Die durchschnittliche Amtszeit eines Chief Information Security Officers (CISO) ist auf 18 Monate gesunken. Dieser Rückgang ist nicht allein auf die zunehmende Komplexität der Bedrohungslage zurückzuführen, sondern wird maßgeblich durch zwei Faktoren beschleunigt: das Aufkommen neuer KI-Modelle und die verschärfte persönliche Haftung für Cybervorfälle. Unternehmen stehen damit vor einem doppelten Problem: Sie müssen nicht nur erfahrene Sicherheitsentscheider ersetzen, sondern tun dies häufig mit weniger erfahrenen Mitarbeitern, die selbst einem höheren Burnout-Risiko ausgesetzt sind.
Die Rolle des CISO: Zwischen Feuerwehr und Haftungsfalle
Die Erwartungen an einen CISO sind extrem: Er muss rund um die Uhr verfügbar sein, als humanes Frühwarnsystem agieren und gleichzeitig die Geschäftsleitung beruhigen. Gadsby, ein erfahrener Sicherheitsexperte, vergleicht die Rolle mit der eines Feuerwehrmanns, der zu jeder Tages- und Nachtzeit in Bereitschaft steht. „Man muss schon eine besondere Person sein, um diesen Job machen zu wollen”, stellt er klar. Die Belastung ist systemisch: Jede unbekannte IT-Umgebung erfordert eine lange Einarbeitungszeit, doch die Dynamik der Bedrohungslage lässt dafür kaum Raum. Neue CISOs geraten sofort unter Druck, was das Risiko von Fehlentscheidungen erhöht und die Fluktuation weiter antreibt.
KI-Modelle als Brandbeschleuniger
Die Integration von KI in Unternehmensprozesse hat die Angriffsfläche massiv vergrößert. „Die durchschnittliche Amtszeit eines CISOs beträgt mittlerweile 18 Monate”, bestätigt IDC-Analyst Chris Kissel. „Persönliche Haftungsrisiken für Cybervorfälle und die neuen Frontier-KI-Modelle tragen nicht dazu bei, diese Zeitspanne zu erhöhen – für CISOs ist es eine neue, beängstigende Welt.” KI-gestützte Angriffe sind nicht nur schneller, sondern auch schwerer nachvollziehbar. Ein CISO muss heute nicht mehr nur traditionelle Malware abwehren, sondern auch die Risiken von generativer KI, Datenvergiftung und automatisierten Social-Engineering-Kampagnen managen. Diese zusätzliche Komplexität führt dazu, dass viele Sicherheitsverantwortliche die Position vorzeitig aufgeben.
Haftung als Karrierekiller
Was CISOs besonders umtreibt, ist die Frage der persönlichen Haftung. Immer mehr Aufsichtsbehörden und Gerichte machen Sicherheitsverantwortliche persönlich für Datenpannen und Compliance-Verstöße verantwortlich. „Wenn ich für einen Angriff hafte, den ich nicht verhindern konnte, weil das Budget nicht ausreicht oder die Belegschaft nicht mitzieht, wird der Job unhaltbar”, so die implizite Logik vieler Betroffener. Chris Kissel schlägt vor, die Mindestanforderungen für verantwortungsbewusstes Handeln durch Aufsichtsbehörden klar zu definieren. Nur wenn CISOs verbindliche Leitplanken haben, können sie ihre Arbeit ohne existenzielle Angst ausüben. Zudem müssten sie weitestgehend von persönlichen Haftungsrisiken befreit werden – ein Vorschlag, der in der Branche kontrovers diskutiert wird.
Der Teufelskreis der Rekrutierung
Oliver Legg, Mitbegründer und Recruiter bei der auf IT-Security spezialisierten Beratung Aspiron Search, beobachtet diesen Trend aus nächster Nähe. Die Suche nach einem CISO ist heute schwieriger denn je, weil Kandidaten die Risiken genau kennen. „Potenzielle CISOs zögern, weil sie wissen, dass sie im Zweifel persönlich haften”, erklärt Legg. Unternehmen, die einen CISO verlieren, stehen oft vor der Wahl, eine externe, teure Interimsbesetzung zu engagieren oder einen internen Security-Ingenieur zu befördern, der mit der plötzlichen strategischen Verantwortung überfordert sein kann. In beiden Fällen entsteht ein Vakuum, das die Sicherheitslage des Unternehmens schwächt. Die Einarbeitungszeit des neuen CISOs wird zur kritischen Phase, in der Fehler besonders schwer wiegen.
Wie Unternehmen die CISO-Fluktuation stoppen können
Die Lösung liegt nicht allein in besserer Bezahlung oder kleineren Teams. Es braucht einen strukturellen Wandel in der Unternehmensführung. Drei zentrale Hebel zeichnen sich ab:
1. Klare Haftungsregeln und Versicherungslösungen. Unternehmen sollten mit ihrem CISO verbindliche Haftungsfreistellungen vereinbaren und gleichzeitig Manager-Haftpflichtversicherungen abschließen, die auch Cyber-Vorfälle abdecken. Solche Schutzmechanismen sind in den USA bereits Standard, in Deutschland jedoch noch die Ausnahme.
2. KI-Governance als Chefsache. Die Verantwortung für KI-Risiken darf nicht ausschließlich beim CISO liegen. Es müssen bereichsübergreifende Gremien geschaffen werden, in denen auch die Geschäftsleitung, die Rechtsabteilung und die Facheinheiten die Risiken mittragen. Nur so kann verhindert werden, dass der CISO allein die Verantwortung für unvermeidbare KI-Pannen trägt.
3. Mentoring und Resilienzprogramme. Die hohe Belastung des CISO-Jobs erfordert gezielte Unterstützung. Unternehmen sollten ihren Sicherheitsverantwortlichen nicht nur technische Ressourcen, sondern auch Coachings, externe Beratungsressourcen und eine klare Begrenzung der Arbeitszeit zur Verfügung stellen. Eine Kultur der psychologischen Sicherheit auf Führungsebene ist essenziell.
Die 18-monatige Amtszeit ist kein unabänderliches Schicksal. Sie ist ein Symptom für eine strukturelle Überlastung, die durch KI und Haftungsfragen massiv verstärkt wird. Wer heute einen CISO sucht, muss bereit sein, nicht nur das Gehalt, sondern die komplette Aufstellung der Sicherheitsorganisation zu überdenken. Nur wer die Rahmenbedingungen für diese Schlüsselrolle grundlegend verbessert, wird die Fluktuation in den Griff bekommen und langfristig Sicherheitsexperten halten können. Der Druck auf die Branche wird weiter steigen – doch mit den richtigen Weichenstellungen lässt sich die Feuerwehrarbeit in eine strategische Führungsaufgabe verwandeln.
