Ihr Unternehmen hat einen Ransomware-Angriff überstanden. Kundendaten sind verschlüsselt, Ihr Ruf steht unter Beschuss und der Ausfall kostet Geld. Sie rufen einen Sicherheitskontakt an, den Sie kennen, und hören: „Leute, ich bin die nächsten drei Monate ausgebucht."

Mehr dazu: Duda Development Services.

Die Nachfrage nach Cybersicherheitsfachkräften übersteigt das Angebot bei Weitem. Laut der ISC2-Studie 2024 erreichte die globale Lücke zwischen Personalbedarf und tatsächlicher Besetzung 4,8 Millionen Stellen, 19% mehr als im Vorjahr. Dies ist eine strukturelle Verschiebung am Arbeitsmarkt, kein vorübergehender Engpass.

Wir haben die aktuellen Zahlen, die wahren Gründe für den Fachkräftemangel und Strategien zusammengetragen, die Unternehmen helfen, auch bei hartem Wettbewerb um Talente starke Sicherheitsexperten zu gewinnen.

💡 Kurzüberblick:

• Globale Cybersicherheits-Fachkräftelücke: 4,8 Millionen Experten, und die Lücke wächst weiter.
• Zentrale Einstellungshürden: fehlendes Budget, lange Besetzungszeiten und harter Wettbewerb mit Technologieunternehmen.
• Was funktioniert: hybrides Arbeitsmodell, interne Weiterbildung, Überdenken der Kandidatenanforderungen und Einbettung von Sicherheit in angrenzende IT-Rollen.
• Ausblick: KI übernimmt Tier-1-Aufgaben, aber die Nachfrage nach Architekten, Cloud-Sicherheitsexperten und KI-Sicherheitsingenieuren wächst weiter.

Warum Cybersicherheit zu einem kritischen Unternehmenswert wurde

Die Digitalisierung erfasst eine Branche nach der anderen. Finanzen, Einzelhandel, Gesundheitswesen, Logistik laufen auf Software, Clouds und APIs. Jeder neue digitale Zugangspunkt ist ein potenzieller Angriffsvektor. Phishing, Ransomware, Supply-Chain-Angriffe: Bedrohungsakteure arbeiten schneller und kreativer als noch vor fünf Jahren.

Gleichzeitig zieht sich die regulatorische Schraube an. Die DSGVO in Europa, ähnliche Gesetze in Dutzenden von Rechtsordnungen, Branchenstandards wie PCI DSS verlangen von Unternehmen nicht, „einen Virenschutz zu installieren", sondern ein vollwertiges Verteidigungssystem aufzubauen. Ein Bußgeld für eine Datenschutzverletzung ist mit dem Jahresumsatz einer Geschäftseinheit vergleichbar.

Das Fazit: Cybersicherheit ist nicht länger die Domäne eines Systemadministrators im Serverraum. Sie ist eine Funktion auf Vorstandsebene, die das Überleben eines Unternehmens direkt beeinflusst.

Das Ausmaß des Mangels: Zahlen und reale Risiken

Laut der ISC2 Cybersecurity Workforce Study 2024 umfasst die aktive globale Cybersicherheitsbelegschaft 5,5 Millionen Menschen, während der Bedarf 10 Millionen übersteigt. Die Lücke von 4,8 Millionen ist keine Abstraktion: Jede unbesetzte Stelle bedeutet ungeprüfte Logs, verpasste Warnmeldungen und verzögerte Incident Response.

Die ISACA-Studie 2025, die fast 4.000 Fachkräfte befragte, zeigte: 55% der Teams sind unterbesetzt und 65% der Organisationen haben unbesetzte Stellen. Gleichzeitig berichteten 38% der Befragten, dass die Einstellung selbst für Einstiegspositionen drei bis sechs Monate dauert.

Das Weltwirtschaftsforum hielt im Global Cybersecurity Outlook 2025 fest: Nur 14% der Organisationen verfügen über die erforderliche Anzahl qualifizierter Fachkräfte. Die übrigen 86% arbeiten mit dem, was sie haben, unter Bedingungen, bei denen jedes zweite Unternehmen einen Vorfall aufgrund mangelnder Kompetenzen im Sicherheitsteam erlebte.

Warum Unternehmen den Kampf um Talente verlieren

Es gibt mehrere Gründe, und das Budget ist nur einer davon. Laut ISC2 hat „fehlendes Budget" erstmals „Mangel an qualifizierten Kandidaten" als Hauptursache für den Fachkräftemangel überholt. 33% der Organisationen können sich marktübliche Gehälter für Sicherheitsexperten nicht leisten, und 29% können die erforderliche Anzahl an Stellen nicht finanzieren.

Ein weiteres Problem ist der Wettbewerb um Talente. Spezialisierte Technologieunternehmen und internationale Konzerne bieten Gehälter und Konditionen, mit denen mittelständische Unternehmen nicht mithalten können. Das mediane Jahresgehalt für einen Informationssicherheitsanalysten in den USA beträgt laut Bureau of Labor Statistics für Mai 2024 124.910 US-Dollar, fast das Dreifache des Medians aller Berufe. Das 90. Perzentil übersteigt 186.000 US-Dollar.

Der dritte Faktor sind überhöhte Einstellungsanforderungen. Unternehmen suchen ein „Einhorn": jemanden, der Pentests durchführen kann, Cloud-Architektur beherrscht und ein Team von fünf Personen leitet. Es gibt nur eine Handvoll solcher Leute auf dem Markt. Ein pragmatischerer Ansatz, die Einstellung für spezifische Domänen und der interne Kompetenzaufbau, wird noch von wenigen genutzt.

Wie Cybersicherheit in angrenzende IT-Rollen einsickert

Ein Trend der letzten zwei Jahre: Sicherheitsanforderungen in Stellenausschreibungen, die zuvor keine Überschneidung damit hatten. Ein SharePoint-Entwickler, ein Integrationsingenieur, ein DevOps-Spezialist, jeder benötigt heute ein grundlegendes Maß an Sicherheitsbewusstsein.

Nehmen Sie die Rolle der SharePoint Developer Job Description: Eine moderne Vorlage für diese Position umfasst Kenntnisse über Datenschutzprinzipien und Zugriffsmanagement. Die SharePoint-Plattform wird häufig zur Speicherung sensibler Unternehmensinformationen genutzt, von Finanzberichten bis zu Personalunterlagen. Unternehmen wollen sicher sein, dass der Entwickler, der diese Systeme konfiguriert, versteht, wie Berechtigungen, Verschlüsselung und Zugriffsprüfung funktionieren.

Eine ähnliche Entwicklung gilt für die Webentwicklung. Digitale Plattformen stehen unter ständigem Angriffsdruck, von DDoS bis zur Ausnutzung von Plugin-Schwachstellen. Der Einbau von Schutzmaßnahmen bereits in der Entwicklungsphase, nicht erst im Nachhinein, ist zum Standard für Anbieter und Agenturen geworden.

Mehr zur „SharePoint Developer Job Description" finden Sie unter dem Link.

Der Punkt ist, dass die Nachfrage nach Sicherheitskompetenzen nicht nur über dedizierte Stellen wächst. Sie breitet sich über die gesamte IT-Organisation aus und verschärft den allgemeinen Mangel.

Strategien: Wie Sie jetzt Sicherheitsexperten finden und binden

Die gute Nachricht: Selbst bei dem aktuellen Ungleichgewicht können Unternehmen den Kampf um Talente gewinnen. Hier ist, was funktioniert.

Investieren Sie in Weiterbildung, nicht nur in Einstellung. Partnerschaften mit Universitäten, die Förderung von Zertifizierungen (CISSP, CEH, CompTIA Security+) und Praktikumsprogramme schaffen eine Pipeline von Kandidaten, die speziell Ihrem Unternehmen gegenüber loyal sind. Laut ISC2 stellen 95% der Organisationen einen Mangel an mindestens einer Fähigkeit in ihrem Team fest, und 59% berichten von kritischen oder erheblichen Lücken. Interne Weiterbildung schließt diese Lücken schneller als die Suche nach einem fertigen Spezialisten.

Bieten Sie ein flexibles Arbeitsmodell an. Remote und hybrid sind für IT-Fachkräfte zum Muss geworden. Unternehmen, die auf fünf Tagen im Büro bestehen, schneiden einen erheblichen Teil potenzieller Kandidaten bereits bei der Lebenslauf-Sichtung ab. Für einen Sicherheitsexperten, der Logs von überall auf der Welt überwacht, ist physische Anwesenheit selten eine operative Notwendigkeit.

Entwickeln Sie Sicherheitsexperten intern. Ein DevOps-Ingenieur, der tiefer in die Cloud-Sicherheit einsteigen möchte, oder ein Systemadministrator mit Interesse an Incident Response sind bereite Kandidaten für eine Umschulung. Sie kennen Ihre Infrastruktur bereits. Es bleibt nur, ihnen Zeit für Schulungen, ein Budget für Zertifizierungen und einen Mentor aus dem aktuellen Sicherheitspersonal zu geben.

Wohin sich der Markt entwickelt: KI, Automatisierung und neue Rollen

Die Zukunft des Arbeitsmarktes für Cybersicherheit wird von drei Kräften geprägt.

Erstens, künstliche Intelligenz. Gartner prognostiziert, dass bis 2028 mehr als 50% der Aufgaben von Tier-1-SOC-Analysten von KI ausgeführt werden. Laut Splunk State of Security 2025 planen 33% der Teams, Personallücken mit KI und Automatisierung zu schließen. Die Nachfrage verschiebt sich von Alert-Operatoren hin zu KI-Sicherheitsingenieuren, die diese Systeme entwerfen und überwachen.

Zweitens, Burnout als operationelles Risiko. Sophos für 2025 verzeichnete einen Verlust von 4,8 Arbeitsstunden pro Woche und Spezialist aufgrund von Burnout (ein Anstieg von über 25% im Jahresvergleich). 63% der CISOs haben laut Proofpoint persönlich Burnout erlebt oder in ihrem Team beobachtet. Unternehmen, die dieses Problem ignorieren, verlieren Mitarbeiter schneller, als sie neue einstellen.

Drittens, Nachfragewachstum im nächsten Jahrzehnt. Das US Bureau of Labor Statistics prognostiziert einen Anstieg der Stellen für Informationssicherheitsanalysten um 29 Prozent von 2024 bis 2034, deutlich schneller als der Durchschnitt aller Berufe. Etwa 16.000 offene Stellen jährlich allein in den USA.

⁉️🤔 Häufige Fragen

Warum gibt es so wenige Cybersicherheitsfachkräfte?

Der Hauptgrund ist die Geschwindigkeit des Nachfragewachstums. Bedrohungen vermehren sich schneller, als Universitäten ausgebildete Spezialisten hervorbringen. Eine hohe Einstiegshürde: Von einem Neuling wird erwartet, dass er Netzwerke, Betriebssysteme, Clouds und regulatorische Anforderungen versteht, ein Set, das jahrelange Praxis erfordert.

Der Mangel wird dadurch verschärft, dass 33% der Organisationen laut Daten des ISC2 von 2024 das Budget für marktübliche Sicherheitsgehälter fehlt. Gleichzeitig halten 65% der Unternehmen Stellen monatelang unbesetzt. Der Markt ist auf beiden Seiten überhitzt: Arbeitgeber finden keine Leute, Kandidaten sehen keine angemessenen Angebote von Nicht-Monopolisten.

Welche Zertifizierungen helfen tatsächlich bei der Einstellung?

Arbeitgeber schätzen praxisorientierte Zertifizierungen: CISSP für Architekten und Manager, CEH und OSCP für Pentester, CompTIA Security+ für Einsteiger. Laut dem Fortinet Skills Gap Report 2025 bevorzugen 89% der Personalverantwortlichen zertifizierte Kandidaten. Aber ein Zertifikat ohne echte Erfahrung ist nur eine Zeile im Lebenslauf.

Zertifizierungen wirken als Filter in der Vorauswahlphase, nicht als Ersatz für Praxis. Die beste Strategie ist die Kombination: ein oder zwei anerkannte Zertifizierungen plus Laborarbeit, CTF-Wettbewerbe oder Open-Source-Beiträge, die Sie im Vorstellungsgespräch zeigen können.

Kann man einen Sicherheitsexperten im Unternehmen aufbauen?

Ja, und das ist angesichts des aktuellen Mangels einer der effektivsten Ansätze. Ein Systemadministrator, Netzwerkingenieur oder DevOps-Spezialist mit Interesse an Sicherheit ist ein bereiter Kandidat für eine Umschulung. Drei Dinge werden benötigt: bezahlte Zeit für Weiterbildung, ein Budget für Zertifizierung und ein Mentor aus dem aktuellen Infosec-Team.

Nach unserer Erfahrung erreicht ein interner Kandidat in einer Junior-Sicherheitsrolle innerhalb von 6 bis 12 Monaten Produktivität.

Wie können kleine und mittlere Unternehmen mit Konzernen um Talente konkurrieren?

Konkurrieren Sie nicht direkt beim Gehalt, sondern spielen Sie auf anderen Feldern. Flexible Arbeitszeiten und vollständige Remote-Arbeit, ein Standard für kleine Unternehmen, den Konzerne aufgrund von Compliance-Anforderungen oft nicht bieten können. Ein breites Aufgabenspektrum statt enger Spezialisierung zieht diejenigen an, die schnelles Wachstum wollen. Dazu Gewinnbeteiligung oder Aktienoptionen in einem Startup.

Die Praxis zeigt: Ein Sicherheitsexperte, der im Alleingang die Verteidigung für ein 50-Personen-Unternehmen aufbaut, hat in zwei Jahren ein Portfolio, das mit dem eines doppelt so erfahrenen Konzernspezialisten vergleichbar ist. Für viele wiegt dies den Unterschied beim Grundgehalt auf. Die Hauptsache ist, nicht an der Werkzeugausstattung zu sparen: Ein gekürztes Sicherheitsbudget demotiviert schneller als ein unter dem Marktniveau liegendes Gehalt.

Wird KI Cybersicherheitsfachkräfte ersetzen?

Sie wird sie nicht ersetzen, aber sie wird die Rollenstruktur verändern. KI wird routinemäßige Tier-1-Aufgaben abdecken: Alert-Triage, erste Log-Analyse, Anreicherung von Vorfällen mit Kontext. Gartner prognostiziert, dass bis 2028 mehr als die Hälfte solcher Aufgaben automatisiert sein wird. Die Nachfrage nach Sicherheitsarchitekten, Cloud-Ingenieuren und KI-Sicherheitsspezialisten wird nur wachsen.

Das Risiko besteht nicht darin, dass KI Sicherheitsexperten die Arbeitsplätze wegnimmt, sondern dass Unternehmen, die die Junior-Einstellung kürzen, in 3 bis 5 Jahren ohne Senioren dastehen. Die richtige Strategie ist, Einstiegsrollen für KI-unterstütztes Arbeiten neu zu gestalten (Threat Hunting mit KI-Hinweisen, automatisierte Untersuchung), nicht sie zu eliminieren.

Was gegen den Cybersicherheits-Fachkräftemangel zu tun ist: Das Fazit

Der Arbeitsmarkt für Cybersicherheit wird bis zum Ende des Jahrzehnts überhitzt bleiben, das ist der Konsens von ISC2, ISACA und WEF. Unternehmen, die dieses Rennen gewinnen, tun drei Dinge gleichzeitig.

Sie hören auf, „Einhörner" zu suchen, und beginnen, Sicherheitsexperten intern aufzubauen. Ein lernwilliger Systemadministrator ist wertvoller als ein Kandidat mit fünf Zertifizierungen, der nicht auf dem Markt ist. Zweitens akzeptieren sie flexible Arbeitsmodelle als gegeben. Und drittens betten sie Sicherheitsanforderungen in jede IT-Rolle ein, vom SharePoint-Entwickler bis zum Cloud-Architekten.

Wenn Sie jetzt einen Sicherheitsexperten suchen, beginnen Sie mit einer Prüfung der Anforderungen in Ihrer Stellenausschreibung. Streichen Sie drei optionale Punkte, fügen Sie ein Budget für Zertifizierung hinzu und zeigen Sie, dass Sie echte Probleme lösen, nicht Berichte für die Schublade schreiben. Der Unterschied in der Besetzungszeit wird Sie überraschen.