Was macht ein Information Security Officer?
Ein Information Security Officer sorgt dafür, dass die Informationen eines Unternehmens vertraulich, verfügbar und unverfälscht bleiben. Der Alltag besteht weniger aus Hacken als aus Struktur: Schutzbedarfsanalysen für Anwendungen, Risikobewertungen für neue Cloud-Dienste, Freigaben für Ausnahmen von Richtlinien, Prüfung von Berechtigungskonzepten, Abstimmung mit IT-Betrieb, Datenschutz, Einkauf und Fachbereichen. Wer eine Sicherheitsrichtlinie zu Passwörtern, mobilen Geräten oder Fernzugriff schreibt, muss sie danach auch erklären, verteidigen und auf Wirksamkeit prüfen.
Dazu kommt der Aufbau und Betrieb eines Informationssicherheits-Managementsystems, meist nach ISO 27001 oder BSI IT-Grundschutz. Das heißt: Maßnahmenkataloge pflegen, Nachweise sammeln, interne Audits vorbereiten, Kennzahlen an die Geschäftsführung berichten. Bei Sicherheitsvorfällen koordiniert der Information Security Officer die Aufarbeitung, dokumentiert den Ablauf und leitet Verbesserungen ab. In vielen Häusern gehören außerdem Awareness-Schulungen, Phishing-Simulationen und die Sicherheitsprüfung von Lieferanten dazu.
Wie wird man Information Security Officer?
Der häufigste Weg führt über ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit und mehrere Jahre praktische IT-Erfahrung, etwa in der Systemadministration, im Netzwerkbetrieb, in der Anwendungsentwicklung oder in einem Security Operations Center. Auch Fachinformatiker mit langer Berufspraxis und Weiterbildung kommen in die Rolle. Ein reiner Einstieg direkt nach dem Studium ist selten, weil die Position Autorität und technisches Urteilsvermögen voraussetzt.
Quereinstiege gibt es aus der IT-Revision, dem Qualitätsmanagement, dem Datenschutz oder der Compliance. Wer aus dieser Richtung kommt, muss technisches Wissen nachholen. Übliche Zertifizierungen sind CISSP, CISM, ISO 27001 Lead Implementer oder Auditor sowie beim BSI die Ausbildung zum IT-Grundschutz-Praktiker. Sie sind kein Ersatz für Praxis, werden in Stellenanzeigen aber häufig verlangt.
Was der Beruf verlangt
Die Rolle ist unbeliebt, wenn sie gut gemacht wird. Sicherheitsanforderungen kosten Zeit, Geld und Komfort, und der Information Security Officer ist derjenige, der sie einfordert, oft ohne eigene Weisungsbefugnis über die IT. Das verlangt Verhandlungsgeschick, Beharrlichkeit und die Fähigkeit, Risiken so zu formulieren, dass eine Geschäftsführung sie versteht und entscheiden kann.
Dokumentation nimmt einen großen Teil der Arbeit ein, ebenso Sitzungen. Wer nur an Technik interessiert ist, unterschätzt diesen Anteil. Die Arbeitszeiten sind meist regulär, bei Sicherheitsvorfällen aber nicht: Ein Ransomware-Fall bedeutet Wochenendarbeit und Nachtschichten über Tage. Rufbereitschaft ist verbreitet. Belastend ist zudem die Verantwortung ohne vollständige Kontrolle, gerade in Organisationen, die Sicherheit erst nach einem Vorfall ernst nehmen. Meldepflichten nach NIS-2, DORA oder KRITIS-Regeln erhöhen den Druck weiter.
Aussichten
Die Nachfrage ist hoch und steigt, getrieben von regulatorischen Anforderungen und der Zunahme von Angriffen. Behörden, Banken, Versicherer, Energieversorger, Krankenhäuser und Industriebetriebe suchen laufend Personal. Entwicklungswege führen zum Chief Information Security Officer mit Budget- und Personalverantwortung, in die Beratung, in die IT-Revision oder in eine Spezialisierung auf OT-Sicherheit, Cloud-Sicherheit oder Regulatorik. Externe Mandate als Information Security Officer für mehrere kleinere Unternehmen sind eine verbreitete Form der Selbstständigkeit.
