Skill-based Hiring in der IT: Warum Kompetenzen wichtiger werden als Abschlüsse

Skill-based Hiring — Einstellung nach nachweisbaren Kompetenzen statt primär nach Abschluss, Arbeitgeberhistorie oder Jobtitel — ist in der IT längst kein Nischentrend mehr. Fachverbände und Marktforschung, darunter Einordnungen wie ISC2: Aligning skills, people and hiring in cybersecurity, betonen: Organisationen müssen Fähigkeiten, Rollen und Risiko verzahnen — nicht nur Stellen mit generischen Anforderungskatalogen füllen.

Dieser Artikel erklärt, warum Kompetenzen in IT und Cybersecurity wichtiger werden als formale Credentials, wie Capabilities vs. Titles in der Praxis aussehen und was risikoorientierte Besetzung sowie Soft Skills dazu beitragen. Das Cybersecurity-Beispiel ist auf breites IT-Hiring übertragbar — mit den üblichen Einschränkungen in regulierten Umfeldern.

Für Security-Mandate: Cybersecurity Recruiting. Marktkontext: Cybersecurity-Fachkräftemangel einfach erklärt.

1. Warum Abschlüsse allein den IT-Markt nicht mehr abbilden

Der klassische Filter „Studium Informatik, Master bevorzugt“ schien lange rational: formaler Nachweis, vergleichbare Grundlagen, geringeres Auswahlrisiko. Drei Entwicklungen untergraben das Modell:

1. Beschleunigter Technologiewechsel — relevante Skills veralten schneller als Curricula aktualisiert werden.
2. Alternative Lernpfade — Bootcamps, Zertifizierungen, Open Source und On-the-job-Spezialisierung produzieren praxisfähige Profile ohne klassischen Abschluss.
3. Struktureller Fachkräftemangel — wer nur Abschluss-Filter nutzt, verkleinert den Kandidatenpool in Engpassberufen künstlich.

Skill-based Hiring bedeutet nicht „Abschlüsse ignorieren“. Es bedeutet: Muss-Kriterien an Outcomes und nachweisbaren Skills ausrichten — und Abschlüsse dort, wo sie echten Mehrwert oder Compliance-Nachweis liefern, als Kann- oder Pflichtkriterium behalten.

Praktische Nachweisformen, die in IT-Mandaten zunehmend akzeptiert werden:

• Technische Assessments — begrenzte Zeit, realistische Aufgabe (z. B. Incident-Triage-Szenario, Code-Review, Architektur-Skizze)
• Projektportfolios — mit klaren Rollenangaben, nicht nur Screenshots
• Zertifikate mit Praxisbezug — z. B. hands-on Labs statt rein theoretischer Multiple-Choice-Prüfungen
• Strukturierte Referenzgespräche — zu konkreten Deliverables, nicht zu allgemeiner „Leistung“

Der Aufwand lohnt sich vor allem bei Rollen mit hohem Vacancy Risk — dort verhindert ein schlechter Hire mehr Schaden als ein zusätzlicher Assessment-Schritt Zeit kostet.

Für Hiring Manager bedeutet das eine kulturelle Umstellung: weniger „Pedigree“, mehr Nachweisdialog im Interview. Fragen wie „Beschreiben Sie den schwierigsten Incident, den Sie mitverantwortet haben“ oder „Welche Trade-offs haben Sie in dieser Architektur bewusst akzeptiert?“ trennen Capabilities von Titel-Inflation effektiver als Keyword-Listen.

2. Capabilities vs. Titles: Was zählt in der Auswahl?

Ein häufiger Recruiting-Fehler: Auswahl nach letztem Jobtitel statt nach Fähigkeit zur Leistung. „Senior Security Analyst“ bei Arbeitgeber A kann Incident Triage bedeuten; bei Arbeitgeber B SOC-Engineering mit Automatisierung. Titel sind schwache Proxies.

Capabilities-orientiertes Hiring fragt:

• Welche konkreten Aufgaben muss die Person in den ersten zwölf Monaten liefern?
• Welche technischen und nicht-technischen Fähigkeiten sind dafür nötig?
• Welche Nachweise akzeptieren wir — Code, Runbooks, Zertifikate, Referenzgespräche?

In Cybersecurity-Forschung und Praxisberichten (ISC2 und vergleichbare Quellen) wird wiederholt betont: Rollen müssen an Fähigkeitsrahmen gekoppelt werden — z. B. European Cybersecurity Skills Framework (ECSF) — statt an vage Schlagworte. Das lässt sich auf Cloud, Data Engineering oder DevOps übertragen, wo ebenfalls Skills-Frameworks und klare Level-Definitionen helfen.

3. Risikoorientierte Besetzung: Nicht jede Stelle gleich schärfen

Skill-based Hiring ohne Priorisierung führt zu Over-Engineering: Jedes Profil wird zum Maximum-Katalog, jede Rolle zum Einzelfall — Time-to-Fill explodiert. Risikoorientierte Besetzung (risk-aligned hiring) verbindet Skills mit Geschäfts- und Compliance-Risiko:

• Hohes Risiko (z. B. produktionsnahe Security, Incident Lead, Architektur mit Single Point of Failure): enge Muss-Skills, tiefes Assessment, ggf. formale Credentials.
• Mittleres Risiko (z. B. Entwicklung mit Security-by-Design, interne Plattformteams): breiterer Skill-Korridor, stärkeres Gewicht auf Lernfähigkeit.
• Niedrigeres Risiko (mit klarem Entwicklungspfad): interne Qualifizierung und Mentoring vor externer Vollbesetzung.

ISC2 und ähnliche Fachquellen ordnen Cybersecurity-Hiring explizit an Bedrohungslage und Organisationsreife — nicht an generische Stellenlisten. Dasselbe Prinzip gilt für IT: Priorisieren Sie Skills-Tiefe dort, wo Leerstand teuer wird.

4. Soft Skills: Keine Floskel bei IT- und Security-Rollen

Technische Skills öffnen die Tür — Soft Skills entscheiden oft über Wirksamkeit, besonders in Security und an der Schnittstelle Business–Technik:

• Kommunikation — Risiken für Nicht-Techniker:innen übersetzen, ohne zu vereinfachen
• Urteilsvermögen — unter Unsicherheit und Zeitdruck priorisieren (Incident, Change-Fenster)
• Stakeholder-Management — zwischen Compliance, Fachbereich und IT vermitteln
• Integrität und Verantwortungsbewusstsein — in sicherheitskritischen Rollen nicht delegierbar

Skill-based Hiring, das nur Code und Zertifikate prüft, übersieht diese Dimension. Sinnvolle Praxis: strukturierte Interviews mit Szenarien, Referenzen zu nicht-technischen Situationen, klare Erwartungen im Stellenprofil — nicht „teamfähig“ als leeres Adjektiv.

5. Cybersecurity als Blaupause — übertragbar auf IT

Die Cybersecurity-Debatte ist hier besonders klar, weil Skills-Lücken und Regulatorik gleichzeitig drücken. Übertragbare Lehren für breites IT-Hiring:

1. Rollen an Frameworks ausrichten — ECSF für Security; für andere Domänen vergleichbare Skills-Matrizen oder interne Level-Modelle.
2. Nachweise diversifizieren — Labs, Capture-the-Flag, Projektportfolios neben formalen Abschlüssen.
3. Interne Entwicklung koppeln — Upskilling dort, wo Risiko mittel und Potenzial intern vorhanden.
4. Externes Recruiting für echte Lücken — wenn interne Pipeline und Inbound nicht reichen.

Vertiefung zum Security-Arbeitsmarkt: Cybersecurity-Fachkräftemangel. Für IEC/OT-Kontexte: IEC 62443 Recruiting.

Optional: Skill-based Hiring und Compliance

In regulierten Branchen können bestimmte Nachweise gesetzlich oder vertraglich vorgeschrieben sein. Skill-based Hiring ergänzt — ersetzt nicht — diese Pflichten. Klären Sie Anforderungen mit Fachjurist:innen und Compliance; dieser Artikel ist keine Rechtsberatung.

6. KPIs: Erfolg messen, nicht nur umstellen

Umstellung auf Skill-based Hiring ohne Metriken ist Blindflug. Relevante Recruiting-KPIs:

• Time-to-Hire und Time-to-Fill — siehe Recruiting KPIs: Time-to-Hire
• Qualifizierte Shortlist-Rate — wie viele vorgestellte Profile bestehen das Fachgespräch?
• Offer-Acceptance — Indikator für Rollenfit und Prozessqualität
• Probezeit- und Fehlbesetzungs-Feedback — ob Skills-Prognose in der Praxis trägt

Fazit

Skill-based Hiring in der IT verschiebt die Frage von „Welchen Abschluss hat die Person?“ zu „Kann sie die geforderte Leistung nachweisen — und passt sie zum Risikoprofil der Rolle?“. Capabilities schlagen Titel, wenn Rollen klar sind; Soft Skills und risikoorientierte Besetzung verhindern, dass Skills-First zu Beliebigkeit wird.

Cybersecurity liefert die schärfste Blaupause, weil Markt und Regulatorik keine Kompromisse dulden — die Logik gilt für Cloud, Data, Engineering und Plattform-Rollen gleichermaßen. Wer Kompetenzen ernst nimmt und mit Governance sowie KPIs verbindet, gewinnt Geschwindigkeit und Qualität gegenüber rein credential-getriebenem Recruiting.