Zwei Einkommensquellen für Offensive-Security-Fachkräfte sind im selben Monat versiegt. Auf staatlicher Seite hat die CISA 2025 rund 1.000 Mitarbeiter verloren – etwa 29 Prozent ihrer Belegschaft –, und ihre Red-Team-Operationen wurden aufgelöst. Auf der Gig-Seite hat Huntr am 30. Juni 2026 aufgehört, neue Open-Source-Bug-Bounty-Einreichungen anzunehmen, und damit den Einstieg gekappt, über den Tausende unabhängiger Forscher ein Portfolio aufbauten und sich etwas dazuverdienten. Gleichzeitig steigt die Nachfrage nach genau diesem Profil. Wenn Sie einen Sicherheitsforscher, Red Teamer oder Vulnerability Researcher brauchen, sind die Fachkräfte gerade jetzt auf dem Markt – und die Startups mit dem schnellsten, am besten strukturierten Einstellungsprozess gewinnen sie, nicht die mit der größten Marke oder dem größten Budget. ## Zwei Einkommensquellen für Offensive-Security-Talente sind im selben Monat weggebrochen Das Ungewöhnliche an diesem Moment: Zwei unabhängige Angebotskanäle sind gleichzeitig geschrumpft. Keiner dieser beiden Schocks ist spekulativ. Beide sind dokumentiert, und zusammen drängen sie erfahrene Offensive-Security-Leute innerhalb weniger Wochen aus zwei Einkommensströmen. ### Die staatliche Seite: Die CISA hat rund 1.000 Mitarbeiter verloren (und was „2.800“ wirklich bedeutet) Die CISA startete ins Haushaltsjahr 2025 mit rund **3.400 Beschäftigten**. Im Laufe des Jahres 2025 verlor sie rund **1.000 Personen – etwa 29 Prozent der Belegschaft** – und schrumpfte auf etwa 2.200, durch eine Mischung aus Abfindungen, Frühverrentungen, Entlassungen und DOGE-getriebenen Kürzungen. Ihre Red-Team-Operationen wurden dabei aufgelöst. Der Personalschwund wird von [Cybersecurity Dive](https://www.cybersecuritydive.com/), [CyberScoop](https://cyberscoop.com/cisa-workforce-cuts-concerns-cybersecurity-panel-rsac-2025/) und Axios bestätigt, das die Reduzierung als Kürzung der Gesamtbelegschaft der Behörde um fast ein Drittel beschrieb. Möglicherweise ist Ihnen die Zahl „2.800“ im Zusammenhang mit diesen Kürzungen begegnet. Es lohnt sich, sie richtig einzuordnen, denn sie wird leicht falsch verstanden. Laut einer Anhörung im Kongress am 3. Juni 2026 ist **2.800 eine geplante Sollstärke**, unterhalb der genehmigten Kapazität von rund 3.400. Es ist nicht die Zahl der abgebauten Stellen. Zusätzlich zu den bereits vollzogenen Kürzungen sieht der Haushaltsentwurf der Regierung für das Haushaltsjahr 2027 vor, mehr als **700 Millionen US-Dollar** bei der CISA zu streichen, so [Daily Security Review](https://dailysecurityreview.com/cyber-security/cisa-faces-700m-more-cuts-as-mullin-signals-restructure/). Die korrekte Einordnung lautet also: rund 1.000 Personen bereits weg, etwa 29 Prozent der Belegschaft, und zusätzlich über 700 Millionen US-Dollar an weiteren Kürzungen geplant. Das ist eine echte Schrumpfung. Sie muss nicht zu „2.800 Entlassungen“ aufgebläht werden – und das sollte sie auch nicht. ### Die Gig-Seite: Huntr hat sein OSS-Bug-Bounty geschlossen und auf KI-Red-Teaming umgeschwenkt Huntr war einer der gängigsten Einstiege für Nachwuchs- und unabhängige Forscher, um echte Open-Source-Schwachstellen zu finden, dafür bezahlt zu werden und sich einen öffentlichen Leistungsnachweis aufzubauen. Am 8. Juni 2026 kündigte das Unternehmen den Übergang zu „Huntr 2.0“ an, mit neuem Fokus auf KI-Sicherheitsherausforderungen. Der Zeitplan ist knapp und verbindlich: - **30. Juni 2026:** keine neuen Einreichungen mehr für das OSS-Schwachstellenprogramm. - **31. Juli 2026:** alle OSS-Einreichungen gesperrt; noch nicht bearbeitete Meldungen verfallen. - **30. August 2026:** historische Schwachstellendaten bleiben bis zu diesem Datum zugänglich, ein Zugriff nach Oktober 2026 ist nicht garantiert. Huntr positioniert sich nun als Wettbewerbsplattform mit Challenge-Charakter, um die Grenzen von KI-Systemen auszutesten, so die [Huntr-2.0-FAQ](https://blog.huntr.com/huntr-2-0-faq) und [huntr.com](https://huntr.com/). Der klassische Einstieg über OSS-Prämien schließt seine Türen. Das menschliche Gesicht dahinter ist leicht zu finden. Wie [LoSec Research](https://losec.io/blog/the-final-days-of-huntr-oss) dokumentiert, wählte ein Forscher am 22. Juni NLTK als Ziel, fand am nächsten Tag drei Schwachstellen, ließ alle drei bis zum 4. Juli bestätigen und verdiente **insgesamt 1.625 US-Dollar** – eingereicht kurz vor Torschluss. Multiplizieren Sie das mit den vielen Forschern, die Huntr als Nebenverdienst nutzten, und Sie haben eine ganze Gruppe qualifizierter Leute, die gerade eine Einkommensquelle und die Möglichkeit zum Portfolioaufbau verloren haben. ## Und gleichzeitig steigt die Nachfrage nach genau diesem Profil Die Angebotsseite ist nur deshalb relevant, weil sich die Nachfrageseite in die entgegengesetzte Richtung bewegt. Offensive-Security-Rollen gelten als ausgewiesener Einstellungstrend 2026, und für genau dieses Profil sind gerade jetzt offene Stellen ausgeschrieben. ### Offene Stellen – und warum sie sich langsam bewegen Zwei konkrete Beispiele zeigen, wo sich die Nachfrage bündelt: - **ManTech** sucht **CNO-Vulnerability-Researcher (Computer Network Operations)** in Herndon (Virginia) und Fort Meade (Maryland) sowie CNO-Entwickler mit C/C++, Python, Assembler und Reverse Engineering. - **Apple** hat eine offene Stelle als **Vulnerability Researcher in SEAR** (Security Engineering and Architecture) auf jobs.apple.com ausgeschrieben. Das sind starke Arbeitgeber mit starken Marken. Sie sind aber auch langsam. Rüstungskonzerne und Big Tech betreiben lange, mehrstufige, oft an Sicherheitsfreigaben gekoppelte Prozesse, die sich in Wochen bis Monaten bemessen. Genau diese Lücke nutzt ein Startup. Sie können ManTech nicht bei der Marke überbieten und einen Bundesauftragnehmer nicht bei den Sicherheitsfreigaben ausstechen – aber Sie können sich innerhalb von 48 Stunden melden, während deren Ausschreibung noch in Schritt zwei steckt. ### Der größere Marktzusammenhang Über die genannten Ausschreibungen hinaus ist das Marktbild einheitlich. Es gibt rund **470.000+** Stellenanzeigen im Sicherheitsbereich mit etwa **12 Prozent** jährlichem Wachstum, dem eine hartnäckige globale Fachkräftelücke gegenübersteht, die oft mit rund **4,8 Millionen** Personen beziffert wird. Offensive- und Pentest-Rollen erzielen die höchsten Gehälter im Feld, häufig **200.000+ US-Dollar**, deutlich über dem allgemeinen Durchschnitt eines „Security Researchers“ von rund 90.800 US-Dollar. Verstehen Sie diese Zahlen als Richtungsangabe, nicht als exakte Werte – die Richtung ist jedoch eindeutig: Nachfrage steigt, ein Teil des Angebots ist verknappt. Auch auf der Defensive-Seite herrscht Druck. Microsoft liefert **an einem typischen Patch Tuesday über 130 CVEs** aus, Monat für Monat, was die Personaldecke für SOC und Patch-Sichtung bei MSPs dünn hält. Dieses konstante Volumen erhöht den Gesamtdruck auf die Sicherheitsbesetzung – leise und kontinuierlich. ## Warum Tempo Ihr Vorteil in einem Angebotsschock ist Jetzt kommt der kontraintuitive Teil. In einem Angebotsschock am Talentmarkt ist der begrenzende Faktor dafür, neu verfügbare Leute *einzufangen*, weder Budget noch Marke. Es ist die **Prozesslatenz** – die Zeit zwischen dem Moment, in dem sich ein Kandidat meldet, und dem Moment, in dem Sie entscheiden. Überlegen Sie, gegen wen Sie antreten. Die Rüstungskonzerne und Großunternehmen, die dieses Talent aufsaugen, betreiben Prozesse, die Wochen dauern. Ein Forscher, der *in diesem Quartal* zwischen zwei Einkommensquellen steht, will nicht sechs Wochen auf eine Antwort warten. Die Organisation, die innerhalb von 48 Stunden eine strukturierte, respektvolle erste Rückmeldung schickt und in weniger als zwei Wochen entscheidet, gewinnt diese Person – selbst gegen einen größeren Namen, der mehr zahlt. Tempo ist die eine Dimension, in der ein Startup mit 20 Leuten einen Auftragnehmer mit 20.000 Leuten glatt schlagen kann. Die Falle: „Schnell“ bedeutet meist „schludrig“, und schludrig verliert gute Kandidaten auf andere Weise – durch uneinheitliche Bewertung, Entscheidungen aus dem Bauch heraus und liegengebliebene Folgekontakte. Das Ziel ist schnell *und* strukturiert. Diese Kombination ist selten, und genau deshalb gewinnt sie.

Bereit, im Tempo des Zeitfensters zu handeln? Mit Kit definieren Sie eine Pipeline für die Sicherheitsbesetzung einmal, bewerten Kandidaten auf einer durchgängigen Scorecard und entscheiden in Tagen – so kann ein kleines Team schnell verfügbares Talent gewinnen, ohne schludrig zu werden.

Kostenlose Testphase starten

## So stellen Sie Offensive-Security-Talente schnell ein (ohne schludrig zu werden) Um Offensive-Security-Talente schnell einzustellen, tun Sie vier Dinge: Definieren Sie die Rolle als wiederverwendbare Pipeline, bewerten Sie mit einer strukturierten Scorecard, damit ein kleines Team zügig vorankommt, melden Sie sich innerhalb von 48 Stunden und entscheiden Sie innerhalb von zwei Wochen, und greifen Sie in dem Moment auf Ihren bestehenden Talentpool zu, in dem sich das Fenster öffnet. Jeder Schritt beseitigt eine bestimmte Latenzquelle. ### Schritt 1: Definieren Sie die Rolle als wiederverwendbare Pipeline Erfinden Sie Ihren Einstellungsprozess nicht für jeden Kandidaten neu. Legen Sie die Phasen einmal fest – etwa Recruiter-Screening, dann eine praktische oder CTF-artige Aufgabe, dann ein strukturiertes technisches Interview, dann eine Entscheidung – und verwenden Sie diese Pipeline jedes Mal wieder. Das ist das Gegenmittel gegen den improvisierten, wochenlangen Ad-hoc-Prozess, der schnell handelnde Leute verliert. Genau das leisten die Prozessvorlagen von Kit. Sie definieren die Phasen einer Rolle als versionierte, wiederverwendbare Pipeline und veröffentlichen darauf in Minuten eine Stellenanzeige. Wenn das Fenster aufgeht, steht der Prozess bereits. (Worauf Sie in diesen Interviews tatsächlich prüfen sollten, lesen Sie ergänzend in unserem Leitfaden dazu, wie sich [CTF-Leistung als Einstellungssignal lesen lässt](/blog/hiring-security-engineers-ctf-performance-signal).) ### Schritt 2: Bewerten Sie Kandidaten mit einer strukturierten Scorecard Mit einer strukturierten Scorecard bewertet ein Team aus zwei oder drei Personen einen Red Teamer oder Vulnerability Researcher durchgängig gleich – ohne sechswöchigen Spießrutenlauf und ohne Verzerrung durchs Bauchgefühl. Alle bewerten dieselben Kompetenzen auf derselben Skala, sodass Entscheidungen vergleichbar und belastbar sind. Der Bewertungsablauf von Kit sorgt dafür: durchgängige Bewertung Phase für Phase, Warteschlangen für ausstehende Entscheidungen und vergleichbare Bewertungen über alle Interviewer hinweg. Wenn Sie die tiefere Methode dahinter interessiert – warum das funktioniert –, lesen Sie [strukturierte Interview-Scorecards und prognostische Validität](/blog/structured-interview-scorecards-predictive-validity) sowie unsere Sicht auf [kompetenzbasiertes Einstellen mit strukturierten Scorecards](/blog/skills-based-hiring-structured-scorecards). ### Schritt 3: Melden Sie sich in 48 Stunden, entscheiden Sie in zwei Wochen Dynamik ist ein Merkmal, das der Kandidat spürt. Ein Forscher, der zwischen mehreren Angeboten abwägt, merkt, welches Unternehmen die Sache in Bewegung hält. Zielen Sie auf eine erste Rückmeldung innerhalb von 48 Stunden und eine endgültige Entscheidung innerhalb von zwei Wochen. Prompte Kommunikation, zügiges Weiterführen zwischen den Phasen und klare nächste Schritte unterscheiden Sie von dem Auftragnehmer, dessen Ausschreibung noch in Prüfung ist. Kandidaten in Bewegung zu halten, ist ein Workflow-Problem – und genau dafür ist Kit gebaut: Bewerbungszusammenfassungen, Weiterführen per Klick und integrierte Nachrichten, damit niemand in einer Warteschlange hängen bleibt, während ein Wettbewerber den Abschluss macht. ### Schritt 4: Greifen Sie auf Ihren Talentpool zu, sobald sich das Fenster öffnet Die schnellste Rekrutierung ist die, die Sie bereits erledigt haben. Frühere Bewerber, bereits angesprochene Kandidaten und Personen, die Sie aus zeitlichen Gründen abgelehnt haben, sind ein warmer Pool, den Sie sofort wieder ansprechen können, statt bei null anzufangen. Wenn sich der Markt bewegt, durchsuchen Sie zuerst diesen Pool. Mit den Talentpool-Werkzeugen von Kit sprechen Sie frühere Kandidaten schon am Tag der Fensteröffnung wieder an – nicht erst drei Wochen in eine neue Suche hinein. ## Verdrängtes Talent einstellen – aber ehrlich Das ist ein Moment für Genauigkeit und Menschlichkeit, nicht für Opportunismus. Hier verlieren Menschen ihre Einkommensquellen – das ist kein Ausverkauf. Sprechen Sie einige Dinge direkt an, und ein strukturierter Prozess bringt sie früh statt spät zutage. - **Sicherheitsfreigaben lassen sich nicht auf kommerzielle Arbeit übertragen – und Sie brauchen sie nicht.** Ehemalige Behördenforscher bringen tiefes, an realen Angreifern geschultes Können mit. Kommerzielle Produktsicherheit erfordert ihre Sicherheitsfreigabe nicht; behandeln Sie deren Fehlen also nicht als Lücke. - **Manche Auftragnehmer-Rollen sind mit einschränkenden Klauseln verbunden.** Wettbewerbsverbote und ähnliche Bestimmungen unterscheiden sich. Umreißen Sie die Rolle klar und fragen Sie frühzeitig nach Einschränkungen; ein strukturiertes Screening macht daraus eine normale frühe Frage statt einer späten Überraschung. - **Der Sinn-Faktor ist real.** Wer von sinnstiftender Arbeit im öffentlichen Sektor zum Produkttempo eines Startups wechselt, muss sich umstellen. Sprechen Sie das im Interview an. Die Botschaft lautet: sinnvolle, dynamische Arbeit – nicht „billiges Talent“. Der rote Faden: Ein strukturierter Prozess gibt Ihnen einen sauberen, frühen Zeitpunkt, um jeden dieser Punkte anzusprechen – besser für Sie und respektvoller gegenüber dem Kandidaten. ## So gelingt das in Kit Wenn der Markt Ihnen ein Zeitfenster für Talente eröffnet, gewinnt es der schnellste strukturierte Prozess. Das ist die ganze These – und genau dafür ist der Hiring-Bereich von Kit gebaut. Definieren Sie Ihre Offensive-Security-Pipeline einmal als wiederverwendbare Vorlage, bewerten Sie jeden Kandidaten auf einer durchgängigen Scorecard, damit ein kleines Team ohne Verzerrung und ohne Verzögerung bewerten kann, halten Sie die Leute mit prompter Kommunikation und Weiterführen per Klick in Bewegung, und sprechen Sie Ihren Talentpool wieder an, sobald sich das Fenster öffnet. Kit vermittelt keine Kandidaten, überprüft keine Sicherheitsfreigaben und trifft die Einstellungsentscheidung nicht für Sie. Was es beseitigt, ist die Prozesslatenz – das Einzige, was zwischen Ihnen und dem erfahrenen Forscher steht, der in diesem Quartal zwischen zwei Einkommensquellen steht. Die Schrumpfung der CISA und das Huntr-Aus haben das Angebot geschaffen. Die steigende Nachfrage nach Offensive Security ist die Konkurrenz. Ihr Tempo ist der Vorteil. Definieren Sie die Pipeline einmal, bewerten Sie Kandidaten durchgängig gleich und entscheiden Sie in Tagen. [Starten Sie Ihre kostenlose Testphase](/users/sign_up) und seien Sie in diesem Quartal der schnellste respektvolle Prozess im Postfach eines großartigen Forschers.