Security Analysts überwachen IT-Systeme auf Angriffe, analysieren verdächtige Vorgänge und leiten Gegenmaßnahmen ein. Sie arbeiten meist in einem Security Operations Center oder in der IT-Sicherheitsabteilung eines Unternehmens.
3 offene Stellen zu diesem Beruf im aktuellen Bestand.
| Erfahrung | Von | Median | Bis | Jahresbrutto | Verhältnis |
|---|---|---|---|---|---|
| Berufseinstieg | 3.400 € | 4.000 € | 4.700 € | 48.000 € | |
| Mit Berufserfahrung | 4.500 € | 5.400 € | 6.500 € | 64.800 € | |
| Mit langjähriger Erfahrung | 6.000 € | 7.200 € | 9.000 € | 86.400 € |
Am stärksten wirken Branche und Arbeitgebergröße: Banken, Versicherungen und Konzerne zahlen deutlich mehr als kleine IT-Dienstleister. Im öffentlichen Dienst gilt der TVöD oder TV-L mit Eingruppierung meist in E 11 bis E 13, dort ist die Spanne enger; Schicht- und Rufbereitschaftszulagen können das Monatsentgelt merklich erhöhen.
Die Werte sind Orientierungswerte und keine amtliche Statistik. Sie sind aus öffentlich verfügbaren Erhebungen, Tarifwerken und Stellenanzeigen abgeleitet und auf volle Euro gerundet. Im Einzelfall entscheiden Betrieb, Tarifbindung, Region, Qualifikation und Verhandlung – die Abweichung nach oben wie nach unten kann erheblich sein.
Das Jahresbrutto ist das 12-fache des Monatswertes. Urlaubs- und Weihnachtsgeld sind nicht enthalten, weil sie sich von Branche zu Branche unterscheiden.
Security Analysts beobachten, was in Netzwerken, auf Servern und Endgeräten passiert, und entscheiden, ob ein Vorgang harmlos oder ein Angriff ist. Die Arbeit beginnt meist in einem SIEM-System, in dem Protokolldaten aus Firewalls, Virenschutz, Cloud-Diensten und Anmeldeservern zusammenlaufen. Dort entstehen Alarme: eine Anmeldung aus einem ungewöhnlichen Land, ein Prozess, der Administratorrechte anfordert, eine E-Mail mit einem Anhang, den drei Mitarbeitende schon geöffnet haben. Der Analyst prüft den Fall, sammelt Belege, ordnet die Schwere ein und entscheidet über das Vorgehen: Gerät isolieren, Passwörter zurücksetzen, Konto sperren, Fall an ein Incident-Response-Team weitergeben.
Dazu kommt Arbeit, die weniger mit akuten Vorfällen zu tun hat. Schwachstellenberichte müssen bewertet und an die zuständigen Systemverantwortlichen verteilt werden. Erkennungsregeln werden geschrieben, getestet und nachgeschärft, weil zu viele Fehlalarme das Team lahmlegen. Nach größeren Vorfällen entstehen Berichte für die Geschäftsführung, teils auch für Aufsichtsbehörden oder Kunden. In vielen Unternehmen gehören Phishing-Simulationen und Schulungen der Belegschaft ebenfalls dazu.
Der häufigste Weg führt über ein Studium der Informatik, IT-Sicherheit oder Wirtschaftsinformatik. Ebenso verbreitet ist der Einstieg über eine Ausbildung als Fachinformatikerin oder Fachinformatiker für Systemintegration und mehrere Jahre Praxis in Netzwerk- oder Systemadministration. Wer weiß, wie ein Windows-Netzwerk, eine Linux-Serverlandschaft oder eine Cloud-Umgebung funktioniert, versteht auch, was daran ungewöhnlich ist. Reine Sicherheitszertifikate ohne Betriebserfahrung überzeugen selten.
Quereinstiege gelingen aus der Administration, aus dem IT-Support mit Zusatzqualifikation und gelegentlich aus angrenzenden Feldern wie Softwareentwicklung. Zertifikate wie CompTIA Security+, GCIA, GCIH oder Anbieterzertifikate der eingesetzten Cloud-Plattformen dienen als Nachweis und werden von Arbeitgebern oft bezahlt.
Wer in einem durchgehend besetzten Security Operations Center arbeitet, arbeitet im Schichtdienst, einschließlich Nächten und Wochenenden. In Unternehmen mit Kernzeitbetrieb gibt es stattdessen Rufbereitschaft. Angriffe halten sich nicht an Arbeitszeiten, und größere Vorfälle bedeuten mehrere Tage mit hoher Anspannung und wenig Schlaf.
Belastend ist auch die Alarmflut: Ein großer Teil der Meldungen ist unbegründet, und die Konzentration darf trotzdem nicht nachlassen, weil der eine echte Fall dazwischen liegt. Wer Routine schlecht erträgt oder ungern dokumentiert, wird damit Mühe haben. Hinzu kommt der Umgang mit Fachabteilungen, die Sicherheitsmaßnahmen als Störung empfinden. Deutsch und Englisch in Wort und Schrift sind Pflicht, Fachliteratur und Werkzeuge sind englisch. Die technische Grundlage veraltet schnell, Weiterbildung ist keine Option, sondern Teil des Berufs.
Die Nachfrage ist hoch und wächst weiter, getrieben von Ransomware-Vorfällen, der NIS-2-Richtlinie und dem Druck von Versicherern und Prüfern. Neben Konzernen und Behörden suchen zunehmend mittelständische Unternehmen und IT-Dienstleister, die Sicherheitsüberwachung als Dienstleistung anbieten. Entwicklungswege führen in die Spezialisierung, etwa in Digitale Forensik, Threat Hunting, Cloud Security oder Penetrationstests, oder in Richtung Architektur, Governance und Teamleitung. Wer den Nachweis über abgeschlossene Vorfälle und praktische Erfahrung mitbringt, wechselt den Arbeitgeber in diesem Feld leicht.
Üblich ist ein Bachelorstudium in Informatik oder IT-Sicherheit über sechs bis sieben Semester, gefolgt vom Einstieg als Junior Analyst. Alternativ führt eine dreijährige Ausbildung als Fachinformatiker für Systemintegration mit anschließender Praxis in der Administration in den Beruf. Zertifikate wie Security+, GCIH oder GCIA ergänzen den Weg und werden meist berufsbegleitend erworben.
Netzwerkadministratoren planen, betreiben und überwachen die Datennetze eines Unternehmens. Sie konfigurieren Switches, Router und Firewalls, beheben Störungen und sorgen dafür, dass Verbindungen stabil und abgesichert bleiben.
Penetrationstester prüfen im Auftrag von Unternehmen, ob sich Netzwerke, Anwendungen oder Systeme angreifen lassen, und dokumentieren gefundene Schwachstellen. Sie arbeiten mit denselben Methoden wie Angreifer, nur legal und nach vertraglicher Absprache.
Systemadministratoren halten Server, Netzwerke und Arbeitsplatzrechner eines Unternehmens am Laufen. Sie richten Systeme ein, überwachen sie, beheben Störungen und kümmern sich um Sicherheit und Datensicherung.
Arbeitsplatz.de verwendet nur die Cookies, die für den Betrieb der Seite nötig sind. Kein Tracking, keine Werbenetzwerke, keine Auswertung Ihres Verhaltens. Einzelheiten stehen in der Datenschutzerklärung.