Fachkräftemangel in der Cybersecurity: 104.000 offene Stellen in Deutschland

⏱ 8 Min. Lesezeit

Die (ISC)² Workforce Study 2025 beziffert die globale Cybersecurity-Fachkräftelücke auf 4,8 Millionen — ein Anstieg von 19 Prozent gegenüber dem Vorjahr. In Deutschland sind laut Bitkom über 104.000 IT-Security-Stellen unbesetzt. Gleichzeitig steigen die regulatorischen Anforderungen durch NIS2 und DORA. Unternehmen, die nur auf den Arbeitsmarkt warten, werden das Problem nicht lösen.

Das Wichtigste in Kürze

4,8 Mio. Fachkräfte fehlen weltweit: In Deutschland sind über 104.000 IT-Security-Stellen unbesetzt — Tendenz steigend ((ISC)², Bitkom 2025).
Upskilling schlägt Recruiting: IT-Admins, Entwickler und Netzwerktechniker zu Security-Spezialisten weiterzubilden ist schneller und nachhaltiger als externe Suche.
Automatisierung als Multiplikator: SOAR, KI-gestützte Triage und Managed Detection reduzieren den Personalbedarf um 30–40 Prozent.

Warum der Markt das Problem nicht löst

Der Cybersecurity-Arbeitsmarkt ist strukturell gekippt. Die Nachfrage wächst schneller als das Angebot — und das seit Jahren. Drei Faktoren verschärfen die Lage 2026:

Regulatorischer Druck: NIS2 verpflichtet 30.000 zusätzliche Unternehmen in Deutschland zu Cybersecurity-Maßnahmen. Jedes dieser Unternehmen braucht mindestens einen Verantwortlichen für Informationssicherheit. DORA treibt im Finanzsektor den Bedarf an spezialisierten Compliance- und Resilienz-Rollen.

Demografische Entwicklung: Die geburtenstarken Jahrgänge gehen in Rente. Im IT-Bereich werden bis 2030 rund 140.000 Stellen durch Ruhestand frei — ein erheblicher Teil davon in sicherheitsrelevanten Rollen.

Konkurrenzdruck: Cybersecurity-Fachkräfte werden nicht nur von Unternehmen gesucht, sondern auch von Behörden (BSI, BKA, Bundeswehr), Beratungen und internationalen Tech-Konzernen mit deutlich höheren Gehältern. Ein Senior SOC Analyst verdient in München 75.000 bis 95.000 Euro — bei einem US-Tech-Konzern mit Remote-Option das Doppelte.

„Der Fachkräftemangel in der Cybersicherheit ist kein temporäres Phänomen — er ist strukturell und wird sich ohne grundlegende Veränderungen in Ausbildung und Automatisierung weiter verschärfen.“
— Claudia Plattner, Präsidentin des BSI (2025)

Was funktioniert: Upskilling, Quereinsteiger, Diversität

Unternehmen, die den Fachkräftemangel aktiv bewältigen, setzen auf drei Hebel:

Internes Upskilling: IT-Administratoren, Netzwerktechniker und Softwareentwickler haben bereits die technische Basis. Ein strukturiertes Weiterbildungsprogramm (6-12 Monate, Zertifizierungen wie CompTIA Security+, CISSP oder SANS GIAC) kann sie zu vollwertigen Security-Spezialisten entwickeln. Die Erfolgsquote ist deutlich höher als externes Recruiting, und die Mitarbeiter kennen bereits die eigene Infrastruktur.

Quereinsteiger und Career Changers: Mathematiker, Physiker und Ingenieure bringen analytische Fähigkeiten mit, die in der Security wertvoll sind. Unternehmen wie Siemens und die Deutsche Telekom haben eigene Cyber-Academies aufgebaut, die Quereinsteiger in 6-9 Monaten ausbilden.

Diversität als Talent-Pool: Nur 25 Prozent der Cybersecurity-Fachkräfte in Deutschland sind weiblich. Unternehmen, die gezielt Frauen ansprechen — durch Mentoring-Programme, flexible Arbeitsmodelle und inklusive Stellenausschreibungen — erschließen einen massiv untergenutzten Talent-Pool.

104.000

unbesetzte IT-Security-Stellen in Deutschland (2025)

Quelle: Bitkom Research, 2025

Automatisierung und Managed Services als Skalierungshebel

Kein Unternehmen wird allein durch Recruiting den Bedarf decken. Automatisierung ist kein Nice-to-have, sondern überlebenswichtig:

SOAR-Plattformen (Security Orchestration, Automation and Response): Automatisieren Routine-Aufgaben im SOC — Ticket-Erstellung, Erstklassifizierung, Standardreaktionen auf bekannte Angriffsmuster. Das reduziert die Arbeitslast pro Analyst um 30 bis 40 Prozent und erlaubt es, mit einem kleineren Team mehr Alerts zu bearbeiten.

KI-gestützte Triage: Machine-Learning-Modelle priorisieren Alerts nach Schweregrad und Kontext. In einem typischen SOC sind 80 Prozent der Alerts False Positives oder Low-Priority. KI-Triage filtert das automatisch und lässt Analysten sich auf die kritischen 20 Prozent konzentrieren.

Managed Detection and Response (MDR): Für Unternehmen, die kein eigenes SOC betreiben können oder wollen, bieten MDR-Anbieter 24/7-Überwachung als Service. Das ist keine Kapitulation — es ist eine pragmatische Antwort auf einen Markt, der nicht genug Fachkräfte produziert. Anbieter wie Arctic Wolf, Sophos MDR und CrowdStrike Falcon Complete haben sich als ernstzunehmende Alternativen etabliert.

Die Kombination aus Upskilling der vorhandenen Belegschaft, gezieltem Recruiting in unterrepräsentierten Gruppen und konsequenter Automatisierung ist die einzige Strategie, die in der aktuellen Marktsituation funktioniert.

Key Facts auf einen Blick

Häufige Fragen

Welche Cybersecurity-Zertifizierungen sind am gefragtesten?

CompTIA Security+ als Einstieg, CISSP für erfahrene Fachkräfte, SANS GIAC für technisch tiefe Spezialisierung und CISM für Management-orientierte Rollen. Für Cloud-Security: CCSP oder AWS Security Specialty. Die Zertifizierung allein reicht aber nie — praktische Erfahrung ist entscheidend.

Was verdient ein Cybersecurity-Fachmann in Deutschland?

Einstiegsgehälter liegen bei 45.000 bis 55.000 Euro (Junior SOC Analyst). Erfahrene Security Engineers: 70.000 bis 95.000 Euro. CISOs im Mittelstand: 100.000 bis 140.000 Euro. In Konzernen und bei US-Tech-Firmen mit Remote-Optionen sind 120.000 bis 180.000 Euro möglich.

Wie lange dauert die Umschulung zum Security-Spezialisten?

Für IT-Fachkräfte mit Vorkenntnissen: 6 bis 12 Monate strukturierte Weiterbildung. Für Quereinsteiger ohne IT-Hintergrund: 12 bis 18 Monate in einem Intensivprogramm. Cyber-Academies von Unternehmen wie der Deutschen Telekom schaffen das in 9 Monaten.

Kann KI den Fachkräftemangel komplett kompensieren?

Nein, aber signifikant reduzieren. KI übernimmt Routine-Aufgaben (Alert-Triage, Log-Analyse, Standardreaktionen), ersetzt aber nicht das Urteilsvermögen erfahrener Analysten bei komplexen Angriffen. Realistisch ist eine 30-40-prozentige Effizienzsteigerung — das ersetzt keine Fachkräfte, macht aber vorhandene Teams leistungsfähiger.

Was können kleine Unternehmen tun, die kein SOC haben?

Managed Detection and Response (MDR) ist die beste Option: 24/7-Überwachung als Service, ohne eigenes Personal aufbauen zu müssen. Kosten: 5.000 bis 15.000 Euro monatlich, abhängig von Endpoint-Anzahl. Deutlich günstiger als ein eigenes 3-Personen-SOC (Personalkosten: 250.000+ Euro/Jahr).