Was macht ein Cyber Security Architect?
Ein Cyber Security Architect entwickelt das Sicherheitskonzept hinter der IT eines Unternehmens. Konkret heißt das: Netzsegmentierung planen, Identitäts- und Berechtigungskonzepte festlegen, Verschlüsselung und Schlüsselverwaltung definieren, Vorgaben für Protokollierung und Angriffserkennung machen. Wenn ein neues System eingeführt wird, prüft der Architekt den Entwurf, benennt Risiken und schreibt Anforderungen fest, die Entwicklung und Betrieb umsetzen müssen. Bei Cloud-Migrationen entstehen Referenzarchitekturen für AWS, Azure oder Google Cloud, dazu Vorgaben für Container, Pipelines und Secrets.
Ein großer Teil der Arbeit besteht aus Kommunikation. Sicherheitsanforderungen kollidieren regelmäßig mit Terminen, Budgets und Bequemlichkeit. Der Architekt muss Entwicklungsteams, Fachbereiche und Geschäftsführung überzeugen, Kompromisse begründen und Restrisiken dokumentieren. Hinzu kommen Threat Modeling, Bewertung von Sicherheitsprodukten, Mitarbeit an Audits nach ISO 27001 oder BSI-Grundschutz und Unterstützung bei Vorfällen, wenn die Architektur der Ursache auf den Grund gegangen werden muss.
Wie wird man Cyber Security Architect?
Üblich ist ein Studium der Informatik, IT-Sicherheit oder Wirtschaftsinformatik, danach mehrere Jahre Praxis als Systemadministrator, Netzwerk- oder Cloud-Engineer, Softwareentwickler oder Security Analyst. Direkt nach dem Abschluss besetzt kaum jemand diese Rolle, fünf bis acht Jahre Vorerfahrung sind der Normalfall. Der Quereinstieg gelingt auch mit einer Fachinformatiker-Ausbildung und einem konsequenten Weg über Systembetrieb und Sicherheitsprojekte. Zertifizierungen wie CISSP, CCSP, TOGAF, SABSA oder herstellerspezifische Cloud-Security-Nachweise sind in Stellenanzeigen häufig gefordert und werden oft vom Arbeitgeber bezahlt.
Was der Beruf verlangt
Die Technik verändert sich schneller, als man sie lernen kann. Wer nicht kontinuierlich liest, testet und Konferenzen verfolgt, verliert innerhalb weniger Jahre den Anschluss - ein Teil dieser Weiterbildung findet in der Freizeit statt. Die Arbeit ist überwiegend Bildschirmarbeit, viel Dokumentation, viele Abstimmungsrunden; wer vor allem selbst konfigurieren und schrauben will, ist in einer Engineering-Rolle besser aufgehoben.
Belastend ist die Verantwortung ohne durchgängige Weisungsbefugnis: Architekten setzen Vorgaben, umsetzen müssen andere. Bei einem größeren Sicherheitsvorfall entstehen Wochenend- und Nachtarbeit sowie unangenehme Fragen, warum ein Risiko nicht abgedeckt war. Rufbereitschaft ist nicht überall Teil der Rolle, kommt aber vor. Reisen zu Standorten oder Kunden gehören in Konzernen und Beratungen dazu. Verhandlungssichere Englischkenntnisse sind praktisch Pflicht.
Aussichten
Die Nachfrage ist hoch und steigt weiter, getrieben durch Cloud-Nutzung, professionelle Angreifer und Regulierung - NIS2, DORA, KRITIS-Vorgaben und Lieferkettenanforderungen zwingen Unternehmen zu belastbaren Sicherheitskonzepten. Qualifizierte Bewerber sind knapp, entsprechend gut ist die Verhandlungsposition. Entwicklungswege führen zum Lead oder Enterprise Architect, in die Führung eines Security-Teams, zum Chief Information Security Officer oder in die selbstständige Beratung. Wer technisch bleiben will, spezialisiert sich auf Cloud Security, OT- und Industriesicherheit oder Kryptografie.
