Was macht ein Application Security Engineer?
Application Security Engineers arbeiten an der Schnittstelle zwischen Softwareentwicklung und IT-Sicherheit. Sie lesen Quellcode auf typische Fehler wie SQL-Injection, fehlerhafte Authentifizierung oder unsichere Deserialisierung, erstellen Bedrohungsmodelle für neue Anwendungen und bewerten Architekturentscheidungen aus Sicht eines Angreifers. Ein großer Teil der Arbeit besteht darin, Werkzeuge für statische und dynamische Codeanalyse sowie für die Prüfung von Abhängigkeiten in die CI/CD-Pipeline einzubinden, Fehlalarme auszusortieren und die verbleibenden Befunde mit den Entwicklungsteams zu besprechen. Dazu kommen manuelle Penetrationstests von Web-Anwendungen und Schnittstellen, die Koordination externer Prüfer und die Auswertung von Meldungen aus Bug-Bounty-Programmen. Wer gut erklären kann, schult Entwickler in sicherer Programmierung und schreibt interne Richtlinien. Im Ernstfall gehört die Mitarbeit bei der Analyse eines Sicherheitsvorfalls dazu.
Wie wird man Application Security Engineer?
Eine eigene Ausbildung für diesen Beruf gibt es nicht. Die meisten kommen über ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit in den Beruf, häufig nach einigen Jahren als Softwareentwickler oder Penetrationstester. Auch Fachinformatiker für Anwendungsentwicklung mit mehrjähriger Entwicklungserfahrung finden den Weg, wenn sie sich in Sicherheitsthemen eingearbeitet haben. Arbeitgeber achten weniger auf den Abschluss als auf nachweisbare Praxis: eigene Projekte, Teilnahme an Capture-the-Flag-Wettbewerben, gemeldete Schwachstellen. Zertifikate wie OSCP, OSWE, CSSLP oder GWAPT verbessern die Chancen, sind aber selten zwingend. Ein Quereinstieg ohne Programmiererfahrung ist kaum möglich, weil der Beruf voraussetzt, fremden Code schnell zu verstehen.
Was der Beruf verlangt
Die Arbeit verlangt ständiges Weiterlernen. Frameworks, Cloud-Dienste und Angriffstechniken ändern sich laufend, und ein Teil der Fortbildung findet in der Freizeit statt. Schwierig ist oft die Rolle zwischen den Stühlen: Sicherheitsbefunde verzögern Releases, und Entwicklungsteams unter Termindruck nehmen Hinweise nicht immer gern an. Gefragt ist daher Überzeugungskraft ohne Belehrung. Bei kritischen Schwachstellen oder Vorfällen kann kurzfristig Mehrarbeit anfallen, manche Arbeitgeber erwarten Rufbereitschaft. Wer Ergebnisse vorzeigen möchte, braucht Geduld, denn gute Sicherheitsarbeit fällt vor allem dadurch auf, dass nichts passiert. In Behörden, bei Rüstungsunternehmen und kritischen Infrastrukturen kann eine Sicherheitsüberprüfung Voraussetzung sein.
Aussichten
Die Nachfrage ist hoch und dürfte es bleiben. Regulierung wie NIS2, der Cyber Resilience Act und branchenspezifische Vorgaben für Banken und Versicherungen zwingen Unternehmen, Sicherheit in der Softwareentwicklung nachzuweisen. Qualifizierte Bewerber sind knapp, besonders solche mit Erfahrung in Cloud-Umgebungen und Containertechnik. Entwicklungswege führen zum Security Architect, zur Leitung eines Product-Security-Teams oder in die Rolle eines Chief Information Security Officer. Andere spezialisieren sich auf Penetrationstests, mobile Anwendungen oder Kryptografie oder machen sich als Berater selbstständig. Einfache Prüfaufgaben werden zunehmend automatisiert, was die Arbeit stärker in Richtung Bewertung, Architektur und Beratung verschiebt.