Fachkräftemangel
Fachkräftemangel in der Cybersecurity: Mit neuen Arbeitsmodellen gegen den Personalengpass
Wie flexible Arbeitsmodelle helfen können
Angriffe analysieren, Systeme absichern, Schwachstellen bewerten und gleichzeitig neue regulatorische Anforderungen im Blick behalten: Security-Teams müssen technische Risiken bewerten und regulatorische Anforderungen im Blick behalten. Fachkräfte mit den benötigten Kenntnissen zu finden, bleibt schwierig. Nach einer im September 2026 veröffentlichten Bitkom-Studie sind in Deutschland rund 79.000 IT-Stellen unbesetzt. Das sind deutlich weniger als in den Vorjahren. Dennoch berichten 78 Prozent der befragten Unternehmen von einem Mangel an IT-Fachkräften. Die Zahlen beziehen sich auf den gesamten IT-Arbeitsmarkt, nicht speziell auf die IT-Sicherheit.“.
Für Unternehmen stellt sich deshalb längst nicht mehr nur die Frage, wo zusätzliche Spezialisten gefunden werden können. Ebenso wichtig ist, unter welchen Bedingungen vorhandene und neue Fachkräfte arbeiten möchten. Flexible Arbeitszeiten, Teilzeit und hybride Modelle können dabei einen zusätzlichen Zugang zu einem knappen Arbeitsmarkt eröffnen.
Welche Fachkräfte und Kompetenzen fehlen in der IT-Sicherheit?
IT-Sicherheit benötigt Wissen, das sich laufend verändert. Cloud-Infrastrukturen, KI, Identity Management oder neue Angriffsmethoden verlangen andere Kenntnisse als noch vor wenigen Jahren. Gleichzeitig reicht es nicht immer aus, einfach mehr Personen einzustellen. Entscheidend ist, ob die benötigten Kenntnisse im Team vorhanden sind.
Zusätzliche Einstellungen sind nur ein Ansatz . Unternehmen müssen auch prüfen, welche Kompetenzen sie im bestehenden Team aufbauen und welche Aufgaben sich technisch entlasten lassen.
Die ISC2 Cybersecurity Workforce Study 2025 rückt fehlende Kompetenzen stärker in den Mittelpunkt als die reine Personalzahl. Besonders häufig nennen die Befragten einen Bedarf an Kenntnissen in KI und Cloud-Sicherheit. Die Studie zeigt außerdem: Befragte, deren tatsächliches Arbeitsmodell ihren persönlichen Wünschen entspricht, berichten häufiger von hoher Arbeitszufriedenheit.
Welche Arbeitsmodelle kommen für IT-Security infrage?
| Arbeitsmodell | Möglicher Einsatz in Security-Teams |
|---|---|
Hybrides Arbeiten | Wechsel zwischen Büro und geschütztem Remote-Arbeitsplatz |
Flexible Arbeitszeiten | Arbeitsbeginn und Arbeitsende innerhalb festgelegter Grenzen variieren |
Teilzeit | Reduzierte Wochenstunden bei klar abgegrenzten Zuständigkeiten |
Jobsharing | Zwei Fachkräfte teilen Aufgaben und Verantwortungsbereiche |
Vier-Tage-Modell | Arbeit an vier Tagen; je nach Vereinbarung mit unveränderter oder reduzierter Wochenarbeitszeit |
Nicht jede Variante passt zu jeder Funktion. Wer beispielsweise im Schichtbetrieb eines Security Operations Centers arbeitet, benötigt andere Regeln als ein Spezialist für Governance oder Awareness-Schulungen.
Gerade deshalb sollten Arbeitsmodelle nicht pauschal für die gesamte IT-Abteilung festgelegt werden.
Warum kann Teilzeit den Bewerberkreis erweitern?
In Stellenausschreibungen für Security-Positionen wird häufig noch von einer klassischen Vollzeitstelle ausgegangen. Damit können Unternehmen Fachkräfte übersehen, die ihre Arbeitszeit wegen Familie, Weiterbildung oder persönlicher Lebensplanung reduzieren möchten.
Auch erfahrene Spezialisten können sich für eine verkürzte Arbeitswoche interessieren, ohne ihre Tätigkeit in der IT-Sicherheit aufgeben zu wollen. Statt diese Expertise zu verlieren, lässt sich prüfen, ob Aufgaben anders verteilt werden können.
Wenn Beschäftigte ihre Wochenstunden reduzieren möchten, lässt sich mit einem Teilzeitrechner zunächst abschätzen, wie sich das auf ihr Brutto- und Nettogehalt auswirkt. Für die Personalplanung muss anschließend geklärt werden, wie die verbleibenden Aufgaben abgedeckt werden.
Teilzeit ist allerdings mehr als eine Gehaltsrechnung. Zuständigkeiten, Erreichbarkeit und Übergaben müssen ebenfalls zur reduzierten Arbeitszeit passen.
Was muss bei Teilzeit rechtlich berücksichtigt werden?
Teilzeitarbeit ist im Teilzeit- und Befristungsgesetz geregelt. Beschäftigte können nach § 8 TzBfG grundsätzlich eine unbefristete Verringerung ihrer Arbeitszeit verlangen, wenn ihr Arbeitsverhältnis länger als sechs Monate besteht und der Arbeitgeber in der Regel mehr als 15 Arbeitnehmer beschäftigt. Der Antrag muss spätestens drei Monate vor dem gewünschten Beginn in Textform gestellt werden. Betriebliche Gründe können einer Verringerung entgegenstehen.
Für die zeitlich begrenzte Brückenteilzeit nach § 9a TzBfG muss das Arbeitsverhältnis ebenfalls länger als sechs Monate bestehen. Der gesetzliche Anspruch setzt grundsätzlich mehr als 45 Arbeitnehmer voraus und umfasst einen Zeitraum von einem bis fünf Jahren. Bei Arbeitgebern mit bis zu 200 Arbeitnehmern gilt zusätzlich eine Zumutbarkeitsregelung. Personen in Berufsbildung werden bei diesen Beschäftigtenschwellen nicht mitgezählt.
Für Personalverantwortliche lohnt es sich daher, flexible Angebote und gesetzliche Ansprüche getrennt zu betrachten. Ein freiwillig entwickeltes Arbeitsmodell kann viel individueller gestaltet sein als die gesetzlichen Mindestvorgaben.
Wie bleibt IT-Sicherheit bei hybrider Arbeit gewährleistet?
Flexible Arbeit verändert auch die Sicherheitsarchitektur. Beschäftigte greifen von unterschiedlichen Orten auf Anwendungen, Daten und Unternehmenssysteme zu. Damit verändern sich Angriffsflächen und Anforderungen an Zugriffsrechte.
Die Cybersicherheit im Homeoffice hängt unter anderem von abgesicherten Endgeräten, geeigneter Authentifizierung, aktuellen Systemen und klaren Vorgaben für den Zugriff auf Unternehmensressourcen ab.
Für Security-Fachkräfte selbst gelten dieselben Grundsätze. Für remote arbeitende Security-Fachkräfte müssen Administrationszugänge und Endgeräte angemessen abgesichert sein. Bei Teilzeit ist zusätzlich zu klären, wie offene Aufgaben, Sicherheitsvorfälle und Zuständigkeiten übergeben werden.
Praxis-Tipp: Bei flexiblen Security-Teams sollten Übergaben genauso geplant werden wie technische Zugriffsrechte. Wer ist wann erreichbar? Welche offenen Incidents gibt es? Wer übernimmt bei einer Eskalation? Gerade bei reduzierten Arbeitszeiten hilft eine feste Übergaberoutine, Informationslücken zu vermeiden.
Wie lassen sich flexible Security-Teams organisieren?
Ein flexibles Modell funktioniert besser, wenn Aufgaben nicht ausschließlich an einzelne Personen gebunden sind. Dokumentation und Vertretungsregeln gewinnen damit an Gewicht.
Hilfreich können unter anderem sein:
- klar abgegrenzte Verantwortungsbereiche
- definierte Zeiten für Übergaben
- gemeinsame Incident-Dokumentation
- Vertretungen für kritische Systeme
- abgestimmte Bereitschafts- und Eskalationswege
- regelmäßige Weiterbildung innerhalb der vereinbarten Arbeitszeit
So wird klar, wie das Team auch bei unterschiedlichen Arbeitszeiten zusammenarbeitet.
Warum werden flexible Modelle für Arbeitgeber wichtiger?
Im Wettbewerb um Security-Fachkräfte entscheidet nicht allein das Gehalt. Arbeitszeit, Arbeitsort, Weiterbildung und die Vereinbarkeit mit dem Privatleben beeinflussen ebenfalls, ob eine Stelle attraktiv bleibt.
Das ist gerade bei hoch spezialisierten Beschäftigten relevant. Verlässt eine erfahrene Fachkraft das Unternehmen vollständig, geht oft Wissen über Systeme, Prozesse und frühere Sicherheitsvorfälle mit. Eine reduzierte Arbeitszeit kann in manchen Fällen die bessere Alternative sein.
Flexible Arbeitsmodelle ersetzen weder zusätzliches Personal noch Weiterbildung. Sie können aber dazu beitragen, Fachkräfte zu gewinnen oder im Unternehmen zu halten. Entscheidend ist, dass Aufgaben, Vertretung und Erreichbarkeit zum jeweiligen Modell passen.
