CISO-Burnout ist ein Problem der Abläufe, nicht der Bezahlung

CISOs brennen aus, weil die operative Last unbegrenzt wächst, während die Ressourcen stagnieren – nicht, weil die Bezahlung schlecht wäre. Vier belegte Treiber: Die Sicherheitsbudgets wuchsen 2025 um nur 4 %, so langsam wie seit fünf Jahren nicht mehr, und nur 11 % der CISOs halten ihre Teams für ausreichend besetzt; 46 % der Sicherheitsverantwortlichen verbringen mehr Zeit mit der Wartung ihrer Werkzeuge als mit der Verteidigung des Unternehmens; 52 % der CISOs sagen, ihr Verantwortungsbereich sei nicht mehr vollständig zu bewältigen; und in Organisationen ohne durchgängige Sichtbarkeit liegt die Burnout-Quote bei 63 %, in Organisationen mit dieser Fähigkeit bei 44 %. Das Gehalt ist eine Grundvoraussetzung. Den Unterschied macht die operative Disziplin.

Dieses letzte Zahlenpaar ist das ganze Argument. Zwei Organisationen, dieselbe Bedrohungslage, dieselben Gehaltsbänder – und 19 Punkte Unterschied beim Burnout, je nachdem, ob die Arbeit sichtbar ist. Diese Lücke lässt sich nicht mit Geld schließen. Mit Messbarkeit schon.

Die Bindungszahlen passen nicht zu den Gehaltszahlen

Die Gehälter in der Sicherheitsbranche sind gut und werden besser – und die Leute gehen trotzdem. Dieser Widerspruch ist der Ausgangspunkt für alles, was sich sinnvoll über Mitarbeiterbindung sagen lässt.

IANS Research und Artico Search haben für ihren im April 2026 veröffentlichten 2026 Cybersecurity Talent Report mehr als 500 Sicherheitsfachleute befragt. Kernbefund: Nur 34 % wollen bei ihrem aktuellen Arbeitgeber bleiben.

Dieselbe Erhebung nennt ein Medianeinkommen von 113.000 $ für Security-Analysten, rund 188.000 $ für Security-Architekten und 256.000 $ für Sicherheitsverantwortliche einer Fachfunktion; große Unternehmen zahlen 18 bis 20 % über dem Durchschnitt (IANS-/Artico-Daten in der Wiedergabe von Security Boulevard, da der Originalbericht hinter einer Bezahlschranke liegt). Zwei Drittel eines gut bezahlten Berufsstands schielen Richtung Tür.

Wenn hohe Gehälter und geringe Bindung in derselben Gruppe zusammenfallen, haben Sie kein Gehaltsproblem vor sich.

Was die Burnout-Umfragen tatsächlich gemessen haben

Burnout-Zahlen werden in diesem Feld gern als eine einzige Spanne zitiert. Das sollten sie nicht. Vier Erhebungen aus 2025 und 2026 haben vier verschiedene Grundgesamtheiten mit vier verschiedenen Fragestellungen untersucht. Wer daraus „63 bis 76 % der CISOs sind ausgebrannt“ macht, befördert sein Bindungskonzept auf dem schnellsten Weg in den Papierkorb – spätestens beim ersten Faktencheck.

Lesen Sie die Einschränkungen mit. Proofpoints 63 % schließen Personen ein, die Burnout bei anderen beobachtet haben. Sophos hat eine breitere IT-Grundgesamtheit befragt und „gelegentlich“ mitgezählt. Splunks Wert betrifft Teams und stammt aus zweiter Hand – berichtet von deren Vorgesetzten. Bitsight hat dieselbe Führungsebene befragt wie Proofpoint und kam auf 47 %.

Die ehrliche Zusammenfassung: Burnout unter Sicherheitsverantwortlichen liegt irgendwo zwischen „die Hälfte“ und „die meisten“, und die genaue Zahl hängt vollständig davon ab, wen man mitzählt. Das reicht, um zu handeln. Es reicht nicht für eine Folie mit der Zahl 76 %.

Der Gehaltshebel existiert – er ist nur klein

Gehaltserhöhungen wirken. Sie wirken nur anders, als die meisten Bindungskonzepte unterstellen, und der stärkste Beleg dafür kommt von den Vergütungsforschern selbst. IANS und Artico formulieren es in ihrem eigenen Bericht unmissverständlich: „Vergütung bleibt wichtig, ist aber nicht der Hauptfaktor für Mitarbeiterbindung.“ Zwei Befunde erklären, warum.

Gehaltsentwicklung schlägt Gehaltshöhe. Beschäftigte, die auch nur bescheidene Erhöhungen erhalten, berichten von deutlich höherer Zufriedenheit und bleiben eher als jene, deren Gehalt stagniert. Eine Erhöhung wirkt als Signal, dass jemand hingesehen hat. Der absolute Betrag zählt weniger als die Tatsache, dass sich überhaupt etwas bewegt.

Wahrgenommener Rückhalt im Unternehmen überstrahlt alles andere. Unter Sicherheitsfachleuten, die Sicherheit als zentrale Priorität ihres Unternehmens erleben, sind 73 % mit ihrer beruflichen Situation zufrieden. Unter jenen, die wenig oder gar keinen Rückhalt wahrnehmen, sind es 19 %. Das sind 54 Punkte Unterschied bei einer Größe, die keinen Cent kostet.

Also nein, hören Sie nicht auf, Gehälter zu erhöhen. Zu wenig zu zahlen ist der schnellste Weg, Leute aus einem Grund zu verlieren, den Sie vollständig in der Hand haben. Aber kennen Sie die Obergrenze: Eine Erhöhung macht aus einer frustrierten Entwicklerin eine etwas besser bezahlte frustrierte Entwicklerin, solange die Warteschlange keinen Boden hat. Was die 73 % von den 19 % trennt, ist die Frage, ob das Unternehmen sichtbar so mit Sicherheit umgeht, als wäre sie wichtig – und „sichtbar“ ist eine Eigenschaft von Systemen, keine Stimmung.

Wohin die Stunden tatsächlich fließen

Die Last steigt, während die Ressourcenbasis schrumpft. Beide Hälften sind gemessen.

Die Ressourcenbasis schrumpft real. Der Security Budget Benchmark von IANS und Artico, ab April 2025 unter 587 CISOs erhoben, zeigt: Das Wachstum der Sicherheitsbudgets verlangsamte sich auf 4 % gegenüber dem Vorjahr, den niedrigsten Wert seit fünf Jahren, nach 8 % im Jahr 2024. Der Anteil der Sicherheit an den IT-Ausgaben fiel von 11,9 % auf 10,9 % und brach damit einen fünfjährigen Aufwärtstrend. Der Personalaufbau erreichte mit 7 % einen Vierjahrestiefstand, und nur 11 % der CISOs halten ihre Teams für ausreichend besetzt.

Der Verantwortungsbereich wächst weiter. Der 2026 State of the CISO Benchmark von IANS und Artico (662 CISOs, erhoben von April bis November 2025) ergab: 52 % sagen, ihr Verantwortungsbereich sei nicht mehr vollständig zu bewältigen, und knapp sieben von zehn sind offen für einen Wechsel im kommenden Jahr. Splunks CISO Report 2026 zeigt den Mechanismus: Nahezu alle CISOs verantworten inzwischen KI-Governance und KI-Risiko, vier von fünf beaufsichtigen DevSecOps, und fast drei von vier sagen, die Rolle sei deutlich komplexer geworden.

Die Lücke füllt sich mit Fleißarbeit, nicht mit Verteidigung. Für Splunks State of Security 2025 wurden gemeinsam mit Oxford Economics 2.058 Sicherheitsverantwortliche in neun Ländern befragt. Die Ergebnisse zeichnen das Bild eines Berufsstands, der Wartungsarbeit leistet:

• 46 % verbringen mehr Zeit mit der Wartung von Werkzeugen als mit der Verteidigung des Unternehmens
• 59 % nennen die Werkzeugwartung als Hauptquelle ihrer Ineffizienz
• 57 % verlieren Ermittlungszeit durch Lücken im Datenmanagement
• 59 % haben zu viele Alarme, 55 % zu viele Fehlalarme
• 52 % sagen, ihr Team sei überlastet
• 52 % sagen, der Arbeitsstress habe sie schon dazu gebracht, über einen vollständigen Ausstieg aus der Cybersicherheit nachzudenken

Eine Umfrage von Sapio Research unter 300 Sicherheits- und IT-Verantwortlichen, im März 2026 von Help Net Security berichtet, liefert die Stunden dazu: durchschnittlich 10,8 Überstunden pro Woche über die vertraglich vereinbarte Arbeitszeit hinaus, bei knapp der Hälfte sind es elf oder mehr. Fast die Hälfte sagt, der Job fühle sich öfter zermürbend als erfüllend an, am stärksten auf C-Level. Und trotzdem würden 94 % sich wieder für Cybersicherheit entscheiden.

Halten Sie diese beiden Fakten zusammen, denn zusammen ergeben sie die Diagnose. Sie lieben die Arbeit. Sie hassen die Bedingungen, unter denen sie stattfindet. Niemand kündigt wegen des Gehalts einen Beruf, den er wieder wählen würde.

Die klarste Fallstudie: ein siebenköpfiges Team und ein Bug-Bounty-Postfach

Umfragen sagen Ihnen, wie Menschen sich fühlen. Wie sich die Last tatsächlich aufbaut, zeigen am besten Daten aus erster Hand, und die sind öffentlich: Daniel Stenbergs Beitrag „Death by a thousand slops“ vom Juli 2025 dokumentiert die Meldungseingänge von curl im operativen Detail. Die Zahlen für 2025:

• rund zwei Sicherheitsmeldungen pro Woche
• nur etwa 5 % erwiesen sich als echte Schwachstellen, historisch lag die Quote über 15 %
• rund 20 % aller Einreichungen waren KI-generiert
• drei bis vier Personen befassen sich mit jeder Meldung
• jede Meldung kostet „30 Minuten, manchmal bis zu einer Stunde oder drei. Jede einzelne.“
• das Sicherheitsteam besteht aus sieben Personen, von denen mehrere nur drei Stunden pro Woche für curl haben

Rechnen Sie das einmal durch, denn in dieser Debatte tut es sonst niemand. Zwei Meldungen pro Woche, mal etwa 3,5 beteiligte Personen, mal rund 1,5 Stunden pro Person: Das sind ungefähr 10 Personenstunden pro Woche, die allein der Eingang verschlingt. Die Teammitglieder haben je drei Stunden eingeplant. Der Ertrag: etwa eine echte Schwachstelle alle zehn Wochen.

Das ist kein Personalmangel. Zehn weitere Fachkräfte würden dasselbe Verhältnis zu höheren Kosten erzeugen. Es ist ein Eingangsprozess ohne Ventil: keine Obergrenze für das Volumen, keine Frist für den einzelnen Vorgang, kein Mechanismus, der „wir gehen unter“ in eine Zahl übersetzt, mit der jemand arbeiten kann. Die Volumenseite haben wir in KI-Spam überschwemmt die Bug-Bounty-Sichtung behandelt, die Ökonomie in Ein 25-Dollar-Bug im Wert von 500.000 Dollar. Hier geht es um die Arbeitsseite derselben Verschiebung.

Wenn Sie die Sicherheitsfunktion in einem Unternehmen mit 200 Beschäftigten führen, haben Sie genau diese Struktur. Ihnen fehlt nur Stenbergs Bereitschaft, die Zahlen zu veröffentlichen.

Ohne Ventil wird der Eingang selbst zum Ventil

Was passiert, wenn unbegrenzte Last lange genug auf feste Kapazität trifft, lässt sich beobachten: Innerhalb von sechs Monaten kamen drei der kompetentesten Sicherheitsteams der Open-Source-Welt unabhängig voneinander zum selben Schluss.

Januar 2026: curl beendete sein Bug-Bounty-Programm, nahm Einreichungen über HackerOne noch bis zum 31. Januar an und stellte ab dem 1. Februar auf direkte Meldungen über GitHub um. Stenbergs Begründung drehte sich laut The Register ausdrücklich um die Last: „Die derzeitige Flut an Einreichungen belastet das curl-Sicherheitsteam stark, und dies ist ein Versuch, den Lärm zu reduzieren.“

März 2026: Die Internet Bug Bounty setzte zum 27. März neue Einreichungen aus, nach mehr als 1,5 Millionen $ an Auszahlungen seit 2012. HackerOnes Erklärung enthält den folgenreichsten Satz dieser Geschichte: „KI-gestützte Forschung weitet das Auffinden von Schwachstellen im gesamten Ökosystem aus und erhöht sowohl Abdeckung als auch Geschwindigkeit. Das Verhältnis zwischen Befunden und Behebungskapazität im Open-Source-Bereich hat sich substanziell verschoben.“ Im selben Zeitraum ging Node.js dazu über, Meldungen ohne Prämienzahlung anzunehmen, und Googles OSS VRP stoppte KI-generierte Einreichungen.

Juli 2026: curl rief einen „summer of bliss“ aus. Einreichungen über HackerOne und die Sicherheits-E-Mail-Adresse blieben vom 1. Juli bis zum 3. August geschlossen. Das Projekt habe „in den letzten rund vier Monaten unter enormem Druck“ gestanden: „Jetzt brauchen wir etwas Ruhe“, schrieb Stenberg und fügte spitz hinzu: „Wir gehen nicht davon aus, dass diese Flut vorbei ist.“

Wenn die größte Sichtungsplattform der Welt einräumt, dass das Auffinden von Schwachstellen der Behebungskapazität davongelaufen ist, erübrigt sich die Reflexantwort „dann lagern wir die Sichtung eben aus“. Auslagern verschiebt die Blackbox, statt sie aufzulösen, und der Anbieter sagt Ihnen gerade, dass sie voll ist.

Beachten Sie, was keines der drei Projekte getan hat. Niemand hat sich mit Neueinstellungen herausgekauft. Niemand hat ein besseres Werkzeug gefunden. Der einzige Regler, den sie überhaupt erreichen konnten, war der Eingang selbst. So sieht ein Betriebsmodell ohne Ventil an seiner Grenze aus: Der letzte verfügbare Hebel ist der Ausschalter, und ihn zu ziehen ist für alle schlechter, Forscherinnen und Forscher eingeschlossen.

Warum „einfach abschalten“ ab dem 11. September keine Option mehr ist

Kommerzielle Sicherheitsteams haben curls Option nicht, und die Frist dafür bemisst sich inzwischen in Wochen.

Ab dem 11. September 2026 verpflichtet der EU Cyber Resilience Act Hersteller, die Produkte auf dem EU-Markt bereitstellen, zu einer Frühwarnung an die ENISA binnen 24 Stunden nach Kenntnis einer aktiv ausgenutzten Schwachstelle, zu einer vollständigen Meldung binnen 72 Stunden und zu einem Abschlussbericht binnen 14 Tagen. Er gilt unabhängig davon, wo das Unternehmen seinen Sitz hat. Die Bußgelder reichen bis zu 15 Millionen € oder einem umsatzabhängigen Alternativbetrag. Den vollständigen Pflichtenkatalog haben wir in Was der EU Cyber Resilience Act für die Schwachstellenoffenlegung bedeutet durchgegangen.

Die Entwicklung in einer Zeile: Eingangsvolumen steigt. Quote gültiger Meldungen sinkt. Budgetwachstum auf Fünfjahrestief. Mitarbeiterzahl unverändert. Und in sechs Wochen beginnt eine gesetzliche 24-Stunden-Frist zu laufen.

Eine aufsichtsrechtliche 24-Stunden-Frist beantwortet man nicht mit einem Postfach und guten Absichten. „Kenntnis erlangen“ ist ein Zeitstempel, und eine Aufsichtsbehörde wird ihn von Ihnen verlangen. Dafür braucht es ein SLA für die Eingangsbestätigung, das automatisch läuft, einen Eskalationsweg, der eine namentlich benannte Person alarmiert, und einen belastbaren Nachweis darüber, wann Sie was wussten. Teams, die das bereits haben, erleben den 11. September als Konfigurationsänderung. Teams ohne all das erleben ihn als den Punkt, an dem die Person am Postfach endgültig zusammenbricht – ein Fehlermuster, das wir in Was passiert, wenn die Offenlegungsfrist ignoriert wird bereits dokumentiert haben.

Wechseln CISOs wirklich alle 18 Monate?

Wahrscheinlich nicht. Das ist der Teil der Erzählung, der am ehesten falsch ist, und er wird in fast jedem Artikel zum Thema unkritisch wiederholt.

Die alarmierende Zahl stammt aus dem gemeinsam mit Sophos erstellten 2026 CISO Report von Cybersecurity Ventures, der die Verweildauer von CISOs in Großunternehmen mit 18 bis 26 Monaten angibt, gegenüber knapp fünf Jahren für andere Rollen auf C-Level. Zwei andere Datensätze widersprechen. Der 2026 State of the CISO Benchmark von IANS und Artico mit 662 befragten CISOs nennt eine durchschnittliche Verweildauer von neun Jahren in der Rolle. Ross Haleliuks Auswertung von 526 Fortune-500-Unternehmen für Venture in Security ergab im Schnitt 4,5 Jahre in der Rolle bei einem Median von 3,6 Jahren, gleichauf mit oder über CMO (3,5) und CHRO (3,7). Von 36 ausscheidenden Fortune-500-CISOs, die er verfolgt hat, übernahmen 18 anderswo erneut eine Sicherheitsführungsrolle, und nur 2 wurden Berater. Gartners vielzitierte Prognose vom Februar 2023, wonach die Hälfte aller Sicherheitsverantwortlichen bis 2025 den Job wechseln würde, betrifft ein Jahr, das inzwischen vergangen ist – eine veröffentlichte Überprüfung dazu gibt es nicht.

Die ehrliche Synthese ist nützlicher als beide Extreme. CISOs fliehen nicht aus dem Beruf. Sie rotieren zwischen Arbeitgebern. Genau das beschreiben „knapp sieben von zehn offen für einen Wechsel im kommenden Jahr“ und „nur 34 % wollen bleiben“, und es passt zu den 94 %, die sich wieder für Cybersicherheit entscheiden würden.

Fluktuation, kein Exodus. Und Fluktuation ist für Sie persönlich die schlechtere Nachricht, denn die Leute, die gehen, lehnen nicht die Arbeit ab. Sie lehnen ab, wie diese Arbeit bei ihnen gesteuert wird, und übernehmen denselben Job in einem Unternehmen, das es besser macht. Rechnen Sie auch nicht damit, dass der Markt Sie rettet: Cybersecurity Ventures schätzt die Zahl der weltweit beschäftigten CISOs für 2026 auf 35.000, nach 32.000 im Jahr 2023, bei rund 359 Millionen Unternehmen weltweit. Diese Schätzung entstand in Kooperation mit einem Anbieter und ohne offengelegte Methodik, taugt also nur als Richtungsangabe. In der Richtung ist sie eindeutig. 3.000 zusätzliche Führungskräfte in drei Jahren retten niemanden. Die einzige Größe, die sich mit der Geschwindigkeit des Problems bewegt, ist die Last, die jede vorhandene Führungskraft schultert.

Was Sie messbar machen sollten, statt was Sie zahlen sollten

Die Empfehlung folgt aus den beiden gemessenen Gefällen: Bitsights 19 Punkte Burnout-Unterschied bei der Sichtbarkeit und IANS’ 54 Punkte Zufriedenheitsunterschied beim wahrgenommenen Rückhalt. Beides sind Eigenschaften von Systemen, nicht von Gehältern. Fünf Schritte, sortiert nach Entlastung pro investierter Stunde:

1. Veröffentlichen Sie ein SLA für die Eingangsbestätigung und hängen Sie eine Uhr daran. Eine Zahl, öffentlich, automatisch durchgesetzt. Der Wert liegt nicht im Versprechen an die Forscher. Er liegt darin, dass „hat darauf eigentlich jemand geantwortet?“ keine Frage mehr ist, die Ihre Sicherheitsleitung um 23 Uhr aus dem Gedächtnis beantwortet.
2. Definieren Sie Behebungsziele je Schweregrad und stellen Sie sie öffentlich dar. Ein kritischer und ein informativer Befund sollten sich keine Frist teilen. Die Matrix zu veröffentlichen verwandelt eine unbegrenzte Pflicht in eine begrenzte, belastbare Zusage – und eben das wird eine EU-Aufsichtsbehörde sehen wollen.
3. Eskalieren Sie nach festem Zeitplan an eine namentlich benannte Person in der Bereitschaft, mit Abkühlzeiten. Eskalation ohne Rotation alarmiert immer dieselbe erschöpfte Person. Eskalation ohne Abkühlzeiten erzeugt jene Alarmmüdigkeit, die 98 % der von Splunk befragten CISOs bereits nennen. Beide Hälften sind Pflicht.
4. Verbuchen Sie jede Prämienentscheidung und jede Auszahlung im Hauptbuch. Der Auszahlungsstatus sollte eine Abfrage sein, keine Erinnerung. „Haben wir diesen Forscher eigentlich jemals bezahlt?“ ist eine wiederkehrende Quelle von Führungsangst und Forscherwut zugleich; die Fairness-Dimension haben wir in Streitfälle bei Prämienauszahlungen aufgedröselt.
5. Berichten Sie MTTA, MTTR und SLA-Einhaltung monatlich an die Geschäftsführung. Das ist der direkte Hebel auf die Spaltung zwischen 73 % und 19 %. Ein Team, dessen Leitung zeigen kann, dass die Funktion nach einem Standard läuft, ist ein Team, das Rückhalt wahrnimmt – ohne einen Cent zusätzliches Budget.

Nichts davon setzt einen bestimmten Anbieter voraus. Alles davon setzt voraus, dass das Betriebsmodell irgendwo anders liegt als im Kopf einer einzelnen Person. Wenn Sie bei null anfangen, deckt So richten Sie ein Vulnerability-Disclosure-Programm ein das Erdgeschoss ab.

Wie Kits CSIRT-Modul das umsetzt

Kit ist kein Burnout-Produkt. Es ist ein Produkt für den Betrieb der Schwachstellenoffenlegung, und der Bindungseffekt ist zweiter Ordnung: Es macht die Last begrenzt, terminiert und sichtbar – die drei Eigenschaften, die eine Organisation mit 44 % Burnout von einer mit 63 % trennen.

SLAs, die an einer Uhr hängen, nicht am Gedächtnis. Sie legen eine Frist für die Eingangsbestätigung für das gesamte Programm fest, standardmäßig 72 Stunden, dazu ein Behebungsziel je Schweregrad: Super-kritisch 24 h, Kritisch 72 h, Hoch 7 Tage, Mittel 14 Tage, Niedrig und Informativ 30 Tage. Jede Meldung führt danach ihren eigenen Status mit: „im Plan“, „gefährdet“ oder „verletzt“. Auf „gefährdet“ springt sie, sobald drei Viertel ihrer Frist verbraucht sind. Die Warteschlange sortiert sich nach dem, was der Frist am nächsten ist. Niemand muss die Uhr sein.

Eskalation, die eine namentlich benannte Person alarmiert, gebaut gegen Alarmmüdigkeit. Läuft einer Meldung die Frist ab, alarmiert Kit die Person in Bereitschaft, stellt eine Karte zur SLA-Verletzung in Slack ein und öffnet einen PagerDuty-Vorfall. Eine Abkühlzeit von sechs Stunden je Meldung verhindert, dass ein feststeckender Fall den ganzen Abend erneut alarmiert; vom Team als informativ bewertete Befunde werden weiterhin als Verletzung erfasst, ohne jemanden zu wecken.

Bereitschaftsrotation, damit „wer hat heute Nacht das Postfach?“ nie offenbleibt. Sie weisen manuell zu, lassen eine tägliche oder wöchentliche Rotation mit selbst gewähltem Übergabetag und -zeitpunkt laufen oder gleichen mit dem PagerDuty-Plan ab, den Sie ohnehin führen. Neue Meldungen landen bei der Person in der laufenden Schicht, Übergaben und Schichtwechsel werden angekündigt. Bleibt eine Schicht unbesetzt, sagt Kit Ihnen das – statt dass Sie es über einen wütenden Post erfahren.

Ein Auszahlungs-Hauptbuch statt einer Tabelle. Jede Prämienentscheidung und jede Zahlung wird in ein rein additives Hauptbuch geschrieben: Freigaben, Anpassungen, gestartete, abgeschlossene und fehlgeschlagene Auszahlungen, eingereichte, geprüfte und abgelehnte Steuerdokumente, widerrufene Prämien. Einträge lassen sich nachträglich nicht ändern, sensible Angaben sind verschlüsselt, und Kit prüft die Bücher regelmäßig auf Stimmigkeit. „Haben wir diesen Forscher überhaupt bezahlt?“ schlagen Sie nach, statt es aus dem Gedächtnis zu rekonstruieren.

Kennzahlen, die die Frage der Geschäftsführung ohne Datenabzug beantworten. MTTA, MTTR, SLA-Einhaltung in Prozent, insgesamt gezahlte Prämien, Meldungen im Zeitverlauf und Meldungen nach Schweregrad – wobei jede Person nur die Meldungen sieht, die ihre Berechtigungen abdecken. Und weil die Behebungsziele einmal konfiguriert und auf Ihrer öffentlichen Richtlinienseite mit dem höchsten Schweregrad zuerst veröffentlicht werden, ist das Versprechen, das ein Forscher dort liest, dieselbe Zusage, auf der die Eskalation läuft.

Die ehrlichen Grenzen. Kit verringert nicht, wie viele Meldungen eingehen, ersetzt keine Sichtungsurteile und macht aus einem Zweierteam kein Fünferteam. Es verwandelt unbegrenzte, unsichtbare, im Kopf verwahrte Arbeit in begrenzte, terminierte, delegierte und berichtsfähige Arbeit. Laut Bitsight ist dieser Unterschied 19 Punkte Burnout wert. Laut IANS ist die Wahrnehmung einer gut gestützten Sicherheitsfunktion 54 Punkte berufliche Zufriedenheit wert.

Unterm Strich: was ein Bindungskonzept dieses Quartal leisten muss

Zahlen Sie marktgerecht und geben Sie die bescheidene Erhöhung: Zu wenig zu zahlen kostet Sie Leute aus einem Grund, den Sie vollständig in der Hand haben, und eine Erhöhung wirkt als Signal, dass jemand aufmerksam ist.

Und dann hören Sie auf. Der nächste Euro gehört nicht in ein Gegenangebot. Er gehört in die Sichtbarkeit der Warteschlange.

Die Leute, die gehen, lehnen nicht die Arbeit ab. 94 % von ihnen würden diesen Beruf wieder wählen. Sie lehnen einen Job ab, dessen Warteschlange keinen Boden hat, in dem nichts eine sichtbare Frist hat und in dem sich niemandem zeigen lässt, dass die Arbeit begrenzt ist. Das lässt sich beheben, und anders als ein Gehaltsband lässt es sich noch in diesem Quartal beheben. Wenn Sie zugleich das Team neu aufbauen: Was CTF-Leistung wirklich über Security-Engineers aussagt behandelt die Einstellungsseite desselben Problems.