit, ohne dass Reformen in Sicht wären“, sagt er.
Um dieses Problem anzugehen, ist Spalding der Ansicht, dass die Regierung die Verteidigungsausgaben für Waffen kürzen und sich stattdessen auf Investitionen und die Gewinnung von Fachkräften in den Bereichen Infrastruktur, Fertigung, Technologie sowie auf die MINT-Ausbildung ( ) konzentrieren sollte:.
Unterstützung durch die Privatwirtschaft
Da die Herausforderungen der Regierung bei der Gewinnung von Fachkräften im Technologiebereich und beim Ausbau der Cyberabwehr zugenommen haben, haben sich Cybersicherheitsdienstleistungen des privaten Sektors für staatliche Behörden stark ausgeweitet. „Der private Sektor übernimmt fast alle Aufgaben für die Regierung“, sagt Schwartz – er stellt sowohl Produkte als auch Personal im Bereich der Cybersicherheit zur Verfügung. Und diese Unternehmen werden von ehemaligen IT-Mitarbeitern der Regierung sowie von IT-Absolventen geführt, die zuvor möglicherweise eine Karriere im öffentlichen Dienst in Betracht gezogen hatten, sagt er.
Private Unternehmen bieten grundlegende Cybersicherheitsdienste an: Penetrationstests, Sicherheitsprüfungen für Hardware, Überprüfungen von Software-Patches, Sicherheit von Zahlungsgateways sowie Authentifizierungs- und Datenverschlüsselungsdienste, so Ken Bodnar, ein Experte für Datentransformation.
„Zumindest nutzen die meisten Bundesbehörden Technologien und Tools aus der Privatwirtschaft, wie beispielsweise Firewalls, Netzwerkmanagement, E-Mail-Filterung und Überwachung“, sagt der ehemalige Cybersicherheitsbeauftragte Daniel. „Was sich von Behörde zu Behörde unterscheidet, ist die Zusammensetzung aus internen, von Auftragnehmern erbrachten und ausgelagerten Cybersicherheitsdienstleistungen. „Die größeren, technisch besser ausgestatteten Agenturen erledigen mehr Aufgaben intern.“
Private Dienste und Tools sollten gewährleisten, dass die Netzwerksicherheit der Behörden robust ist und proaktive Funktionen zur Erkennung von Bedrohungen bietet. Beispielsweise sollten diese Tools es den Behörden ermöglichen, ihr Netzwerk , ihre und ihre Bestandsliste zu erfassen, damit sie genau wissen, wo sensible Daten gespeichert sind. Zudem sollten sie Zero-Trust-Verfahren anwenden und im Idealfall eine Plattform zur Bedrohungssuche bereitstellen sowie automatisiertes Patch-Management und Softwareüberwachung implementieren.
Tatsächlich stellt die Automatisierung mühsamer Aufgaben – von denen es im öffentlichen Sektor besonders viele gibt – eine zentrale Herausforderung für Behörden dar. Während die Privatwirtschaft kontinuierlich Ressourcen bereitstellt und sich bemüht, Ineffizienzen abzubauen, die zu Einnahmeverlusten führen können, strebt der öffentliche Sektor nicht dasselbe Ziel an. Vielmehr sind die treibenden Kräfte die digitale Transformation, die Zufriedenheit der Bürger und die nationale Sicherheit.
Der Mangel an Automatisierung erklärt auch, warum Stellen im Bereich Cybersicherheit im öffentlichen Sektor schwerer zu besetzen sind. Es gibt Dutzende manueller Arbeitsschritte, die Beamte ausführen, ihre Kollegen in der Privatwirtschaft jedoch möglicherweise nicht. Dazu können unter anderem das manuelle Patchen über mehrere Betriebssysteme hinweg, die Erstellung und Durchsetzung von Compliance-Regeln auf allen Endgeräten, die Verwendung mehrerer veralteter Legacy-Tools sowie die manuelle Zusammenführung der Daten aus all diesen Systemen in einer Weise gehören, die eine schnelle Entscheidungsfindung ermöglicht.
Die verschlüsselte Zukunft
„Die Verschlüsselung wird für Technologieunternehmen die nächste Herausforderung im öffentlichen Sektor sein“, so Bodnar. Zu den Entwicklungsbereichen zählen: homomorphe Verschlüsselung, die es ermöglicht, verschlüsselte Daten zu ändern, ohne sie zu entschlüsseln; Zero-Knowledge-Beweise, mit denen eine Partei einer anderen Partei nachweisen kann, dass eine Aussage wahr ist, ohne dabei Informationen preiszugeben; sowie eIDV (elektronische Identitätsprüfung), bei der öffentliche und private Datenquellen genutzt werden, um Personen zuzuordnen.
Spalding seinerseits ist derzeit dabei, ein Unternehmen zu gründen, das Regierungsbehörden verschlüsselte Lösungen im Bereich der Verteidigungstechnologie anbieten soll.
Landesweit bleiben offene Stellen im Bereich der öffentlichen Cybersicherheit mit unterschiedlichen Stellenbeschreibungen und unterschiedlichen Hierarchiestufen unbesetzt. Experten sind der Ansicht, dass die Regierung ein stärkeres Gefühl der Mission entwickeln muss, um die Personalgewinnung zu verbessern, ihre Fähigkeiten im Bereich der Cybersicherheit auszubauen und bei den Innovationen in diesem Bereich den Anschluss nicht zu verlieren. In Führungspositionen können Stellen im Bereich der Cybersicherheit im öffentlichen Dienst als sinnvoller empfunden werden als Stellen in der Privatwirtschaft, und die Regierung sollte sich dies zunutze machen, so Daniel.
„Man hat die Möglichkeit, politische Entscheidungen unmittelbar zu beeinflussen und an internationalen Verhandlungen und ähnlichen Angelegenheiten teilzunehmen“, sagt er. „Das kann man in der Privatwirtschaft nicht immer wirklich erreichen.“
Das letzte Wort sollte Michael Hamilton haben, dem ehemaligen CISO der Stadt Seattle. „Kommunen sorgen dafür, dass die Toiletten spülen und Ihr Wasser trinkbar ist – und Cyberangreifer können all das leicht lahmlegen“, sagt Hamilton, der Gründer des Projekts „Public Infrastructure Security Cyber Education System“ (PISCES), das Studierende der Cybersicherheit an der „ “ mit den Kommunen vernetzt. „Es handelt sich hierbei um äußerst wichtige Stellen im IT-Bereich, doch oft werden Bewerber von diesen Stellen ausgeschlossen, weil die Vergütung nicht wettbewerbsfähig ist.“
