Ethical Hacker als Suchwort: damit finden Sie nichts

Wer sich für die angreifende Seite der IT-Sicherheit interessiert, hat diesen Berufswunsch fast immer unter einem Namen kennengelernt: Ethical Hacker. So heißen die Kurse, so heißen die Bücher, so heißt das bekannteste Einsteigerzertifikat. Nur die Stellenanzeigen heißen nicht so, und das hat praktische Folgen für jeden, der in einer Jobsuche ein Wort eintippt.

Der Befund

Dieses Portal führte im September 2026 385 Anzeigen aus dem Bereich der Informationssicherheit. Eine Auszählung der Stellentitel ergab:

• „Ethical Hacker": null Treffer. Kein einziger Arbeitgeber hat eine Stelle unter diesem Titel ausgeschrieben.
• „Pentester" und „Penetrationstester": acht Anzeigen. Das ist die Bezeichnung, die im deutschen Markt tatsächlich verwendet wird.
• „Red Team", „Bug Bounty", „Offensive Security", „Exploit": je null Treffer im Titel.

Die Zahl acht ist dabei die zweite wichtige Auskunft. Von 385 Anzeigen betreffen acht ausdrücklich das Testen von Systemen. Alles andere ist Betrieb, Abwehr, Beratung, Regelwerk und Prüfung. Wer eine Laufbahn plant, sollte diese Größenordnung kennen, bevor er ein Jahr in eine Prüfungsvorbereitung steckt.

Ein Wort dazu, was diese Zahlen sind und was nicht: Sie beschreiben die Titel der Anzeigen dieses Portals zu einem Stichtag. Sie sind keine Erhebung über den gesamten deutschen Arbeitsmarkt, und eine Stelle kann Testarbeit enthalten, ohne sie im Titel zu nennen – genau darum geht es im nächsten Abschnitt. Als Auskunft darüber, welche Wörter Arbeitgeber in Titel schreiben, sind sie aber belastbar, denn sie sind gezählt und nicht geschätzt.

Warum das Wort fehlt

Dafür gibt es drei Gründe, und keiner davon ist Zufall.

Der erste ist sprachlich. Deutsche Stellentitel nennen die Tätigkeit und nicht die Haltung. „Ethical" ist eine Aussage über die Absicht des Handelnden; in einer Anzeige steht stattdessen, was getan wird – geprüft, getestet, bewertet. Kein Personalbereich schreibt „ethisch" in einen Titel, weil das die Frage aufwirft, was die unethische Variante wäre.

Der zweite ist vertraglich. Was ein Penetrationstester tut, ist nur deshalb erlaubt, weil ein schriftlicher Auftrag vorliegt, der Systeme, Zeitfenster und Ansprechpartner benennt. Die Berufsbezeichnung verweist auf diesen Auftrag, nicht auf eine Gesinnung. Warum das strafrechtlich der entscheidende Punkt ist, steht unter Pentest und Strafrecht.

Der dritte ist der Markt. Offensive Arbeit wird in Deutschland überwiegend von Dienstleistern erbracht und nicht von den geprüften Unternehmen selbst. Wer testet, arbeitet meist in einem Beratungshaus oder einer Prüfstelle und trägt dort einen Titel aus der Beratung. Interne Red Teams gibt es, aber fast nur in sehr großen Häusern, und sie schreiben selten offen aus.

Die Wörter, mit denen Sie suchen sollten

Setzen Sie nicht auf einen Titel, sondern auf mehrere Suchwörter, und lesen Sie die Aufgabenbeschreibung.

• Penetrationstester, Pentester, Penetration Tester. Die direkte Entsprechung. Beginnen Sie hier: die Stellen für Penetrationstester sind der kleinste, aber der eindeutige Teil des Marktes. Was der Beruf umfasst, steht auf der Seite zum Penetrationstester.
• Security Consultant, IT-Sicherheitsberater. Hier verstecken sich viele Teststellen, weil Beratungshäuser ihre Prüferinnen und Prüfer nach dem Vertragsverhältnis mit dem Kunden benennen und nicht nach der Methode. Lesen Sie in solchen Anzeigen die Aufzählung der Leistungen: stehen dort Web- und Infrastrukturtests, ist es eine Teststelle.
• Security Analyst, Security Specialist. Meist defensiv, gelegentlich mit einem Testanteil. Die Unterscheidung liefert der Abschnitt zu den Werkzeugen.
• Schwachstellenmanagement, Vulnerability Management. Nicht dasselbe wie ein Test, aber der häufigste Einstieg in die Nähe der offensiven Arbeit, und in größerer Zahl ausgeschrieben.
• Auditor, Prüfer, Revisor mit IT-Schwerpunkt. Prüfende Tätigkeit ohne technisches Eindringen, für viele ein Umweg mit gutem Ausgang.
• Werkstudenten- und Praktikumsstellen bei Prüfstellen. Der übliche Weg in die acht Stellen, die es gibt.

Suchen Sie außerdem nach Werkzeugen und Verfahren statt nach Rollen: Burp Suite, Nmap, Active-Directory-Härtung, OWASP, Web Application Security, Threat Modeling. Wer im Suchfeld eines Stellenportals nach Aufgaben sucht, findet Anzeigen, deren Titel ihn nie erreicht hätte.

Was daraus für die Laufbahn folgt

Es ist nicht falsch, in die offensive Richtung zu wollen. Falsch ist nur, sie für den Normalfall zu halten. Drei Schlüsse, die sich aus dem Zahlenbild ziehen lassen:

Der Einstieg führt in der Regel über eine andere Stelle. Die acht Teststellen verlangen fast durchweg Erfahrung, weil ein Test beim Kunden stattfindet und ein Bericht das Produkt ist. Aus dem Betrieb, aus dem Sicherheitsbetrieb oder aus der Entwicklung ist der Weg dorthin kürzer als von außen. Wie das jeweils aussieht, steht unter Quereinstieg aus der Administration, Quereinstieg aus dem Netzwerkbetrieb und Quereinstieg aus der Entwicklung.

Der praktische Nachweis wiegt hier mehr als in jedem anderen Teil der Sicherheit. Ein Zertifikat mit praktischer Prüfung sagt in dieser Richtung mehr aus als ein Wissenstest; die Unterschiede stehen unter OSCP und CEH und der Wert eines Zertifikats. Dazu kommen Belege, die Sie selbst erzeugen können: Wettbewerbe, bestätigte Meldungen aus Programmen, ein dokumentiertes Labor – siehe CTF und Bug Bounty und Heimlabor als Nachweis.

Der Berufsalltag besteht zu einem erheblichen Teil aus Schreiben. Ein Test endet mit einem Bericht, den ein Kunde lesen, verstehen und in Maßnahmen umsetzen muss, und mit einer Abschlussbesprechung. Wer die Berichtsarbeit nicht mag, mag den Beruf nicht, sondern seine Vorstellung davon.

Was die acht Stellen verlangen

Wer die acht Anzeigen nebeneinanderlegt, findet in den Anforderungen dreierlei, und zwar durchgehend.

Erstens Methodenkenntnis mit Nachweis: Erfahrung mit Web- und Infrastrukturtests, Kenntnis eines anerkannten Vorgehens, meist mit Verweis auf die Prüfkataloge der OWASP für Anwendungen oder auf die Vorgehensweise des BSI für Penetrationstests. Zweitens ein Berichtsteil: Dokumentation der Befunde, Bewertung der Schwere, Abschlussgespräch beim Kunden. Drittens Reisebereitschaft, weil ein Teil der Prüfungen vor Ort stattfindet und weil Kunden Abschlussbesprechungen gern in ihren Räumen führen.

Was in den Anzeigen dagegen fast nie steht, ist ein Hochschulabschluss als Bedingung. Das unterscheidet diesen Teil des Feldes von der Governance-Seite, in der ein Abschluss häufiger verlangt wird. Belege aus eigener Arbeit ersetzen hier tatsächlich einen Teil des Lebenslaufs – aber sie ersetzen nicht die Fähigkeit, einen Bericht zu schreiben, den eine Geschäftsführung liest.

Der Weg über Prüfstellen

Neben den Beratungshäusern gibt es einen zweiten Arbeitgebertyp, der übersehen wird: Prüf- und Zertifizierungsstellen. Dort wird geprüft, aber in anderer Form als bei einem Penetrationstest.

Dazu gehören Prüfstellen, die Nachweise für Betreiber kritischer Infrastruktur abnehmen – siehe KRITIS und Nachweispflichten –, Zertifizierungsstellen für Managementsysteme, und Prüflabore, die Produkte gegen Kriterienkataloge bewerten. Die Arbeit ist methodisch streng, gut dokumentiert und oft planbarer als das Kundengeschäft einer Beratung.

Für die offensive Richtung ist das ein realistischer Umweg: Sie kommen an Systeme und an Befunde, Sie lernen, Prüfergebnisse belastbar aufzuschreiben, und Sie erwerben Qualifikationen, die anschließend auch bei Dienstleistern zählen. Wer dort anfängt, sollte auf zwei Punkte achten: dass tatsächlich technisch geprüft wird und nicht nur Unterlagen gelesen werden, und dass eine Fortbildung in Prüfmethodik vorgesehen ist.

Gesucht wird in diesen Häusern unter Bezeichnungen wie Prüfer, Auditor, Evaluator oder Gutachter. Auch das ist ein Beispiel für den Befund dieses Textes: Wer nur nach dem Wort sucht, mit dem er seinen Berufswunsch beschreibt, findet einen Bruchteil der Stellen, die es gibt.

Und wenn Sie trotzdem „Ethical Hacker" lesen

Der Begriff kommt in Deutschland an drei Stellen vor: in Zertifikatsnamen, in Kurs- und Buchtiteln und in der Eigenbeschreibung auf Berufsprofilen in sozialen Netzwerken. Das ist kein Grund, ihn zu meiden, wenn Sie damit verständlich machen, was Sie tun wollen. In der Bewerbung selbst ist die sachliche Bezeichnung besser: Sie schreiben, dass Sie Penetrationstests durchführen möchten, welche Systeme Sie kennen und welchen Beleg Sie dafür haben.

Für die Suche gilt dagegen ohne Einschränkung: Das Wort führt ins Leere. Wer es im Suchfeld benutzt, sieht null Anzeigen und schließt daraus, dass es keine Stellen gibt. Es gibt sie – sie heißen anders. Ein Blick in die offenen Stellenangebote mit den Wörtern aus dem Abschnitt oben zeigt das innerhalb einer Minute.