Eine Stellenausschreibung für einen Head of Security ist keine Einstellung. Sie ist eine Lücke.

Auf einer einzigen Seite einer vietnamesischen Jobbörse diese Woche: zwanzig Cybersecurity-Stellen, zwanzig Plattform-Stellen, zwanzig KI-Stellen – mehrere davon innerhalb eines Tages veröffentlicht. Jede Anzeige ist ein Unternehmen, das eingesteht, dass Arbeit existiert und niemand sie bisher erledigt. Diese Lücke ist der eigentliche Markt.

Öffne diese Woche ein Stellenportal in Vietnam und zähle. Eine Seite mit ITviec-Anzeigen zeigte zwanzig Cybersecurity-Rollen, zwanzig Plattform- und DevOps-Rollen, zwanzig KI-Engineering-Rollen und sieben dedizierte Fintech-Positionen. Mehrere waren in den vorangegangenen achtzehn Stunden veröffentlicht worden. Ein Leiter der Informationssicherheit bei einem Wertpapierunternehmen. Ein CISO bei einem Zahlungsunternehmen. Anwendungssicherheitsingenieure, Compliance-Beauftragte, Netzwerkspezialisten bei zwei Banken.

Talentnachfrage ist die übliche Lesart, und sie stimmt. Aber es gibt eine zweite Lesart, die für alle, die Software kaufen, mehr zählt: Eine Stellenausschreibung für eine leitende Sicherheitsposition ist eine öffentliche Erklärung, dass Arbeit existiert und noch niemand sie verantwortet.

Was eine offene Stelle tatsächlich kostet

Ein Leiter der Informationssicherheit ist nicht ein Sitz in einem Raum. Die Rolle verantwortet ein Programm: welche Systeme überprüft werden, was passiert, wenn ein Anbieter eine neue Integration ausliefert, wer gegenüber der Aufsichtsbehörde antwortet, wie ein Vorfall um 02:00 eskaliert wird und ob der Zahlungsablauf, der letzten Monat live ging, jemals einer Bedrohungsmodellierung unterzogen wurde.

Wenn dieser Platz leer ist, pausiert die Arbeit nicht. Sie stellt sich in die Warteschlange.

Die Warteschlange ist nicht theoretisch. In den vergangenen zwei Wochen berichtete diese Publikation über eine französische Bank, die rund 100 Millionen Euro über ihre eigenen autorisierten Zahlungswege verlor, und über einen Binance-Vorfall, der mit einem gefälschten Vorstellungsgespräch und einem vergifteten Entwicklerpaket begann. Keines davon war ein Firewall-Ausfall. Beide waren Fehler in einem Prozess, den ein Sicherheitsprogramm eigentlich verantworten sollte – eine Anweisung zu autorisieren und zu prüfen, was Entwickler installieren.

Ein Unternehmen, das einen CISO einstellt, ist nicht zwangsläufig in Schwierigkeiten. Ein Unternehmen, das im selben Monat einen CISO und einen Application-Security-Engineer und einen Compliance-Beauftragten einstellt, signalisiert, dass sein Programm von Grund auf und schnell aufgebaut wird.

Warum Einstellungen allein es nicht lösen

Drei Dinge machen den Weg, ausschließlich auf Einstellungen zu setzen, langsamer, als er aussieht.

Einstellungen von Führungskräften im Sicherheitsbereich dauern Monate. Ein Head of Information Security oder ein CISO ist eine Entscheidung im sechsstelligen Bereich mit einer Auswahlliste von vielleicht zwanzig glaubwürdigen Kandidaten im Land. Von der Ausschreibung bis zur Produktivität wird in Quartalen gemessen, nicht in Wochen.

Die ersten neunzig Tage sind Erkundung. Eine neue Sicherheitsverantwortliche verbringt die erste Zeit damit, Systeme zu erfassen, Verantwortliche zu finden und Verträge zu lesen. Das ist notwendige Arbeit, und es ist zugleich die Phase, in der nichts behoben wird.

Eine Person ist kein Programm. Selbst eine starke Neueinstellung erbt einen Rückstand: nicht gepatchte Dienste, nicht dokumentierte Integrationen, Lieferantenzugriffe, die niemand überprüft hat, und einen Prozess für sichere Entwicklung, der nur in einer Präsentation existiert. Das Abarbeiten dieses Rückstands ist Umsetzungsarbeit, nicht Führungsarbeit – und sie erfordert mehr Hände, als die Rolle bietet.

Der Fehler, den Käufer machen

Der Instinkt ist, dies als Personalproblem zu behandeln: Wir brauchen eine Sicherheitsperson, also stellen wir eine ein. Das Ergebnis ist eine erfahrene Person, die ihr erstes Jahr als sehr teurer Projektmanager für Arbeit verbringt, für die nie Ressourcen bereitgestellt werden.

Die Alternative besteht darin, zwei Fragen zu trennen, die sonst zusammengebündelt werden:

Wer verantwortet das Sicherheitsprogramm? Das ist eine Neueinstellung. Es sollte eine Neueinstellung sein.
Wer erledigt den Arbeitsrückstand, den das Programm steuern wird? Das ist Kapazität, und sie muss nicht in derselben Form kommen.

Nur die erste Frage zu beantworten, führt dazu, dass Unternehmen einen CISO haben und keinen Fortschritt. Nur die zweite zu beantworten, führt dazu, dass ein Anbieter Arbeit erledigt, die niemand verantwortet.

Wo ABN Asia hineinpasst

ABN Asia entwickelt und sichert Software in drei Bereichen: KI-Systeme, Banking- und Payment-Engineering sowie Netzwerk- und Anwendungssicherheit. Ein Großteil unserer Arbeit liegt genau in der oben beschriebenen Lücke – der Phase zwischen „wir wissen, dass das behoben werden muss“ und „die verantwortliche Person hat begonnen“.

In der Praxis bedeutet das zwei Arten der Zusammenarbeit mit uns.

Begleitend zur Einstellung. Ein Security-Review mit festem Umfang oder ein Delivery-Squad läuft jetzt, erstellt die Artefakte, die ein neuer Security-Lead sonst ein Quartal lang zusammenstellen müsste – Architekturübersicht, Bedrohungsmodell, priorisierte Feststellungen, eine Checkliste für sichere Entwicklung – und übergibt sie, sobald die Stelle besetzt ist. Die neue Kraft startet mit einem bereits entworfenen Programm statt mit einem leeren Blatt.

Statt der Neueinstellung – für den Umsetzungsteil. Wo die Stelle wirklich schwer zu besetzen ist, übernimmt ein eingebettetes Team die Engineering-Arbeit: den Zahlungsweg absichern, Drittanbieter-Integrationen prüfen und den Prüfprozess in die Pipeline integrieren, sodass er nicht mehr nur ein quartalsweises Ereignis ist.

Wir behaupten bewusst nicht, dass ein Anbieter eine Sicherheitsverantwortliche oder einen Sicherheitsverantwortlichen ersetzt. Das tut er nicht. Jemand im Unternehmen muss das Risiko verantworten, Ausnahmen abzeichnen und sich der Aufsichtsbehörde stellen. Was wir beseitigen, ist die Ausrede, dass nichts geschehen kann, bis diese Person anfängt.

Wie es weitergeht

Wenn in Ihrem Team eine Stelle im Sicherheits- oder Zahlungsbereich offen ist, lautet die ehrliche Frage nicht, ob Sie einstellen sollten – sondern, was in der Zwischenzeit läuft. ABN beginnt mit einem schriftlichen Briefing, dann folgt ein dreißigminütiges Telefonat, danach ein Angebot mit festem Leistungsumfang und einer schriftlichen Kostenschätzung innerhalb von drei Werktagen. Es wird kein Preis genannt, bevor der Leistungsumfang konkret ist.

Die Stellenanzeigen sind öffentlich. Die Lücke, die sie beschreiben, ist kein Geheimnis, und sie ist keine Kritik an den Unternehmen, die einstellen. Sie zeigt schlicht, wo die Arbeit liegt.

Quellen: Öffentliche Stellenanzeigen von ITviec, Momentaufnahme vom 7. November 2026 (20 Cybersecurity-, 20 Platform-/DevOps-, 20 KI- und 7 Fintech-Stellen auf einer einzigen Seite); die Berichterstattung dieser Publikation über den Vorfall bei Crédit Mutuel Arkéa (5. November 2026) und den Vorfallbericht zu Binance.

Bitte beachten Sie, dass die deutsche Version von Ai unterstützt wird und daher geringfügige Fehler auftreten können.

AUTOR

Über ABN Asia: Ai-Banking-NetworkSecurity (ABN), ABN Asia wurde im Jahr 2012 gegründet und ist ein Unternehmen mit akademischem Hintergrund, das von Lehrkräften und ehemaligen Studierenden aus Ungarn, den Niederlanden, Russland, Deutschland und Japan gegründet wurde. Wir teilen eine gemeinsame Leidenschaft und eine klare Vision für Technologie, die Innovation und erstklassige Qualität für unsere Kunden bringt. Unser Motto lautet: Besser. Schneller. Sicherer. In vielen Fällen: Günstiger.

Zögern Sie nicht, uns zu kontaktieren, wenn Sie IT-Dienstleistungen, digitale Beratung, Standardsoftwarelösungen benötigen oder uns Angebotsanfragen (RFPs) senden möchten. Sie können uns unter [email protected] kontaktieren. Wir sind bereit, Ihnen bei all Ihren Technologiebedürfnissen zu helfen.