Entwicklung & Architektur

Was hier gearbeitet wird

Der größte Bereich dieses Portals, und der technischste. Hier wird Sicherheit gebaut, nicht überwacht und nicht nachgewiesen. Die Stellen reichen vom Security Engineer, der Schutzmaßnahmen umsetzt und Werkzeuge integriert, über den DevSecOps Engineer in der Bereitstellungskette bis zum Security Architect, der die Zielbilder entwirft, an die sich die anderen halten sollen.

Zwei Spezialisierungen stehen daneben und sind eigene Berufe: die Cloud- und Applikationssicherheit mit Kubernetes, Identitäten und Berechtigungen in AWS, Azure und Microsoft 365 – und die OT-, Embedded- und Produktsicherheit, die Maschinen, Steuerungen und Geräte betrifft und damit einen völlig anderen Regelrahmen hat.

Der Weg hinein

Hier liegt die Schwelle höher als in den anderen Bereichen. Verlangt wird in der Regel ein Studium der Informatik, der Elektrotechnik oder der IT-Sicherheit, und die meisten Stellen setzen voraus, dass Sie vorher etwas gebaut haben: Software, Netze, Pipelines, Steuerungen. Der Quereinstieg gelingt hier nicht über einen Sicherheitslehrgang, sondern über die Entwicklung oder die Systemtechnik.

Der Zugang über die Ausbildung existiert und führt über den Fachinformatiker für Anwendungsentwicklung, danach über Jahre in der Softwareentwicklung. Wer aus dem Betrieb kommt, findet den Anschluss leichter in Abwehr und Überwachung. Im Embedded- und OT-Teil sind es Elektrotechniker, Automatisierungstechniker und Maschinenbauer, die sich die Sicherheit dazu erarbeiten – nicht Informatiker, die sich die Maschine erarbeiten.

Wie die Arbeit aussieht

Die fachlichen Rahmen unterscheiden diesen Bereich von allen anderen. In der Produktionsanlage gilt die Normenreihe IEC 62443 mit ihrem Modell aus Zonen und Conduits, ihren Security Levels und der Trennung zwischen Anforderungen an den Betreiber, an das System und an die einzelne Komponente. Im Fahrzeug gelten ISO/SAE 21434 und die UN-Regelung Nr. 155, die ein Cyber-Security-Managementsystem zur Voraussetzung der Typgenehmigung macht – seit Juli 2024 für alle neu zugelassenen Fahrzeuge. In der Zulieferkette der Automobilindustrie kommt TISAX dazu, das auf dem VDA-ISA-Katalog aufsetzt und Prüfergebnisse zwischen Herstellern austauschbar macht.

Der Alltag ist Projektarbeit mit langen Rückkopplungen. Sie schreiben Bedrohungsanalysen, prüfen Entwürfe, bauen Prüfungen in die Bereitstellungskette ein und verhandeln mit Entwicklungsteams über Befunde, die deren Zeitplan kosten. Die wiederkehrende Erfahrung dieses Bereichs ist, dass Sicherheit spät kommt. Wer erst nach dem Entwurf gefragt wird, kann nur noch Nein sagen oder nachgeben – beides ist teuer. Gute Stellen erkennen Sie daran, dass die Sicherheit im Entwurf sitzt und nicht in der Abnahme.

Im OT-Teil gilt eine Besonderheit, die viele unterschätzt: Verfügbarkeit steht vor Vertraulichkeit. Eine Anlage lässt sich nicht zum Einspielen eines Updates abschalten, Steuerungen laufen zwanzig Jahre, und ein Neustart kostet eine Charge. Wer aus der Bürowelt kommt, muss diese Reihenfolge erst lernen.

Was der Bestand zeigt

Ausgeschrieben wird überwiegend auf Fach- und Senioritätsebene, häufig mit einer Plattform oder Normenreihe im Titel. Es suchen Softwarehäuser und IT-Dienstleister, Maschinen- und Anlagenbauer, Fahrzeug- und Fahrzeugzulieferbetriebe, Luft- und Raumfahrt, Medizintechnik und Energieversorger. Englisch ist hier häufiger Bedingung als in den übrigen Bereichen, weil Normen, Werkzeuge und Teams international sind.

Vor der Bewerbung

Klären Sie, ob Sie entwerfen oder umsetzen sollen – beides wird unter denselben Titeln ausgeschrieben. Fragen Sie, an welcher Stelle des Entwicklungsprozesses Sie beteiligt werden und wer einen Befund abweisen darf. Ein Blick auf die Vergütung im Security Engineering und dann in die offenen Stellen für Security Engineers schärft das Bild.