Abwehr & Überwachung

Was hier gearbeitet wird

Dies ist der Bereich, in dem Sicherheit nicht geplant, sondern betrieben wird. Hierher gehören die Stellen, die Angriffe bemerken, bewerten und stoppen sollen: das Security Operations Center mit Detection und Incident Response, die Netzsicherheit mit Firewalls und Segmentierung und der laufende Betrieb der Schutzwerkzeuge in der Security-Administration.

Die Werkzeuge nennen die Anzeigen fast immer beim Namen, und das ist für Bewerber der nützlichste Teil des Titels: SIEM für die Auswertung von Protokolldaten, EDR und XDR auf den Endgeräten, Firewalls von Fortinet, Palo Alto, Cisco oder Sophos, dazu Schwachstellenscanner und Sandkästen für die Malware-Analyse. Wer eine dieser Plattformen beherrscht, findet damit Stellen; wer keine kennt, kommt über den Betrieb hinein und lernt sie dort.

Der Weg hinein

Dieser Bereich hat den breitesten Zugang der ganzen Branche, und zwar über den IT-Betrieb. Der Fachinformatiker für Systemintegration ist der häufigste Abschluss, und viele Stellen werden mit Netzwerk- und Administrationserfahrung besetzt statt mit einem Sicherheitsabschluss. Wer Firewalls, Verzeichnisdienste, Protokolle und Betriebssysteme kennt, hat die Grundlage; das Sicherheitswissen kommt danach.

Der zweite Zugang ist das Studium der Informatik oder der IT-Sicherheit, häufig dual – die Ausschreibungen dazu stehen in Einstieg und Studium. Herstellerzertifikate wiegen hier mehr als in jedem anderen Bereich dieses Portals, weil sie eine Plattform belegen, die im Haus tatsächlich läuft.

Wie die Arbeit aussieht

Die Arbeit folgt dem Alarm und nicht dem Kalender. Ein Tag im SOC besteht aus der Bearbeitung von Meldungen, der Unterscheidung zwischen Fehlalarm und Vorfall und der Frage, was ein Protokolleintrag wirklich bedeutet. Der Anteil der Fehlalarme ist hoch, und ihn zu senken – Detection Engineering – ist die eigentliche Ingenieursleistung dieses Bereichs.

Dies ist der einzige Bereich der IT-Sicherheit, in dem Schichtarbeit und Rufbereitschaft der Regelfall sind. Ein SOC, das nur zu Bürozeiten hinsieht, deckt die Zeit nicht ab, in der angegriffen wird. Manche Häuser fahren einen echten 24/7-Betrieb mit Nachtschichten, andere eine Rufbereitschaft im Wechsel, viele kaufen die Nachtabdeckung bei einem Dienstleister ein. Das ist die Frage, die vor der Zusage geklärt sein muss, und sie steht selten in der Anzeige.

Dazu kommt die Belastung durch den Vorfall selbst. Eine Ransomware-Nacht ist kein Projekt mit Meilensteinen, sondern ein Zustand, der zwei Wochen dauert. Die Meldefristen aus NIS2 – eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden – laufen dabei mit und werden von der Stelle bedient, die ohnehin schon unter Druck steht.

Was der Bestand zeigt

Gesucht werden fast durchgehend Fachkräfte mit Berufserfahrung; Einstiegsstellen sind hier seltener als in der Steuerung. Es suchen IT-Dienstleister und Systemhäuser, die ein SOC für andere betreiben, dazu Banken, Versicherungen, Energieversorger und der öffentliche Dienst mit eigenen Teams. Die Mehrzahl der Anzeigen nennt Homeoffice ausdrücklich – im SOC ist das üblich, weil die Arbeit an der Konsole stattfindet und nicht am Gerät.

Vor der Bewerbung

Fragen Sie nach dem Schichtmodell und danach, ob die Nachtabdeckung im Haus liegt oder eingekauft ist. Klären Sie, wie viele Meldungen täglich anfallen und wer entscheiden darf, ein System vom Netz zu nehmen. Ein Blick auf die Vergütung im Security Operations Center und dann in die offenen Stellen für Security Analysten macht den Vergleich konkret.