Der Einstieg in die Informationssicherheit hat ein bekanntes Problem: Viele Stellen, die „Junior" im Titel tragen, verlangen mehrere Jahre Erfahrung. Das ist ärgerlich und nicht unüberwindbar – es gibt Türen, die tatsächlich offen stehen, und es gibt Dinge, die man im letzten Studien- oder Ausbildungsjahr tun kann, um sie zu finden.
Warum Einstiegsstellen knapp erscheinen
Sicherheitsarbeit setzt in weiten Teilen voraus, dass man den Normalzustand kennt: Was ist eine gewöhnliche Anmeldung, ein gewöhnlicher Netzverkehr, ein gewöhnlicher Änderungsantrag. Diese Kenntnis kommt aus dem Betrieb, und deshalb besetzen viele Häuser Sicherheitsstellen mit Leuten, die vorher etwas anderes gemacht haben. Das ist keine Schikane, sondern eine fachliche Begründung – und sie zeigt zugleich den Weg: Wer diesen Normalzustand auf anderem Wege kennenlernt, wird einstellbar.
Die Türen, die offen stehen
Der Sicherheitsbetrieb. Die Erstauswertung in einem Sicherheitsbetrieb ist die häufigste erste Stelle in diesem Feld. Sie stellt auch ohne Berufserfahrung ein, verlangt dafür Schicht oder Bereitschaft. Was das bedeutet, steht unter Laufbahn im Sicherheitsbetrieb und, zur körperlichen Seite, unter Schichtdienst.
Einstiegsprogramme in Beratungshäusern. Sie stellen jährlich Gruppen ein, bilden aus und setzen früh beim Kunden ein. Der Preis sind Reisen und Auslastungsvorgaben; der Gewinn ist, dass Sie in zwei Jahren mehr Häuser sehen als sonst in zehn.
Der IT-Betrieb mit Sicherheitsanteil. Eine Administrationsstelle in einem Haus, das gerade ein Managementsystem aufbaut, ist ein hervorragender Einstieg: Sie lernen den Betrieb und arbeiten an Nachweisen mit. Der Weg von dort steht unter Quereinstieg aus der Administration.
Der öffentliche Dienst. Behörden, Kommunen, Hochschulen und Landesbetriebe bauen seit Jahren Sicherheitsstellen auf und stellen häufiger als die Privatwirtschaft ohne einschlägige Berufsjahre ein. Die Entgeltgruppe steht in der Anzeige, das Verfahren ist formal – siehe Stellenanzeige entschlüsseln.
Zuarbeit im Regelwerk. Dokumentation, Verzeichnisse, Nachverfolgung von Maßnahmen: unglamourös, aber der schnellste Weg in ein Audit-Umfeld, siehe ISO 27001.
Einen Überblick über die Einstiegsrollen gibt der Bereich Einstieg und Studium; die Rolle selbst ist unter Berufseinstieg beschrieben.
Was im letzten Jahr zu tun ist
Vier Dinge, die den Unterschied machen und die sich neben Studium oder Ausbildung unterbringen lassen.
Eine Werkstudententätigkeit oder ein Praktikum mit Sicherheitsbezug. Das ist die wirksamste einzelne Maßnahme. Sechs Monate in einem Sicherheitsbetrieb oder in einer IT-Abteilung sind im Lebenslauf mehr wert als jedes Wahlfach.
Die Abschlussarbeit im Unternehmen. Sie liefert eine Station, einen Betreuer, der Sie kennt, und ein Thema, über das Sie in jedem Gespräch reden können. Viele Einstellungen entstehen genau so.
Belege aus eigener Arbeit. Ein Labor mit dokumentierten Übungen, Wettbewerbsteilnahmen, ein anonymisierter Prüfbericht: die Nachweise, die fehlende Berufsjahre teilweise ersetzen. Siehe Heimlabor als Nachweis und CTF und Bug Bounty.
Ein Zertifikat, aber das richtige. Breite Einstiegszertifikate helfen in der Vorauswahl. Die großen Managementzertifikate setzen Berufserfahrung voraus und sind jetzt der falsche Schritt – warum, steht unter Zertifikate im Vergleich und CISSP.
Was Arbeitgeber bei Einsteigern wirklich prüfen
Im Fachgespräch wird bei Berufsanfängern selten Detailwissen abgefragt. Geprüft werden drei andere Dinge, und darauf kann man sich vorbereiten:
Können Sie erklären? Sie bekommen einen Begriff und sollen ihn einer Person ohne IT-Hintergrund erklären. Wer das kann, wird in einer Sicherheitsrolle gebraucht, denn ein großer Teil der Arbeit besteht aus Übersetzen.
Gehen Sie systematisch vor? Eine offene Frage ohne genug Angaben – „ein Rechner verhält sich auffällig, was tun Sie?" – prüft, ob Sie zuerst Informationen sammeln oder sofort raten.
Sagen Sie, wenn Sie etwas nicht wissen? In diesem Beruf ist eine erfundene Auskunft gefährlicher als eine fehlende. „Das weiß ich nicht, ich würde dort nachsehen" ist eine gute Antwort und wird auch so gewertet.
Studiengänge und was sie leisten
Es gibt eigene Studiengänge für IT-Sicherheit an Universitäten und Hochschulen, dazu Informatik mit Schwerpunkt, Wirtschaftsinformatik mit Sicherheitsanteil und duale Studiengänge mit einem Unternehmen als Partner. Alle führen in dieses Feld.
Unterschiede, die für die Wahl zählen: Ein dualer Studiengang liefert Berufserfahrung während des Studiums und damit genau das, was später verlangt wird. Ein technischer Studiengang öffnet die Engineering- und Testrichtung; ein wirtschaftsnaher die Regelwerks- und Beratungsrichtung. Für keine Richtung ist der Abschluss allein entscheidend – aber er bestimmt, wie viel Sie nebenher nachholen müssen.
Ein Hinweis zu Weiterbildungen außerhalb der Hochschule: Berufsbegleitende Umschulungen in die IT-Sicherheit gibt es in wachsender Zahl und sehr unterschiedlicher Qualität. Prüfen Sie vor der Anmeldung, welchen anerkannten Abschluss die Maßnahme erbringt, wie hoch der praktische Anteil ist und wohin Absolventen tatsächlich vermittelt wurden.
Die Bewerbung ohne Berufsjahre
Drehen Sie den Lebenslauf um: Ausbildung oder Studium mit Schwerpunkt und Thema der Abschlussarbeit nach vorn, dann Praktika und Werkstudententätigkeit, dann die Belege, dann alles Übrige. Der Aufbau im Einzelnen steht unter Lebenslauf.
Im Anschreiben gilt eine einfache Regel: Schreiben Sie nicht, dass Sie sich für Sicherheit begeistern, sondern was Sie gemacht haben. Ein Absatz über eine Übung, die schiefging und was Sie daraus gelernt haben, wirkt stärker als jede Absichtserklärung – siehe Anschreiben.
Und bewerben Sie sich auf Stellen, deren Anforderungen Sie zu etwa zwei Dritteln erfüllen. Anforderungslisten sind Wunschlisten; wer nur auf vollständige Übereinstimmung wartet, bewirbt sich nie.
Die ersten zwei Jahre
Wenn die erste Stelle steht, entscheidet sich in zwei Jahren, wohin die Laufbahn läuft. Drei Empfehlungen:
Suchen Sie Breite, bevor Sie sich festlegen. Wer im ersten Jahr Betrieb, Erkennung und ein Audit gesehen hat, kann danach entscheiden, was ihm liegt. Wer zwei Jahre dieselbe Anweisung abarbeitet, entscheidet nichts.
Schreiben Sie mit. Ein eigenes, anonymisiertes Verzeichnis der Fälle und Vorhaben, an denen Sie beteiligt waren, mit Ihrer Rolle und dem Ergebnis. Nach zwei Jahren ist das die Grundlage Ihrer nächsten Bewerbung, und ohne es erinnert sich niemand an Einzelheiten.
Bitten Sie früh um eine Aufgabe mit eigenem Namen. Ein kleines Vorhaben, das Sie verantworten – eine Erkennungsregel, eine Härtung, eine Dokumentation –, ist der Übergang vom Mitarbeiten zum Verantworten.
Wie Sie ein Praktikum finden
Werkstudententätigkeiten und Praktika in der Informationssicherheit werden häufig nicht ausgeschrieben, sondern entstehen aus einer Anfrage. Vier Wege, die tatsächlich funktionieren:
Die direkte Anfrage. Suchen Sie zwanzig Arbeitgeber in Ihrer Region, die eine Sicherheitsabteilung haben – erkennbar an Stellenanzeigen für erfahrene Leute –, und schreiben Sie die Person an, die dort für die Sicherheit zuständig ist. Zehn Zeilen: wer Sie sind, was Sie schon gemacht haben, welche Zeiten Sie anbieten. Die Trefferquote ist niedrig und die Konkurrenz auch.
Die Hochschule. Lehrstühle mit Sicherheitsschwerpunkt haben Kontakte, und Abschlussarbeiten in Unternehmen laufen fast immer über sie. Fragen Sie im dritten Semester, nicht im letzten.
Fachveranstaltungen und Vereine. Örtliche Gruppen von Fachverbänden, Sicherheitstreffen, Werkstattveranstaltungen. Dort sitzen die Leute, die einstellen, und es ist der einzige Ort, an dem ein Gespräch ohne Bewerbung zustande kommt.
Behörden und öffentliche Betriebe. Sie schreiben Praktika regelmäßig aus, mit festen Fristen und formalen Verfahren – weniger Wettbewerb, längere Vorlaufzeiten.
Und bereiten Sie einen Satz vor, der Ihre Belege nennt: Labor, Wettbewerbe, ein Beispielbericht. Ohne ihn klingt jede Anfrage gleich, siehe Heimlabor als Nachweis.
Ohne Studium
Der Weg über eine Ausbildung – etwa als Fachinformatiker mit Schwerpunkt Systemintegration – führt genauso in dieses Feld, oft sogar schneller: Sie sind früher im Betrieb und lernen den Normalzustand, den Absolventen erst nachholen müssen. Was danach fehlt, ist die Regelwerksseite, und die lässt sich über Fortbildung schließen.
In manchen Häusern und besonders im öffentlichen Dienst hängt die Eingruppierung am formalen Abschluss. Wer dort langfristig arbeiten will, sollte die Frage früh stellen und gegebenenfalls ein berufsbegleitendes Studium einplanen. In der Privatwirtschaft entscheidet nach den ersten Berufsjahren fast überall die Erfahrung – siehe Gehalt verhandeln.
Wo gerade Einstiegsstellen ausgeschrieben sind, zeigen die offenen Stellenangebote und gezielt die Stellen für Junior-Positionen.
Wenden Sie das direkt an: Im Stellenmarkt stehen Anzeigen aus ganz Deutschland, und zu jedem Beruf finden Sie die Aufgaben und die üblichen Gehälter daneben.