Prüfung & Zugriff

Was hier gearbeitet wird

Der kleinste Bereich dieses Portals versammelt zwei Berufe, die beide mit Zugriff zu tun haben – einmal damit, ihn unbefugt zu erlangen, einmal damit, ihn zu ordnen. Der Penetration Tester greift Systeme im Auftrag ihres Betreibers an und schreibt auf, wie es ging. Der Identity und Access Manager verwaltet, wer im Haus auf was darf, und räumt die Berechtigungen auf, die über Jahre gewachsen sind.

Wer nach Ethical Hacker sucht, sucht mit dem falschen Wort. In den Stellentiteln dieses Bestandes kommt der Begriff nicht ein einziges Mal vor – ebenso wenig wie Red Team, Bug Bounty, Offensive Security oder Exploit. Ausgeschrieben wird in Deutschland als Pentester, Penetrationstester oder Penetration Tester. "Ethical Hacker" ist eine Suchbezeichnung, keine Ausschreibungsbezeichnung; das Wort steht in Schulungsangeboten und in Zeitungsartikeln, nicht in Anzeigen. Ethical Hacker als Suchwort zeigt, mit welchen Wörtern man stattdessen sucht.

Der Weg hinein

Für den Penetrationstest gibt es keinen Ausbildungsweg, und es gibt auch kein Studium, das direkt hineinführt. Was zählt, ist nachweisbares Können: Betriebssysteme, Netze, Webtechnik, Skripting und die Fähigkeit, einen Befund verständlich aufzuschreiben. Die üblichen Nachweise sind das OSCP mit seiner 24-stündigen praktischen Prüfung und Bericht, dazu die GIAC-Prüfungen aus dem SANS-Umfeld. Das CEH ist verbreitet und wird häufig verlangt, ist in der Standardvariante aber eine Multiple-Choice-Prüfung und belegt Wissen, nicht Ausnutzung – wer damit kommt, sollte etwas Praktisches daneben zeigen können.

Der Weg ins Identity Management ist ein anderer und geht über den Betrieb: Verzeichnisdienste, Microsoft Entra, Rollenmodelle, Governance-Werkzeuge. Wer aus der Administration kommt, hat hier den kürzesten Weg; Zertifikate spielen eine kleinere Rolle als Erfahrung mit einer konkreten Plattform.

Wie die Arbeit aussieht

Ein Penetrationstest ist Auftragsarbeit mit engem Rahmen. Vor dem ersten Zugriff steht die schriftliche Beauftragung mit Umfang, Zeitfenster und Ansprechpartner – ohne sie ist derselbe Vorgang eine Straftat nach § 202a und § 303b StGB. Danach folgen wenige Tage Prüfung und deutlich mehr Zeit für den Bericht, denn der Bericht ist das Produkt. Wer gut darin ist, erklärt einem Entwickler, was zu ändern ist, und einem Vorstand, was auf dem Spiel steht.

Im Identity Management ist der Takt ein anderer: Projekte über Monate, Rezertifizierungskampagnen, Rollenmodelle, die mit der Organisation veralten. Die undankbare Seite ist der Widerstand – jede Wegnahme einer Berechtigung ist für jemanden eine Zumutung, und rechtfertigen müssen Sie sie.

Beide Berufe stehen unter Prüfungsdruck von außen. DORA verlangt von bedeutenden Finanzunternehmen bedrohungsgeleitete Penetrationstests, NIS2 und ISO 27001 verlangen Prüfungen der Wirksamkeit, und die Bereinigung privilegierter Zugänge ist in fast jedem Auditbericht der letzten Jahre ein Punkt.

Was der Bestand zeigt

Die Zahl der Anzeigen ist klein, und das entspricht dem Markt: Penetrationstests kaufen die meisten Unternehmen ein, statt eigene Tester einzustellen. Ausgeschrieben wird deshalb überwiegend von Prüf- und Beratungshäusern und von einigen Konzernen mit eigenem Team. Im Identity Management suchen dagegen Banken, Versicherungen und große Industrieunternehmen für den eigenen Betrieb. Wer prüfen will, findet mehr Stellen in Beratung und Vertrieb.

Vor der Bewerbung

Fragen Sie beim Penetrationstest, wie viele Tage je Auftrag zur Verfügung stehen und wie viel Zeit für den Bericht eingeplant ist – daran erkennt man die Qualität des Hauses. Im Identity Management: welche Plattform läuft, und ist das Rollenmodell gepflegt oder ein Altbestand. Ein Blick auf die Vergütung im Penetrationstest und dann in die offenen Stellen für Pentester macht den Vergleich konkret.