Petra Vukmirovic repariert gerne Dinge. Aus diesem Grund hat sie ursprünglich als Notärztin angefangen. Doch sie sehnte sich nach mehr Kreativität im Beruf – gerade in einer Zeit während der Pandemie, in der viele Menschen ihre Lebensentscheidungen neu überdachten.
„Ich habe versucht herauszufinden, in welchem Bereich sich meine medizinischen Kenntnisse am besten übertragen lassen, und bin schließlich bei der Cybersicherheit gelandet“, sagt Vukmirovic. Derzeit ist sie als leitende Cybersicherheitsingenieurin bei Zava tätig, einem Unternehmen für digitale Gesundheitslösungen mit Sitz in London.
„In beiden Berufsfeldern geht es viel um Fehlerbehebung und um die Ermittlungsarbeit bei der „ ““, sagte sie in einem Interview mit Endpoint. „Ich repariere gerne Dinge, und ich habe festgestellt, dass die Technik dafür der ideale Bereich ist.“
Ein sich verschärfender Fachkräftemangel im Bereich Cybersicherheit zwingt die Branche dazu, verstärkt Quereinsteiger wie Vukmirovic zu rekrutieren, um dem starken Anstieg von Ransomware und anderen Cyberangriffen entgegenzuwirken. Der Fachkräftemangel in der Cybersicherheitsbranche, der seit langem ein drängendes und besorgniserregendes Problem darstellt, hat Führungskräfte aus den Bereichen Sicherheit und Technologie dazu veranlasst, sich nicht-traditionellen Talentpools und Strategien zuzuwenden, um den Mangel an Arbeitskräften zu überwinden. Zudem heben sie die Anforderungen an den Hochschulabschluss auf und passen die traditionellen Einstellungsprofile an, um den Nachwuchs zu sichern.
„Um den Fachkräftemangel im Bereich Cybersicherheit zu verringern, müssen wir den Talentpool erweitern und Zugangsbarrieren abbauen, indem wir uns von einer ‚Technologie-zuerst‘-Denkweise lösen und stattdessen nach ausgeprägten nichttechnischen Kompetenzen suchen, die für den Erfolg in der Cybersicherheit erforderlich sind“, sagt Clar Rosso, CEO der Ausbildungsorganisation International Information System Security Certification Consortium (ISC)². „Experten für Cybersicherheit sind der Ansicht, dass ausgeprägte Fähigkeiten zur Problemlösung, Neugier und Lernbereitschaft, ausgeprägte Kommunikationsfähigkeiten sowie strategisches Denken ebenso wichtig oder [sogar] wichtiger sind als Zertifizierungen und einschlägige Erfahrung im Bereich Cybersicherheit.“
Ausbau des Personalpools im Bereich Cybersicherheit
(ISC)² schätzt in seiner jüngsten jährlichen Studie „ “ , dass weltweit etwa 2,7 Millionen zusätzliche Fachkräfte im Bereich Cybersicherheit benötigt werden. Nach Schätzungen der Organisation muss die Zahl der Fachkräfte im Bereich Cybersicherheit weltweit um 65 % steigen, um kritische Ressourcen wirksam zu schützen.
“„Wir müssen den Talentpool erweitern, indem wir nach ausgeprägten nichttechnischen Fähigkeiten Ausschau halten, die für den Erfolg im Bereich der Cybersicherheit unerlässlich sind.“Clar Rosso, Vorstandsvorsitzender, (ISC)²
Eine aktuelle Umfrage von Deloitte mit dem Titel „ “ ( ) liefert weitere Belege dafür, dass der Wettbewerb um Fachkräfte im Bereich Cybersicherheit nach wie vor hart ist, insbesondere in den USA, wo 31 % der befragten Führungskräfte angeben, dass ihre Unternehmen häufig nicht in der Lage sind, Fachkräfte im Bereich Cybersicherheit zu gewinnen und zu halten. Nur etwa halb so viele (16 %) Führungskräfte außerhalb der USA geben an, mit denselben Herausforderungen bei der Personalgewinnung und -bindung konfrontiert zu sein.
Ebenso gab ein Drittel der Teilnehmer einer Tanium-Umfrage an, dass der Mangel an internen Fachkräften im Bereich Cybersicherheit eine der größten Herausforderungen für den Sicherheitsbetrieb darstelle. Das Problem ist in der Regierung besonders akut. Selbst „ “-CISOs sind rar. CyberSeek hat eine interaktive Karte der USA unter mit dem Titel „“ erstellt, um die Lücken zu veranschaulichen.
Neurodiversität am Arbeitsplatz
Um neue, vielversprechende Talentquellen zu erschließen, konzentrieren sich Unternehmen darauf, verstärkt nicht-traditionelle Arbeitskräfte für den Bereich der Cybersicherheit zu gewinnen, darunter auch Menschen mit „neurodiversen“ Merkmalen wie Autismus, Aufmerksamkeitsdefizit-Hyperaktivitätsstörung (ADHS) und Legasthenie. Mitarbeiter mit Neurodiversität zeichnen sich laut Forschern häufig durch besondere Fähigkeiten bei der Einschätzung von Cyberrisiken und der Analyse verdächtiger Online-Aktivitäten aus, was auf Eigenschaften wie Hyperfokus, Präzision, Ausdauer und die Fähigkeit zur Mustererkennung zurückzuführen ist.
Das Beratungsunternehmen Ernst & Young hat während der Pandemie die Zahl seiner Mitarbeiter mit neurologischen Besonderheiten weltweit mehr als verdreifacht. Im Jahr 2021 bildete EY in Boston ein neurodiverses Team mit 10 Mitarbeitern, das sich im Rahmen seiner „Neuro-Diverse Centers of Excellence“ auf Cybersicherheit und andere Bereiche konzentrierte. Das Unternehmen beschäftigte weltweit Anfang 2022 mehr als 300 Mitarbeiter mit neurologischer Diversität.
[Lesen Sie auch: Die nächste Generation der Cybersicherheit]
Ein weiterer reichhaltiger Talentpool sind ehemalige Angehörige des Militärs, die häufig über fundierte Kenntnisse in den Bereichen Technik, Einsatzwesen und Sicherheit verfügen. CISOs bilden zudem bestehende Sicherheitsmitarbeiter weiter und stellen IT-Fachkräfte ein, um diese im Bereich Cybersicherheit zu schulen. Sie haben auf so unterschiedliche Fachgebiete wie Rechnungswesen, Wirtschaftsprüfung und Qualitätssicherungsmanagement zurückgegriffen und sich an unterrepräsentierte Gruppen wie Frauen sowie Menschen mit Migrationshintergrund gewandt. Manchmal suchen sie Menschen wie Vukmirovic auf, die aus Fachgebieten kommen, die auf den ersten Blick nichts damit zu tun zu haben scheinen.
Schaffung eines breiteren Rahmens für Fachkräfte im Bereich Cybersicherheit
Die Cybersicherheitsbranche wurde kritisiert wegen unrealistischer Anforderungen für Einstiegspositionen. Einige Arbeitgeber bestehen nach wie vor auf beruflichen Zertifizierungen und höheren Abschlüssen, deren Erwerb Jahre in Anspruch nimmt. So wurden beispielsweise in einer Stellenausschreibung für einen eher unerfahrenen Analysten im Security Operations Center einer großen Bank ein Bachelor-Abschluss, mindestens vier Jahre Berufserfahrung im Umgang mit anspruchsvollen Techniken sowie berufliche Zertifikate verlangt.
(ISC)² teilte „ “ mit, dass das Unternehmen im Bereich Endpoint- eine Pilotphase für eine Einstiegszertifizierung im Bereich Cybersicherheit durchführt. Diese soll Quereinsteigern und jungen Fachkräften im Bereich Cybersicherheit dabei helfen, Arbeitgebern zu zeigen, dass sie über die grundlegenden Fähigkeiten und persönlichen Eigenschaften verfügen, die für eine Karriere in der Cybersicherheit erforderlich sind. Die Zertifizierung kann auch von Fachkräften genutzt werden, die nachweisen müssen, dass sie über Kenntnisse der bewährten Verfahren im Bereich Cybersicherheit verfügen. Sollte die SEC beispielsweise die von der „ “ vorgeschlagenen Vorschriften verabschieden, wonach börsennotierte Unternehmen über Cyber-Fachwissen in ihrem Vorstand verfügen müssen, könnte die Zertifizierung die Kenntnisse der Vorstandsmitglieder bestätigen.
Eine weitere Möglichkeit, wie Arbeitgeber ihre Einstellungskriterien erweitern, besteht darin, nicht mehr darauf zu bestehen, dass die Mitarbeiter vor Ort arbeiten. Dies war in der Ära der hybriden Arbeitsweise ein zentrales Problem bei der Personalgewinnung und -bindung.
Cybersicherheit als Beruf im Dienste der Gemeinschaft
Ann Cleaveland, Geschäftsführerin des „ “ Center for Long-Term Cybersecurity an der UC Berkeley, erklärt, dass Berufe im Bereich Cybersicherheit bei jungen Arbeitssuchenden beworben werden können, die nach einer Möglichkeit suchen, etwas in der Welt zu bewirken. „Cybersicherheit hat mit öffentlichem Dienst und dem Engagement für die Gemeinschaft zu tun“, sagt sie. „Es wäre hilfreich, wenn die Öffentlichkeit diesen Beruf eher als eine Tätigkeit betrachten würde, die in mancher Hinsicht der eines Mitarbeiters im Gesundheitswesen ähnelt, anstatt dem Klischee eines Hackers in einem Kapuzenpulli, der irgendwo in einer Ecke sitzt.“ „Dadurch findet die Mission bei vielen unterschiedlichen Menschen so viel mehr Anklang.“
“[Stellen Sie sich das] eher wie einen Mitarbeiter im Gesundheitswesen vor und nicht wie das Klischee eines Hackers im Kapuzenpulli.“Ann Cleaveland, Geschäftsführerin des Center for Long-Term Cybersecurity an der UC Berkeley
Das CTLC arbeitet daran, ein internationales Netzwerk von Kliniken an Universitäten aufzubauen, das sowohl auf Informatikfakultäten als auch auf nichttechnische Studiengänge zurückgreift, um den Studierenden ein Gefühl für ihre Mission zu vermitteln und sie dabei zu unterstützen, Stellen im Bereich Cybersicherheit bei gemeinnützigen Organisationen und anderen Organisationen zu finden, die sich für das Gemeinwohl einsetzen. „Das Thema Cybersicherheit muss für mehr verschiedene Arten von Studierenden aus mehr verschiedenen Fachrichtungen attraktiver gestaltet werden“, sagt Cleaveland.
Die Ausweitung des Wirkungsbereichs dieses Fachgebiets auf weitere akademische Disziplinen „bedeutet, dass Kunden von einer besseren Cybersicherheit und sogar von technischer Unterstützung profitieren“, fügt Cleaveland hinzu. „Letztendlich haben wir Studierende aus den Bereichen Rechtswissenschaften, Politikwissenschaften und öffentliche Gesundheit gewonnen – Menschen, die Cybersicherheit vielleicht nie als einen für sie interessanten Karriereweg in Betracht gezogen hätten.“
Rachael Cornejo absolvierte ihre Schulung im Bereich Cybersicherheit im Rahmen der „Citizen Clinic“ des CTLC, die sich als gemeinnütziges Projekt für digitale Sicherheit versteht. An der UC Berkeley glaubte Cornejo zunächst, eine Karriere im Journalismus anstreben zu wollen, stellte jedoch bald fest, dass ihr das Engagement für bestimmte Anliegen und die Herbeiführung von Veränderungen mehr am Herzen lagen. Aufgrund ihrer Ausbildung konnte sie nach ihrem Abschluss eine Stelle als Beraterin für Cybersicherheit bei Deloitte antreten.
Als Studentin der Geistes- und Sozialwissenschaften erklärte Cornejo, ihre größte Überraschung sei gewesen, dass ihre berufliche Laufbahn im Bereich Cybersicherheit weniger technisches Fachwissen erforderte, als sie erwartet hatte. „Hinter dem Hacking steckt zwar die reine Wissenschaft, doch das ist nur ein kleiner Teil der Cybersicherheit“, sagt sie. „Es handelt sich tatsächlich um eine weitaus qualitativere Disziplin.“
Cornejo nutzt ihre Soft Skills, um Personen zu Risiken zu befragen, um diese zu priorisieren und eine Risikobewertung für „ “ zu erstellen:. „Im Grunde geht es darum, sich in die Denkweise von Hackern hineinzuversetzen“, sagt sie. „Das kann Spaß machen und befriedigend sein.“
