Das Anschreiben für Sicherheitsstellen: was hineingehört

Über Bewerbungsratgeber hinweg gilt das Anschreiben als das Herzstück der Bewerbung. Für Stellen in der Informationssicherheit stimmt das nur zur Hälfte, und die andere Hälfte kostet Bewerber regelmäßig Einladungen. Dieser Text sagt zuerst, woran in diesem Feld tatsächlich vorsortiert wird, und danach, wo ein Text den Ausschlag gibt und was dann hineingehört. Gemeint sind Bewerbungen bei Konzernen mit eigener Sicherheitsabteilung, bei Beratungshäusern, bei Betreibern kritischer Infrastruktur, bei Behörden und bei kleineren Dienstleistern, die einen Sicherheitsbetrieb für mehrere Kunden führen.

Zwei Verfahren, die nichts miteinander zu tun haben

Der erste Weg ist das Bewerbungsportal eines größeren Arbeitgebers. Dort füllen Sie Felder aus: Abschluss, Berufsjahre, Zertifikate, Verfügbarkeit, Gehaltsvorstellung, Bereitschaft zu Rufdienst oder Reisen, manchmal die Frage nach einer Sicherheitsüberprüfung. Diese Felder werden ausgewertet, oft vorsortiert, und erst danach sieht eine Person in den Anhang. Der Fließtext wird in diesem Verfahren häufig überflogen und manchmal gar nicht geöffnet.

Der zweite Weg ist die Bewerbung bei einem Beratungshaus, bei einem Mittelständler oder direkt bei der Person, die die Stelle geschaffen hat. Dort landet die Mail bei einem Teamleiter, bei einem Informationssicherheitsbeauftragten oder beim IT-Leiter, und dort wird gelesen. In diesem Verfahren ist Ihr Text eine Arbeitsprobe: Wer in der Sicherheit arbeitet, schreibt Konzepte, Prüfberichte, Risikoeinschätzungen und Mitteilungen an Fachbereiche, die keine Sicherheitsleute sind. Wie jemand einen Sachverhalt in fünf Sätzen darstellt, ist deshalb eine berufsnahe Information und keine Stilfrage.

Praktisch folgt daraus eine Reihenfolge: erst die Felder sorgfältig füllen, dann den Lebenslauf so aufbauen, dass die Nachweise auf der ersten Seite stehen, und zuletzt den Text schreiben. Wer die Mühe umgekehrt verteilt, schreibt eine schöne Seite für ein Verfahren, das sie nicht liest.

Was in die ersten Zeilen gehört

Die Angaben, die in diesem Feld zählen, sind andere als in den meisten Bewerbungsratgebern. Sie gehören in die ersten Zeilen und nicht auf die zweite Seite:

• Zertifikate mit Stand. Nicht „diverse Zertifizierungen", sondern das Zertifikat, das Jahr und der Zustand: bestanden, angemeldet, in Vorbereitung. Wer CISSP als „in Bearbeitung" führt, sollte dazu sagen, ob die Erfahrungsvoraussetzung schon erfüllt ist – die Einzelheiten dazu stehen unter CISSP. Welches Zertifikat für welchen Weg überhaupt etwas bringt, ist unter Zertifikate im Vergleich beschrieben.
• Die Seite, auf der Sie gearbeitet haben. Betrieb und Abwehr, Prüfung und Audit, Regelwerk und Managementsystem oder offensive Tests. Das sind vier verschiedene Berufe mit ähnlichen Stellentiteln. Welcher gemeint ist, sagt ein Satz.
• Systeme und Werkzeuge, an denen Sie tatsächlich gearbeitet haben, mit der Rolle dahinter: ein SIEM administriert oder darin ermittelt, eine Firewall-Regelbasis verantwortet oder beantragt, ein Schwachstellenscanner betrieben oder ausgewertet. Die Toolliste ohne diese Unterscheidung sagt wenig.
• Normen und Regelwerke, mit denen Sie gearbeitet haben, und in welcher Rolle: ISO/IEC 27001, der IT-Grundschutz des BSI, TISAX für die Automobilzulieferung, PCI DSS im Zahlungsverkehr, branchenspezifische Anforderungen. Ob Sie ein Audit begleitet, vorbereitet oder selbst durchgeführt haben, ist ein Unterschied, den jeder Auditleiter sofort erkennt.
• Rufbereitschaft und Schichtbereitschaft, konkret. Ein Sicherheitsbetrieb mit 24-Stunden-Abdeckung sucht anders als eine Stabsstelle. Sagen Sie, was Sie tragen können und was nicht; das erspart beiden Seiten ein Gespräch. Was daran arbeitsrechtlich hängt, steht unter Rufbereitschaft und Arbeitszeitrecht.
• Reisebereitschaft und Einsatzort. In der Beratung ist das die Frage, an der Verträge scheitern. Eine Angabe in Tagen je Woche ist brauchbar, „flexibel" nicht.
• Sprachen mit dem Anlass. Englisch in Wort und Schrift ist in diesem Feld keine Auszeichnung, sondern Voraussetzung, weil Herstellerdokumentation, Hinweise zu Schwachstellen und die Arbeit in verteilten Teams auf Englisch laufen. Interessant ist, ob Sie auf Englisch einen Vorfall aufnehmen oder ein Audit führen können.
• Eine bestehende oder mögliche Sicherheitsüberprüfung, wenn die Stelle bei einer Behörde, bei der Bundeswehr oder bei einem Zulieferer mit Verschlusssachen liegt. Was darauf zukommt, ist unter Sicherheitsüberprüfung beschrieben.

Wer diese Punkte auf einer halben Seite unterbringt, hat mehr gesagt als jede vollgeschriebene Seite mit allgemeinen Wendungen.

Tätigkeiten statt Eigenschaften

„Analytisch, teamfähig, hohe Lernbereitschaft" steht in jeder zweiten Bewerbung und trägt deshalb keine Information mehr. Ersetzen lässt sich das nur durch Arbeit.

Statt analytisch: zwei Jahre Erstauswertung von Alarmen in einem Sicherheitsbetrieb mit drei Schichten, Übergaben und Eskalation an die zweite Stufe. Statt durchsetzungsfähig: eine Freigabe für ein Fachverfahren mit dem Fachbereich und dem Datenschutzbeauftragten abgestimmt, inklusive der Auflagen, die am Ende darin standen. Statt strukturiert: ein Verzeichnis der Informationswerte für vierzig Anwendungen aufgebaut und mit den Verantwortlichen abgestimmt. Statt lernbereit: die Auditorenprüfung neben der Arbeit vorbereitet und bestanden.

Zahlen helfen, wenn Sie sie belegen können: die Zahl der betreuten Standorte, die Zahl der Anwendungen im Geltungsbereich, die Zahl der Audits je Jahr, die Länge der Rufbereitschaftswoche. Zahlen, die Sie im Gespräch nicht erklären können, schaden mehr als sie nützen.

Der eine Absatz, der die Stelle trifft

Danach kommt der Teil, für den es keine Vorlage gibt: ein kurzer Absatz, der zeigt, dass Sie die ausgeschriebene Stelle verstanden haben. Das setzt voraus, dass Sie die Anzeige gelesen und aus ihr etwas herausgelesen haben – wie das geht, steht unter Stellenanzeige entschlüsseln.

Brauchbar ist dieser Absatz, wenn er eine Unterscheidung enthält. Etwa: dass die Stelle offensichtlich den Aufbau eines Managementsystems betrifft und nicht dessen Pflege, und dass Sie den Aufbau schon einmal von der ersten Leitlinie bis zum ersten internen Audit begleitet haben. Oder umgekehrt: dass die Anzeige nach einem Allrounder klingt, Sie aber aus der Beschreibung der Werkzeuge schließen, dass der Schwerpunkt im Betrieb liegt, und dass Sie genau von dort kommen. Ein solcher Absatz ist schwer zu schreiben und lässt sich nicht kopieren – das ist sein Wert.

Was Sie weglassen sollten

Drei Dinge fallen in diesem Feld besonders unangenehm auf.

Erstens Andeutungen über frühere Arbeitgeber. Wer schreibt, beim letzten Arbeitgeber sei „die Firewall ein Witz" gewesen, hat damit eine Information über ein fremdes Netz weitergegeben. Dass man so etwas nicht tut, ist keine Frage des Takts, sondern der Verschwiegenheit: Angaben zu Schwachstellen, Architekturen und Vorfällen eines Arbeitgebers sind in der Regel Geschäftsgeheimnisse und vertraglich geschützt. Wer sie in einer Bewerbung ausplaudert, beantwortet die wichtigste Frage des Lesers – ob man Ihnen Zugänge geben kann – mit nein.

Zweitens die Sprache der Szene. Begriffe aus Werbung und Selbstdarstellung, vom „Hacker-Mindset" bis zum Verweis auf Filme und Serien, treffen bei niemandem, der in diesem Feld einstellt. Eine sachliche Beschreibung der eigenen Arbeit wirkt in jeder Runde besser.

Drittens Behauptungen ohne Beleg. In kaum einem Feld lässt sich Erfahrung so leicht nachweisen wie hier: ein Heimlabor mit dokumentierter Einrichtung, Wettbewerbsteilnahmen, bestätigte Meldungen aus Bug-Bounty-Programmen, ein öffentliches Repository mit eigenen Werkzeugen, eine Übungsumgebung, die Sie erklären können. Wie man daraus einen Nachweis macht, der im Gespräch trägt, steht unter Heimlabor als Nachweis und unter CTF und Bug Bounty.

Der Weg über Personalvermittler

Ein erheblicher Teil der Sicherheitsstellen wird über Vermittler besetzt, und der Umgang damit unterscheidet sich von einer direkten Bewerbung.

Klären Sie im ersten Gespräch drei Dinge: Für welches Unternehmen konkret wird gesucht – ein Vermittler, der das nicht sagen will, bevor Sie Unterlagen schicken, hat oft keinen Auftrag, sondern sammelt. Ob Ihre Unterlagen nur mit Ihrer ausdrücklichen Zustimmung weitergegeben werden, und an wen. Und ob es eine Doppelvorstellung geben kann – wenn Sie sich bereits selbst beworben haben, sollten Sie das sagen, weil sonst zwei Wege aufeinandertreffen und der Arbeitgeber Provision für eine Bewerbung zahlen müsste, die er schon hatte.

Nützlich sind Vermittler bei zwei Dingen: Sie kennen das Entgeltband, das in der Anzeige nicht steht, und sie sagen Ihnen, warum die Stelle frei ist. Beides können Sie direkt fragen. Unnützlich sind sie, wenn sie das Anforderungsprofil nicht erklären können – dann sind sie ein Postfach mit Provision.

Und behandeln Sie den Kontakt als dauerhaft: Ein Vermittler, der Ihre Richtung kennt, ruft in zwei Jahren wieder an. Das ist in einem Feld mit wenigen passenden Stellen mehr wert als die aktuelle Bewerbung.

Form, Anhänge, Nachfassen

Eine E-Mail, ein Anhang, ein PDF. Der Betreff nennt die Stelle und die Kennziffer. In den Mailtext gehören Telefonnummer und der frühestmögliche Eintritt. Der Dateiname enthält Ihren Namen und die Stelle. Wer verschlüsselte Anhänge oder einen ungewöhnlichen Übertragungsweg anbietet, sollte den gewöhnlichen Weg trotzdem offenhalten – eine Personalabteilung, die eine Datei nicht öffnen kann, liest sie nicht.

Nach etwa zehn Tagen dürfen Sie nachfragen, kurz und ohne Vorwurf. Rufen Sie nicht im Fachbereich an, wenn die Anzeige eine Personalabteilung nennt. Wird daraus ein Termin, verschiebt sich die Vorbereitung auf ganz andere Fragen – welche das sind, steht unter Vorstellungsgespräch, und wie der Lebenslauf dazu aufgebaut wird, unter Lebenslauf. Wer noch nicht weiß, wohin die Bewerbung gehen soll, verschafft sich zuerst einen Überblick über die offenen Stellenangebote und über die Stellen im Bereich Information Security.