Was macht ein DevSecOps Engineer?
DevSecOps Engineers sorgen dafür, dass Sicherheit kein nachgelagerter Prüfschritt bleibt, sondern Teil des täglichen Entwicklungs- und Betriebsprozesses wird. Konkret heißt das: Sie bauen CI/CD-Pipelines um Sicherheitsstufen herum, integrieren statische Codeanalyse, Abhängigkeits-Scans und Container-Image-Prüfungen und definieren, ab welchem Schweregrad ein Build stoppt. Sie schreiben Infrastruktur als Code für Kubernetes, AWS, Azure oder GCP und prüfen diese Definitionen automatisiert gegen Härtungsvorgaben. Sie verwalten Secrets in Vault-Systemen, richten Rollen- und Rechtekonzepte ein und beheben Fehlkonfigurationen, die Cloud-Ressourcen offen ins Netz stellen.
Ein großer Teil der Arbeit ist Schwachstellenmanagement: Meldungen sichten, den tatsächlichen Ausnutzbarkeitsgrad im eigenen System einschätzen, Patches priorisieren und mit Entwicklungsteams abstimmen, wer was bis wann behebt. Dazu kommen Logging, Monitoring und Alarmierung, Mitarbeit an Incident-Analysen und Beratung von Teams, die eine neue Komponente einführen wollen. Viel Kommunikation gehört dazu, denn Sicherheitsanforderungen kollidieren regelmäßig mit Terminen.
Wie wird man DevSecOps Engineer?
Ein Ausbildungsberuf mit diesem Namen existiert nicht. Üblich ist ein Studium der Informatik, IT-Sicherheit oder Wirtschaftsinformatik, häufig auch eine Ausbildung als Fachinformatiker für Systemintegration oder Anwendungsentwicklung mit anschließender Berufserfahrung. Fast alle kommen aus einer verwandten Rolle: aus der Softwareentwicklung, aus der Systemadministration, aus dem Betrieb von Cloud-Plattformen oder aus einem Security-Team.
Quereinstieg ist möglich, aber selten von null. Wer bereits Linux-Systeme betreibt, Skripte schreibt und mit Git und Docker arbeitet, kann sich über Zertifizierungen wie CKA, CKS, AWS Security Specialty oder OSCP weiterqualifizieren. Wer noch nie produktive Systeme verantwortet hat, wird für diese Rolle kaum eingestellt, weil sie Urteilsfähigkeit unter Zeitdruck verlangt.
Was der Beruf verlangt
Die Arbeit ist überwiegend planbar und lässt sich häufig aus dem Homeoffice erledigen. Belastend sind Rufbereitschaft und Sicherheitsvorfälle, die keinen Terminplan kennen: Wird eine kritische Schwachstelle in einer weit verbreiteten Bibliothek veröffentlicht, kann daraus ein Wochenende mit Notfall-Deployments werden. Dauerhaft anstrengend ist die Rolle als Bremse: Teams wollen ausliefern, Sicherheitsanforderungen verzögern, und der DevSecOps Engineer muss beides aushalten, ohne rein formal zu blockieren.
Das Wissen veraltet schnell. Tools, Cloud-Dienste und Angriffsmuster ändern sich fortlaufend, ein Teil der Einarbeitung findet in der Freizeit statt. Wer Dokumentation, Compliance-Nachweise und Abstimmungsrunden mit Auditoren als Nebensache betrachtet, wird in regulierten Branchen unglücklich, denn dort ist das ein erheblicher Teil der Stelle.
Aussichten
Die Nachfrage ist hoch und wächst weiter, getrieben von Cloud-Migrationen, NIS2, dem Cyber Resilience Act und steigenden Anforderungen an Lieferkettensicherheit. Banken, Versicherungen, Industrieunternehmen, Behörden und Beratungshäuser suchen gleichzeitig, das Angebot an erfahrenen Kräften ist knapp. Entwicklungswege führen in die Spezialisierung als Cloud Security Architect, Application Security Engineer oder in die Plattformverantwortung, alternativ in die Leitung eines Security-Engineering-Teams oder in die Beratung. Eine spürbare Konkurrenz besteht durch Automatisierung einfacher Prüfaufgaben; wertvoll bleibt die Einschätzung, welche Befunde wirklich zählen.
