In vielen Berufen erfährt man im Gespräch, ob die Person zum Team passt. In der Informationssicherheit erfährt man dort etwas Wichtigeres: ob die Stelle überhaupt funktionieren kann. Zwei Stellen mit identischem Titel und identischem Gehalt unterscheiden sich um Welten, je nachdem, wer über eine Freigabe entscheidet und an wen berichtet wird. Dieser Text sagt, wie Sie das herausfinden.
Die Runden und was in ihnen passiert
Üblich sind zwei bis vier Termine. Das erste Gespräch führt meist die Personalabteilung: Werdegang, Verfügbarkeit, Gehaltsvorstellung, formale Voraussetzungen. Danach folgt das fachliche Gespräch mit der Führungskraft und oft mit künftigen Kollegen. In größeren Häusern kommt eine Runde mit der Leitung hinzu, in Beratungshäusern eine Fallbesprechung oder eine kurze Präsentation.
Technische Aufgaben sind in diesem Feld verbreitet: eine Fallbeschreibung, die Sie durchsprechen, gelegentlich eine praktische Aufgabe, in Teststellen manchmal eine Prüfungsaufgabe mit Bericht. Fragen Sie vorher, was Sie erwartet, und – bei Aufgaben, die Zeit kosten – wie viel Zeit vorgesehen ist. Eine Aufgabe, für die zwei Arbeitstage veranschlagt sind, ist eine Zumutung und ein Hinweis auf den Umgang des Hauses mit Zeit.
Was Sie gefragt werden
Fachlich prüfen gute Gesprächspartner Ihr Urteil und nicht Ihr Gedächtnis. Typische Fragen nach Richtung:
Betrieb und Abwehr: Was tun Sie zuerst, wenn ein Server auffällig Daten nach außen sendet? Woran erkennen Sie, dass eine Erkennungsregel zu viele Fehlalarme erzeugt? Wie gehen Sie mit einer Schwachstelle um, deren Behebung die Produktion anhalten würde?
Regelwerk und Audit: Wie bestimmen Sie einen Geltungsbereich? Was gehört in eine Erklärung zur Anwendbarkeit? Wie gehen Sie mit einem Fachbereich um, der eine Maßnahme seit zwei Jahren nicht umsetzt?
Test und Prüfung: Wie grenzen Sie einen Auftrag ab? Was tun Sie, wenn Sie im Test auf personenbezogene Daten stoßen? Wie erklären Sie einer Geschäftsführung einen schweren Befund, ohne zu dramatisieren?
Für alle: Erzählen Sie von einem Fehler, den Sie gemacht haben. Diese Frage ist ernst gemeint. Wer keinen nennt, wirkt entweder unaufrichtig oder unerfahren; wer einen nennt und sagt, was er daraus geändert hat, hat die Frage bestanden.
Rechnen Sie außerdem mit Fragen nach Zuverlässigkeit und Umgang mit Vertraulichkeit. Bei bestimmten Arbeitgebern kommt eine Sicherheitsüberprüfung hinzu – siehe Sicherheitsüberprüfung.
Die zwölf Fragen, die Sie stellen sollten
Nicht alle in einem Termin. Wählen Sie die sechs, die für Sie zählen, und stellen Sie die übrigen in der zweiten Runde.
- An wen berichtet die Rolle? An die IT-Leitung, an die Geschäftsführung, an eine Konzernfunktion?
- Dürfen Sie eine Freigabe verweigern, oder schreiben Sie Empfehlungen? Die Antwort beschreibt Ihr Mandat besser als jede Stellenbeschreibung.
- Wer entscheidet, wenn Sie und ein Fachbereich nicht zusammenkommen? Und wann ist das zuletzt vorgekommen?
- Gibt es ein eigenes Budget, und wer verfügt darüber?
- Wie reif ist das Haus? Existiert ein Managementsystem, gibt es eine Zertifizierung, wann war das letzte Audit, wie viele Feststellungen sind offen? Siehe ISO 27001.
- Welche regulatorischen Pflichten treffen das Haus? Betroffenheit geprüft, Registrierung erfolgt, Meldewege geübt? Siehe NIS2 und KRITIS.
- Wie sieht der Bereitschaftsdienst aus? Turnus, Zahl der Einsätze im letzten Quartal, Ausgleich. Siehe Rufbereitschaft und Arbeitszeitrecht.
- Wie groß ist das Team, und wer macht was? Bei Einzelstellen: Wer vertritt Sie im Urlaub?
- Was ist in den ersten hundert Tagen zu erledigen? Eine Antwort mit drei konkreten Punkten spricht für ein durchdachtes Haus; „das sehen wir dann" spricht dagegen.
- Woran wird der Erfolg der Stelle gemessen? Wenn es Kennzahlen gibt, welche?
- Was ist mit dem Vorgänger geschehen? Beförderung, Wechsel, Kündigung – und warum.
- Wie ist der Umgang mit Fehlern? Gibt es Nachbesprechungen nach Vorfällen, und was ist daraus zuletzt gefolgt?
Woran Sie die Antworten messen
Drei Muster, die sich in Gesprächen wiederholen.
Konkret schlägt allgemein. „Wir nehmen Sicherheit sehr ernst" ist keine Antwort. „Wir hatten im Frühjahr ein Audit mit sieben Feststellungen, fünf sind erledigt" ist eine. Wer auf Nachfragen keine Zahlen nennen kann, hat entweder keine oder sagt sie nicht – beides ist eine Information.
Widersprüche zwischen den Runden. Wenn die Führungskraft von einem Mandat spricht und die Leitung von Beratung, wissen Sie, wo Sie landen. Stellen Sie dieselbe Frage in jeder Runde.
Reaktion auf unbequeme Fragen. Die Frage nach dem Vorgänger und die nach dem Umgang mit Fehlern sind die aufschlussreichsten. Ein Haus, das gelassen antwortet, hat mit beidem Übung.
Die Fallbesprechung
In Beratungshäusern und zunehmend auch in Linienstellen gehört eine Fallbesprechung zum Verfahren: Sie bekommen eine Lage geschildert und sollen laut denken. Typische Lagen sind ein Verschlüsselungsvorfall bei einem Mittelständler, die Einführung eines Managementsystems mit knappem Zeitplan, oder eine Schwachstelle in einem System, das nicht abgeschaltet werden darf.
Bewertet wird selten die Lösung, fast immer das Vorgehen. Gute Antworten beginnen mit Fragen: Was ist betroffen, wer entscheidet, welche Pflichten laufen, wie viel Zeit ist. Danach kommt eine Reihenfolge mit Begründung, dann die Nebenbedingungen – Fachbereiche, Verfügbarkeit, Meldefristen –, und am Ende die Frage, was man später anders machen würde.
Zwei Fehler kosten regelmäßig den Eindruck: sofort in eine technische Einzelheit springen, ohne die Lage geklärt zu haben, und eine Antwort geben, die eine Befugnis voraussetzt, die niemand hat. Wer sagt „ich würde das System vom Netz nehmen", sollte im nächsten Satz sagen, wen er dafür fragt.
Warnzeichen
- Die Rolle soll „nebenbei" ausgefüllt werden, neben einer vollen Betriebsstelle.
- Sicherheit ist dem unterstellt, dessen Arbeit sie prüfen soll, und niemand sieht darin ein Problem.
- Auf die Frage nach dem Bereitschaftsdienst kommt „das regelt sich unter Kollegen".
- Es gibt keine Nachbesprechung nach Vorfällen, weil „wir noch keinen hatten" – in einem Haus mit Angriffserkennung ist das eine Aussage über die Erkennung, nicht über die Lage.
- Auf die Frage nach dem Budget folgt der Hinweis, man sei „sehr pragmatisch".
Keines dieser Zeichen ist allein ein Ausschlussgrund. Zwei davon zusammen sind es fast immer.
Nach dem Gespräch
Drei Dinge, die nach dem Termin noch etwas bewirken.
Die Nachfrage mit Substanz. Wenn im Gespräch eine Frage offengeblieben ist – der Berichtsweg, die Bereitschaftsregelung, der Zuschnitt der ersten Monate –, fragen Sie schriftlich nach. Das wirkt nicht lästig, sondern gründlich, und Sie haben die Antwort schwarz auf weiß.
Das Angebot prüfen, bevor Sie zusagen. Lassen Sie sich einen Tag Zeit und gehen Sie den Vertrag durch: Aufgabenbeschreibung, Bereitschaft, Fortbildung, Fernarbeit, Nebentätigkeitsklauseln, Probezeit, Kündigungsfristen. Mündliche Zusagen, die nicht darinstehen, gelten im Zweifel nicht – siehe Gehalt verhandeln und Nebentätigkeit.
Die Absage nutzen. Fragen Sie nach dem Grund, sachlich und ohne Widerspruch. In diesem Feld bekommen Sie oft eine brauchbare Antwort – fehlende Erfahrung in einem bestimmten Gebiet, ein fehlender Nachweis, ein anderer Bewerber mit Branchenkenntnis. Zwei solche Auskünfte sagen Ihnen, woran Sie im nächsten Jahr arbeiten sollten.
Und halten Sie den Kontakt. Der Markt für Sicherheitsstellen ist überschaubar; die Person, die Ihnen heute absagt, sucht in achtzehn Monaten wieder – oft für eine Stelle, die besser passt.
Vorbereitung, die sich lohnt
Eine Stunde reicht. Sehen Sie nach, ob das Haus zertifiziert ist und in welchem Geltungsbereich; ob es reguliert ist; ob es in der Fachpresse mit einem Vorfall vorkam; welche Systeme in Anzeigen des Hauses genannt werden – auch in denen für andere Stellen, denn dort steht oft mehr. Lesen Sie die eigene Anzeige noch einmal mit der Systematik aus Stellenanzeige entschlüsseln.
Legen Sie sich außerdem zwei Geschichten zurecht, die Sie erzählen können: eine über ein Vorhaben, das gelungen ist, mit Ihrem Anteil daran, und eine über einen Fehler. Beide sollten drei Minuten dauern und ohne vertrauliche Einzelheiten auskommen – was Sie über frühere Arbeitgeber nicht sagen dürfen, steht unter Lebenslauf.
Und zum Schluss der Teil, der oft vergessen wird: Klären Sie vor der Zusage die Bedingungen, nicht danach. Entgelt, Bereitschaft, Fernarbeit, Fortbildungsbudget – siehe Gehalt verhandeln. Was Sie in dieser Reihenfolge nicht klären, klären Sie später gar nicht. Welche Häuser gerade suchen, zeigen die offenen Stellenangebote.
Wenden Sie das direkt an: Im Stellenmarkt stehen Anzeigen aus ganz Deutschland, und zu jedem Beruf finden Sie die Aufgaben und die üblichen Gehälter daneben.