„KI ersetzt keine Cybersecurity-Fachkräfte – sie verändert, was der Beruf verlangt“

ISC2-CEO Scott Beale erklärt, warum KI, Quantencomputing und Budgetdruck den Bedarf an Cybersecurity-Fachkräften nicht verringern, sondern Weiterbildung, Governance und Führung wichtiger machen.

Künstliche Intelligenz, Quantencomputing und Budgetdruck verändern die Arbeit von Cybersecurity-Teams. Für ISC2-CEO Scott Beale liegt die zentrale Herausforderung in Fähigkeiten, Führung und belastbaren Sicherheitsprozessen. Unternehmen müssen ihre Teams stärker befähigen – und sich rechtzeitig auf den Q-Day vorbereiten.

Cybersecurity wird häufig als technisches Problem behandelt. Für Scott Beale, seit Januar CEO von ISC2, greift dieser Blick zu kurz. Im Interview mit MES Computing beschreibt er Cybersicherheit vor allem als Workforce-Thema: Unternehmen könnten ihre Organisationen, Institutionen und kritischen Prozesse nur stärken, wenn sie auch die Menschen stärken, die diese Systeme schützen. Beale verweist dabei auf seinen eigenen Hintergrund in globalen, missionsorientierten Organisationen – unter anderem beim US Peace Corps und bei Atlas Corps. Dort sei es immer wieder darum gegangen, Führungskräfte und Teams darauf vorzubereiten, unter Druck, mit knappen Ressourcen und in unsicheren Umgebungen handlungsfähig zu bleiben.

Diese Perspektive prägt auch seinen Blick auf die aktuelle Cybersecurity-Lage. KI und Quantencomputing erhöhen den Handlungsdruck, doch Beales Kernbotschaft richtet sich an Vorstände, Geschäftsführungen und CISOs gleichermaßen: Technische Investitionen bleiben notwendig, reichen aber nicht aus. „Zu oft konzentrieren sich CEOs oder auch Boards auf technische Lösungen, weil sie Cybersicherheit als technisches Problem sehen“, sagt Beale. Gerade bei KI, Cloud und anderen Risiken brauche es zwar Technologieinvestitionen, „aber es gibt auch eine sehr wichtige Investition in Talent, Training und professionelle Weiterentwicklung“.

Der Fachkräftemangel ist heute vor allem ein Kompetenzproblem

Die “ISC Cybersecurity Workforce Study 2025” stützt diese Einschätzung. Global berichten 95 Prozent der Befragten von mindestens einem Qualifikationsbedarf in ihren Teams. 59 Prozent sprechen von kritischen oder erheblichen Kompetenzlücken. 88 Prozent geben an, dass ihre Organisation mindestens eine erhebliche Cybersecurity-Folge aufgrund fehlender Fähigkeiten erlebt hat; 69 Prozent berichten von mehr als einer solchen Folge. In Deutschland fallen einige Werte noch deutlicher aus: Laut ISC2 gaben 92 Prozent der deutschen Befragten an, mindestens eine negative Folge aufgrund fehlender Cybersecurity-Kompetenzen erlebt zu haben, 77 Prozent sogar mehrere.

Damit verschiebt sich der Fokus weg von der reinen Frage, wie viele Personen ein Sicherheitsteam umfasst, hin zur Frage, welche Fähigkeiten das Team mitbringt. Beale weiß, dass Unternehmen nicht einfach „aus dem Cybersecurity-Risiko heraus einstellen“ könnten. Besonders mittelständische Organisationen und Midmarket-Unternehmen verfügten oft nicht über die Budgets großer Konzerne. Genau deshalb werde Weiterbildung zu einem zentralen Hebel. Zertifizierungen, kontinuierliche Schulung und das Verständnis neuer Technologietrends seien „wahrscheinlich die am häufigsten übersehene Investition“ – und zugleich eine der wichtigsten.

Für deutsche Unternehmen ist diese Einordnung besonders relevant. 43 Prozent der deutschen Befragten berichten, dass ihre Organisation nicht genügend geeignete Talente finde, um Sicherheitsteams angemessen zu besetzen. 26 Prozent geben an, nicht über ausreichende Budgets zu verfügen, um Mitarbeitende mit den benötigten Fähigkeiten einzustellen. Gleichzeitig sehen 72 Prozent der deutschen Befragten ein deutlich erhöhtes Risiko für Sicherheitsvorfälle, wenn Sicherheitspersonal reduziert wird.

KI entlastet nicht automatisch – sie verlagert Verantwortung

Viele Unternehmen setzen KI bereits zur Automatisierung von Sicherheitsaufgaben ein, etwa zur Triage von Warnmeldungen, zur Schwachstellenpriorisierung oder bei der Analyse großer Datenmengen. Beale warnt jedoch davor, daraus eine Verringerung des Bedarfs an Fachkräften abzuleiten. „Was notwendig ist, ist nicht weniger menschliche Beteiligung“, sagt er mit Blick auf KI in der Cybersecurity. Vielmehr brauche es „mehr Training, mehr Upskilling“ und Teams, die die erforderlichen Fähigkeiten für aktuelle und künftige Aufgaben besitzen.

Die ISC2-Studie „Rethinking AI’s Impact on Cybersecurity Roles“ liefert dazu Daten. 65 Prozent der Befragten gaben an, im vergangenen Jahr mehr Zeit darauf verwendet zu haben, zu entscheiden, wann sie KI-gestützten Empfehlungen vertrauen oder diese umsetzen können. 63 Prozent berichten, dass sie mehr Zeit für die Prüfung und Validierung von KI-Ergebnissen aufwenden.

Das zeigt eine wichtige Verschiebung: KI nimmt Sicherheitsteams nicht einfach Arbeit ab, sondern erzeugt neue Kontrollaufgaben. Wo KI schneller analysiert, priorisiert oder Empfehlungen formuliert, müssen Menschen bewerten, ob diese Ergebnisse belastbar sind. Beale beschreibt genau diese Lücke als Risiko. Bei KI gebe es „viel Stress und Sorge“ wegen einer übermäßigen Abhängigkeit von Ergebnissen. KI-Ergebnisse seien nicht immer korrekt. Wer sich ausschließlich darauf verlasse, „läuft wirklich Gefahr, Fehler zu machen“. Menschen müssten deshalb geschult, aufmerksam und urteilsfähig bleiben, wenn sie KI einsetzen, um Unternehmen zu schützen.

Die Studienergebnisse belegen, wie konkret dieses Problem bereits ist: 89 Prozent der von ISC2 befragten KI-nutzenden Cybersecurity-Fachkräfte haben nach eigenen Angaben bereits erlebt, dass KI-Empfehlungen in ihrer Organisation zu fehlerhaften Ergebnissen geführt haben. 50 Prozent gaben an, dass am Ende menschliche Entscheidungsträger verantwortlich gemacht werden, wenn KI-gestützte Empfehlungen zu falschen Ergebnissen führen. Damit entsteht in Unternehmen eine kritische Schnittstelle zwischen Entscheidungsbefugnis, Nachvollziehbarkeit und Haftung.

Führung und Kommunikation werden zu Sicherheitsfähigkeiten

Beale sieht eine weitere Lücke in Führungskompetenz. Cybersecurity-Verantwortliche müssten in der Lage sein, Risiken gegenüber Geschäftsführung und Vorstand verständlich zu erklären, funktionsübergreifend zu arbeiten und Unterstützung für Investitionen zu gewinnen. Das gelte nicht nur für KI, sondern generell für Sicherheitsrisiken.

Das Ergebnis der ISC2-Umfrage zu Vertrauen in Cybersecurity-Führungskräfte bestätigt Beales Sicht: 95 Prozent der Befragten nannten die Fähigkeit, Cyberrisiken gegenüber Geschäftsleitung und Vorstand klar zu kommunizieren, als entscheidende Eigenschaft. 91 Prozent betonten eine strategische, langfristige Vision für Cybersicherheit. Für 88 Prozent ist eine zentrale Fähigkeit, effektiv mit Management und Board zusammenzuarbeiten, um die erforderlichen Mittel zu sichern.

Für Unternehmen, die Cybersecurity weiterhin primär als IT-Funktion behandeln, ist das eine deutliche Warnung. Sicherheitsverantwortliche müssen in erster Linie Geschäftsrisiken übersetzen.

Quantenrisiken sind kein reines Zukunftsthema

Neben KI spricht Beale im Interview auch über Quantencomputing und Post-Quantum-Kryptografie. Der Handlungsdruck lasse sich gegenüber Geschäftsleitungen schwer vermitteln, weil Quantencomputer oft als Zukunftsrisiko wahrgenommen werden. Beale warnt jedoch vor dieser Lesart. Es reiche nicht zu sagen, dass das Problem erst zu einem späteren Zeitpunkt eintrete. Angreifer könnten Daten heute stehlen, speichern und später entschlüsseln. Deshalb sei das Risiko bereits aktuell.

Beale formuliert den Enterprise-Kern nüchtern: Unternehmen sollten nicht übertreiben und Quantencomputing nicht als akute Krise darstellen. Es sei aber eine kommende Bedrohung, auf die man vorbereitet sein müsse. Schritte erst in zwei oder drei Jahren einzuleiten, könne zu spät sein.

Burnout bleibt ein Enterprise-Risiko

Die Belastung von CISOs und Sicherheitsteams ist ein weiteres Thema, das Beale anspricht. Cybersecurity-Führungskräfte arbeiteten häufig unter hohem Druck, besonders in mittelgroßen Organisationen mit kleinen Teams. Die Arbeit sei stressig und werde oft erst nach einem Vorfall ausreichend wahrgenommen. Beale nennt drei Gegenmittel: Gemeinschaft, Training und Vorbereitung.

Aus seiner Sicht kann der Austausch mit Peers helfen, Isolation zu reduzieren. Kapitel, Community-Formate und professionelle Netzwerke bieten Sicherheitsverantwortlichen die Möglichkeit, Erfahrungen zu teilen und voneinander zu lernen. Training reduziert Belastung außerdem, weil Teams im Ernstfall wissen, welche Schritte zu gehen sind, wen sie kontaktieren müssen und wie sie Szenarien strukturiert bearbeiten.

--

Das Interview auf Englisch können Sie auf YouTube ansehen:

--

Dieser Artikel basiert auf einem Interview von Samara Lynn, Herausgeberin unserer Schwester-Website MES Computing, mit ISC2-CEO Scott Beale.