Sicherheitsanzeigen sehen sich ähnlich. „Sie verantworten die Informationssicherheit unseres Unternehmens, entwickeln Konzepte weiter und beraten die Fachbereiche" kann eine Stabsstelle mit Berichtsweg zur Geschäftsführung bezeichnen, eine Betriebsstelle mit Rufbereitschaft oder eine Rolle, die zehn Prozent einer Arbeitszeit ausmacht und ansonsten nicht existiert. Dieser Text zeigt, woran man den Unterschied erkennt, bevor man Zeit in eine Bewerbung steckt.
Die vier Grundtypen
Fast jede Anzeige lässt sich einem von vier Typen zuordnen, und die Zuordnung entscheidet über Ihre Bewerbung.
Betrieb und Abwehr. Erkennungszeichen: konkrete Produkte und Systemklassen, Bereitschaft, Zeitangaben, Wörter wie überwachen, betreiben, härten, aktualisieren, eskalieren. Hier zählt Systemerfahrung, nicht Normkenntnis.
Aufbau und Managementsystem. Erkennungszeichen: Geltungsbereich, Leitlinie, Risikobewertung, Maßnahmenplan, Zertifizierung, interne Audits, Schulungen. Oft mit Zeithorizont – „Aufbau" heißt, dass es das Managementsystem noch nicht gibt, und das ist eine andere Stelle als dessen Pflege.
Prüfung. Erkennungszeichen: Auditplan, Feststellungen, Nachverfolgung, Stichproben, Berichte, gelegentlich der Verweis auf eine Revisionsordnung. Diese Stellen liegen häufig in der internen Revision und nicht in der IT.
Beratung und Projekt. Erkennungszeichen: Kunden, Angebote, Auslastung, Reisetätigkeit, Projektlaufzeiten, Referenzen.
Wer sich auf den falschen Typ bewirbt, schreibt ein Anschreiben, das an der Sache vorbeigeht – siehe Anschreiben.
Die Werkzeugliste ist der Verräter
Der zuverlässigste Hinweis steckt nicht in den Aufgaben, sondern in der Aufzählung der Systeme und Werkzeuge. Drei Beispiele:
Steht dort eine Plattform zur Protokollsammlung und Auswertung zusammen mit Endgeräteschutz und Meldungsbearbeitung, ist es eine Stelle im Sicherheitsbetrieb – unabhängig davon, was der Titel sagt.
Stehen dort Prüfwerkzeuge für Anwendungen und Netze, ein Prüfleitfaden und die Erwartung eines Berichts, ist es eine Teststelle. Wenn der Titel „Consultant" lautet, ändert das an der Arbeit nichts – warum viele Teststellen so heißen, steht unter Ethical Hacker als Suchwort.
Stehen dort ausschließlich Normen, ein Werkzeug zur Dokumentenlenkung und Tabellenkalkulation, ist es eine Regelwerksstelle. Das ist kein Mangel, aber wer technische Arbeit erwartet, wird unglücklich.
Sechs Signale, die die Qualität der Stelle verraten
Der Berichtsweg. „Sie berichten an die Geschäftsführung" bedeutet Mandat. „Sie berichten an den Leiter IT-Betrieb" bedeutet, dass Ihre Anforderungen mit den Zielen desjenigen konkurrieren, der sie umsetzen soll. Beides ist üblich, aber es ist ein Unterschied in der Wirksamkeit.
Die Teamgröße. Steht „im Team von" mit einer Zahl, wissen Sie, ob Sie Zuarbeit haben. Fehlt jede Angabe, fragen Sie nach – viele Sicherheitsstellen sind Einzelstellen.
Der Reifegrad. Wörter wie „Aufbau", „Einführung", „erstmalig" heißen: Sie fangen bei null an, mit allem, was daran reizvoll und mühsam ist. Wörter wie „Weiterentwicklung", „Betrieb", „Pflege" heißen: Es gibt Strukturen, aber auch Altlasten und Gewohnheiten.
Die Zertifikatszeile. Unterscheiden Sie „Voraussetzung" von „von Vorteil". Steht eine lange Liste als Voraussetzung, ist die Anzeige entweder unrealistisch oder ein Kopiertext – in beiden Fällen lohnt eine Nachfrage, welche zwei davon wirklich gemeint sind. Was welches Zertifikat taugt, steht unter Zertifikate im Vergleich.
Die Nebenbedingungen. Rufbereitschaft, Schichtbetrieb, Reisetage, Präsenzpflicht. Wenn dazu nichts steht, ist das keine Auskunft, sondern eine Lücke; fragen Sie danach. Die arbeitsrechtliche Seite steht unter Rufbereitschaft und Arbeitszeitrecht.
Der Umgang mit Geld. Ein genanntes Entgeltband ist ein gutes Zeichen. Bei öffentlichen Arbeitgebern steht in der Regel die Entgeltgruppe des einschlägigen Tarifvertrags in der Anzeige – das ist die konkreteste Angabe, die man in diesem Markt bekommt, und sie erlaubt eine Einordnung vor dem ersten Gespräch. Wie Sie damit umgehen, steht unter Gehalt verhandeln.
Warnzeichen
Vier Formulierungen sollten Sie aufmerksam machen.
Die Zehn-Prozent-Rolle. „Zusätzlich übernehmen Sie die Aufgabe des Informationssicherheitsbeauftragten" in einer Anzeige für eine IT-Administratorenstelle heißt: Die Rolle soll nebenbei erledigt werden, und Sie prüfen anschließend Ihre eigene Arbeit. Warum das ein Problem ist, steht unter Datenschutzbeauftragter oder ISB.
Der Doppelhut ohne Zuarbeit. Datenschutz und Informationssicherheit in einer Person, ohne Team, ohne externen Beistand. In kleinen Häusern kommt das vor; verlangen Sie dann Zeitbudget und Vertretung.
Die Verantwortung ohne Befugnis. „Sie verantworten die Informationssicherheit" bei gleichzeitigem Fehlen jeder Aussage über Freigaben, Budget und Berichtsweg. Fragen Sie, ob Sie eine Freigabe verweigern können – die Antwort trennt die ernsten Häuser von den anderen.
Das Wunschprofil ohne Zuschnitt. Wenn eine Anzeige technische Tiefe, Auditerfahrung, Normkenntnis, Führungserfahrung und Projektleitung gleichzeitig verlangt, weiß das Haus selbst nicht, was es sucht. Das muss kein Ausschlussgrund sein – es heißt aber, dass Sie die Stelle im Gespräch mitgestalten können und sollten.
Wer die Anzeige geschrieben hat
Ein Hinweis, der sich lohnt: Lesen Sie, in welcher Sprache die Aufgaben formuliert sind. Anzeigen aus dem Fachbereich enthalten konkrete Systeme, Mengen und Eigenheiten – „rund 400 Endpunkte an drei Standorten", „historisch gewachsene Regelbasis". Anzeigen aus der Personalabteilung enthalten Rollenbeschreibungen aus Textbausteinen. Das sagt nichts über die Qualität des Arbeitgebers, aber viel darüber, wie Sie sich bewerben: Bei der ersten Sorte können Sie fachlich anknüpfen, bei der zweiten müssen Sie im Gespräch klären, was gemeint ist.
Ein zweiter Hinweis ist die Standzeit. Eine Anzeige, die seit Monaten läuft und wiederkehrend neu eingestellt wird, ist entweder schwer zu besetzen oder unattraktiv geschnitten. Beides ist für Sie eine Verhandlungsposition und kein Grund, nicht hinzusehen.
Anzeigen öffentlicher Arbeitgeber liest man anders
Behörden, Kommunen, Hochschulen, Sozialversicherungsträger und öffentliche Betriebe schreiben nach eigenen Regeln aus, und wer das nicht kennt, verwirft brauchbare Stellen.
Drei Besonderheiten. Erstens die Entgeltgruppe: Sie steht meist in der Anzeige und ist verbindlich, dazu häufig ein Hinweis auf die Möglichkeit der Eingruppierung bei entsprechender Qualifikation. Verhandelt wird dort nicht über den Betrag, sondern über die Zuordnung von Erfahrungszeiten und gelegentlich über Zulagen. Zweitens die formalen Voraussetzungen: Ein bestimmter Abschluss kann tatsächlich Bedingung sein und nicht Wunsch – hier lohnt die Nachfrage, ob eine gleichwertige Qualifikation anerkannt wird. Drittens die Verfahren: feste Bewerbungsfristen, Auswahlgespräche nach Punktschema, gelegentlich ein schriftlicher Teil, und bei Stellen mit Zugang zu Verschlusssachen eine Sicherheitsüberprüfung, die Monate dauern kann – siehe Sicherheitsüberprüfung.
Dafür sind diese Anzeigen ehrlicher als die meisten: Was dort steht, gilt, und was nicht darinsteht, wird selten hinterher verlangt.
Zwanzig Anzeigen auswerten
Die beste Marktauskunft in diesem Feld kostet eine Stunde und besteht darin, zwanzig Anzeigen Ihrer Zielrolle nebeneinanderzulegen. Das Vorgehen:
Legen Sie eine Tabelle mit acht Spalten an: Titel, Arbeitgebertyp, Berichtsweg, genannte Systeme, genannte Normen, verlangte Zertifikate, Bereitschaft oder Schicht, Entgeltangabe. Füllen Sie sie für zwanzig Anzeigen aus – ohne zu bewerten, nur ablesen.
Danach zählen Sie. Welche Zertifikate kommen in mehr als der Hälfte der Anzeigen vor? Welche Systeme wiederholen sich? Wie viele Anzeigen nennen einen Berichtsweg, und wie viele davon einen zur Geschäftsführung? Wie viele verlangen Bereitschaft? Bei wie vielen steht ein Entgeltband?
Das Ergebnis ist besser als jede Gehaltsübersicht und jede Zertifikatsempfehlung, weil es Ihren Markt beschreibt: Ihre Region, Ihre Rolle, Ihr Zeitpunkt. Es sagt Ihnen, welche Fortbildung sich rechnet, welche Systeme in Ihren Lebenslauf gehören und welche Nebenbedingungen normal sind.
Und es hat einen zweiten Nutzen: Sie erkennen die Textbausteine. Wenn dieselbe Formulierung in acht Anzeigen steht, ist sie Konvention und keine Anforderung – und Sie wissen, dass Sie sich bewerben können, auch wenn Sie sie nicht erfüllen.
Die drei Fragen vor der Bewerbung
Wenn nach dem Lesen Unklarheit bleibt, kostet ein Anruf zehn Minuten und erspart eine Bewerbung. Fragen Sie:
- Ist die Stelle neu geschaffen oder eine Nachfolge, und wenn Nachfolge: wie war der Zuschnitt vorher?
- An wen berichtet die Rolle, und wer entscheidet, wenn Ihre Empfehlung und der Fachbereich nicht zusammenkommen?
- Gibt es Rufbereitschaft oder Schicht, und wie ist sie geregelt?
Diese drei Antworten sagen mehr als jede Anzeige. Was danach im Gespräch zu klären ist, steht unter Vorstellungsgespräch; welche Rollenbilder es überhaupt gibt, unter Rollen in der IT-Sicherheit. Und wer einen Überblick über den aktuellen Bestand braucht, liest die offenen Stellenangebote und vergleicht die Anzeigen einer Rolle nebeneinander – zwanzig Anzeigen einer Rolle zu lesen ist die beste Marktauskunft, die ohne Geld zu haben ist.
Wenden Sie das direkt an: Im Stellenmarkt stehen Anzeigen aus ganz Deutschland, und zu jedem Beruf finden Sie die Aufgaben und die üblichen Gehälter daneben.