Fachrollen ohne Schwerpunkt

Was hier gearbeitet wird

Dieser Bereich versammelt die Anzeigen, deren Titel kein Fachgebiet nennt: Security Specialist, IT-Security Specialist, Spezialist Informationssicherheit, Information Security Professional, Cyber Security Spezialist. Das ist kein Mangel der Zuordnung, sondern ein Befund über den deutschen Markt – und er ist groß genug, um einen eigenen Bereich zu füllen.

Der Grund liegt in der Größe der Abteilungen. In einem Haus mit drei Sicherheitsleuten gibt es keine Rolle für Detection Engineering und keine für Applikationssicherheit; es gibt eine Stelle, die alles macht. Der Titel bleibt deshalb allgemein, weil die Aufgabe es ist. Erst ab einer gewissen Größe entstehen die Fachrollen, die in Abwehr und Überwachung, Entwicklung und Architektur und Steuerung und Nachweis stehen.

Der Weg hinein

Weil die Aufgabe breit ist, ist der Zugang breit. Gesucht werden Leute mit IT-Hintergrund und ein paar Jahren Praxis – Fachinformatiker mit Erfahrung, Informatikabsolventen, Umsteiger aus Administration, Netzwerk und Betrieb. Ein Sicherheitszertifikat wird häufig gewünscht und selten verlangt.

Für Umsteiger ist dieser Bereich deshalb oft der realistischste Anfang: eine Stelle, die viele Themen anfasst, bringt in zwei Jahren mehr Überblick als eine Fachrolle in fünf. Der Preis ist, dass Sie in keinem Thema tief werden, solange Sie dort bleiben. Wer noch gar keine Berufserfahrung hat, findet den Zugang über Einstieg und Studium.

Wie die Arbeit aussieht

Erwarten Sie eine Mischung, und zwar eine, die Ihnen niemand vorher aufschreibt. Typisch sind: Schwachstellen bewerten und ihre Behebung nachhalten, Berechtigungen prüfen, an Firewall- und Endpunktregeln mitarbeiten, Sicherheitsanforderungen für Projekte formulieren, bei Lieferantenprüfungen und Fragebögen mitwirken, Awareness-Maßnahmen begleiten, Richtlinien pflegen und im Vorfall mit anfassen. Wieviel davon Technik ist und wieviel Papier, entscheidet der Zuschnitt der Stelle – und der schwankt zwischen zwei Anzeigen mit identischem Titel erheblich.

Die entscheidende Frage ist deshalb nicht, was die Stelle heißt, sondern wo sie im Haus hängt. Eine Sicherheitsstelle unter der IT-Leitung ist meist eine technische; eine unter dem Risikomanagement, der Revision oder der Geschäftsführung ist meist eine steuernde. Dieselben Worte, zwei verschiedene Berufe.

Diese Fragen klären das Bild im Gespräch besser als jede Anzeige:

Wie viele Personen arbeiten im Haus an Informationssicherheit, und wem berichten sie? Gibt es ein ISMS, und ist es zertifiziert, im Aufbau oder Absicht? Wer betreibt die Werkzeuge – Sie oder der IT-Betrieb? Sind Sie zugleich der benannte Informationssicherheitsbeauftragte, und ist Ihnen das bewusst? Gibt es Rufbereitschaft, und wie ist sie geregelt? Wer entscheidet, ob eine Maßnahme umgesetzt wird, und was passiert, wenn sie abgelehnt wird? Ist die Stelle neu, und was hat den Vorgänger gehen lassen?

Was der Bestand zeigt

Gesucht werden fast ausschließlich Fachkräfte mit Berufserfahrung, oft mit einer langen Aufzählung von Themen in der Beschreibung und ohne Schwerpunkt im Titel. Es suchen Industrieunternehmen, Mittelstand, IT-Dienstleister, Kliniken, Versorger und der öffentliche Dienst – also querbeet. Die Mehrzahl der Anzeigen nennt Homeoffice als Möglichkeit.

Vor der Bewerbung

Lassen Sie sich die Aufgaben nach Zeitanteilen schätzen, nicht aufzählen. Fragen Sie nach der Vorgeschichte der Stelle und nach dem Reifegrad, den das Haus sich selbst zuschreibt. Ein Blick auf die Vergütung für Security Specialists und dann in die offenen Stellen für Spezialisten Informationssicherheit macht den Vergleich konkret.