Während die Hauptursachen für CISO-Burnout eine faire Abdeckung auf Konferenzen und in den Medien erhalten – Probleme wie die neuesten Cybersicherheitsbedrohungen, Budgetkürzungen oder wachsender Druck vom Vorstand , um Ihre Organisation zu schützen – bleibt ein langjähriger und wachsender Stressor unter dem Radar: ein guter Teil Ihrer Mitarbeiter durch Fluktuation zu verlieren.
Der Austausch des Talents kann für diese Chief Information Security Officer eine Herausforderung genug sein, insbesondere angesichts des sich verschlechternden Engpasses in dieser stark beanspruchten Branche. Die Mitarbeiterfluktuation kann jedoch andere vielleicht weniger offensichtliche Probleme für Sicherheitschefs, Unternehmensleiter, Vorstandsmitglieder und alle anderen darstellen, die für die Überwachung der Cybersicherheit verantwortlich sind.
„Es geht nicht nur darum, einen Mitarbeiter zu ersetzen – es geht darum, das Vertrauen, die Expertise und das Situationsbewusstsein wiederherzustellen, die ihm die Tür verlassen“, sagt Pablo Riboldi, CISO bei BairesDev, einem Nearshore-Softwareentwicklungsunternehmen.
„Während sich die Bedrohungslandschaft schnell entwickelt, kann der Verlust qualifizierter Mitarbeiter die Sicherheitsstabilität und Wachstumslage eines Unternehmens untergraben“, sagt er. „In einigen Fällen kann die Fluktuation sogar das Risiko falsch konfigurierter Systeme, übersehener Schwachstellen oder verzögerter Erkennung von Bedrohungen erhöhen.“
Und nicht nur der Verlust von Mitarbeitern an vorderster Front, wie die Ihrer Threat Intelligence-Abteilung, bedroht die Cybersicherheit. Instabilität entsteht auch durch die Fluktuation unter den höheren Führungskräften – leitenden Führungskräften wie dem Chief Financial Officer, Chief Information Officer, Chief Technology Officer oder sogar Führungskräften der Geschäftsbereiche, die wichtige Rollen bei der Sicherheit von Organisationen spielen könnten.
CISOs sind möglicherweise eingeschränkt, was sie tun können, um andere C-Suites an Bord zu halten, können aber Initiativen ergreifen, um sich auf die letztendliche Fluktuation ihrer Sicherheitsteams vorzubereiten. Und wie Branchenstatistiken zeigen, werden sich die Umsatzraten wahrscheinlich nicht bald verbessern.
Warum es an der Zeit ist, auf die Fluktuation des Sicherheitsteams zu achten
Die Personalstatistiken sind entmutigend: Etwa 60 % der mehr als 500 befragten Cybersicherheitsexperten in den USA und Kanada gaben an, dass sie einen Stellenwechsel in Betracht ziehen, wie der 2025 Cybersecurity Staff Compensation Benchmark Report, der im Februar von dem Forschungsunternehmen IANS Research und dem Executive Search-Unternehmen Artico veröffentlicht wurde.
„Es geht nicht nur darum, einen Mitarbeiter zu ersetzen – es geht darum, das Vertrauen, die Expertise und das Situationsbewusstsein, das ihm die Tür verlässt, neu aufzubauen.“Pablo Riboldi, CISO, BairesDev
Nur ein Drittel der Befragten gab an, dass sie ihren Arbeitgeber empfehlen würden, und weniger als 40 % waren mit ihren Aufstiegsmöglichkeiten zufrieden. Während die Vergütung ein Faktor bleibt, um bei einer aktuellen Stelle zu bleiben, hat die Fähigkeit, neue Fähigkeiten zu entwickeln und innerhalb des Unternehmens voranzukommen, einen größeren Einfluss auf die Bindung, merkt der Bericht an.
Und CISOs können es sich kaum leisten, eines ihrer Talente zu verlieren. In seiner 2024 Cybersecurity Workforce Study stellte der Fachverband Cybersicherheit ISC2 fest, dass die Größe der aktiven globalen Belegschaft im Vergleich zum Vorjahr nur um 0,1 % gewachsen war. Die Größe der Belegschaftslücke betrug weltweit 4,8 Millionen, ein Anstieg von 19 % gegenüber dem Vorjahr. Und die gesamte Belegschaft, die zur Befriedigung der Nachfrage benötigt wurde, betrug 10,2 Millionen, ein Anstieg von 8,1 %.
„Häufige Veränderungen des Schlüsselpersonals können Lücken im institutionellen Wissen hinterlassen, die Reaktionszeiten bei Vorfällen verlangsamen und die Umsetzung strategischer Initiativen verzögern“, sagt Riboldi.
Hier bei Focal Point haben wir die verschiedenen Möglichkeiten untersucht, wie Sicherheitsabteilungen reibungslos am Laufen bleiben, von der Handhabung der CISO-Umsätze bis hin zu spezifischen Strategien, die von Sicherheitschefs verwendet werden, die in unserer Serie „CISO Success Story“ profiliert sind. Wir haben CISOs und andere Experten befragt, um Tipps zu erhalten, wie wir die zunehmende Belastung der Fluktuation des Sicherheitsteams angehen können. Hier sind sechs Best Practices, die zu berücksichtigen sind.
1. Aufbau eines strukturierten Wissensmanagementprozesses
Manchmal ist das größere Problem nicht so sehr, dass die Leute das Unternehmen verlassen, sondern das Wissen, das mit ihnen zusammenhängt.
„CISOs sollten kritische Sicherheitsfunktionen proaktiv abbilden ... und die Abdeckung durch interne Cross-Trainings oder einsatzbereite externe Talentpipelines sicherstellen.“Casey Marquette, CEO, Covenant Technologies
Die Dokumentation von Sicherheitsverfahren, Systemkonfigurationen und Vorfallreaktions-Playbooks stellt sicher, dass kritisches Wissen nicht bei der ausscheidenden Person verbleibt, sagt Riboldi.
„Eine zentralisierte, regelmäßig aktualisierte Wissensdatenbank ermöglicht reibungslose Übergänge und ermöglicht es den übrigen Teammitgliedern, bei Bedarf sicher einzugreifen“, sagt er. „Es ist wichtig, alles zu dokumentieren; wenn etwas einmal passiert ist, könnte es sehr gut wieder passieren.“
[Lesen Sie auch: Wie ein Barclays CISO die Regulierungsbehörden verwaltet]
Die Erstellung einer Kompetenzkarte kann Unternehmen dabei helfen, mit der Personalfluktuation umzugehen, berät Casey Marquette, CEO bei Covenant Technologies, einem Anbieter von IT- und Cybersicherheitspersonal- und Rekrutierungsdiensten. „CISOs sollten kritische Sicherheitsfunktionen proaktiv abbilden – [z. B.] Vorfallreaktion, Identitätsmanagement und Cloud-Sicherheit – und die Abdeckung durch interne Cross-Trainings oder einsatzbereite externe Talentpipelines sicherstellen.“ Organisationen ohne Plan verlieren wertvolle Zeit – und oft Visibilität“, sagt er – wenn wichtige Akteure unerwartet ausscheiden.
2. Investition in Cross-Training und Rollenredundanz
Riboldi erklärt sich damit einverstanden, dass Organisationen sicherstellen müssen, dass die Mitglieder des Sicherheitsteams übergreifend geschult sind, um die Verantwortlichkeiten des anderen abzudecken. „Dies erhöht nicht nur die Flexibilität des Teams, sondern reduziert auch Betriebsunterbrechungen, wenn jemand geht“, sagt er.
„Die Ermutigung von Teammitgliedern, mehrere Rollen innerhalb der Sicherheitsfunktion zu verstehen, stellt die Betriebskontinuität sicher.“Anthony Nyberg, Direktor des Center for Executive Succession an der Darla Moore School of Business der University of South Carolina
Rollenredundanz hilft auch bei der Beibehaltung wichtiger Fähigkeiten, selbst bei plötzlichen Übergängen.
„Die Ermutigung von Teammitgliedern, mehrere Rollen innerhalb der Sicherheitsfunktion zu verstehen, stellt die Betriebskontinuität sicher“, sagt Anthony Nyberg, Direktor des Center for Executive Succession an der Darla Moore School of Business an der University of South Carolina.
3. Klare Kommunikationskanäle einrichten
Transparente Kommunikation schafft Vertrauen und erleichtert reibungslosere Übergänge, fügt Nyberg hinzu.
„Wenn es eine kontinuierliche Bewertung und Anpassung von Sicherheitsplänen gibt, die von mehreren Rollen sowohl auf Ebene der C-Suite als auch innerhalb der Funktion des CISO verstanden wird, kann die Organisation insgesamt besser auf sich entwickelnde Bedrohungen und Personalschichten vorbereitet werden.“
Genauso wie CISOs ihre Bedürfnisse den CEOs und dem Vorstand klar mitteilen müssen , müssen sie auch ihren Mitarbeitern mitteilen, warum sie gebeten werden, etwas zu tun, und die erhofften Ergebnisse mitteilen. Die Mitarbeiter müssen das Gefühl haben, dass sie etwas Sinnvolles tun, um die Sicherheit in ihren Organisationen zu stärken, und dass sie Teil eines Teams sind. Mitarbeiter, die sich gegenseitig abdecken, lernen letztendlich neue Fähigkeiten, die ihnen in Bezug auf lineare und nichtlineare Weiterentwicklung zugutekommen können.
Kommunikation bedeutet auch Zuhören. CISOs müssen sich mit den Mitarbeitern in Verbindung setzen, um Feedback darüber zu erhalten, wie der Workflow läuft und wie Verfahren verbessert werden können.
4. Implementierung starker Offboarding-Protokolle
Organisationen müssen umfassende Offboarding-Checklisten einrichten, die die Wiederherstellung von Unternehmensinformationen und -verfahren, den Widerruf von Zugangsdaten, die Prüfung privilegierter Konten und die Überprüfung von Zugriffsprotokollen umfassen, sagt Riboldi. „Dies ist entscheidend, um Datenlecks oder unbefugten Zugriff nach einer Abreise zu verhindern.“
Sicherheitspersonal hat oft erhöhten Zugang, sagt Marquette. „Offboarding muss das Widerrufen von Zugangsdaten über alle Systeme hinweg beinhalten.“
5. Nutzung externer Partnerschaften
Unternehmen können Outsourcing in Betracht ziehen, um ihre höherqualifizierten Funktionen zu ergänzen und gleichzeitig die Rohstoffarbeit in eine Organisation zu verlagern, die sich bei dieser Art von Arbeit auszeichnet, sagt Doug Saylors, Leiter der Cybersicherheitspraxis bei der globalen Technologieforschungs- und Beratungsfirma ISG.
„Dienstleister sind gut darin, Talente zu wechseln und bieten bei Bedarf ... einen großen Pool an Ressourcen und Ideen.“Doug Saylors, Leiter der Cybersicherheitspraxis, ISG
„Dienstleister sind gut darin, Talente zu wechseln und [einen] vertraglichen Mechanismus für die Servicequalität bereitzustellen“, sagt Saylors. „Dies ermöglicht es Ihrem internen Team, sich auf die höherwertige Arbeit zu konzentrieren und bei Bedarf Zugang zu einem großen Pool von Ressourcen und Ideen zu erhalten.
[Lesen Sie auch: Einstellung von Remote-IT-Mitarbeitern? Achten Sie auf Deepfake-Betrug]
6. Bewerten Sie den C-Suite-Zugriff auf sensible Daten
Was ist, wenn der CEO oder der CFO, CIO, CMO, CHRO oder ein anderes Mitglied der C-Suite verlässt? Dies sind die Personen, die oft einen erhöhten Zugriff auf die sensibelsten Daten im Unternehmen haben, einschließlich Cybersicherheitsdaten.
CISOs müssen sicherstellen, dass keine dieser Daten bei diesen Führungskräften die Tür verlässt, wenn sie das Unternehmen verlassen. Dies ist ein wichtiger Bestandteil des Identity Access Management (IAM) und stellt sicher, dass CISOs wissen, welche Führungskräfte welche Zugriffsebenen haben und an welchen Projekten sie gearbeitet haben. Wenn Sie dieses Wissen erwerben, während der Manager beschäftigt ist, bedeutet dies, dass die Sicherheitsleiter nicht später nachholen, wenn diese Person geht.
Dies stellt eine zusätzliche Belastung für einen CISO dar: Sie müssen dem CEO oder dem Vorstand mitteilen, dass Sicherheitschefs über bevorstehende Änderungen der Führungskräfte informiert werden müssen, damit sie besser vorbereitet sein können, wenn der Austritt stattfindet, und geeignete Maßnahmen ergreifen, wie z. B. robuste Offboarding-Protokolle.
