Zwar finden die Hauptursachen für das Burnout von CISOs auf Konferenzen und in den Medien recht viel Beachtung – Themen wie die neuesten Cybersicherheitsbedrohungen, Budgetkürzungen oder der wachsende Druck seitens des Vorstands , die Sicherheit Ihres Unternehmens zu gewährleisten –, doch ein seit Langem bestehender und zunehmender Stressfaktor bleibt dabei oft unbeachtet: der Verlust eines Großteils Ihrer Mitarbeiter durch natürliche Fluktuation.
Die Neubesetzung dieser Position kann für die Chief Information Security Officers von eine große Herausforderung darstellen, insbesondere angesichts des sich verschärfenden Fachkräftemangels in dieser von hohem Stress geprägten Branche. Die Fluktuation des Personals kann jedoch weitere, möglicherweise weniger offensichtliche Probleme für Sicherheitsverantwortliche, Unternehmensleiter, Vorstandsmitglieder und alle anderen Personen mit sich bringen, die für die Überwachung der Cybersicherheit zuständig sind.
„Es geht nicht nur darum, einen Mitarbeiter zu ersetzen – es geht darum, das Vertrauen, das Fachwissen und das Situationsbewusstsein wieder aufzubauen, die mit ihm das Unternehmen verlassen“, sagt Pablo Riboldi, CISO bei BairesDev, einem Nearshore-Softwareentwicklungsunternehmen.
„Da sich die Bedrohungslage rasch verändert, kann der Verlust qualifizierter Mitarbeiter die Sicherheitsstabilität und die Wachstumsaussichten eines Unternehmens untergraben“, sagt er. „In manchen Fällen kann die Fluktuation das Risiko von falsch konfigurierten Systemen, übersehenen Sicherheitslücken oder einer verzögerten Erkennung von Bedrohungen sogar noch erhöhen.“
Und es ist nicht nur der Verlust von Mitarbeitern an vorderster Front, wie beispielsweise denen Ihres „ “-Teams für Bedrohungsanalyse, , der die Cybersicherheit gefährdet. Instabilität entsteht auch durch Fluktuation in den Führungsetagen – bei leitenden Führungskräften wie dem Finanzvorstand, dem IT-Leiter, dem Technikvorstand oder sogar den Leitern der Geschäftsbereiche, die möglicherweise eine Schlüsselrolle bei der Gewährleistung der Sicherheit von Organisationen spielen.
CISOs mögen zwar in ihren Möglichkeiten eingeschränkt sein, andere Führungskräfte an das Unternehmen zu binden, doch sie können Maßnahmen ergreifen, um sich auf einen möglichen Personalwechsel in ihren Sicherheitsteams vorzubereiten. Und wie Branchenstatistiken zeigen, ist nicht damit zu rechnen, dass sich die Fluktuationsraten in absehbarer Zeit verbessern werden.
Warum es an der Zeit ist, der Fluktuation im Sicherheitsteam Beachtung zu schenken
Die Personalstatistiken sind erschreckend: Rund 60 % der mehr als 500 befragten Cybersicherheitsexperten in den USA und Kanada gaben an, einen Jobwechsel in Erwägung zu ziehen. Dies geht aus dem „ 2025 Cybersecurity Staff Compensation Benchmark Report“ hervor, der im Februar vom Marktforschungsunternehmen IANS Research und der Personalberatungsfirma Artico veröffentlicht wurde.
„Es geht nicht nur darum, einen Mitarbeiter zu ersetzen – es geht darum, das Vertrauen, das Fachwissen und das Situationsbewusstsein wieder aufzubauen, die mit ihm das Unternehmen verlassen.“Pablo Riboldi, CISO, BairesDev
Nur ein Drittel der Befragten gab an, dass sie ihren Arbeitgeber weiterempfehlen würden, und weniger als 40 % waren mit ihren Aufstiegsmöglichkeiten zufrieden. Zwar spielt die Vergütung nach wie vor eine Rolle bei der Entscheidung, ob man in seiner derzeitigen Stelle verbleibt, doch hat die Möglichkeit, neue Fähigkeiten zu erwerben und innerhalb des Unternehmens aufzusteigen, einen größeren Einfluss auf die Mitarbeiterbindung, wie der Bericht feststellt.
Und CISOs können es sich kaum leisten, auch nur einen einzigen ihrer talentierten Mitarbeiter zu verlieren. In ihrer Studie „ 2024 Cybersecurity Workforce Study“ stellte der Berufsverband für Cybersicherheit ISC2 fest, dass die Zahl der weltweit aktiven Fachkräfte im Vergleich zum Vorjahr lediglich um 0,1 % gestiegen war. Die Zahl der fehlenden Arbeitskräfte belief sich weltweit auf 4,8 Millionen, was einem Anstieg von 19 % gegenüber dem Vorjahr entspricht. Die Gesamtzahl der Arbeitskräfte, die zur Deckung der Nachfrage benötigt wurde, belief sich auf 10,2 Millionen, was einem Anstieg von 8,1 % entspricht.
„Häufige Wechsel in Schlüsselpositionen können zu Lücken im institutionellen Wissen führen, die Reaktionszeiten bei Vorfällen verlangsamen und die Umsetzung strategischer Initiativen verzögern“, sagt Riboldi.
Hier bei Focal Point haben wir uns mit den verschiedenen Möglichkeiten befasst, den reibungslosen Betrieb von Sicherheitsabteilungen zu gewährleisten – angefangen beim Umgang mit dem Wechsel des CISO bis hin zu konkreten Strategien, die von Sicherheitsleitern angewendet werden, die in unserer Reihe „: CISO Success Story“ vorgestellt werden. Wir haben CISOs und andere Experten befragt, um Tipps zu erhalten, wie man der zunehmenden Belastung durch die Fluktuation im Sicherheitsteam begegnen kann. Hier sind sechs bewährte Vorgehensweisen, die Sie berücksichtigen sollten.
1. Entwickeln Sie einen strukturierten Prozess für das Wissensmanagement
Manchmal ist das größere Problem weniger die Tatsache, dass Mitarbeiter das Unternehmen verlassen, sondern vielmehr das Wissen, das sie mitnehmen.
„. CISOs sollten kritische Sicherheitsfunktionen proaktiv erfassen … und die Abdeckung durch interne bereichsübergreifende Schulungen oder sofort einsatzbereite externe Talentpools sicherstellen.“Casey Marquette, Geschäftsführer von Covenant Technologies
Die Dokumentation von Sicherheitsverfahren, Systemkonfigurationen und Leitfäden zur Reaktion auf Vorfälle im Bereich „ “ ( ) stellt sicher, dass wichtiges Wissen nicht mit dem ausscheidenden Mitarbeiter verloren geht, so Riboldi.
„Eine zentralisierte, regelmäßig aktualisierte Wissensdatenbank ermöglicht reibungslose Übergänge und versetzt die verbleibenden Teammitglieder in die Lage, bei Bedarf selbstbewusst einzuspringen“, sagt er. „Es ist wichtig, alles zu dokumentieren; wenn etwas einmal passiert ist, könnte es durchaus wieder passieren.“
[Lesen Sie auch: Wie ein CISO bei Barclays mit den Aufsichtsbehörden umgeht]
Die Erstellung einer Kompetenzkarte kann Unternehmen dabei helfen, mit der Fluktuation umzugehen, rät Casey Marquette, Geschäftsführer von Covenant Technologies, einem Anbieter von Personalvermittlungs- und Rekrutierungsdienstleistungen in den Bereichen IT und Cybersicherheit. „CISOs sollten kritische Sicherheitsfunktionen – [beispielsweise] die Reaktion auf Sicherheitsvorfälle, das Identitätsmanagement sowie Cloud-Sicherheit – proaktiv erfassen und deren Abdeckung durch interne bereichsübergreifende Schulungen oder sofort einsatzbereite externe Talentpools sicherstellen.“ Unternehmen, die über keinen entsprechenden Plan verfügen, verlieren wertvolle Zeit – „und oft auch den Überblick“, sagt er –, wenn wichtige Mitarbeiter unerwartet das Unternehmen verlassen.
2. Investieren Sie in bereichsübergreifende Weiterbildung und Funktionsredundanz
Riboldi stimmt zu, dass Unternehmen sicherstellen müssen, dass die Mitglieder des Sicherheitsteams vielseitig geschult sind, um die Aufgaben der anderen übernehmen zu können. „Dies erhöht nicht nur die Flexibilität des Teams, sondern verringert auch Betriebsstörungen, wenn jemand das Unternehmen verlässt“, sagt er.
„“ Die Förderung des Verständnisses der Teammitglieder für die verschiedenen Rollen innerhalb des Sicherheitsbereichs gewährleistet die Betriebskontinuität.“Anthony Nyberg, Direktor des Center for Executive Succession an der Darla Moore School of Business der University of South Carolina
Die Redundanz von Rollen trägt zudem dazu bei, wichtige Kompetenzen auch bei plötzlichen Veränderungen zu erhalten.
„Indem man die Teammitglieder dazu ermutigt, verschiedene Rollen innerhalb des Sicherheitsbereichs zu verstehen, wird die Betriebskontinuität gewährleistet“, sagt Anthony Nyberg, Direktor des Center for Executive Succession an der Darla Moore School of Business der University of South Carolina.
3. Schaffen Sie klare Kommunikationskanäle
„Transparente Kommunikation schafft Vertrauen und sorgt für reibungslosere Übergänge“, fügt Nyberg hinzu.
„Wenn eine kontinuierliche Bewertung und Anpassung der Sicherheitspläne stattfindet, die von verschiedenen Akteuren sowohl auf Führungsebene als auch im Zuständigkeitsbereich des CISO verstanden wird, ist das Unternehmen insgesamt besser auf sich wandelnde Bedrohungen und personelle Veränderungen vorbereitet.“
Genauso wie CISOs ihre Anforderungen gegenüber den CEOs und dem Vorstand klar kommunizieren müssen, müssen sie auch ihren Mitarbeitern vermitteln, warum von ihnen bestimmte Maßnahmen erwartet werden und welche Ergebnisse damit angestrebt werden. Die Mitarbeiter müssen das Gefühl haben, dass sie einen sinnvollen Beitrag zur Stärkung der Sicherheit in ihren Organisationen leisten und dass sie Teil eines Teams sind. Mitarbeiter, die sich gegenseitig vertreten, erwerben letztendlich neue Kompetenzen, die ihnen sowohl bei der linearen als auch bei der nichtlinearen beruflichen Weiterentwicklung zugutekommen können.
Kommunikation bedeutet auch, zuzuhören. CISOs müssen sich mit ihren Mitarbeitern austauschen, um Feedback darüber zu erhalten, wie die Arbeitsabläufe verlaufen und wie die Verfahren verbessert werden können.
4. Führen Sie strenge Offboarding-Richtlinien ein
Unternehmen müssen umfassende Checklisten für das Offboarding erstellen, die die Wiederherstellung von Unternehmensdaten und -abläufen, die Sperrung von Zugangsdaten, die Überprüfung privilegierter Konten sowie die Durchsicht von Zugriffsprotokollen umfassen, so Riboldi. „Dies ist von entscheidender Bedeutung, um nach einem Ausscheiden Datenlecks oder unbefugten Zugriff zu verhindern.“
„Sicherheitsmitarbeiter verfügen oft über erweiterte Zugriffsrechte“, so Marquette. „Das Offboarding muss den Entzug der Zugangsdaten in allen Systemen umfassen.“
5. Externe Partnerschaften nutzen
Unternehmen können Outsourcing in Betracht ziehen, um ihre höherqualifizierten Aufgabenbereiche zu ergänzen und gleichzeitig Routineaufgaben an eine Organisation zu übertragen, die sich auf diese Art von Arbeit spezialisiert hat, so Doug Saylors, Leiter des Bereichs Cybersicherheit beim globalen Technologie-Forschungs- und Beratungsunternehmen ISG.
„Dienstleister sind gut darin, Fachkräfte zu rotieren, und stellen … bei Bedarf einen großen Pool an Ressourcen – und Ideen – zur Verfügung.“Doug Saylors, Leiter der Cybersicherheitspraxis, ISG
„Dienstleister sind gut darin, Fachkräfte zu rotieren, und bieten [einen] vertraglichen Mechanismus zur Sicherung der Dienstleistungsqualität“, sagt Saylors. „Dadurch kann sich Ihr internes Team auf die wertschöpfenderen Aufgaben konzentrieren und bei Bedarf auf einen großen Pool an Ressourcen – und Ideen – zurückgreifen.“
[Lesen Sie auch: Stellen Sie IT-Mitarbeiter im Homeoffice ein? Hüten Sie sich vor Deepfake-Betrug]
6. Den Zugriff der Führungsetage auf sensible Daten bewerten
Was geschieht, wenn der Vorstandsvorsitzende, der Finanzvorstand, der IT-Vorstand, der Marketingvorstand, der Personalvorstand oder ein anderes Mitglied der Geschäftsleitung das Unternehmen verlässt? Dies sind die Personen, die häufig erweiterten Zugriff auf die sensibelsten Daten des Unternehmens haben, einschließlich der Daten zur Cybersicherheit.
CISOs müssen sicherstellen, dass keine dieser Daten mit den betreffenden Führungskräften das Unternehmen verlassen, wenn diese das Unternehmen verlassen. Dies ist ein wesentlicher Bestandteil des Identitäts- und Zugriffsmanagements (IAM) von „ “ und dient dazu, sicherzustellen, dass die CISOs wissen, welche Führungskräfte über welche Zugriffsebenen verfügen und an welchen Projekten sie gearbeitet haben. Wenn dieses Wissen bereits während der Beschäftigungszeit der Führungskraft erworben wird, müssen die Sicherheitsverantwortlichen später, wenn diese Person das Unternehmen verlässt, keinen Rückstand aufholen.
Dies bedeutet eine zusätzliche Belastung für den CISO: Er muss dem Vorstandsvorsitzenden oder dem Vorstand deutlich machen, dass Sicherheitsverantwortliche über bevorstehende personelle Veränderungen in der Führungsetage informiert werden müssen, damit sie bei einem Ausscheiden besser vorbereitet sind und geeignete Maßnahmen ergreifen können, wie beispielsweise solide Offboarding-Prozesse.
