Upskilling statt Neueinstellungen: Wie Unternehmen den Cyber-Fachkräftemangel bewältigen

Upskilling statt Neueinstellungen wird 2026 zur Standardantwort auf den Cyber-Fachkräftemangel — nicht weil externe Suche unmöglich ist, sondern weil Märkte, Budgets und Technologiedruck gleichzeitig kippen. Die ISC2 Security Training Trends 2026 zeigen: Unternehmen investieren massiv in interne Entwicklung, kämpfen aber weiterhin mit Zeit und Priorisierung.

Vertiefung zur Besetzung: Cybersecurity Recruiting.
Markteinordnung: Cybersecurity-Fachkräftemangel einfach erklärt. Quellen:

• ISC2: Enterprise Training Trends (Juni 2026)
• ISC2 Cybersecurity Workforce Study 2025
• ISC2 Enterprise Training Trends Research Report 2026 (PDF)

Der Kern in einem Satz

Fast drei Viertel der Unternehmen erhöhen Trainingsbudgets — aber mehr als die Hälfte scheitert an Zeit, nicht an Geld. Wer den Fachkräftemangel nur mit Stellenanzeigen beantwortet, übersieht den stärksten Hebel vieler Organisationen: rollenbasiertes Upskilling mit klarer Priorisierung.

Warum Upskilling jetzt strategisch wird

Die ISC2 Workforce Study 2025 zeigt: 59 % berichten kritische oder signifikante Skill-Lücken — gegenüber 44 % im Vorjahr. 95 % nennen mindestens eine Lücke. Gleichzeitig melden viele Organisationen Budgetgrenzen beim externen Hiring. Das Muster ist klar:

• Externe Suche bleibt nötig für seltene Spezialrollen und Incident-Führung.
• Interne Entwicklung schließt breitere Lücken schneller und günstiger — wenn sie strukturiert läuft.
• AI und Cloud verschieben Prioritäten schneller als klassische Zertifikatsprogramme folgen können.

Upskilling ist damit keine HR-Nebenaktivität, sondern operative Resilienz.

AI als Trainings-Treiber Nummer eins

47 % der befragten Security-Leiter nennen Artificial Intelligence als wichtigste Trainingspriorität. 40 % erwarten, dass AI-Entwicklungen neue Trainingsbedarfe im nächsten Jahr auslösen; 28 % nennen explizit agentische AI. Für Unternehmen bedeutet das:

• Bestehende Teams brauchen AI-Literacy, nicht nur ein separates „AI Security Team“.
• Governance, Modellrisiken und Prompt-/Agent-Sicherheit gehören in bestehende Rollenprofile.
• Wer nur extern sucht, konkurriert um ein winziges Talentsegment — während interne Profile adaptierbar sind.

Cloud Security (44 %), Security Analysis (44 %) und Risk Assessment (40 %) folgen dicht — ein Hinweis auf hybride Skill-Profile, nicht auf isolierte Spezialisten.

Zeit ist die echte Barriere — nicht Budget

98 % erlauben Weiterbildung in Arbeitszeit. Trotzdem nennen 53 % Zeit und Terminplanung als größtes Hindernis. Nur 29 % berichten unzureichendes Budget. Die Praxislektion:

• Trainingsbudget ohne geschützte Lernzeit verpufft.
• Manager müssen Training als Delivery-Aufgabe behandeln, nicht als Freizeitprojekt.
• Quartalsweise Micro-Learning schlägt jährliche Block-Workshops, wenn der Betrieb nicht stoppt.

Rollenbasiert statt Einheits-Training

70 % der Organisationen passen Trainings an Rolle oder Funktion an; nur 3 % setzen vollständig standardisierte Programme für alle. Das ist der richtige Ansatz für heterogene Teams:

SOC und Detection

• Fokus auf Alert-Triage, Threat-Hunting-Basics, Kommunikation unter Druck.
• AI-Tools als Assistenz verstehen, nicht als Ersatz für Urteilsfähigkeit.

Engineering und Cloud

• Identity, Segmentation, CSPM-nahe Kontrollen.
• Hands-on Labs statt reiner Folien.

GRC und Nachweis

• Regulatorische Sprache in technische Maßnahmen übersetzen.
• Dokumentations- und Audit-Routinen trainieren.

OT-nahe Rollen

• OT-Security (32 % Trainingspriorität in ISC2-Daten) gezielt für Schnittstellenprofile.
• Shadowing in Betriebsumgebungen mit klaren Sicherheitsregeln.

Inhouse, Third Party — oder beides?

77 % nutzen eine Mischung aus internen und externen Anbietern, mit Tendenz zu Inhouse (63 % exklusiv oder überwiegend intern). 27 % teilen Aufwand gleichmäßig. Für Unternehmen heißt das:

• Inhouse sichert Kontext, Architektur und interne Policies.
• Third Party liefert Spezialtiefe, aktuelle Threat-Intel und Zertifizierungspfade.
• Hybrid-Formate (54 %) — physisch plus virtuell — passen zu verteilten Teams.

Häufige Fehler: externe Kurse buchen, ohne interne Anwendung zu planen; oder interne Schulungen ohne externe Qualitätsbenchmarks.

Wann Upskilling reicht — und wann nicht

Situation	Upskilling oft ausreichend	Externe Besetzung eher nötig
Cloud-Basics, IAM-Härtung	✓
AI-Literacy im bestehenden Team	✓
GRC-Dokumentation, Audit-Vorbereitung	✓
Incident-Lead unter Zeitdruck		✓
Seltene OT-Security-Spezialisten		✓
CISO-Nachfolge mit Board-Mandat		✓

Die Tabelle ist keine Dogma-Liste — sie hilft bei Priorisierung, wenn Budget und Zeit begrenzt sind.

90-Tage-Upskilling-Plan

Tage 1–30: Lücken sichtbar machen

• Top-5-Skill-Lücken je Funktion benennen (AI, Cloud, IR, OT).
• Rollenprofile mit Muss-Kriterien für 12 Monate schärfen.
• Lernzeit im Kalender blocken — nicht nur Budget freigeben.

Tage 31–60: Delivery starten

• Rollenbasierte Curricula mit internem Mentor.
• Externe Module für Spezialmodule (AI Security, Cloud).
• Monatliche Kurz-Reviews: Was wurde im Betrieb angewendet?

Tage 61–90: Wirkung messen

• Reduktion offener Skill-Tickets oder Audit-Findings tracken.
• Entscheiden: welche Lücken bleiben extern zu besetzen.
• Retention-Gespräche: sichtbare Entwicklungspfade kommunizieren.

Länderspezifika in Trainingsprioritäten

ISC2 zeigt deutliche Unterschiede: In UK und USA nennen 54–55 % AI als Top-Priorität; in Deutschland liegt AI bei 43 %, Cloud und Security Analysis bei 39 % gleichauf. Japan priorisiert SecOps stärker (39 %). Für international aufgestellte Unternehmen bedeutet das:

• globale Trainingskataloge funktionieren selten ohne lokale Anpassung,
• Deutschland braucht oft stärker OT- und Nachweis-Schwerpunkte,
• Indien und USA setzen stärker auf Cloud-Skalierung.

HR und CISO sollten Trainingsbudgets nicht nur global freigeben, sondern regional priorisieren — sonst trainiert das Unternehmen Skills, die im lokalen Betrieb nicht den größten Risikohebel haben.

Trainingswirksamkeit messen — nicht nur buchen

ISC2 zeigt: 86 % der Security-Leiter halten Programme für wirksam; 94 % fühlen sich „on track“ bei neuen Technologien. Das ist optimistisch — und nur belastbar, wenn Unternehmen Wirkung messen. Praxistaugliche Indikatoren:

• Anwendungsquote: Wie oft wurde Gelerntes innerhalb von 30 Tagen im Betrieb genutzt?
• Incident-Metriken: Hat sich Mean Time to Triage oder Escalation verbessert?
• Audit-Findings: Sinken wiederkehrende Nachweise-Lücken nach GRC-Training?
• Zertifizierungs-Follow-through: 50 % messen Effektivität über Zertifikatsraten — sinnvoll, wenn Zertifikate an Rollen gebunden sind.

Ohne Messung wird Upskilling zur Budgetzeile ohne Delivery-Hebel. CISOs sollten mindestens zwei KPIs pro Quartal mit L&D und HR teilen — nicht als Kontrolle, sondern als Priorisierungshilfe.

Häufige Umsetzungsfehler

1. Training ohne Mentoring: Kurse ohne internen Ansprechpartner verpuffen.
2. Generische Inhalte: Standard-Workshops ohne Rollenbezug.
3. Keine Freigabe von Zeit: 98 % erlauben Weiterbildung — 53 % scheitern an Terminen.
4. Kein Link zu Hiring: Interne Entwicklung und externe Suche laufen getrennt statt als Workforce-Plan.

Verbindung zum Arbeitsmarkt

Upskilling ersetzt nicht Recruiting — es entlastet es. Wer intern AI- und Cloud-Kompetenz aufbaut, sucht extern gezielter nach echten Speziallücken. Marktüberblick: Cybersecurity-Arbeitsmarkt 2026.

Fazit

ISC2 zeigt 2026 ein klares Bild: Budgets steigen, AI dominiert Trainingsagenden, Zeit bleibt die harte Währung. Unternehmen, die den Cyber-Fachkräftemangel nur mit Neueinstellungen adressieren, verlieren Geschwindigkeit. Wer rollenbasiertes Upskilling mit externer Suche kombiniert, baut belastbarere Teams — und senkt Abhängigkeit von einem Markt, der nicht schneller wächst als die Bedrohungslage.