Was macht ein Cyber Security Manager?
Cyber Security Manager sorgen dafür, dass ein Unternehmen seine Daten, Systeme und Prozesse gegen Angriffe und Ausfälle absichert. Sie erstellen und pflegen Sicherheitsrichtlinien, führen Risikoanalysen für Anwendungen und Infrastruktur durch und entscheiden mit, welche Maßnahmen Priorität haben: Netzsegmentierung, Mehr-Faktor-Authentisierung, Patch-Zyklen, Berechtigungskonzepte, Backup- und Wiederherstellungsverfahren.
Ein großer Teil der Arbeit ist Steuerung, nicht Handarbeit an der Konsole. Sie beauftragen und begleiten Penetrationstests, prüfen die Ergebnisse von Schwachstellenscans, verfolgen offene Punkte bis zur Behebung und berichten an die Geschäftsführung. Sie bewerten Dienstleister und Cloud-Anbieter sicherheitstechnisch, begleiten Audits nach ISO 27001 oder branchenspezifischen Vorgaben und arbeiten mit Datenschutz, Recht und Betriebsrat zusammen. Kommt es zu einem Vorfall - Ransomware, kompromittierte Zugänge, Datenabfluss -, koordinieren sie die Reaktion, dokumentieren den Verlauf und stimmen Meldungen an Behörden und Betroffene ab. Dazu gehört auch Aufklärungsarbeit: Schulungen, Phishing-Simulationen, verständliche Erklärungen für Fachabteilungen, die Sicherheit vor allem als Hindernis erleben.
Wie wird man Cyber Security Manager?
Der übliche Weg führt über ein Studium in Informatik, IT-Sicherheit, Wirtschaftsinformatik oder Nachrichtentechnik und mehrere Jahre praktischer IT-Erfahrung. Viele kommen aus der Systemadministration, dem Netzwerkbetrieb, der Softwareentwicklung oder einem Security Operations Center. Auch der Weg über eine IT-Ausbildung mit anschließender Spezialisierung ist möglich, dauert aber länger. Zertifizierungen wie CISSP, CISM, ISO-27001-Lead-Auditor oder die BSI-Grundschutz-Praktiker-Reihe sind in Stellenanzeigen häufig gefordert und bei Bewerbungen ein starkes Argument. Eine Berufsbezeichnung mit geschütztem Titel ist das nicht - entscheidend sind nachweisbare Projekte und Erfahrung.
Was der Beruf verlangt
Die Rolle bringt Verantwortung ohne vollständige Kontrolle mit sich: Man muss Risiken durchsetzen gegen Budgetgrenzen, Termindruck und Widerstand aus Fachbereichen. Wer nur technisch denkt, scheitert daran. Gefordert sind Verhandlungsgeschick, Formulierungsvermögen und die Fähigkeit, komplexe Sachverhalte für Nichttechniker einzuordnen.
Die Arbeitszeiten sind meist Bürozeiten mit Gleitzeit, doch Sicherheitsvorfälle halten sich nicht daran. Rufbereitschaft, Wochenendarbeit bei Krisen und wochenlange Belastungsphasen nach einem größeren Angriff gehören dazu. Der Wissensstand veraltet schnell, Weiterbildung findet oft in der Freizeit statt. Belastend ist zudem die Dokumentations- und Nachweislast, die durch Regulierung wie NIS2 und branchenspezifische Auflagen deutlich zugenommen hat. Auf viel Dank sollte niemand hoffen: Gelingt die Absicherung, passiert nichts Sichtbares.
Aussichten
Die Nachfrage ist hoch und wächst weiter, getrieben durch Angriffszahlen und regulatorische Pflichten. Auch mittelständische Unternehmen bauen inzwischen eigene Sicherheitsfunktionen auf, statt sie nebenbei mitlaufen zu lassen. Entwicklungswege führen zum Informationssicherheitsbeauftragten, zur Leitung eines Security-Bereichs oder bis zum Chief Information Security Officer. Alternativ ist die Spezialisierung möglich, etwa auf Cloud-Sicherheit, OT-Sicherheit in der Industrie, Forensik oder Auditierung. Beratungshäuser suchen erfahrene Fachkräfte laufend, verlangen dafür aber Reisebereitschaft und Projektwechsel.
