Der Lebenslauf für Sicherheitsstellen: Aufbau und Nachweise

Ein Lebenslauf für eine Sicherheitsstelle wird von zwei Personen gelesen, die verschiedene Dinge suchen. Die Personalabteilung prüft Formales: Abschluss, Berufsjahre, Zertifikate, Verfügbarkeit, Gehaltsband. Der Fachvorgesetzte prüft, ob Sie die Arbeit schon gemacht haben, und zwar in wenigen Minuten. Ein Aufbau, der beides bedient, sieht anders aus als die übliche Vorlage.

Die Kopfzeile und der Block, der darunter gehört

Nach Name, Kontakt und Wohnort folgt in diesem Feld sinnvollerweise ein kurzer Block mit vier bis sechs Zeilen, der die prüfbaren Angaben bündelt. Nennen Sie ihn „Qualifikation und Nachweise" und stellen Sie hinein:

• die Zertifikate mit Jahr und Zustand,
• die Normen und Regelwerke, mit denen Sie gearbeitet haben,
• die Seite der Sicherheit, von der Sie kommen: Betrieb und Abwehr, Prüfung und Audit, Regelwerk und Managementsystem, offensive Tests,
• Rufbereitschaft, Reisebereitschaft und Einsatzort,
• eine bestehende Sicherheitsüberprüfung, wenn es eine gibt,
• Sprachen, sofern über Englisch hinaus etwas dabei ist.

Dieser Block ersetzt das „Profil" mit Selbstbeschreibungen, das kaum gelesen wird. Er beantwortet die Fragen, die ein Fachvorgesetzter ohnehin stellt, in der Reihenfolge, in der er sie stellt.

Zertifikate: Jahr, Stand, und keine Sammlung

Schreiben Sie jedes Zertifikat mit dem Jahr der Prüfung und, wenn es eine Gültigkeitsdauer hat, mit dem Ende. Mehrere große Zertifikate verlangen eine laufende Fortbildung: bei ISC2 und ISACA sind Fortbildungspunkte über einen Dreijahreszeitraum und ein Jahresbeitrag zu erbringen, GIAC-Zertifikate haben eine begrenzte Laufzeit und werden über Fortbildungspunkte oder eine erneute Prüfung verlängert. Ein Zertifikat, das nicht mehr gepflegt wird, ist keine Fälschung, aber es ist auch keine laufende Bestätigung – schreiben Sie dann das Prüfungsjahr hin und nichts weiter.

Vermeiden Sie zwei Fehler. Der erste ist die Sammlung von Herstellerabschlüssen und Online-Kursen in einer Liste mit zwanzig Einträgen; sie verdünnt die zwei, auf die es ankommt. Der zweite ist ein Zertifikat, dessen Voraussetzung Sie nicht erfüllen: Wer CISSP nennt, ohne die verlangte Berufserfahrung und die Bestätigung durch ein Mitglied zu haben, führt in Wahrheit den Zwischenstatus. Schreiben Sie ihn hin, so wie er heißt. Was die einzelnen Prüfungen verlangen, steht unter Zertifikate im Vergleich.

Berufserfahrung: Rolle, Verantwortungstiefe, Umfang

Der häufigste Mangel in Lebensläufen dieses Feldes ist die Werkzeugliste ohne Rolle. „SIEM, EDR, Firewall, Schwachstellenscanner" kann bedeuten, dass jemand ein System betrieben und ausgebaut hat, oder dass er als Anwender Meldungen daraus bearbeitet hat. Beides ist eine ehrbare Tätigkeit, aber es sind verschiedene Stellen.

Schreiben Sie deshalb zu jeder Station drei Dinge: was Sie verantwortet haben, in welchem Umfang, und was das Ergebnis war. Beispiele für die Form, nicht zum Abschreiben:

• Betrieb der zentralen Protokollsammlung für rund achtzig Systeme, einschließlich Auswertungsregeln und Übergabe an die zweite Stufe.
• Aufbau des Verzeichnisses der Informationswerte für drei Standorte, abgestimmt mit den Fachverantwortlichen, Grundlage für die erste Risikobewertung.
• Vorbereitung und Begleitung von zwei Überwachungsaudits nach ISO/IEC 27001, Nachverfolgung der Feststellungen bis zum Abschluss.
• Erstauswertung von Alarmen im Dreischichtbetrieb, Übergabeprotokolle, Beteiligung an vier Vorfällen mit Beteiligung des Krisenstabs.

Wo Sie Zahlen nennen, müssen Sie sie im Gespräch erklären können. Wo Sie keine nennen können, nennen Sie den Umfang anders: Zahl der Standorte, Zahl der betreuten Fachverfahren, Größe des Teams, Länge des Bereitschaftsturnus.

Was ein Lebenslauf in diesem Feld weglassen muss

Hier gilt eine Einschränkung, die es in anderen Branchen nicht gibt: Sie dürfen über die Sicherheitslage Ihres Arbeitgebers nichts offenlegen. Konkrete Schwachstellen, Architekturzeichnungen, Herstellernamen in Verbindung mit einer Schwäche, Vorfälle mit Datum und Verlauf – das alles gehört nicht in eine Bewerbung, auch nicht als Beweis der eigenen Leistungsfähigkeit. Beschreiben Sie die Aufgabe, nicht das Objekt: „Behebung einer Schwachstelle in einem Fachverfahren nach einem externen Test" statt der Nennung von Produkt und Version.

Bei Beratungsstellen kommt hinzu, dass Kundennamen in der Regel nicht genannt werden dürfen. Üblich und akzeptiert ist die Umschreibung: Branche, Größenordnung, Projektzuschnitt. Ein Lebenslauf, der Kundennamen ausschreibt, ist für ein Beratungshaus ein Warnzeichen und nicht ein Nachweis.

Lücken, Wechsel, Quereinstieg

Lücken sind in diesem Feld nicht die Ausnahme; viele kommen aus der Administration, aus der Entwicklung oder aus einem ganz anderen Beruf und haben zwischendurch eine Umschulung, ein Studium oder eine Familienzeit. Schreiben Sie die Zeit mit Monat und Jahr hin und benennen Sie sie sachlich. Eine erklärte Lücke kostet nichts, eine verschwiegene kostet Vertrauen, und Vertrauen ist bei einer Stelle mit weitreichenden Zugängen der Kern der Sache.

Beim Quereinstieg ordnen Sie nach Tätigkeiten und nicht nach Berufsbezeichnungen, damit die übertragbaren Anteile sichtbar werden: Änderungsverfahren, Rechteverwaltung, Netztrennung, Protokollauswertung, Dokumentation, Arbeit nach Vorgabe und Nachweis. Was in welcher Richtung trägt, steht unter Quereinstieg aus der Administration und den beiden Nachbartexten zu Netzwerk und Entwicklung.

Der Anhang und die Belege

In den Anhang gehören der Lebenslauf, die Zertifikatsnachweise, das letzte Zeugnis und der Abschluss. Nicht alles, was Sie haben. Zwei Ergänzungen sind in diesem Feld üblich und wirken:

Erstens ein knapper Verweis auf prüfbare Eigenarbeit: ein Repository, eine Beschreibung des eigenen Labors, eine Übersicht der Wettbewerbe, an denen Sie teilgenommen haben, bestätigte Meldungen aus Bug-Bounty-Programmen, soweit die Programmbedingungen eine Nennung erlauben. Wie man das aufbereitet, ohne zu übertreiben, steht unter Heimlabor als Nachweis und CTF und Bug Bounty.

Zweitens, wenn eine Stelle es verlangt, eine Angabe zur Bereitschaft für eine Sicherheitsüberprüfung – nicht die Unterlagen selbst. Was das Verfahren umfasst, steht unter Sicherheitsüberprüfung.

Die Reihenfolge der Abschnitte

Für Berufserfahrene gilt: Nachweisblock, Berufserfahrung, Ausbildung, Fortbildung, Sonstiges. Für Einsteiger dreht sich das: Ausbildung oder Studium mit dem Schwerpunkt und dem Thema der Abschlussarbeit, dann Praktika und Werkstudententätigkeit, dann der Nachweisblock mit den Belegen aus eigener Arbeit, dann alles andere. Der Grund ist banal: Der Leser sucht das, was am schwersten zu bekommen war, und das ist bei Einsteigern der Abschluss und bei Erfahrenen die Verantwortung.

Eine Station, die nichts mit Sicherheit zu tun hatte, darf kurz sein, aber nicht fehlen. Fünf Jahre im Vertrieb sind keine Schwäche in einer Bewerbung für eine Beratungsstelle – sie sind der Teil, der erklärt, warum Sie einen Kundentermin führen können. Was aus welcher Herkunft trägt, ist unter Berufseinstieg nach dem Studium und den Texten zum Quereinstieg beschrieben.

Der Lebenslauf für Bewerbungsportale

Wenn die Bewerbung durch ein Portal läuft, wird Ihr Dokument in vielen Fällen maschinell ausgelesen, bevor es jemand sieht. Das stellt an die Form andere Anforderungen als ein PDF, das ein Teamleiter öffnet.

Praktische Folgerungen: einspaltig statt in Spalten, weil mehrspaltige Auszüge beim Auslesen durcheinandergeraten; Text statt Grafik, also keine Kompetenzbalken und keine Bilder mit eingebetteter Schrift; übliche Abschnittsüberschriften, damit die Zuordnung erkennbar bleibt; Zeitangaben mit Monat und Jahr in gleichbleibender Schreibweise; und Zertifikate mit dem Kürzel und der ausgeschriebenen Bezeichnung, weil Filter beides suchen können.

Dazu die Wörter selbst: Ein Portal findet, was dasteht. Wer mit ISO/IEC 27001 gearbeitet hat, sollte den Normnamen schreiben und nicht „einschlägige Standards". Wer ein bestimmtes Auswertungswerkzeug betrieben hat, nennt es. Das ist kein Trick, sondern der Unterschied zwischen einer Angabe und einer Andeutung.

Und prüfen Sie am Ende, ob die ausgefüllten Felder des Portals mit dem Dokument übereinstimmen – Berufsjahre, Zertifikate, Verfügbarkeit, Gehaltsvorstellung. Abweichungen zwischen Formular und Anhang fallen auf und kosten Vertrauen, bevor ein Gespräch zustande kommt.

Zwei Seiten, und die Form ist Nebensache

Zwei Seiten reichen für zehn Berufsjahre, wenn die ältesten Stationen auf je zwei Zeilen zusammenschrumpfen. Eine schlichte Gliederung ohne Balken, Diagramme und Bewertungsskalen ist in diesem Feld die passende Form: Fünf Sterne für „Kryptografie" sind keine Angabe, sondern eine Behauptung über sich selbst.

Wenn die Bewerbung über ein Portal läuft, prüfen Sie am Ende, ob die Felder dasselbe sagen wie das Dokument – abweichende Angaben zu Berufsjahren oder Zertifikaten fallen auf und kosten die Einladung. Was daneben in das Anschreiben gehört, steht unter Anschreiben, und wie Sie aus einer Anzeige herauslesen, welche Stelle wirklich gemeint ist, unter Stellenanzeige entschlüsseln. Wo gerade eingestellt wird, zeigen die offenen Stellenangebote.