Cyber Security Manager verantworten die Informationssicherheit eines Unternehmens: Sie bewerten Risiken, legen Schutzmaßnahmen fest und steuern die Reaktion auf Sicherheitsvorfälle. Die Rolle liegt zwischen Technik, Organisation und Management.
0 offene Stellen zu diesem Beruf im aktuellen Bestand.
| Erfahrung | Von | Median | Bis | Jahresbrutto | Verhältnis |
|---|---|---|---|---|---|
| Berufseinstieg | 3.800 € | 4.500 € | 5.400 € | 54.000 € | |
| Mit Berufserfahrung | 5.000 € | 6.200 € | 7.500 € | 74.400 € | |
| Mit langjähriger Erfahrung | 6.500 € | 8.000 € | 11.000 € | 96.000 € |
Das Gehalt hängt stark von Branche und Unternehmensgröße ab: Banken, Versicherungen, Pharma und Beratungen zahlen deutlich über dem Mittelstand, Behörden und Kliniken vergüten nach TVöD oder TV-L und liegen im oberen Bereich meist niedriger. Zertifizierungen und nachgewiesene Vorfallserfahrung wirken sich direkt auf die Verhandlung aus.
Die Werte sind Orientierungswerte und keine amtliche Statistik. Sie sind aus öffentlich verfügbaren Erhebungen, Tarifwerken und Stellenanzeigen abgeleitet und auf volle Euro gerundet. Im Einzelfall entscheiden Betrieb, Tarifbindung, Region, Qualifikation und Verhandlung – die Abweichung nach oben wie nach unten kann erheblich sein.
Das Jahresbrutto ist das 12-fache des Monatswertes. Urlaubs- und Weihnachtsgeld sind nicht enthalten, weil sie sich von Branche zu Branche unterscheiden.
Cyber Security Manager sorgen dafür, dass ein Unternehmen seine Daten, Systeme und Prozesse gegen Angriffe und Ausfälle absichert. Sie erstellen und pflegen Sicherheitsrichtlinien, führen Risikoanalysen für Anwendungen und Infrastruktur durch und entscheiden mit, welche Maßnahmen Priorität haben: Netzsegmentierung, Mehr-Faktor-Authentisierung, Patch-Zyklen, Berechtigungskonzepte, Backup- und Wiederherstellungsverfahren.
Ein großer Teil der Arbeit ist Steuerung, nicht Handarbeit an der Konsole. Sie beauftragen und begleiten Penetrationstests, prüfen die Ergebnisse von Schwachstellenscans, verfolgen offene Punkte bis zur Behebung und berichten an die Geschäftsführung. Sie bewerten Dienstleister und Cloud-Anbieter sicherheitstechnisch, begleiten Audits nach ISO 27001 oder branchenspezifischen Vorgaben und arbeiten mit Datenschutz, Recht und Betriebsrat zusammen. Kommt es zu einem Vorfall - Ransomware, kompromittierte Zugänge, Datenabfluss -, koordinieren sie die Reaktion, dokumentieren den Verlauf und stimmen Meldungen an Behörden und Betroffene ab. Dazu gehört auch Aufklärungsarbeit: Schulungen, Phishing-Simulationen, verständliche Erklärungen für Fachabteilungen, die Sicherheit vor allem als Hindernis erleben.
Der übliche Weg führt über ein Studium in Informatik, IT-Sicherheit, Wirtschaftsinformatik oder Nachrichtentechnik und mehrere Jahre praktischer IT-Erfahrung. Viele kommen aus der Systemadministration, dem Netzwerkbetrieb, der Softwareentwicklung oder einem Security Operations Center. Auch der Weg über eine IT-Ausbildung mit anschließender Spezialisierung ist möglich, dauert aber länger. Zertifizierungen wie CISSP, CISM, ISO-27001-Lead-Auditor oder die BSI-Grundschutz-Praktiker-Reihe sind in Stellenanzeigen häufig gefordert und bei Bewerbungen ein starkes Argument. Eine Berufsbezeichnung mit geschütztem Titel ist das nicht - entscheidend sind nachweisbare Projekte und Erfahrung.
Die Rolle bringt Verantwortung ohne vollständige Kontrolle mit sich: Man muss Risiken durchsetzen gegen Budgetgrenzen, Termindruck und Widerstand aus Fachbereichen. Wer nur technisch denkt, scheitert daran. Gefordert sind Verhandlungsgeschick, Formulierungsvermögen und die Fähigkeit, komplexe Sachverhalte für Nichttechniker einzuordnen.
Die Arbeitszeiten sind meist Bürozeiten mit Gleitzeit, doch Sicherheitsvorfälle halten sich nicht daran. Rufbereitschaft, Wochenendarbeit bei Krisen und wochenlange Belastungsphasen nach einem größeren Angriff gehören dazu. Der Wissensstand veraltet schnell, Weiterbildung findet oft in der Freizeit statt. Belastend ist zudem die Dokumentations- und Nachweislast, die durch Regulierung wie NIS2 und branchenspezifische Auflagen deutlich zugenommen hat. Auf viel Dank sollte niemand hoffen: Gelingt die Absicherung, passiert nichts Sichtbares.
Die Nachfrage ist hoch und wächst weiter, getrieben durch Angriffszahlen und regulatorische Pflichten. Auch mittelständische Unternehmen bauen inzwischen eigene Sicherheitsfunktionen auf, statt sie nebenbei mitlaufen zu lassen. Entwicklungswege führen zum Informationssicherheitsbeauftragten, zur Leitung eines Security-Bereichs oder bis zum Chief Information Security Officer. Alternativ ist die Spezialisierung möglich, etwa auf Cloud-Sicherheit, OT-Sicherheit in der Industrie, Forensik oder Auditierung. Beratungshäuser suchen erfahrene Fachkräfte laufend, verlangen dafür aber Reisebereitschaft und Projektwechsel.
Üblich ist ein Bachelor- oder Masterstudium in Informatik oder IT-Sicherheit mit einer Dauer von drei bis fünf Jahren, gefolgt von mehreren Jahren operativer IT-Praxis. Der Quereinstieg aus Administration oder Entwicklung ist verbreitet und wird meist über Zertifizierungen wie CISM, CISSP oder ISO-27001-Lead-Implementer abgesichert. Eine geschützte Abschlussbezeichnung für die Rolle gibt es nicht.
Zu diesem Beruf steht gerade keine Anzeige im Bestand. Der Bestand wird täglich abgeglichen; die Suche zeigt auch verwandte Bezeichnungen.
Penetrationstester prüfen im Auftrag von Unternehmen, ob sich Netzwerke, Anwendungen oder Systeme angreifen lassen, und dokumentieren gefundene Schwachstellen. Sie arbeiten mit denselben Methoden wie Angreifer, nur legal und nach vertraglicher Absprache.
Arbeitsplatz.de verwendet nur die Cookies, die für den Betrieb der Seite nötig sind. Kein Tracking, keine Werbenetzwerke, keine Auswertung Ihres Verhaltens. Einzelheiten stehen in der Datenschutzerklärung.