Was macht ein Cybersecurity Consultant?
Cybersecurity Consultants arbeiten meist projektbezogen für wechselnde Kunden, entweder bei einer Beratungsfirma oder in einer internen Beratungseinheit größerer Unternehmen. Ein Projekt beginnt oft mit einer Bestandsaufnahme: Welche Systeme gibt es, wo liegen schützenswerte Daten, welche Prozesse regeln Zugriffe und Updates. Daraus entstehen Risikoanalysen, Schutzbedarfsfeststellungen und Maßnahmenpläne. Ein großer Teil der Arbeit besteht darin, Sicherheitskonzepte nach Normen wie ISO 27001, dem IT-Grundschutz des BSI oder Vorgaben wie NIS2 und DORA aufzubauen oder zu überprüfen. Andere Consultants sind technisch ausgerichtet: Sie bewerten Firewall-Regeln, Cloud-Konfigurationen und Berechtigungskonzepte, begleiten Penetrationstests, werten deren Ergebnisse aus oder helfen nach einem Sicherheitsvorfall bei der Aufarbeitung. Dazu kommen Workshops mit IT-Abteilungen und Fachbereichen, Präsentationen vor der Geschäftsführung, das Schreiben von Richtlinien und Berichten sowie Schulungen für Mitarbeitende. Der Anteil an Dokumentation und Abstimmung ist hoch, der an reiner Technik je nach Stelle sehr unterschiedlich.
Wie wird man Cybersecurity Consultant?
Einen geschützten Ausbildungsweg gibt es nicht. Üblich ist ein Studium der Informatik, Wirtschaftsinformatik oder eines spezialisierten Studiengangs wie IT-Sicherheit, in der Regel mit Bachelor oder Master. Möglich ist auch der Weg über eine Ausbildung als Fachinformatiker mit anschließender Berufserfahrung in Administration, Netzwerktechnik oder einem Security Operations Center. Quereinsteiger aus Revision, Datenschutz oder IT-Projektmanagement finden vor allem in der organisatorischen Beratung zu Informationssicherheitsmanagement einen Zugang. Zertifikate spielen eine große Rolle und werden in Ausschreibungen häufig verlangt, etwa ISO 27001 Lead Auditor, CISSP, CISM, BSI-IT-Grundschutz-Praktiker oder für technische Profile OSCP. Für Aufträge im Behördenumfeld ist oft eine Sicherheitsüberprüfung nötig.
Was der Beruf verlangt
Die Arbeit verlangt, sich laufend in neue Bedrohungen, Technologien und Regelwerke einzuarbeiten, was einen erheblichen Teil der Zeit neben dem Tagesgeschäft bindet. Beratungsfirmen erwarten meist eine hohe Auslastung mit abrechenbaren Stunden, was zu Termindruck und phasenweise langen Arbeitstagen führt, besonders vor Audits oder Projektabschlüssen. Reisetätigkeit zu Kunden ist in vielen Stellen Teil des Jobs, teils mit Übernachtungen. Wer in der Vorfallsbehandlung arbeitet, muss mit Rufbereitschaft und Einsätzen außerhalb der üblichen Zeiten rechnen. Schwer fällt vielen, unbequeme Befunde gegenüber Kunden zu vertreten, die Sicherheit als Kostenfaktor sehen, und zwischen technischer Detailtiefe und verständlicher Sprache für Entscheider zu wechseln. Verschwiegenheit über sensible Kundeninformationen ist selbstverständlich.
Aussichten
Die Nachfrage ist seit Jahren hoch und wird durch neue gesetzliche Pflichten wie NIS2, DORA und den Cyber Resilience Act weiter gestützt, weil deutlich mehr Unternehmen ihre Sicherheitsorganisation nachweisen müssen. Gesucht werden vor allem Fachleute mit Berufserfahrung; Berufseinsteiger finden leichter Stellen, wenn sie praktische Erfahrung aus Werkstudententätigkeit oder Administration mitbringen. Entwicklungswege führen zum Senior Consultant und Manager in der Beratung, in die Spezialisierung auf Cloud-Sicherheit, Penetration Testing oder Forensik oder auf die Kundenseite als Informationssicherheitsbeauftragter oder CISO. Viele erfahrene Consultants machen sich als Freiberufler selbstständig.