Fachkräftemangel im Bereich Cyber Security steigt weiter

20.02.2017

Neue Studie zeigt: weltweiter Fachkräftemangel im Cybersicherheitsbereich soll in fünf Jahren 1,8 Millionen-Marke knacken

• Die bisher größte Befragung von über 19.000 Fachleuten aus der Cybersicherheit zeigt ein großes Qualifikationsdefizit in Deutschland aufgrund anhaltender Versäumnisse bei der Rekrutierung von Millennials
• Die „Global Information Security Workforce Study 2015“ prognostizierte ein Fehlen von 1,5 Millionen Cybersicherheitsmitarbeitern bis 2020
• Anstieg von 20 Prozent bei der vorhergesehenen Qualifikationslücke und Warnung vor drohendem „Qualifikationsabgrund“, da die ältere Generation in den Ruhestand geht
• 70 Prozent der deutschen Unternehmen verfügen über zu wenig Cybersicherheitsfachkräfte; dabei sind nur 1 Prozent der Cybersicherheitsfachkräfte in DACH unter 30 Jahren
• KMU sind besonders stark betroffen, denn nur 25 Prozent der Cyberprofis in DACH arbeiten für Unternehmen mit weniger als 500 Mitarbeitern

Die bisher größte durchgeführte Befragung des Centers für Cyber Safety und Education^TM, gesponsert von der gemeinnützigen Fachorganisation (ISC)²^®, von über 19.000 Cybersicherheitsexperten weltweit zeigt, dass in der Cybersicherheits-branche bis 2022 1,8 Millionen Mitarbeiter fehlen werden. Das bedeutet einen Anstieg von 20 Prozent gegenüber der Fünf-Jahres-Prognose der letzten „Global Information Security Workforce“ -Studie von 2015. Die Ergebnisse belegen auch, dass 70 Prozent der Unternehmen in der DACH (Deutschland, Österreich und Schweiz)-Region nicht über genügend IT-Sicherheitspersonal verfügen, um ihren Sicherheitsansprüchen gerecht zu werden. Dies wiederum beeinträchtigt die wirtschaftliche Sicherheit. Eine graphische Aufbereitung der wichtigsten Ergebnisse können Sie hier einsehen: https://iamcybersafe.org/research_millennials/

Die vom Center für Cyber Safety und Education durchgeführte „Global Information Security Workforce“-Studie befragt bereits seit 2004 Arbeitskräfte im Cybersicherheitsbereich und liefert die umfassendste Branchenstudie der letzten zehn Jahre. Die ersten veröffentlichten Daten der diesjährigen Ausgabe enthalten Antworten von über 600 führenden Cybersicherheitsprofis in Banken, Weltkonzernen und Regierungsstellen in DACH und machen deutlich, dass Organisationen Schwierigkeiten haben, qualifiziertes Personal zu finden.

Die Ergebnisse deuten darauf hin, dass sich das Qualifikationsdefizit bereits auf DACH-Unternehmen auswirke, denn 45 Prozent der Unternehmen gaben an, der Mangel an Cybersicherheitspersonal habe erhebliche Konsequenzen für ihre Kunden. Ein ähnlicher Prozentsatz warnt davor, dass dies zu Cybersicherheitsverstößen führen könne. 37 Prozent der DACH-Unternehmen gehen in den nächsten 12 Monaten von einer Erweiterung ihrer Belegschaft um mehr als 16 Prozent aus, sehen sich dabei allerdings durch den Fachkräftemangel behindert.

Die Daten geben auch Hinweise, dass der Qualifikationsmangel mit einer schlechten Vorbereitung vieler Unternehmen in DACH auf die EU-Datenschutzgrundverordnung (DSGVO) einhergeht, die ab Mai 2018 ein obligatorisches 48-Stunden-Fenster zur Veröffentlichung von Datenschutzverletzungen vorsieht.

24 Prozent der Befragten in DACH sagen derzeit voraus, ihre Unternehmen würden über acht Tage für die Behebung eines Schadens brauchen, sollten ihre Systeme oder Daten von Hackern kompromittiert werden – also bei weitem länger, als das verlangte Fenster zur Offenlegung von Datenschutzverletzungen vorsieht.

Millennials vor verschlossener Tür

Millennials sind als die am schnellsten wachsende Zielgruppe für die Behebung der Beschäftigungslücke von entscheidender Bedeutung.

In DACH allerdings versäumen es Unternehmen, Millennials einzustellen, denn nur 6 Prozent der Befragten geben an, Hochschulabsolventen zu rekrutieren. Die Daten zeigen auch, dass derzeit nur 15 Prozent der Mitarbeiter in der Cybersicherheitsbranche unter 35 Jahre alt sind, was bedeutet, dass die Pipeline an Talenten, die in jüngeren Jahren in die Branche eintreten, gezwungernermaßen am Versiegen ist.

Den Daten zufolge schlagen Arbeitgeber einem Großteil der Millennial -Generation die Tür vor der Nase zu und weigern sich, unerfahrene Anfänger anzustellen und weiterzubilden. Nur 7 Prozent der Befragten gaben an, der größte Bedarf an neuen Mitarbeitern bestünde auf dem Einstiegslevel. Und 73 Prozent sagen, dass Vorerfahrung in Cybersicherheit ein wichtiger Faktor bei ihren Einstellungsentscheidungen sei.

Die mangelnde Diversifizierung könnte sich zu einem Teufelskreis entwickeln, denn sie schreckt jüngere Generationen davor ab, eine Karriere in der Cybersicherheitsbranche anzustreben. Dabei zeigt die Studie, dass Millennials weitaus facettenreicher sind als frühere Generationen und sich deutlich mehr von Arbeitsplätzen angezogen fühlen, die die Zielgruppe repräsentieren.

Steigende Gehälter

Die Ergebnisse belegen, dass KMU darunter leiden, aus dem Talentmarkt der Cybersicherheit gedrängt zu werden. Nur 25 Prozent aller Befragten, ob Millenials oder erfahrene Spezialisten, arbeiten für deutsche KMU, während erstaunliche 61 Prozent der Cybersicherheitsfachkräfte in größeren Organisationen mit über 2.500 Mitarbeitern beschäftigt sind.

Den Daten zufolge verdienen mehr als Dreiviertel der deutschen Sicherheitsprofis über 47.000 Euro pro Jahr, 55 Prozent fordern sogar Jahresgehälter von über 84.000 Euro. Das veranschaulicht umso mehr, dass der Fachkräftemangel die Gehälter hochtreibt, wenn mehr Unternehmen um talentierten Nachwuchs konkurrieren.

Zusammenfassung der wichtigsten Erkenntnisse:

• Bis 2022 werden im Cybersicherheitsbereich weltweit 1,8 Millionen Arbeitskräfte fehlen; ein Anstieg von 20 Prozent seit dem GISWS-Report von 2015 (1,5 Millionen bis 2020)
• 55 Prozent der Befragten sagten, der Hauptgrund für den Fachkräftemangel sei die Schwierigkeit, das von ihnen benötigte qualifizierte Personal zu finden; Millenials fallen also bereits hier durch das erforderliche Raster
• Nur 1 Prozent der deutschen Fachkräfte in der Informationssicherheit ist unter 30 Jahre alt
• Nur 6 Prozent der Befragten sagten, ihre Organisation rekrutiere auch Hochschulabgänger
• 45 Prozent der Befragten gaben an, der Fachkräftemangel bei Sicherheitsmitarbeitern wirke sich auf ihre Kunden aus (Befragte, die auf einer Skala von 1-5 mit 4 und 5 antworteten)
• 53 Prozent der Befragten sagten, der Mangel an Sicherheitsmitarbeitern habe gravierende Auswirkungen auf Sicherheitsverstöße (Befragte, die auf einer Skala von 1-5 mit 4 und 5 antworteten)
• Fast ein Viertel der Befragten (24 %) gaben an, dass ihre Unternehmen mindestens acht Tage für die Behebung eines Schadens bräuchten, falls ihre Systeme oder Daten von Hackern kompromittiert würden.
• Mehr als Dreiviertel der Sicherheitsprofis verdienen über 47.000 Euro pro Jahr; die Forderung von 55 Prozent liege sogar bei 84.000 Euro.

Reaktionen aus der Branche:

Dr. Adrian Davis, Geschäftsführer EMEA bei (ISC)², sagt: „Die anhaltende Weigerung der Branche, Mitarbeiter ohne Vorerfahrung einzustellen, sowie die Tatsache, dass keine Hochschulabsolventen rekrutiert werden, bedeutet, dass Großbritannien in Bezug auf die Qualifikationen im Sicherheitsbereich auf einen Abgrund zusteuert. Denn die ideale Gruppe der alternden Cyber-Belegschaft geht in den Ruhestand und Mitarbeiter der jüngeren Generation werden auf lange Sicht wohl nicht eingestellt werden. Unternehmen dürfen nicht den perfekten Mitarbeiter „von der Stange“ erwarten, sondern müssen der Rekrutierung von Millennials und der unternehmensinternen Weiterbildung des Nachwuchses mehr Gewicht beimessen. Der Nachwuchs, den es in diesem Land bereits gibt, muss gefördert und aus dem Pool frischer Talente, die von den Universitäten kommen, rekrutiert werden.“

Matthias Gärtner, Pressesprecher des Bundesamtes für Sicherheit in der Informationstechnik (BSI), sieht das etwas differenzierter: „Aktuell ist die Nachfrage von Unternehmen und Behörden nach Absolventen der MINT-Fächer und IT-Nachwuchsfachkräften deutlich größer als das bestimmende Angebot. Das ist auch für das BSI eine Herausforderung, um unser aktuelles Wachstum von 180 neuen Stellen zu bewältigen. Als Behörde, die Cyber-Sicherheit in Deutschland, aber auch international mitgestaltet, bieten wir aufgrund des Megatrends der Digitalisierung gerade jungen Kolleginnen und Kollegen vielfältige spannende Aufgabenfelder. Industrie 4.0, Internet of Things, Smart Home, Automotive und der Schutz kritischer Infrastrukturen sind hier die wichtigsten Schlagworte. Mit zunehmender Bedeutung der Cyber-Sicherheit sind auch im BSI Aufstiegschancen mit fachlicher und personeller Verantwortung vorhanden. Deshalb können wir die These nicht bestätigen, dass junge Fachleute aus der Informationssicherheit nicht gehört werden. Bei uns gibt es viel Raum für Gestaltung und neue Ideen. Allerdings ist der Personalbedarf so gestiegen, dass dieser mit den nachkommenden Fachkräften derzeit schwer zu decken ist. Zwar gibt es mittlerweile eine Reihe von Hochschulen, die Studiengänge für IT-Sicherheit anbieten. Und diese Angebote werden auch nach unserer Einschätzung gut angenommen. Allerdings besteht immer noch eine Lücke zwischen dem Personalbedarf von Fachbehörden und der Wirtschaft auf der einen und der Anzahl der tatsächlich verfügbaren Fachkräfte auf der anderen Seite. Hier muss sich in den nächsten Jahren noch einiges bewegen, um den Bedarf an qualifiziertem Personal tatsächlich decken zu können.“

Dr. Matthias Rosche, SVP Solution Sales & Consulting bei der Telekom Security, ergänzt: „Im Mittelstand und in kleineren Unternehmen sehen wir derzeit große Schwierigkeiten bei der Besetzung von Security-Stellen. Dienstleister und Großunternehmen zahlen Nachwuchskräften in der Informationssicherheit in der Regel bessere Gehälter und bieten die interessanteren Entwicklungsmöglichkeiten. Wie haben aber ein grundsätzliches Problem in unserer Branche. Bei vielen jungen Leuten, die sich in der Berufswahl befinden, ist immer noch nicht angekommen, welche Perspektiven und Gehälter in der Branche existieren. Das Erscheinungsbild des Security-Experten ist bei vielen Jugendlichen verzerrt oder sogar negativ mit einem Nerd-Image belegt. Durch den fehlenden Nachwuchs wird es immer schwieriger für Unternehmen, geeignete Fachleute zu finden und Security-Positionen zu besetzen. Das verschiebt die Marktanteile zunehmend in Richtung Dienstleister und Serviceanbieter. Grundsätzlich gilt bei uns: “We hire for attitudes and train for skills!”. Deshalb sehen wir uns auch immer stärker nach Quereinsteigern und Nachwuchskräften um.“

Andreas Krawczyk, COO bei Freelance.de, fügt hinzu: „Auf unserer Plattform freelance.de für Freiberufler aus der IT werden auch immer wieder Projekte aus der IT-Sicherheit ausgeschrieben, derzeit sind das rund 4 Prozent. Gesucht werden hier vor allem Berater mit mehrjähriger Erfahrung. Die Chancen von Millennials, die eher wenig Berufserfahrung aufzuweisen haben, sind nicht so gut. Ein weiteres Kriterium, das in quasi allen Ausschreibungen gefragt ist, sind Zertifizierungen wie von Check Point, Cisco oder ISO 27001. Millennials haben eher in Bereichen wie mobile Entwicklung oder Java-Entwicklung eine Chance. Diese Bereiche sind auch sehr gefragt und korrespondieren eher mit den Einschätzungen der ausschreibenden Unternehmen. In diesem Zusammenhang können wir aus unserer Sicht die Eingangsthese vom Mangel an Nachwuchskräften in der Informationssicherheit bestätigen.“

Angela Messer, Executive Vice President und Cyber Innovation Business Leader & Cyber Talent Developement Champion bei Booz Allen, vertritt die Meinung: „Millennials werden und sind sogar schon in vielen Fällen ernstzunehmende Mitspieler, wenn es um den Erfolg der gesamten Cyberverteidigung geht. Um diese jungen Leute anzulocken, zu behalten und auszubilden, muss die Branche laut der „Global Information Security Workforce“-Studie nicht nur innovativ bleiben, sondern auch die nachkommende Generation der Informationssicherheits-Experten unterstützen. Bei Booz Allen bieten wir durch traditionelle Trainings die Möglichkeit, die eigenen Fähigkeiten weiterzuentwickeln und übernehmen dabei die Kosten für Zertifizierungen und fortgeschrittene Abschlussprogramme. Doch auch nicht so traditionelle Trainingsarten wie unsere Kaizen Capture-the-flag-Plattform und unserer Hack Space Labs stellen wir zur Verfügung.“

Über die Global Information Workforce-Studie vom Center für Cyber Safety und Education

“The Millennials – the Next Generation of Information Security Workers” ist die erste Veröffentlichung von Daten aus einer Reihe, die (ISC)² 2017 im Rahmen des neuen Formats der halbjährlichen „Global Information Security Workforce“-Studie, die von Booz Allen Hamilton gesponsert werden. Im Laufe des Jahres werden mehrere Berichte mit neuen, bisher unveröffentlichten Informationen und Erkenntnissen über das globale Informationssicherheitspersonal publiziert werden. Der nächste Bericht, der Anfang März veröffentlich wird, beschäftigt sich mit Frauen in der Cybersicherheit.

Über (ISC)²®

(ISC)² ist eine internationale, gemeinnützige Fachorganisation, deren Ziel es ist, die Cyberwelt für alle sicherer zu machen. Bekannt durch den renommierten Certified Information Systems Security Professional (CISSP®), bietet (ISC)² ein Portfolio von Zertifizierungen an, die Teil eines holistischen, programmatischen Sicherheitsansatzes sind. Unsere über 115.000 zertifizierten Mitglieder aus den Bereichen Cyber-Sicherheit, Informationssicherheit, Softwaresicherheit und Infrastruktursicherheit helfen dabei, die Sicherheitswirtschaft voranzubringen. Unterstützt wird unsere Vision durch unser Commitment für Aus- und Weiterbildung und die Einbindung der Gesellschaft in unsere karitative Stiftung