Was macht ein Information Security Specialist?
Der Arbeitstag beginnt oft mit dem Blick in die Alarmmeldungen der Sicherheitssysteme: Ein Mitarbeiter hat sich nachts aus einem ungewöhnlichen Land angemeldet, ein Server meldet hunderte fehlgeschlagene Login-Versuche, ein Virenscanner hat eine verdächtige Datei isoliert. Jede Meldung muss bewertet werden – Fehlalarm oder echter Vorfall. Bei einem echten Vorfall wird nachvollzogen, wie ein Angreifer ins Netz gekommen ist, welche Systeme betroffen sind und was gesperrt werden muss.
Neben dieser reaktiven Arbeit steht die Vorbeugung. Information Security Specialists prüfen neue Anwendungen vor dem Produktivgang, konfigurieren Firewalls und Zugriffsrechte, spielen Sicherheitsupdates ein oder überwachen, dass andere Abteilungen das tun. Sie schreiben Richtlinien zu Passwörtern, mobilen Geräten oder dem Umgang mit Kundendaten und schulen Beschäftigte, damit diese Phishing-Mails erkennen. In größeren Häusern kommen Audits nach ISO 27001, die Vorbereitung von Zertifizierungen und die Zusammenarbeit mit dem Datenschutzbeauftragten dazu. Ein erheblicher Teil der Arbeit ist Dokumentation und Abstimmung, nicht Technik.
Wie wird man Information Security Specialist?
Der häufigste Weg führt über ein Studium der Informatik, IT-Sicherheit, Wirtschaftsinformatik oder Elektrotechnik. Es gibt inzwischen eigene Bachelorstudiengänge für Cyber Security. Ebenso verbreitet ist der Weg über eine IT-Ausbildung, etwa als Fachinformatiker für Systemintegration, mit anschließenden Jahren in der Systemadministration oder im Netzwerkbetrieb. Wer Systeme betrieben hat, versteht ihre Schwachstellen.
Quereinstieg ist möglich, aber selten ohne technischen Vorlauf. Zertifikate spielen in diesem Feld eine große Rolle: CISSP, CISM, die Zertifizierungen des BSI zum IT-Grundschutz-Praktiker oder praxisnahe Nachweise wie OSCP werden von Arbeitgebern häufig verlangt oder honoriert. Sie ersetzen kein Studium, öffnen aber Türen.
Was der Beruf verlangt
Die Bedrohungslage ändert sich ständig; wer nicht regelmäßig liest, testet und lernt, ist nach zwei Jahren fachlich abgehängt. Ein Teil der Stellen ist mit Rufbereitschaft verbunden, in Betrieben mit eigenem Security Operations Center auch mit Schichtdienst. Sicherheitsvorfälle halten sich nicht an Bürozeiten, und bei einem Ransomware-Angriff wird durchgearbeitet.
Belastend ist weniger die Technik als die Rolle: Sicherheitsleute gelten in vielen Unternehmen als diejenigen, die Projekte bremsen und Bequemlichkeiten verbieten. Man muss Widerstand aushalten, Kompromisse aushandeln und Risiken so erklären, dass Geschäftsführer sie verstehen. Wer nur programmieren oder konfigurieren möchte, ist hier falsch. Dazu kommt eine gewisse Grundanspannung – Fehler werden erst sichtbar, wenn etwas passiert ist.
Aussichten
Die Nachfrage ist hoch und wächst weiter, getrieben durch NIS-2, das IT-Sicherheitsgesetz, Anforderungen von Versicherern und die schlichte Zunahme von Angriffen. Auch Mittelständler und Behörden bauen Stellen auf. Offene Positionen bleiben oft monatelang unbesetzt, was die Verhandlungsposition der Bewerber stärkt.
Entwicklungswege führen in die Spezialisierung – etwa Penetrationstests, Forensik, Cloud-Sicherheit oder Industrieanlagen – oder in die Leitung, bis zum Chief Information Security Officer. Auch die Beratung ist ein verbreiteter Schritt, mit mehr Reisetätigkeit und höherem Druck. Wer die Zertifikatslandschaft pflegt, bleibt langfristig gut vermittelbar.
