Der Sicherheitskurs, der in der Hochschulbildung fehlt

Haben Sie sich schon einmal den Lehrplan eines Informatikstudiengangs angesehen? An vielen verschiedenen Universitäten gibt es Gemeinsamkeiten bei den Kursen, die Studierende belegen. In der Regel gibt es im ersten Semester einen Einführungskurs, der Studierenden die Welt der Informatik näherbringt. In den folgenden Semestern belegen sie dann Kurse zu Programmierung (einschließlich einer Einführung in die objektorientierte Programmierung), Datenbanken, Datenstrukturen und vielem mehr. Das bedeutet, dass Informatikabsolventinnen und -absolventen zwar keine Expertinnen und Experten sein müssen, aber dennoch über ein breites Wissen in vielen verschiedenen Bereichen verfügen. In vielen Studiengängen in Kanada und den Vereinigten Staaten scheint es jedoch eine offensichtliche Lücke zu geben: Computersicherheit.

Dass dieses grundlegende Konzept im Informatik-Lehrplan fehlt, führt auf verschiedenen Ebenen zu mehreren Problemen. Doch zunächst sollten wir uns das Feld der Informatik und der Computersicherheit genauer ansehen. Inzwischen wissen wir um die Lücke bei den Fachkräften für Cybersicherheit. Es gibt nicht genug qualifizierte Fachkräfte, um wichtige Positionen zum Schutz unserer Daten und unserer Privatsphäre zu besetzen. Das bedeutet, dass zu wenige Studierende ihren Abschluss mit den nötigen Qualifikationen für diese Stellen machen. Ein Grund dafür könnte sein, dass Informatikstudiengänge eine sehr hohe Abbruchquote haben. Wenn mehr Studierende mit fundierten Kenntnissen zu Cybersicherheit ihren Abschluss machen sollen, wäre eine Lösung, mehr Menschen für Informatikstudiengänge zu gewinnen. Doch das ist bereits ein Problem für sich.

Jüngere Schülerinnen und Schüler für Informatik begeistern

Wenn Schülerinnen und Schüler sich in der Oberstufe auf ihre Bewerbungen für ein Studium vorbereiten, bewerben sie sich wahrscheinlich für Studiengänge, die ihnen Spaß machen und mit denen sie vertraut sind. In der Schule lernen sie Geografie, Geschichte, verschiedene Naturwissenschaften und weitere geisteswissenschaftliche Fächer kennen. Doch wie sieht es mit Informatik aus? In 37 US-Bundesstaaten belegen nur 4,7 % der Schülerinnen und Schüler einen grundlegenden Informatikkurs.

Der Mangel an Informatikkursen hat wahrscheinlich dazu beigetragen, dass Informatik über viele Jahre an Beliebtheit verloren hat. In den letzten Jahren scheint die Zahl der Einschreibungen jedoch wieder zu steigen. Das ist gut für die Branche, löst aber nicht unmittelbar den kurzfristigen Fachkräftemangel – auch wenn es in einigen Jahren helfen wird, wenn mehr Studierende ihren Abschluss in Informatik machen. Mehr Studierende für das Fach zu gewinnen, löst das Problem jedoch nicht vollständig. Wie bereits erwähnt, fehlen in diesen Studiengängen weiterhin Lehrveranstaltungen zu Datensicherheit und Datenschutz.

Wir wissen, dass Cyberangriffe weltweit immer häufiger werden. Cybersicherheit ist zu einem so wichtigen Thema geworden, dass auch Regierungsvertreterinnen und -vertreter darüber sprechen. Und das Tempo dieser Angriffe scheint nicht nachzulassen. Unternehmen und Regierungen müssen diese Angriffe bekämpfen, indem sie qualifizierte Fachkräfte einstellen.

Wenn Sie eine Expertin oder einen Experten für Cybersicherheit oder zumindest eine Person mit Kenntnissen auf diesem Gebiet einstellen wollten, würden Sie wahrscheinlich nach einem Informatikabschluss suchen. Es scheint naheliegend, dass wir Informatikabsolventinnen und -absolventen vermitteln sollten, wie sie Probleme der Computersicherheit angehen, um sie angemessen auf den Beruf vorzubereiten. Leider ist das nicht der Fall – zumindest nicht in Kanada oder den Vereinigten Staaten.

Was in den Studiengängen an Colleges und Universitäten fehlt

Von den 50 führenden Informatikstudiengängen in den USA schreiben drei einen Cybersicherheitskurs als Abschlussvoraussetzung vor [Quelle]. Meine Recherche zu 15 der beliebtesten Universitäten Kanadas ergab eine gute Nachricht: 53 % von ihnen bieten Studierenden einen Sicherheitskurs an. Die schlechte Nachricht: Nur 13 % der Universitäten schreiben einen solchen Kurs vor. Das bedeutet, dass Studierende in den meisten Studiengängen des Landes ihr gesamtes Studium mit hoher Wahrscheinlichkeit abschließen können, ohne jemals einen Kurs speziell zur Computersicherheit belegt zu haben.

Wie sieht es an Colleges aus? In Kanada ist die Hochschulbildung in Colleges und Universitäten unterteilt. Universitäten sind typischerweise stärker theoretisch ausgerichtet, während es an Colleges praxisorientierter zugeht. Colleges bieten in der Regel weniger Wahlfächer an, und die Kurse, die Studierende belegen, sind festgelegt. Auch hier zeigt meine Recherche, dass etwa 27 % der Colleges einen verpflichtenden Kurs zu Computersicherheit in den Lehrplan ihrer allgemeinen Informatikprogramme aufgenommen haben. Das ist ein besserer Anteil als bei den Universitäten, aber immer noch nicht besonders gut.

Was bedeutet das konkret? Wird Computersicherheit in diesen Informatikstudiengängen an Universitäten oder Colleges überhaupt unterrichtet? Wahrscheinlich ja.

Zur Klarstellung: Wir betrachten allgemeine Informatikabschlüsse und -diplome. Viele Bildungseinrichtungen bieten weiterführende Zertifikatsprogramme oder Weiterbildungskurse mit Schwerpunkt Computersicherheit an. Außerdem sagt das nichts darüber aus, was im Unterricht vermittelt wird – ein Netzwerkkurs behandelt beispielsweise wahrscheinlich einige Aspekte der Netzwerksicherheit. In einem Datenbankkurs werden vermutlich vorbereitete Anweisungen besprochen. Welche Inhalte in den Kursen behandelt werden, liegt jedoch im Ermessen der Lehrenden. Wer sich mit Computersicherheit auskennt, wird dieses Thema wahrscheinlich in die Kurse einfließen lassen; wer es nicht tut, wird es auch nicht tun.

Ich behaupte nicht, dass Informatikabsolventinnen und -absolventen für Jobs im Bereich Computersicherheit nicht qualifiziert sind. Ich sage jedoch, dass sie möglicherweise nicht qualifiziert sind, weil es zu wenige spezielle Sicherheitskurse gibt. In einer Zeit, in der Computersicherheit regelmäßig in den Schlagzeilen ist, fragt man sich, warum entsprechende Kurse in der Hochschulbildung fehlen.

Weiterbildung für Entwicklerinnen und Entwickler mit Snyk

Um bei der Lösung dieses Problems zu helfen, bietet Snyk Learn Lektionen für Entwicklerinnen und Entwickler zu Schwachstellen wie Injection, Prototype Pollution, Spring4Shell und vielem mehr. Anhand konkreter Beispiele zeigen die Lektionen Schwachstellen in Aktion, damit Entwicklerinnen und Entwickler genau nachvollziehen können, wie die Exploits funktionieren. Außerdem nehmen sie die Schwachstellen unter die Lupe und zeigen, warum sie funktionieren. Schließlich vermitteln die Lektionen Maßnahmen zur Behebung. Sie lösen vielleicht nicht alle oben genannten Probleme, bieten aber einen Ausgangspunkt, um mehr über Computersicherheit zu lernen.