Weltweiter Fachkräftemangel gefährdet Cyber-Sicherheit

Neue Studie zeigt Lücke von 1,8 Millionen in fünf Jahren auf

[datensicherheit.de, 20.02.2017] Die bisher größte Befragung von über 19.000 Fachleuten auf dem Gebiet der Cyber-Sicherheit lässt ein großes Qualifikationsdefizit erkennen.

KMU besonders stark betroffen

70 Prozent der deutschen Unternehmen verfügten über zu wenig Fachkräfte für Cyber-Sicherheit; darunter sei nur ein Prozent in der „DACH“-Region (Deutschland, Österreich und Schweiz) unter 30 Jahren. Kleine und mittlere Unternehmen (KMU) seien dabei besonders stark betroffen, denn nur 25 Prozent der Experten in der „DACH“-Region arbeiteten für Unternehmen mit weniger als 500 Mitarbeitern.
Die bisher größte durchgeführte Befragung des Centers für Cyber Safety und EducationTM, gesponsert von der gemeinnützigen Fachorganisation (ISC)²®, von über 19.000 Cyber-Sicherheitsexperten weltweit zeige, dass in der Cyber-Sicherheitsbranche bis 2022 1,8 Millionen Mitarbeiter fehlen würden. Das bedeute einen Anstieg von 20 Prozent gegenüber der Fünf-Jahres-Prognose der letzten „Global Information Security Workforce“ -Studie von 2015.
Die Ergebnisse belegten auch, dass 70 Prozent der Unternehmen in der „DACH“-Region nicht über genügend IT-Sicherheitspersonal verfügten, um ihren Sicherheitsansprüchen gerecht zu werden. Dies wiederum beeinträchtige die wirtschaftliche Sicherheit.

Abbildung: (ISC)²®

Fachkräftemangel beeinträchtigt wirtschaftliche Sicherheit

Schwierigkeiten, qualifiziertes Personal zu finden

Die vom Center für Cyber Safety und Education durchgeführte „Global Information Security Workforce“-Studie befrage bereits seit 2004 Arbeitskräfte im Cyber-Sicherheitsbereich und liefere die umfassendste Branchenstudie der letzten zehn Jahre. Die ersten veröffentlichten Daten der diesjährigen Ausgabe enthielten Antworten von über 600 führenden Cyber-Sicherheitsprofis in Banken, Weltkonzernen und Regierungsstellen in der „DACH“-Region und machten deutlich, dass Organisationen Schwierigkeiten hätten, qualifiziertes Personal zu finden.
Die Ergebnisse deuten darauf hin, dass sich das Qualifikationsdefizit bereits auf „DACH“-Unternehmen auswirke, denn 45 Prozent der Unternehmen hätten angegeben, der Mangel an Cyber-Sicherheitspersonal habe erhebliche Konsequenzen für ihre Kunden.
Ein ähnlicher Prozentsatz warne davor, dass dies zu Cyber-Sicherheitsverstößen führen könnte. 37 Prozent der „DACH“-Unternehmen gingen in den nächsten zwölf Monaten von einer Erweiterung ihrer Belegschaft um mehr als 16 Prozent aus, sähen sich dabei allerdings durch den Fachkräftemangel behindert.

Große Herausforderung angesichts der DSGVO

Die Daten gäben auch Hinweise, dass der Qualifikationsmangel mit einer schlechten Vorbereitung vieler Unternehmen in der „DACH“-Region auf die EU-Datenschutzgrundverordnung (DSGVO) einhergehe, die ab Mai 2018 ein obligatorisches 48-Stunden-Fenster zur Veröffentlichung von Datenschutzverletzungen vorsehe.
24 Prozent der Befragten in DACH sagten derzeit voraus, ihre Unternehmen würden über acht Tage für die Behebung eines Schadens brauchen, sollten ihre Systeme oder Daten von Hackern kompromittiert werden – also bei weitem länger als das bald verlangte Zeitfenster zur Offenlegung von Datenschutzverletzungen.

„Millennials“: draußen vor der Tür*

„Millennials“ seien als die am schnellsten wachsende Zielgruppe für die Behebung der Beschäftigungslücke von entscheidender Bedeutung. In der „DACH“-Region allerdings versäumten es Unternehmen, diese jungen Menschen einzustellen, denn nur sechs Prozent der Befragten gäben an, Hochschulabsolventen zu rekrutieren. Die Daten zeigten auch, dass derzeit nur 15 Prozent der Mitarbeiter in der Cyber-Sicherheitsbranche unter 35 Jahre alt seien, was bedeute, dass die Pipeline an Talenten, die in jüngeren Jahren in die Branche eintreten könnten, gezwungenermaßen am Versiegen sei.
Den Daten zufolge schlügen Arbeitgeber einem Großteil der „Millennial“-Generation die Tür vor der Nase zu und weigerten sich, unerfahrene Anfänger anzustellen und weiterzubilden. Nur sieben Prozent der Befragten gäben an, der größte Bedarf an neuen Mitarbeitern bestünde auf dem Einstiegslevel – und 73 Prozent sagten, dass Vorerfahrung in Cyber-Sicherheit ein wichtiger Faktor bei ihren Einstellungsentscheidungen sei.

Abbildung: (ISC)²®

Cyber-Sicherheit: Weltweiter Fachkräftemangel erreicht in fünf Jahren 1,8 Millionen-Marke

Drohender Teufelskreis

Die mangelnde Diversifizierung könnte sich zu einem Teufelskreis entwickeln, denn sie schrecke jüngere Generationen davor ab, eine Karriere in der Cyber-Sicherheitsbranche anzustreben.
Dabei zeige die Studie, dass „Millennials“ weitaus facettenreicher seien als frühere Generationen und sich deutlich mehr von Arbeitsplätzen, welche die Zielgruppe repräsentieren, angezogen fühlten.
Die Ergebnisse belegten auch, dass KMU darunter litten, aus dem Talentmarkt der Cyber-Sicherheit gedrängt zu werden. Nur 25 Prozent aller Befragten, ob „Millenials“ oder erfahrene Spezialisten, arbeiteten für deutsche KMU, während erstaunliche 61 Prozent der Cyber-Sicherheitsfachkräfte in größeren Organisationen mit über 2.500 Mitarbeitern beschäftigt seien.
Den Daten zufolge verdienten mehr als drei Viertel der deutschen Sicherheitsprofis über 47.000 Euro pro Jahr, 55 Prozent forderten sogar Jahresgehälter von über 84.000 Euro. Das veranschauliche umso mehr, dass der Fachkräftemangel die Gehälter hochtreibe, wenn mehr Unternehmen um talentierten Nachwuchs konkurrierten.

Reaktionen aus der Branche

„Die anhaltende Weigerung der Branche, Mitarbeiter ohne Vorerfahrung einzustellen, sowie die Tatsache, dass keine Hochschulabsolventen rekrutiert werden, bedeutet, dass Großbritannien in Bezug auf die Qualifikationen im Sicherheitsbereich auf einen Abgrund zusteuert. Denn die ideale Gruppe der alternden Cyber-Belegschaft geht in den Ruhestand und Mitarbeiter der jüngeren Generation werden auf lange Sicht wohl nicht eingestellt werden. Unternehmen dürfen nicht den perfekten Mitarbeiter ,von der Stange‘ erwarten, sondern müssen der Rekrutierung von ,Millennials‘ und der unternehmensinternen Weiterbildung des Nachwuchses mehr Gewicht beimessen. Der Nachwuchs, den es in diesem Land bereits gibt, muss gefördert und aus dem Pool frischer Talente, die von den Universitäten kommen, rekrutiert werden“, kommentiert Dr. Adrian Davis, Geschäftsführer „EMEA“ bei (ISC)².

Matthias Gärtner, Pressesprecher des Bundesamtes für Sicherheit in der Informationstechnik (BSI), sieht das etwas differenzierter: „Aktuell ist die Nachfrage von Unternehmen und Behörden nach Absolventen der MINT-Fächer und IT-Nachwuchsfachkräften deutlich größer als das bestimmende Angebot. Das ist auch für das BSI eine Herausforderung, um unser aktuelles Wachstum von 180 neuen Stellen zu bewältigen. Als Behörde, die Cyber-Sicherheit in Deutschland, aber auch international mitgestaltet, bieten wir aufgrund des Megatrends der Digitalisierung gerade jungen Kolleginnen und Kollegen vielfältige spannende Aufgabenfelder. Industrie 4.0, ,Internet of Things‘, ,Smart Home‘, ,Automotive‘ und der Schutz Kritischer Infrastrukturen sind hier die wichtigsten Schlagworte. Mit zunehmender Bedeutung der Cyber-Sicherheit sind auch im BSI Aufstiegschancen mit fachlicher und personeller Verantwortung vorhanden. Deshalb können wir die These nicht bestätigen, dass junge Fachleute aus der Informationssicherheit nicht gehört werden. Bei uns gibt es viel Raum für Gestaltung und neue Ideen. Allerdings ist der Personalbedarf so gestiegen, dass dieser mit den nachkommenden Fachkräften derzeit schwer zu decken ist. Zwar gibt es mittlerweile eine Reihe von Hochschulen, die Studiengänge für IT-Sicherheit anbieten. Und diese Angebote werden auch nach unserer Einschätzung gut angenommen. Allerdings besteht immer noch eine Lücke zwischen dem Personalbedarf von Fachbehörden und der Wirtschaft auf der einen und der Anzahl der tatsächlich verfügbaren Fachkräfte auf der anderen Seite. Hier muss sich in den nächsten Jahren noch einiges bewegen, um den Bedarf an qualifiziertem Personal tatsächlich decken zu können.“

Dr. Matthias Rosche, „SVP Solution Sales & Consulting“ bei der Telekom Security, ergänzt: „Im Mittelstand und in kleineren Unternehmen sehen wir derzeit große Schwierigkeiten bei der Besetzung von Security-Stellen. Dienstleister und Großunternehmen zahlen Nachwuchskräften in der Informationssicherheit in der Regel bessere Gehälter und bieten die interessanteren Entwicklungsmöglichkeiten. Wie haben aber ein grundsätzliches Problem in unserer Branche. Bei vielen jungen Leuten, die sich in der Berufswahl befinden, ist immer noch nicht angekommen, welche Perspektiven und Gehälter in der Branche existieren. Das Erscheinungsbild des Security-Experten ist bei vielen Jugendlichen verzerrt oder sogar negativ mit einem Nerd-Image belegt. Durch den fehlenden Nachwuchs wird es immer schwieriger für Unternehmen, geeignete Fachleute zu finden und Security-Positionen zu besetzen. Das verschiebt die Marktanteile zunehmend in Richtung Dienstleister und Serviceanbieter. Grundsätzlich gilt bei uns: ‚We hire for attitudes and train for skills!‘. Deshalb sehen wir uns auch immer stärker nach Quereinsteigern und Nachwuchskräften um.“
„Auf unserer Plattform ,freelance.de‘ für Freiberufler aus der IT werden auch immer wieder Projekte aus der IT-Sicherheit ausgeschrieben, derzeit sind das rund vier Prozent. Gesucht werden hier vor allem Berater mit mehrjähriger Erfahrung. Die Chancen von ,Millennials‘, die eher wenig Berufserfahrung aufzuweisen haben, sind nicht so gut. Ein weiteres Kriterium, das in quasi allen Ausschreibungen gefragt ist, sind Zertifizierungen wie von Check Point, Cisco oder ISO 27001. ,Millennials‘ haben eher in Bereichen wie mobile Entwicklung oder ,Java‘-Entwicklung eine Chance. Diese Bereiche sind auch sehr gefragt und korrespondieren eher mit den Einschätzungen der ausschreibenden Unternehmen. In diesem Zusammenhang können wir aus unserer Sicht die Eingangsthese vom Mangel an Nachwuchskräften in der Informationssicherheit bestätigen“, sagt Andreas Krawczyk, COO bei Freelance.de.

Angela Messer, „Executive Vice President“ und „Cyber Innovation Business Leader & Cyber Talent Developement Champion“ bei Booz Allen, vertritt die Meinung: „,Millennials‘ werden und sind sogar schon in vielen Fällen ernstzunehmende Mitspieler, wenn es um den Erfolg der gesamten Cyber-Verteidigung geht. Um diese jungen Leute anzulocken, zu behalten und auszubilden, muss die Branche laut der ‚Global Information Security Workforce‘-Studie nicht nur innovativ bleiben, sondern auch die nachkommende Generation der Informationssicherheits-Experten unterstützen. Bei Booz Allen bieten wir durch traditionelle Trainings die Möglichkeit, die eigenen Fähigkeiten weiterzuentwickeln und übernehmen dabei die Kosten für Zertifizierungen und fortgeschrittene Abschlussprogramme. Doch auch nicht so traditionelle Trainingsarten wie unsere ‚Kaizen Capture-the-flag‘-Plattform und unsere ‚Hack Space Labs‘ stellen wir zur Verfügung.“

Weitere Informationen zum Thema:

datensicherheit.de, 24.10.2016
(ISC)² Certified Cyber Forensics Professional (CCFP) – Ein Erfahrungsbericht