Der Markt für IT-Talente ist hart umkämpft – und bietet weiterhin gute Perspektiven. Dennoch trauen sich viele den Sprung in die Cybersicherheit oder die Software-Entwicklung nicht zu. Zu technisch, zu komplex, zu anspruchsvoll, so die Befürchtung. Dabei ist nicht nur technische Affinität wichtig, um IT-Systeme zum Laufen und in Sicherheit zu bringen. Menschenkenntnis, psychologische Kenntnisse und Freude an der Arbeit im Team sind es auch.
„Das Jahr 2023 wird in die Geschichtsbücher eingehen“, sagt Christoph Lamprecht. Der Director Cybersecurity bei der Unternehmensberatung KPMG Austria denkt da vor allem an das plötzliche Auftauchen von ChatGPT, der künstlichen Intelligenzbestie, die Aufsätze schreibt und Rechenaufgaben löst, verblüffend gut und ohne zu mosern. Jede neue Technologie vermag für Unternehmen zum Produktivitätswunder zu werden, aber, und das ist der Haken, ebenso zum Sicherheitsrisiko. So auch der flächendeckende Ausbau des 5G-Netzes in Österreich. „5G kann zwar neue Anwendungsfälle ermöglichen wie Telemedizin, Asset-Tracking in der Fertigung und Augmented Reality für die Fortbildung, bietet aber auch eine große Angriffsfläche“, heißt es in der „Global Future of Cyber Survey 2023“ von Deloitte. Für die Einführung der fünften Mobilfunkgeneration werde es daher entscheidend sein, den Aspekt Sicherheit von Anfang mitzudenken und einzubetten. Die Beraterinnen und Berater von Ernst & Young wiederum warnten bereits im vergangenen Jahr vor dem Sicherheitsrisiko Homeoffice und davor, dass „Remote-Verbindungen zu einem attraktiven Einfallstor für Cyberkriminelle“ werden könnten. Private Laptops sind nicht immer mit derselben Software geschützt wie Firmen-PCs; auch versuchen IT-Mitarbeiter häufig, IT-Probleme remote zu lösen und legen dabei Schwachstellen in der IT-Umgebung offen.
„Cybersicherheit ist zu einer Existenzbedrohung für die heimischen Unternehmen geworden“, sagt Christoph Lamprecht. Jedes einzelne der 903 Unternehmen, die im Rahmen der Anfang Mai vorgestellten KPMG-Studie „Cybersecurity in Österreich 2023“ befragt wurden, hat in den vergangenen zwölf Monaten mindestens eine Phishing-Attacke erlebt. Insgesamt gab es demnach im Vergleich zum Vorjahr eine Zunahme der Cyberangriffe um 201 Prozent. „Wir sind rund um die Uhr damit beschäftigt, uns mit den Angreiferinnen und Angreifern auseinanderzusetzen“, so Lamprecht. Cyber-Gangster versuchen, per Phishing-Mails Schadsoftware auf fremden Rechnen zu installieren, Unternehmen mit Hilfe sogenannter Ransomware zu erpressen, Mitarbeiter in sozialen Medien zu beeinflussen, um an ihre Daten zu kommen oder Führungskräfte per Schock-Nachricht zum schnellen Geldtransfer zu überreden. Selbst Deep-Fake-Attacken auf Unternehmen sind laut KPMG-Studie kein Phänomen aus der Zukunft mehr, sondern im Hier und Jetzt angekommen. „Das Pendel schwingt im Vergleich zum letzten Jahr zurück von der Technologie zum Menschen. Der Mensch steht im Zentrum. Er ist der Eintrittspunkt für viele Cyberangriffe“, so der Experte. Jeder zehnte Cyberangriff sei erfolgreich, nur über die wenigsten liest man in klassischen oder sozialen Medien. Jedes zehnte betroffene Unternehmen hat demnach einen finanziellen Schaden von mehr als einer Million Euro zu beklagen, knapp die Hälfte von bis zu 100.000 Euro. Außerdem stehen Bänder und Werke nach einem Cyberangriff oftmals still, können erst nach Wochen oder gar Monaten wieder hochgefahren werden — erst nach den Aufräumarbeiten, die man sich mit einer fähigen Mannschaft an Security-Experten, die vorab eine Brandmauer gegen Hacker und andere Schurken errichtet, womöglich hätte sparen können. Doch sind IT-Abwehrspezialisten wie Toilettenpapier in der Corona-Krise: eigentlich unverzichtbar, nur leider absolute Mangelware.
„Das Thema Experten ist eine der größten Herausforderungen, die wir momentan über alle Branchen hinweg erleben, aber besonders im Bereich der IT, besonders im Bereich der Cybersicherheit“, meint Christoph Lamprecht. „Die Situation des Fachkräftemangels in Österreich ist im Vergleich zum letzten Jahr definitiv nicht besser geworden.“ Laut KPMG-Studie taten sich 60 Prozent der befragten Unternehmen in den vergangenen zwölf Monaten schwer, Expertinnen und Experten zu rekrutieren. Immer beliebter werden daher Abwerbungsversuche bei der Konkurrenz. Unter normalen Umständen dauert es von der Anbahnung bis zum Vertragsabschluss vier bis sechs Monate — eine halbe Ewigkeit. Um zwölf Prozent sind 2022 die offenen IT-Stellen im Vergleich zum Vorjahr laut Spezialistenindex des Personaldienstleisters Hays gestiegen, bei IT-Security-Spezialisten betrug der Anstieg sogar 37 Prozent. Ein Liedchen davon kann das österreichische Bundeskriminalamt singen. „In den Bundesländern wie auch in den Zentralstellen ist eine steigende Problematik im Bereich des Personal-Recruitings festzustellen. Der Anspruch an die fachliche Qualifikation ist gestiegen“, heißt es im jüngsten Cybercrime Report. Dass die Personalakquise herausfordernd ist, merkt das Bundeskriminalamt mit einem leicht resignativen Unterton an, sei „eine Tatsache, mit der die Kriminalpolizei in der Bekämpfung von Cybercrime seit Jahren konfrontiert ist“.
„Wir stehen in einem internationalen Wettbewerb“, so Andreas Tomek, Partner Cybersecurity bei KPMG Austria. Viele Sicherheitsprofis würden sich im Ausland nach Jobs umsehen. Remote-Optionen, offene Grenzen und eine grenzenlose Nachfrage machen eine Auslandskarriere möglich, teils höhere Gehälter machen sie attraktiv. In nicht weniger als 17 Ländern weltweit zählen Cybersecurity-Spezialisten laut „Jobs on the Rise“-Report der Businessplattform LinkedIn zu den am schnellsten wachsenden Berufsprofilen. Insgesamt fehlen in Europa, dem Nahen Osten und Afrika nach Angaben der Cybersicherheitsorganisation (ISC)² rund 317.000 Fachkräfte für Cybersicherheit, darunter IT-Forensiker, IT-Security-Consultants, IT-Security-Analysten, Ethical Hacker und Pentester oder Information Security Officer. Durch die neue EU-Richtlinie NIS2, die den Austausch von Informationen zu Cybersecurity-Vorfällen in Europa fördern soll, könnte der Bedarf noch weiter steigen.
„Der Markt sucht nach erfahrenen Personen“, sagt Andreas Tomek und legt damit ein weiteres Problemfeld offen. Denn die Stellenangebote richten sich üblicherweise an Sicherheitsexperten mit Erfahrung — nicht an Frischlinge. Exemplarisch ist ein Erlebnis, das der Entwickler des Web-Frameworks FastAPI, Sebastian Ramirez, vor einiger Zeit bei Twitter teilte. Der Kolumbianer, der in Berlin lebt und arbeitet, zwitscherte im Netz, auf eine interessante Jobofferte gestoßen zu sein. Darin habe der Arbeitgeber von Bewerberinnen und Bewerbern mindestens vier Jahre Berufserfahrung im Umgang mit FastAPI verlangt. „Ich konnte mich nicht bewerben“, so Ramirez süffisant. „Ich habe nur 1,5 Jahre Erfahrung, weil ich das Teil erfunden habe!“
„Es ist schwierig, Talente – die richtigen Talente – zu finden und zu halten“, so die „Global Future of Cyber Survey 2023“ von Deloitte. Den Talenten selbst gibt die Unternehmensberatung zu bedenken, dass „Stress und andere Belastungen bei jeder verantwortungsvollen Position im Cyberspace normal sind. Und es kann sehr intensiv sein.“ Ein Chief Information Security Officer aus einem führenden Unternehmen der Finanzbranche in Großbritannien habe bei der Umfrage darauf hingewiesen, dass das Cyber-Risiko tatsächlich bei ihm liege und dass bestimmte, unerwünschte Ereignisse „ernsthafte, persönliche Konsequenzen“ nach sich ziehen könnten. Abwehrkräfte sollte also haben, wer Karriere in der IT-Verteidigung machen will, aber das wollen eben viel zu wenige. „Das größte Hindernis besteht darin, ein Interesse zu entwickeln. Das Vertrauen zu entwickeln, dass dies eine Karriere sein könnte, in der ich erfolgreich sein könnte“, sagt Gerald Emerick, Professor für Information Security & Intelligence an der Ferris State University in Michigan in einem Interview mit der Fachhochschule St. Pölten, an der er aktuell im Rahmen eines Austauschprogramms lehrt und forscht. „Viele Leute reden über Cybersicherheit auf eine sehr technische Art und Weise, aber es geht um so viel mehr: Man braucht Menschenkenntnis, Kommunikationsfähigkeit, die Fähigkeit, mit Daten zu arbeiten, und analytische Fähigkeiten“, so Emerick. Zudem müsse die Branche das Feld einladender und vielfältiger gestalten, auch für Frauen öffnen. Die Zeichen der Zeit erkannt hat scheinbar die FH Salzburg, die im Herbst 2023 einen neuen Master-Studiengang für „Cyber Security“ starten und die Inhalte breiter aufstellen, zum Beispiel auch der Cyber-Psychologie eine prominente Rolle einräumen will.
Hunderttausend Jobs für Entwickler
Kaum zu stillen ist auch der Hunger nach Software-Developern. 100.000 Entwicklerinnen und Entwickler fehlen nach Schätzungen der Plattform „We are Developers“ allein im deutschsprachigen Raum — trotz steigender Zinsen, lahmender Konjunktur und einem kaum zu übersehenden Stellenabbau in der Tech-Branche auf beiden Seiten des Atlantiks. Agile Arbeitsmethoden sind dabei für Developer so gewöhnlich wie Skitouristen für Ischgl — und genauso wichtig. Entwicklerinnen und Entwickler, die agil arbeiten, empfinden ihre Tätigkeit laut internationaler Studie „Status Quo Agile“ der Hochschule Koblenz als erfüllender, motivierender und inspirierender. Gegenstück ist das klassische Projektmanagement, in der Fachsprache als Wasserfall-Methode bekannt und berüchtigt. Im Wasserfall fließen die Anweisungen von oben nach unten. Eine Methode, die übersichtlich, klar und leicht verständlich ist, aber so unflexibel wie eine Betonplatte. Stellt der Auftraggeber am Ende des Projekts fest, dass er sich die App, das Game oder die neuen Features doch ganz anders vorgestellt hat, dann ist der Ärger groß — und Zeitaufwand und Mehrkosten für die erwünschten Änderungen sind es auch. Wer hingegen agil entwickelt, kann sich Fehler erlauben, denn Korrekturen und Veränderungen sind in jedem Projektstadium möglich — und sogar erwünscht. Dafür kommunizieren die Teams permanent, sie reagieren, revidieren, verändern, verbessern, werfen um, planen neu. Fester Bestandteil ist in vielen Teams das Daily Meeting, bei dem alle Teammitglieder zusammenkommen, sich auf den aktuellen Stand bringen und die anstehenden Tagesaufgaben festzurren. Jeder Einzelne übernimmt Verantwortung für das, was er tut, schätzt den Aufwand selbst ein, den er für eine Aufgabe benötigt und organisiert sich eigenständig.
Die Arbeitgeber wiederum können auf diese Weise Produkte schneller einführen, sich einfacher nach den Bedürfnissen ihre Kunden ausrichten und das Risiko reduzieren. Über 60 Prozent der Firmen haben laut Umfrage der Unternehmensberatung „Bearing Point“ innerhalb der vergangenen drei Jahre agile Organisationsformen eingeführt. Im Februar 2023 verkündete die Österreichische Post die 80-prozentige Beteiligung am griechischen Softwareentwickler „Agile Actors“ und verwies als Begründung auch explizit auf die agilen Arbeitsformen der Hellenen. „Mit seiner Expertise im Bereich Softwareentwicklung sowie seiner flexiblen und agilen Unternehmenskultur stellt dieser Dienstleister eine starke Ergänzung zu unserer weiterwachsenden Inhouse-IT für die weitere Digitalisierung der Post dar“, sagte Walter Oblin, Generaldirektor-Stellvertreter sowie Vorstand für Brief & Finanzen der Österreichischen Post AG. Obwohl Agilität nach und nach auch andere Abteilungen erreicht, bleibt sie in der Softwareentwicklung beheimatet. Von den Unternehmen, die agil arbeiten, tun dies laut Studie „Status Quo Agile“ 86 Prozent in der Software-Entwicklung, 49 Prozent in anderen IT-nahen Themen wie etwa SAP-Projekten, 28 Prozent bei Aufgaben ohne besonderen IT-Bezug, beispielsweise im Marketing oder in der Strategie- und Organisationsentwicklung und 20 Prozent in der physischen Produktentwicklung.
Homeoffice erschwert agile Arbeit
Allerdings ist die agile Zusammenarbeit durch den Umzug vieler Arbeitnehmerinnen und Arbeitnehmer ins Homeoffice, darauf deuten mehrere Studien hin, schwieriger geworden. Die Kommunikation der einzelnen Teammitglieder ist langsamer, die physische Distanz größer, die Kooperation schwergängiger. Den Kopf mal eben schnell ins Nachbarbüro hineinstecken und eine Unklarheit ausräumen — das geht nicht mehr. Eine Kooperation der Hochschule Hannover mit dem Handelsunternehmen Otto Group kam zu dem Ergebnis, dass im Heimbüro „die Agilität durch die Interaktionsverluste negativ beeinflusst wird, da deutlich mehr kommuniziert werden muss“. Allerdings war die Hälfte der beteiligten Developer der Meinung, dass das Entwicklerteam im Homeoffice genauso agil arbeitet wie am Firmensitz. Agile Softwareentwicklung, so das Fazit, kann auch erfolgreich umgesetzt werden, wenn alle in ihren eigenen vier Wänden sitzen.
Völlig makellos sind Arbeitsmethoden wie Scrum und Kanban ohnehin nicht. „Agile Arbeitsweisen wie z.B. Scrum dienen ausschließlich der Produktivitätssteigerung und können zusätzlichen Druck auf die Entwickler erzeugen“, beschwerte sich kürzlich ein Entwickler im Online-Forum Reddit. Und nicht immer ist, wo agil draufsteht, auch agil drin. „Man muss halt genau aufpassen ob die Firma wirklich agile Softwareentwicklung kann oder nur von Buzzwords lebt und es drunter und drüber geht, wo dann am Ende die Entwickler es ausbaden müssen“, so der User. Wenn die Stellenanzeige eine agile Arbeitsumgebung verspricht, die Entwickler aber letztlich zwischen mehreren Projekten hin und her rotieren, dadurch keine typischen Sprints fahren können, weil sie andere Produkte vor der Brust haben, dann ist Agilität nur eine Umschreibung für Chaos. Aber schlimm ist das eigentlich auch wieder nicht. Denn den Arbeitgeber wechseln, das ist für Software-Developer ein Klacks, erfordert nur wenige Klicks. Genügend Interessenten sind ja vorhanden.
