Der Sicherheitsbetrieb – im Sprachgebrauch der Branche das SOC – ist für viele die erste Stelle in der Informationssicherheit. Er stellt in diesem Portal mit 24 Anzeigen eine der größeren Rollengruppen, er stellt häufiger als andere Bereiche Berufsanfänger ein, und er hat einen Preis: Schicht oder Rufbereitschaft. Dieser Text beschreibt die Stufen, was man in jeder lernt, und wann es Zeit ist, weiterzugehen.
Die Stufen
Die Gliederung ist in den meisten Häusern ähnlich, auch wenn die Bezeichnungen wechseln.
Erstauswertung. Sie nehmen Meldungen entgegen, die Werkzeuge erzeugen, prüfen sie gegen eine Anweisung, schließen die unbegründeten und geben die übrigen weiter. Die Arbeit ist getaktet, dokumentationslastig und in guten Häusern klar beschrieben. Was Sie hier lernen: die Landschaft des Hauses, den Unterschied zwischen Meldung und Vorfall, und das Handwerk der Dokumentation. Was Sie nicht lernen, wenn Sie zu lange bleiben: selbständige Beurteilung.
Ermittlung. Sie nehmen die weitergegebenen Fälle, sehen in die Systeme, ziehen weitere Quellen hinzu und entscheiden, ob ein Vorfall vorliegt. Hier beginnt die eigentliche fachliche Arbeit: Zusammenhänge herstellen, Zeitachsen bauen, Hypothesen prüfen. Für diese Stufe wird Systemerfahrung verlangt, und deshalb ist sie der übliche Einstieg für Quereinsteiger aus Administration und Netzbetrieb – siehe Quereinstieg aus der Administration.
Vorfallbearbeitung. Sie führen den Fall: Eindämmung, Beweissicherung, Abstimmung mit Fachbereichen, Kommunikation, Wiederanlauf, Nachbereitung. Das ist zur Hälfte Technik und zur Hälfte Organisation, und es ist die Stufe, in der man am schnellsten erwachsen wird. Meldepflichten gegenüber Behörden werden hier praktisch – siehe NIS2 und KRITIS und Nachweispflichten.
Erkennungsentwicklung. Sie bauen und pflegen die Regeln, mit denen die anderen arbeiten, messen Fehlalarme und schließen Lücken. Eine Stelle für Leute, die sowohl Systeme als auch Statistik mögen; in vielen Häusern der Ausweg aus der Schicht, weil sie in der Regelarbeitszeit stattfindet.
Bedrohungsanalyse. Sie ordnen ein, wer angreift, wie und womit, und übersetzen das in Erkennung und Maßnahmen. Ein kleiner Bereich mit wenigen Stellen, der vor allem in großen Häusern und bei Dienstleistern existiert.
Daneben steht die Schichtleitung als Führungsaufgabe: Besetzung, Übergaben, Eskalation, Qualität der Fälle, Einarbeitung neuer Leute.
Was der Einstieg wirklich verlangt
Für die Erstauswertung verlangen Anzeigen selten mehr als eine abgeschlossene Ausbildung oder ein Studium mit IT-Bezug, Englisch und die Bereitschaft zur Schicht. Was in der Auswahl tatsächlich entscheidet, ist anderes:
- Ordentliches Arbeiten unter Wiederholung. Wer in einer Nacht dreißig gleichartige Meldungen sauber dokumentiert, ist wertvoller als jemand mit brillanten Einfällen und lückenhaften Notizen.
- Sprachliche Genauigkeit. Ein Fall wird übergeben, und die Übergabe ist ein Text. Wer nicht präzise schreibt, erzeugt Arbeit für andere.
- Grundverständnis für Betriebssysteme und Netz. Nicht Tiefe, aber die Fähigkeit, eine Anmeldung, einen Prozess und eine Verbindung zu deuten.
- Ein Beleg aus eigener Arbeit, wenn Berufserfahrung fehlt: ein Labor mit zwei Erkennungsregeln und einer nachgestellten Auswertung ist genau der Nachweis, der hier zählt – siehe Heimlabor als Nachweis.
Der Preis: Schicht und Bereitschaft
Ein Sicherheitsbetrieb, der rund um die Uhr arbeitet, braucht Nachtschichten und Wochenenddienste. Manche Häuser lösen das mit Rufbereitschaft, manche mit einer Übergabe an einen Dienstleister zu bestimmten Zeiten, manche mit einem vollen Schichtbetrieb.
Das ist die Nebenbedingung, an der die meisten Laufbahnen in diesem Bereich enden – nicht an der Fachlichkeit. Wer sich darauf einlässt, sollte vorher wissen, was Nachtarbeit mit Schlaf, Verdauung und Familienleben macht, welche Ansprüche das Arbeitszeitgesetz gibt und welche Vorsorge angeboten werden muss. Das steht unter Schichtdienst im Sicherheitsbetrieb; die arbeitsrechtliche Seite der Bereitschaft unter Rufbereitschaft und Arbeitszeitrecht und die Vergütung unter Rufbereitschaft vergüten.
Fragen Sie im Gespräch nach dem Schichtmodell, der Besetzung je Schicht, dem Turnus, der Vertretungsregel bei Krankheit und danach, wie viele Leute im letzten Jahr gegangen sind. Die letzte Frage ist unhöflich und die aufschlussreichste.
Woran man einen brauchbaren Sicherheitsbetrieb erkennt
Die Unterschiede zwischen zwei Häusern sind in diesem Bereich größer als zwischen zwei Berufen. Fünf Merkmale, die sich im Gespräch erfragen lassen:
- Geschriebene Anweisungen für die häufigen Fälle. Wo es sie nicht gibt, ist die Nachtschicht ein Ratespiel.
- Eine ehrliche Zahl zu den Fehlalarmen. Häuser, die sie kennen, arbeiten an ihr. Häuser, die die Frage nicht verstehen, haben ein Werkzeug gekauft und keinen Betrieb aufgebaut.
- Zugriff auf die Systeme, die man beurteilen soll. Ein Sicherheitsbetrieb, der jede Rückfrage an den IT-Betrieb weitergeben muss, bearbeitet keine Fälle, sondern Tickets.
- Übergaben, die stattfinden. Fünfzehn Minuten am Schichtwechsel, mit einem Protokoll.
- Nachbereitung nach einem Vorfall, aus der etwas folgt. Wo dieselbe Ursache dreimal im Jahr auftritt, arbeitet niemand an den Ursachen.
Wie lange bleibt man auf welcher Stufe
Eine Faustregel aus der Praxis, kein Gesetz: Die Erstauswertung ist nach etwa einem Jahr ausgelernt. Wer nach zwei Jahren noch dieselbe Anweisung abarbeitet, verliert Zeit – nicht, weil die Arbeit wertlos wäre, sondern weil der Lernzuwachs aufhört und die Schicht bleibt.
Fragen Sie deshalb beim Einstieg ausdrücklich nach dem Weg nach oben: Gibt es eine zweite Stufe im Haus? Wer entscheidet über den Wechsel, und woran? Wird Zeit für Einarbeitung und Fortbildung eingeplant? Häuser, die darauf keine Antwort haben, besetzen die Erstauswertung als Dauerstelle, und das sollte man wissen, bevor man unterschreibt.
Der zweite typische Wendepunkt liegt nach drei bis fünf Jahren in der Vorfallbearbeitung. Dann stehen drei Wege offen: die Spezialisierung in Forensik oder Erkennungsentwicklung, der Wechsel zu einem Dienstleister mit mehr Fällen und mehr Kunden, oder der Ausstieg aus der Schicht in eine Engineering- oder Regelwerksrolle. Alle drei sind gängig und alle drei lassen sich begründen.
Wohin es danach geht
Aus dem Sicherheitsbetrieb führen mehr Wege hinaus als in ihn hinein, und das ist sein größter Vorteil.
In die Technik: Security Engineer, Erkennungsentwicklung, Automatisierung. Ihre Kenntnis darüber, was im Betrieb wirklich Meldungen erzeugt, ist dort unmittelbar nützlich.
In die Beratung: Dienstleister bauen Sicherheitsbetriebe für Kunden auf. Wer in einem gearbeitet hat, kann beurteilen, welche Versprechen halten.
In die Regelwerksseite: Wer Vorfälle geführt hat, kann ein Notfallkonzept schreiben, das keine Schreibtischarbeit ist. Für Managementsystem und Audits siehe ISO 27001.
In die Leitung: Schichtleitung, Teamleitung, später die Verantwortung für den gesamten Betrieb. Was auf dem weiteren Weg wartet, steht unter Der Weg in die Leitung.
Eigener Betrieb oder Dienstleister
Eine Entscheidung, die die Laufbahn stärker prägt als die Stufe: Arbeiten Sie im Sicherheitsbetrieb eines Unternehmens oder bei einem Dienstleister, der diesen Betrieb für mehrere Kunden führt?
Im eigenen Haus kennen Sie die Systeme, die Menschen und die Eigenheiten. Sie können Ursachen abstellen, nicht nur Fälle schließen, und Sie sehen, was aus Ihren Empfehlungen wird. Der Nachteil: Sie sehen eine Landschaft, und bei wenigen Vorfällen im Jahr wächst die Erfahrung langsam.
Beim Dienstleister sehen Sie viele Kunden und deutlich mehr Fälle – das ist der schnellste Weg zu fachlicher Breite. Der Preis: Sie arbeiten nach vertraglich zugesagten Reaktionszeiten, haben oft keinen Zugriff auf die Systeme, die Sie beurteilen sollen, und übergeben an den Kunden, statt zu entscheiden. Dazu kommt die Taktung: Kennzahlen aus dem Vertrag bestimmen den Arbeitstag.
Für die ersten Jahre ist der Dienstleister häufig die bessere Schule, für die Zeit danach das eigene Haus die befriedigendere Arbeit. Wer wechselt, sollte im Gespräch nach dem Zugriff fragen – ob die Bearbeitung an der Stelle endet, an der es interessant wird, ist die entscheidende Frage dieser Stellen.
Nachweise, die hier zählen
Für den Einstieg: ein Labor mit Protokollsammlung und eigenen Regeln, dazu ein breites Einstiegszertifikat, wenn im Lebenslauf sonst nichts steht. Für die zweite Stufe: Erfahrung mit den im Haus eingesetzten Systemen, gern belegt durch Herstellerabschlüsse. Für Forensik und Vorfallbearbeitung: die einschlägigen praktischen Zertifikate, die meist über Schulungsanbieter laufen und entsprechend kosten – die Übersicht steht unter Zertifikate im Vergleich und, zur teuersten Schiene, unter GIAC und SANS.
Und unabhängig von Papieren: Führen Sie ein eigenes, anonymisiertes Verzeichnis der Fälle, die Sie bearbeitet haben – Art des Falls, Ihre Rolle, das Ergebnis. Nicht für die Bewerbung, sondern für sich selbst: Nach drei Jahren Schicht erinnert sich niemand mehr an das, was er gelernt hat, und in Gesprächen ist genau das die gefragte Substanz. Wo gerade eingestellt wird, zeigen die offenen Stellenangebote und die Stellen im Security Operations Center.
Wenden Sie das direkt an: Im Stellenmarkt stehen Anzeigen aus ganz Deutschland, und zu jedem Beruf finden Sie die Aufgaben und die üblichen Gehälter daneben.