Evolving Expectations and Structural Constraints of Cybersecurity Leadership: A Transatlantic Longitudinal Analysis of CISO Job Advertisements

Jede moderne Organisation verlässt sich auf einen Wächter, der ihr digitales Leben schützt: den Chief Information Security Officer, oder CISO. Diese Person steht am Schnittpunkt von Technologie, Geschäftsstrategie und Risikomanagement und hat die Aufgabe, sensible Daten vor unsichtbaren Bedrohungen zu schützen. Um diesen Job gut zu machen, benötigt sie eine seltene Mischung aus Fähigkeiten: tiefes technisches Wissen, um zu verstehen, wie Systeme funktionieren, und starke Führungsqualitäten, um diese Risiken den Führungskräften des Unternehmens zu erklären und schwierige Entscheidungen zu treffen. Es gibt jedoch ein hartnäckiges Problem in der Art und Weise, wie Unternehmen diese Führungskräfte einstellen. Oftmals stimmen die Stellenbeschreibungen, die geschrieben werden, um Kandidaten anzuziehen, nicht mit der Realität überein, die die Rolle tatsächlich erfordert, oder mit der Unterstützung, die die Organisation bereit ist zu leisten. Dieses Missverhältnis kann dazu führen, dass sich neue Mitarbeiter verwirrt, ununterstützt und überfordert fühlen, noch bevor sie ihren ersten Arbeitstag antreten.

Ein Forscherteam aus München machte sich daran, diese Diskrepanz zu untersuchen, indem es die tatsächlichen Stellenanzeigen für CISO-Positionen in zwei großen Regionen untersuchte: den Vereinigten Staaten und der DACH-Region, die Deutschland, Österreich und die Schweiz umfasst. Sie sammelten eine riesige Sammlung von 720 Stellenausschreibungen und verglichen Anzeigen aus dem Jahr 2023 mit neueren Anzeigen aus dem Jahr 2026. Ihr Ziel war es nicht nur, Fähigkeiten zu zählen, sondern zu sehen, ob die in diesen Anzeigen gemachten Versprechen mit dem übereinstimmten, was Experten über den Druck und die Verantwortlichkeiten des Jobs wissen. Sie untersuchten alles – von den erforderlichen Abschlüssen und Jahren an Berufserfahrung bis hin zur Berichtsstruktur – also wem der CISO unterstellt ist – und dem Budget, das er kontrolliert. Indem sie diese Werbeanzeigen als Fenster betrachteten, durch das man sehen kann, was Unternehmen wirklich erwarten, deckten die Forscher eine Geschichte sich entwickelnder Anforderungen und struktureller Widersprüche auf, die die Sicherheit ganzer Organisationen gefährden könnten.

Die Studie zeigt, dass die Nachfrage nach CISOs zwar wächst, die Art und Weise, wie Unternehmen die Rolle definieren, jedoch oft inkonsistent und manchmal widersprüchlich ist. In den Vereinigten Staaten betonen Stellenanzeigen zunehmend geschäftliches Verständnis, Finanzmanagement und strategische Führung. Unternehmen dort verlangen eher einen CISO, der die Sprache des Vorstands spricht, ein Budget verwaltet und die Sicherheit in den allgemeinen Geschäftsplan integriert. Im Gegensatz dazu konzentrieren sich Anzeigen in der DACH-Region weiterhin stark auf technische Expertise. Während diese Anzeigen auch Führung erwähnen, legen sie einen viel stärkeren Schwerpunkt auf die Fähigkeit des Kandidaten, komplexe technische Systeme und spezifische Sicherheitsstandards zu handhaben. Diese regionale Spaltung deutet darauf hin, dass amerikanische Unternehmen den CISO als strategische Führungskraft sehen, während europäische Unternehmen die Rolle oft immer noch primär als erfahrene technische Expertenrolle betrachten.

Was die regionalen Unterschiede möglicherweise noch besorgniserregender macht, ist ein strukturelles Paradoxon, das im Laufe der Zeit entstanden ist. Die Forscher fanden heraus, dass Stellenanzeigen zunehmend mehr Verantwortung fordern, ohne die notwendige Autorität zu gewähren, um diese zu erfüllen. Im Jahr 2026 gaben eine signifikant höhere Anzahl von Anzeigen explizit an, dass der CISO Führungsverantwortung haben würde, was bedeutet, dass er für die Einstellung und Leitung eines Teams verantwortlich wäre. Die gleichen Anzeigen erwähnten jedoch selten, dass der CISO die Kontrolle über das Budget hätte, das nötig ist, um dieses Team zu bezahlen oder die Werkzeuge zu kaufen, die sie benötigen. Es ist, als würde ein Unternehmen einem Manager die Aufgabe geben, ein Haus zu bauen und die Arbeiter einzustellen, ihm aber dann verweigert, die Schlüssel zum Bankkonto oder die Vollmacht für den Kauf von Materialien zu geben. Dieser Mangel an Klarheit schafft eine Situation, in der Führungskräfte erwartet werden, Ergebnisse zu liefern, ihnen aber die Ressourcen verweigert werden, um dies zu tun – eine Dynamik, die laut den Forschern zu Verwirrung und Burnout führt.

Die menschlichen Kosten dieser unklaren Erwartungen werden immer schwerer zu ignorieren. Die Studie stellte fest, dass Stellenanzeigen zwar zunehmend „Stressresistenz“ und die Fähigkeit, unter Druck zu arbeiten, fordern, aber fast nie erklären, welche Unterstützungssysteme vorhanden sind, um dem CISO zu helfen, diesen Stress zu bewältigen. Es gibt kaum Erwähnungen von Coaching, Führungstraining oder klaren Protokollen für den Umgang mit dem intensiven Druck, der mit einer Cyber-Krise einhergeht. Tatsächlich versäumen es die Anzeigen oft zu spezifizieren, ob der CISO im Notfall vierundzwanzig Stunden am Tag verfügbar sein muss, obwohl Cyberangriffe jederzeit stattfinden können. Dieses Schweigen lässt die Kandidaten über die wahre Natur des Jobs rätseln, was potenziell zu einer Diskrepanz zwischen dem, was die Person erwartet, und dem, was das Unternehmen verlangt, führt.

Ein weiterer kritischer Befund betrifft den Weg nach oben. Damit ein CISO effektiv sein kann, benötigt er eine direkte Kommunikationslinie zu den höchsten Führungsebenen, wie etwa dem CEO oder dem Vorstand. Die Forscher fanden heraus, dass in der DACH-Region Stellenanzeigen eher eine direkte Berichtslinie zu den Top-Managern spezifizieren, mit einer signifikant höheren Prävalenz direkter Berichterstattung im Vergleich zu den Vereinigten Staaten. In den USA wird der CISO häufiger indirekt über eine andere Abteilung beschrieben, beispielsweise über den Chief Information Officer. Diese indirekte Struktur kann einen Interessenkonflikt erzeugen, da die Person, die für die Sicherheit verantwortlich ist, möglicherweise der Person untersteht, die für die Technologie-Systeme zuständig ist, die sie eigentlich prüfen soll. Die Studie legt nahe, dass diese Berichtsstruktur die Fähigkeit des CISO schwächen kann, der Macht die Wahrheit zu sagen und notwendige Sicherheitsmaßnahmen einzufordern.

Die Daten zeigen auch eine Verschiebung bei den Qualifikationen, die Unternehmen suchen. In der Vergangenheit bevorzugten Stellenanzeigen stark Kandidaten mit rein technischen Abschlüssen. Bis 2026 gab es eine spürbare Verschiebung hin zur Wertschätzung von Betriebswirtschaftsabschlüssen und umfangreicher Berufserfahrung. Unternehmen beginnen zu realisieren, dass die Leitung eines Sicherheitsteams mehr erfordert, als nur zu wissen, wie man programmiert; es erfordert das Verständnis dafür, wie ein Unternehmen Geld verdient und wie man Menschen führt. Doch selbst während die Anforderungen an Erfahrung und Ausbildung strenger geworden sind, ist die Transparenz hinsichtlich Gehalt und Ressourcen nicht Schritt gehalten. Viele Stellenanzeigen listen immer noch vage Gehaltsspannen auf oder lassen Gehaltsdetails ganz weg, und in der DACH-Region liegen die aufgeführten Gehälter oft unter den internationalen Benchmarks. Dieser Mangel an Klarheit kann hochqualifizierte Kandidaten davon abhalten, sich zu bewerben, wodurch Organisationen mit weniger Optionen für die Besetzung dieser kritischen Rollen zurückbleiben.

Letztendlich argumentieren die Forscher, dass die Art und Weise, wie Unternehmen Stellenanzeigen verfassen, ein Signal ihrer organisatorischen Absicht ist. Wenn diese Anzeigen vage, widersprüchlich oder nicht stimmig mit der Realität der Arbeit sind, legen sie den Grundstein für das Scheitern, noch bevor der Einstellungsprozess überhaupt begonnen hat. Die Studie behauptet nicht, dass jeder CISO genau unter diesen Bedingungen steht, aber sie hebt ein weit verbreitetes Muster hervor, bei dem das Versprechen vor der Einstellung nicht mit der operativen Realität übereinstimmt. Um dies zu beheben, schlagen die Autoren vor, dass Organisationen in ihren Stellenausschreibungen ehrlicher und spezifischer sein müssen. Sie müssen den Umfang der Autorität, die verfügbaren Ressourcen und die wahre Natur der Herausforderungen, denen der CISO gegenübersteht, klar definieren. Indem sie dies tun, können Unternehmen Kandidaten anziehen, die wirklich auf die Rolle vorbereitet sind, und ein Fundament für eine effektive Führung schaffen, die sowohl die Organisation als auch die Menschen in ihr schützt.