Security Specialist

Was macht ein Security Specialist?

Das steht nicht im Titel, und das ist der wichtigste Hinweis zu diesem Beruf. Security Specialist, IT-Security Specialist, Spezialist Informationssicherheit, Information Security Professional – diese Bezeichnungen nennen kein Fachgebiet, weil die Stellen keines haben. Sie entstehen dort, wo eine Sicherheitsabteilung zu klein für Spezialisierung ist: In einem Haus mit drei Sicherheitsleuten gibt es keine Rolle für Detection Engineering und keine für Applikationssicherheit, sondern eine Stelle, die alles anfasst.

Erwarten Sie deshalb eine Mischung. Typisch sind: Schwachstellen bewerten und ihre Behebung nachhalten, Berechtigungen prüfen, an Firewall- und Endpunktregeln mitarbeiten, Sicherheitsanforderungen für Projekte formulieren, Lieferantenfragebögen beantworten und stellen, Awareness-Maßnahmen begleiten, Richtlinien pflegen, Meldungen aus den Schutzwerkzeugen durchsehen und im Vorfall mit anfassen. Wie viel davon Technik und wie viel Papier ist, schwankt zwischen zwei Anzeigen mit identischem Titel erheblich.

Wie wird man Security Specialist?

Über einen IT-Hintergrund und ein paar Jahre Praxis. Verlangt wird meist ein Studium der Informatik oder eine IT-Ausbildung – häufig der Fachinformatiker für Systemintegration – mit Erfahrung aus Administration, Netzwerk oder Betrieb. Ein Sicherheitszertifikat wird oft gewünscht und selten zur Bedingung gemacht; nützlich sind die Einstiegszertifikate der Sicherheitsverbände sowie plattformbezogene Nachweise zu dem, was im Haus läuft.

Für Umsteiger ist dieser Zuschnitt oft der realistischste Anfang in der IT-Sicherheit. Eine Stelle, die viele Themen anfasst, bringt in zwei Jahren mehr Überblick als eine Fachrolle in fünf. Der Preis ist, dass Sie in keinem Thema tief werden, solange Sie bleiben – und dass ein späterer Wechsel in eine Fachrolle erklärt werden muss, weil im Lebenslauf viel steht und wenig Tiefe erkennbar ist. Wer das weiß, kann gegensteuern und sich innerhalb der Stelle ein Thema als eigenes nehmen.

Was der Beruf verlangt

Selbstorganisation, weil niemand die Aufgaben ordnet. Bei breitem Zuschnitt bestimmen Zurufe den Tag, und wer nicht selbst Schwerpunkte setzt, arbeitet ein Jahr lang ausschließlich am Dringenden. Dazu kommt die Bereitschaft, Dinge zu tun, für die man nicht ausgebildet ist – Verträge lesen, Schulungen halten, Berichte schreiben, Fragebögen ausfüllen.

Die entscheidende Frage vor der Zusage ist nicht, was die Stelle heißt, sondern wo sie im Haus hängt. Eine Sicherheitsstelle unter der IT-Leitung ist meist eine technische; eine unter Risikomanagement, Revision oder Geschäftsführung ist meist eine steuernde. Dieselben Worte, zwei verschiedene Berufe. Nützliche Fragen: Wie viele arbeiten im Haus an Informationssicherheit, und wem berichten sie? Gibt es ein Managementsystem, und ist es zertifiziert, im Aufbau oder Absicht? Betreiben Sie Werkzeuge oder schreiben Sie Konzepte? Sind Sie zugleich der benannte Informationssicherheitsbeauftragte? Ist die Stelle neu, und warum ist der Vorgänger gegangen?

Aussichten

Die Nachfrage ist breit, weil die Zahl der Unternehmen mit Sicherheitspflichten durch NIS2 weit über die bisherigen KRITIS-Sektoren hinaus wächst – und in genau diesen Häusern beginnt Informationssicherheit mit einer einzigen Stelle. Für die Laufbahn ist das eine gute Ausgangslage: Von hier führen alle Wege weiter, in die Technik ebenso wie in die Steuerung, in die Beratung oder in die Beauftragtenrolle.