Fachkräftemangel in der IT-Security – Teil 2 Wie man die richtigen Mitarbeiter findet und sie optimal einbindet

Schon seit einiger Zeit ist der Fachkräftemangel in Deutschland in aller Munde und stellt ein ernsthaftes Problem für die Wirtschaft dar. Im Bereich der IT-Sicherheit gilt dieser Mangel als besonders ausgeprägt. Deswegen setzen wir uns in einer kurzen Serie mit der Thematik auseinander. Der letzte Beitrag beleuchtete das Problem aus Sicht der Personalberater und HR-Spezialisten. Dieser Artikel schildert die Sichtweise des IT-Security-Fachpersonals. Nächste Woche werden wir das Thema aus Bewerbersicht unter die Lupe nehmen.

Das erste Gespräch für diesen Artikel führten wir mit Dr. Sebastian Schmerl, Regional Vice President Security Services EMEA bei Arctic Wolf. Dieser wies uns darauf hin, dass Unternehmen, die planen, externe Recruiter einzuschalten, sich darüber im Klaren sein müssen, dass diese zehn bis zwanzig Prozent das Jahresgehalts der eingestellten Person kosten.

Was die Stellenanzeigen angeht, so betonte Dr. Schmerl, dass viele Unternehmen heutzutage in ihren Stellenanzeigen mit diversen Arbeitnehmervorteilen, wie beispielsweise Mitgliedschaften in Fitnessstudios, Tickets für öffentliche Verkehrsmittel oder auch Gesundheitsboni werben. Diese Vorteile sind aber keineswegs für alle Bewerber attraktiv. Er hält es für sinnvoller, in der Stellenanzeige das Interesse der Kandidaten zu wecken. Sie müssen Gründe finden, die sie dazu motivieren, bei dem jeweiligen Unternehmen arbeiten zu wollen. Es ergibt keinen Sinn, im ersten Absatz der Anzeige die Unternehmenshistorie zu beschreiben. Stattdessen sollte dort etwas stehen wie “Bei uns ist die IT-Sicherheit noch nicht in Stein gemeißelt. Sie können als unser neuer CSO umfassend Einfluss nehmen und gestaltend tätig sein.” Die Stellenanzeige muss Personen ansprechen, denen das Thema IT-Sicherheit am Herzen liegt und die gerne in diesem Themenbereich arbeiten.

Fachkräftemangel in der IT-Security – Teil 1

Wie man an gute Mitarbeiter kommt

Es gibt zudem in der Praxis einen Unterschied zwischen Menschen, die Verantwortung übernehmen und Menschen, die strukturiert Dinge abarbeiten. Das eine ist nicht besser als das andere. Schließlich will nicht jeder eine Führungsposition bekleiden und dort Karriere machen. Im ersten Absatz der Anzeige muss folglich klar herauskommen, welche Art Mitarbeiter für die zu bekleidende Position gesucht wird.

Lebensläufe mit ChatGPT

In der Praxis ergibt es für ein Unternehmen Sinn, sich fast jeden Bewerber persönlich anzusehen. Lebensläufe sind heute schnell und teilweise automatisiert – beispielsweise mit ChatGPT – erstellt. Aus ihnen ersehen die Verantwortlichen im Wesentlichen nur, ob der Bewerber strukturieren kann. „In Personalabteilungen schauen erfahrene Mitarbeiter etwa drei bis fünf Minuten auf einen Lebenslauf“, so Dr. Schmerl. „Dabei analysieren sie, ob er zusammenhängend ist, ob aus ihn eine nachvollziehbare Entwicklung hervorgeht, ob die Eckdaten stimmen und ob sich ein Bezug zur ausgeschriebenen Stelle herstellen lässt. Wenn das alles zutrifft und zudem Ausdruck und Kommunikationsweise passen, dann sollte die Einladung zum Vorstellungsgespräch erfolgen.“

Die erste Phase des Vorstellungsgesprächs führen die Kandidaten mit dem hauseigenen Recruiter. Dieser stellt unter anderem die wichtige Kernfrage “Können Sie sich vorstellen, für uns zu arbeiten?”. Wenn der Kandidat das überzeugend bejahen kann, kommt es zu einer zweiten Phase, die üblicherweise als Fachgespräch stattfindet. Hier werden also keine Fragen gestellt, sondern die Parteien unterhalten sich über fachliche Themen, also in unserem Fall über IT-Security mit ihren aktuellen Entwicklungen und Problemen. Dabei stellt sich heraus, ob der Bewerber die nötigen Kenntnisse hat, um die vom Job geforderten Aufgaben zu erfüllen.

Security-Insider Podcast – Folge 88

Fachkräfte aus eigener Produktion

In dieser Folge des Security-Insider Podcast sprechen wir mit Sabine Hansen über die Herausforderungen, vor der Unternehmen durch den Fachkräftemangel stehen.

Das Problem der Objektivität

Die Ergebnisse dieser Fachgespräche sind allerdings nicht objektiv. Kein Bewerber kommt perfekt daher, es gibt immer einen Spalt zwischen der Qualifikation der jeweiligen Person und dem Anforderungsprofil des Jobs. Die Aufgabe der Unternehmensvertreter liegt darin, einzuschätzen, wie viel Aufwand damit verbunden ist, diesen Spalt durch entsprechendes Training zu schließen. In der Praxis sieht es so aus, dass ein Bewerber, der etwa 80 Prozent der Anforderungen erfüllt, bereits eine sehr gute Eignung für den Job mitbringt. Lebenslauf oder Zertifikate spielen in diesem Szenario eine eher untergeordnete Rolle.

Es ist ebenfalls wichtig, im Vorstellungsgespräch so genannte Soft-Komponenten herauszufinden. So lässt sich beispielsweise im Gespräch an Nuancen erkennen, welche Motivation ein Bewerber mitbringt.

Idealerweise finden die Fachgespräche mit zwei Personen und in zwei separaten Sessions statt. In der Praxis ist es nämlich so, dass ein Mitarbeiter Personen bevorzugt, die so ähnlich denken, wie er selbst. Damit in diesem Zusammenhang niemand durch das Raster fällt, ergibt es Sinn, unterschiedliche Sichtweisen zu berücksichtigen.

Das Problem mit dem Gehalt

Im letzten Schritt folgt dann das Gespräch mit dem Hiring Manager. Hier geht es im Wesentlichen um die Gehaltsverhandlungen. In diesem Zusammenhang ist es wichtig zu wissen, dass sich die Gehälter verschieben können. Haben viele Unternehmen Interesse daran, Junior IT-Security-Spezialisten einzustellen, um Geld zu sparen, so liegt die Nachfrage nach solchen Junior-Spezialisten sehr hoch. Das treibt auch die Gehälter für diese Personengruppe in die Höhe. Es kann in diesem Zusammenhang Sinn ergeben, von vornherein dann noch etwas mehr Geld in die Hand zu nehmen und statt des Junior-Mitarbeiters einen Senior-Spezialisten einzustellen, da die Gehaltsschere dann deutlich kleiner sein dürfte, als der Unterschied im fachlichen Wissen. Die Verantwortlichen im Unternehmen müssen in diesem Zusammenhang eine Vollkostenrechnung erstellen. Diese muss sowohl die Kosten zum Einstellen und Trainieren, als auch das Gehalt umfassen.

Ergibt es Sinn, den Arbeitgeber zu wechseln?

Da sich die Nachfrage wegen des Fachkräftemangels verschärft hat, ist es nicht mehr möglich, mit den alten Gehaltsstufen zu arbeiten. Neue Mitarbeiter verdienen heute oft mehr als alte und es besteht die Möglichkeit, beim Arbeitgeberwechsel etwa 20 Prozent Gehalt mehr zu bekommen.

Der ganze Bewerbungsprozess dauert etwa eine Woche. Die Motivation der Bewerber lässt sich unter anderem daran erkennen, wie schnell sie Termine möglich machen. Idealerweise bietet das Unternehmen morgens, mittags und abends Termine an, aus denen die Bewerber wählen können. Auf diese Weise wird der Interview-Vorgang nicht verzögert und mangelnde Motivation beziehungsweise Flexibilität beim Bewerber fällt schnell auf.

Die wesentlichen Fähigkeiten in der IT-Sicherheit

Bei der Suche nach einem Spezialisten ist fundiertes Wissen in Bezug auf die IT-Sicherheit das, wonach ein Unternehmen suchen muss. Der Bewerber muss ein grundlegendes Verständnis über die Aktionen von Angreifern und den möglichen Schutz vor diesen Aktionen haben. Niemand kann in diesem Zusammenhang alles wissen, viele damit zusammenhängende Probleme sind dazu zu spezifisch. Deswegen spielt es eine zentrale Rolle, herauszufinden, in welchen Bereichen der jeweilige Bewerber seine Stärken hat und ob diese zu der ausgeschriebenen Stelle passen.

Gewisse andere Bereiche, die an die IT-Sicherheit grenzen, wachsen teilweise auch in sie hinein. Dazu gehören der IT-Betrieb im Allgemeinen, das strukturierte Arbeiten und das Erkennen und Lösen von Problemen. Es ist wichtig, dass Bewerber auf die angesprochenen Thematiken strukturiert antworten können und sich nicht in technischen Details verlieren oder Wirrwarr von sich geben. Das spielt insbesondere eine wichtige Rolle, wenn die Stelle etwas mit Consulting zu tun hat und der Bewerber später einmal Kunden beraten soll.

Security Analysten, die hauptsächlich mit Daten arbeiten und wenig Kundenkontakt haben, können durchaus introvertiert sein. Die Consultants müssen aber zwingend extrovertiert auftreten und die Fähigkeit besitzen, mit Kunden zu sprechen. Generell gilt aber, dass Arbeitgeber besser Kandidaten einstellen, die nicht ganz zur Stelle passen, als gar niemanden einzustellen. Dafür gibt es schließlich die Probezeit.

Die Bedeutung der Zertifizierungen

Was Zertifikate angeht, so versuchen viele Junior-Spezialisten damit ihren Wissensstand darzulegen. Das ergibt auch Sinn, denn sie können ja keine oder nur wenige praktische Erfahrungen vorweisen. Zertifikate belegen aber nur theoretisches Wissen. In der späteren Berufslaufbahn sind die Zertifikate nicht mehr so wichtig, ja es ist sogar eher suspekt, wenn ein Bewerber mit viel Erfahrung viele Zertifikate in den Mittelpunkt seiner Bewerbung stellt.

Tommy Grosche, Country Manager Deutschland bei Fortinet, bringt noch einen anderen Aspekt in die Thematik ein. “Für uns als IT-Security-Anbieter ist das Thema aus zwei unterschiedlichen Seiten relevant”, so Herr Grosche. “Zum einen müssen wir selbst qualifizierte Mitarbeiter finden. Andererseits entwickeln wir Technologien, die unseren Kunden helfen, ihre Cybersecurity so effizient wie möglich zu verwalten, damit sich ihr Team auf Aufgaben mit Mehrwert konzentrieren kann.“

Die Anforderungen gestalten sich hier also etwas anders, als bei Unternehmen, die lediglich Mitarbeiter für ihre IT-Sicherheit einstellen wollen, die Suche bezieht sich demzufolge ausschließlich auf ausgesprochene Profis in diesem Bereich. Nach Ansicht von Herrn Grosche sind Vorbildungen sehr wichtig. Die Bewerber sollten belesen sein, sich nachvollziehbar mit Sicherheitstechnologie befasst haben und Herstellerzertifizierungen wie das Fortinet Network Security Expert Training (NSE) vorweisen können. Anhand solcher Merkmale beweisen sie ihre Expertise. Der NSE 8 beispielsweise geht so weit in die Tiefe, dass ihn nur Senior Spezialisten vorweisen. Die Partner suchen bei der Bewerberauswahl gezielt danach. Herr Grosche vertritt also in Bezug auf die Zertifizierungen eine andere Ansicht als Dr. Schmerl. Er ist zudem der Meinung, dass jemand, der 20 Jahre in der IT-Security arbeitet, die relevanten Zertifizierungen automatisch anhäuft. Arbeitszeugnisse eignen sich nach seiner Meinung aber genauso gut zum Nachweis der Expertise.

Persönliches Auftreten ist wichtig

Eine ebenso große Bedeutung wie die Expertise hat das persönliche Auftreten. Die IT-Sicherheit ist einem stärkeren Wandel unterworfen und technischer ausgerichtet als andere IT-Bereiche. Deswegen spielt Eigeninitiative eine wichtige Rolle und muss auch ausgestrahlt werden. Zudem müssen die Kandidaten dazu bereit sein, sich ständig fortzubilden. Folglich hat die Persönlichkeit eine extreme Bedeutung. Man benötigt in diesem Bereich die Bereitschaft, Veränderungen vorzunehmen beziehungsweise mitzumachen, sich weiterzubilden und neuen Themen gegenüber aufgeschlossen zu sein.

Nach der Erfahrung von Herrn Grosche ergibt es Sinn, bei der Bewerbersuche Empfehlungen von Mitarbeitern, Freunden und Ex-Kollegen mit zu berücksichtigen. Das Bewerbungsgespräch selbst besteht aus mehreren unterschiedlichen Terminen, wie dem Gespräch mit dem verantwortlichen Manager, einem Gespräch mit einem zukünftigen Kollegen, der vom Ablauf der täglichen Arbeit berichtet und einem Panel mit einer Präsentation vor vier bis fünf Kollegen, bei dem der Bewerber etwas zu seiner Person sagt. Hier zeigt er, über welche Vorkenntnisse er verfügt und was er in den ersten 30 bis 60 Tagen erreichen möchte. Er kann auch seine Sicht über das Unternehmen, bei dem er sich bewirbt, publik machen, beispielsweise mit Hilfe von Informationen, die er von der Unternehmenswebseite bezogen hat.

Es ist auch wichtig, dass die Unternehmenskultur in Bezug auf Karrierepfade und Gehaltsvorstellungen zum Bewerber passt. Der Markt im Sicherheitsbereich wächst sowohl bei den Anbietern als auch bei den Kunden stark. Deswegen müssen die Ambitionen der Bewerber in Bezug auf ihre Position in fünf oder zehn Jahren untersucht werden, um eine langfristige Zusammenarbeit zu gewährleisten. Das Unternehmen muss folglich dazu in der Lage sein, den Interessenten Entwicklungsmöglichkeiten zu offerieren, beispielsweise weg von der Firewall-Konfiguration und -Verwaltung hin zum Secure Access Service Edge (SASE).

Nochmal das Gehalt

Was die Gehaltsvorstellungen von Junior- und Senior-Bewerbern angeht, vertritt Herr Grosche die gleiche Ansicht wie Dr. Schmerl. In der letzten Zeit waren die Gehaltszuwächse im Junior-Bereich höher als bei den Senior-Bewerbern. Abgesehen davon sind gleichzeitig auch die Tagessätze stark angestiegen, die ein IT-Sicherheitsunternehmen seinen Kunden in Rechnung stellt, wenn es seine Spezialisten bei diesen einsetzt. In diesem Zusammenhang ist es daher sinnvoll, zunächst in die Einstellung einer erfahrenen Fachkraft zu investieren. Ein erfahrener Mitarbeiter kann schneller zum Kunden geschickt werden, benötigt nur minimale Einarbeitung und trägt sofort zu den Einnahmen des Unternehmens bei.

Fazit

Es gibt sehr unterschiedliche Ansichten über den Nutzen von Arbeitszeugnissen und Zertifizierungen. Im Gegensatz dazu sind sich alle befragten Spezialisten – auch die im letzten Beitrag angesprochenen Personalberater – einig, dass es Sinn ergibt, über die Einstellung qualifizierter Mitarbeiter mit viel Erfahrung nachzudenken und nicht nur auf Juniors zu setzen, da erstere aufgrund der aktuellen Gehaltsentwicklungen ein besseres Preis/Leistungsverhältnis mit sich bringen. Außerdem verdienen sie schneller Geld für das Unternehmen, wenn es sich um einen Dienstleister oder einen IT-Security-Anbieter handelt. Einigkeit herrscht auch in Bezug auf die Gestaltung der Stellenanzeigen, die Interessenten ansprechen müssen und klar vermitteln sollten, was die jeweilige Position für zukünftige Mitarbeiter bringt.

Fachkräftemangel in der IT-Security – Teil 3

So punkten Bewerber im Vorstellungs­gespräch

(ID:50071375)