Penetrationstester prüfen im Auftrag von Unternehmen, ob sich Netzwerke, Anwendungen oder Systeme angreifen lassen, und dokumentieren gefundene Schwachstellen. Sie arbeiten mit denselben Methoden wie Angreifer, nur legal und nach vertraglicher Absprache.
3 offene Stellen zu diesem Beruf im aktuellen Bestand.
| Erfahrung | Von | Median | Bis | Jahresbrutto | Verhältnis |
|---|---|---|---|---|---|
| Berufseinstieg | 3.600 € | 4.200 € | 5.000 € | 50.400 € | |
| Mit Berufserfahrung | 4.800 € | 5.800 € | 7.000 € | 69.600 € | |
| Mit langjähriger Erfahrung | 6.500 € | 7.800 € | 10.000 € | 93.600 € |
Am stärksten wirken Zertifizierungen, Branche und Arbeitgebertyp: große Beratungshäuser und Finanzdienstleister zahlen deutlich über dem Durchschnitt, im öffentlichen Dienst gilt der TVöD oder TV-L mit Entgeltgruppen etwa zwischen 11 und 14 und damit einem engeren, oft niedrigeren Rahmen.
Die Werte sind Orientierungswerte und keine amtliche Statistik. Sie sind aus öffentlich verfügbaren Erhebungen, Tarifwerken und Stellenanzeigen abgeleitet und auf volle Euro gerundet. Im Einzelfall entscheiden Betrieb, Tarifbindung, Region, Qualifikation und Verhandlung – die Abweichung nach oben wie nach unten kann erheblich sein.
Das Jahresbrutto ist das 12-fache des Monatswertes. Urlaubs- und Weihnachtsgeld sind nicht enthalten, weil sie sich von Branche zu Branche unterscheiden.
Penetrationstester greifen IT-Systeme im Auftrag ihres Besitzers kontrolliert an, um Sicherheitslücken zu finden, bevor Kriminelle sie ausnutzen. Ein Auftrag beginnt mit der Abstimmung des Prüfumfangs: Welche IP-Bereiche, Webanwendungen, mobilen Apps oder Gebäudeteile dürfen getestet werden, in welchem Zeitraum, mit welchen Methoden. Danach folgt die Informationssammlung über öffentlich zugängliche Quellen, das Scannen von Netzwerken und Diensten, das Prüfen von Konfigurationen und Zugriffsrechten und schließlich der Versuch, Schwachstellen tatsächlich auszunutzen: SQL-Injection in einem Webformular, veraltete Softwareversionen, zu weit gefasste Rechte in einem Active Directory, unsichere Standardpasswörter.
Ein erheblicher Teil der Arbeit ist Schreibarbeit. Jeder Fund muss nachvollziehbar dokumentiert werden, mit Beweisführung, Risikoeinschätzung und einer Empfehlung zur Behebung. Der Bericht geht an Administratoren, Entwickler und oft an die Geschäftsführung, muss also technisch präzise und gleichzeitig verständlich sein. Häufig folgt eine Abschlusspräsentation und später ein Nachtest, ob die Lücken geschlossen wurden.
Der häufigste Weg führt über ein Studium der Informatik, IT-Sicherheit oder Wirtschaftsinformatik. Auch eine Ausbildung als Fachinformatiker für Systemintegration oder Anwendungsentwicklung mit anschließender Spezialisierung ist verbreitet. Quereinstiege gelingen aus der Systemadministration, dem Netzwerkbetrieb oder der Softwareentwicklung, weil dort das nötige Verständnis für Systeme entsteht. Formale Abschlüsse zählen in diesem Feld weniger als nachweisbares Können: eigene Laborumgebungen, Ergebnisse auf Hacking-Plattformen, Beiträge zu Sicherheitsforschung, Teilnahme an Capture-the-Flag-Wettbewerben. Zertifikate wie OSCP, OSWE, CRTO oder die BSI-Zertifizierung für IS-Penetrationstests sind bei Arbeitgebern gängige Eintrittskarten. Ein einwandfreies Führungszeugnis ist praktisch Voraussetzung, für Projekte bei Behörden oder in der Verteidigungsindustrie auch eine Sicherheitsüberprüfung.
Die Arbeit ist projektgetrieben und terminlich eng. Ein Test dauert oft nur fünf bis zehn Tage, in denen ein Ergebnis geliefert werden muss, unabhängig davon, ob die Umgebung kooperiert. Tests laufen bei Kunden manchmal nachts oder am Wochenende, um Produktivsysteme nicht zu stören. Beratungsprojekte bringen Reisetätigkeit mit sich. Wer bei Dienstleistern arbeitet, muss Stunden schreiben und sich an Auslastungsziele halten, was den Druck erhöht.
Fachlich muss ständig nachgelernt werden, weil sich Angriffstechniken und Verteidigungsmechanismen schnell verändern. Ein Teil dieses Lernens fällt in die Freizeit. Frustrationstoleranz ist nötig: Viele Ansätze führen ins Nichts, und gefundene Schwachstellen werden von Kunden gelegentlich kleingeredet oder jahrelang nicht behoben. Wer nur hacken und nicht schreiben will, wird mit dem Beruf nicht glücklich.
Die Nachfrage ist hoch und steigt weiter, getrieben durch gesetzliche Vorgaben wie NIS-2, das IT-Sicherheitsgesetz, DORA im Finanzsektor und die Anforderungen von Cyberversicherungen. Qualifizierte Tester sind knapp, Berufserfahrene wechseln in der Regel schnell die Stelle, wenn sie wollen. Entwicklungswege führen in die Spezialisierung auf Red Teaming, Hardware- und Automotive-Sicherheit, Cloud-Umgebungen oder industrielle Steuerungsanlagen, außerdem in die Projekt- und Teamleitung, in die Sicherheitsarchitektur oder in die Selbstständigkeit als Gutachter.
Üblich ist ein Bachelor in Informatik oder IT-Sicherheit über sechs bis sieben Semester, häufig ergänzt durch einen Master. Alternativ führt eine dreijährige Ausbildung zum Fachinformatiker mit anschließender Praxiszeit in Administration oder Entwicklung in den Beruf. Praktisch entscheidend sind branchenübliche Zertifikate wie OSCP sowie nachweisbare eigene Testerfahrung.
Security Engineers schützen IT-Systeme, Netzwerke und Anwendungen vor Angriffen. Sie härten Infrastruktur, prüfen Software auf Schwachstellen und reagieren auf Sicherheitsvorfälle.
Systemadministratoren halten Server, Netzwerke und Arbeitsplatzrechner eines Unternehmens am Laufen. Sie richten Systeme ein, überwachen sie, beheben Störungen und kümmern sich um Sicherheit und Datensicherung.
Arbeitsplatz.de verwendet nur die Cookies, die für den Betrieb der Seite nötig sind. Kein Tracking, keine Werbenetzwerke, keine Auswertung Ihres Verhaltens. Einzelheiten stehen in der Datenschutzerklärung.