Was macht ein DevSecOps Engineer?
DevSecOps Engineers sorgen dafür, dass Sicherheit nicht erst am Ende eines Softwareprojekts geprüft wird, sondern in jedem Schritt mitläuft. Sie bauen Sicherheitswerkzeuge in CI/CD-Pipelines ein, etwa statische Codeanalyse, Abhängigkeits- und Container-Scans oder die Suche nach versehentlich eingecheckten Passwörtern und Schlüsseln. Sie schreiben Infrastruktur als Code, zum Beispiel mit Terraform oder Ansible, und legen fest, wie Kubernetes-Cluster, Cloud-Konten und Netzwerke abgesichert werden. Ein großer Teil der Arbeit besteht darin, Scan-Ergebnisse zu bewerten, Fehlalarme auszusortieren und mit den Entwicklungsteams zu klären, welche Schwachstelle wie schnell behoben werden muss. Dazu kommen Zugriffs- und Geheimnisverwaltung, Protokollierung und Monitoring sowie die Mitarbeit bei Sicherheitsvorfällen. In regulierten Branchen gehört auch das Dokumentieren für Audits und Zertifizierungen wie ISO 27001 dazu.
Wie wird man DevSecOps Engineer?
Einen eigenen Ausbildungsberuf gibt es nicht. Üblich ist ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit, ebenso verbreitet ist der Weg über eine Ausbildung zum Fachinformatiker für Systemintegration oder Anwendungsentwicklung. Kaum jemand steigt direkt in diese Rolle ein: Die meisten haben vorher einige Jahre als Systemadministrator, DevOps Engineer, Softwareentwickler oder in der IT-Sicherheit gearbeitet und sich dann spezialisiert. Zertifikate wie Certified Kubernetes Administrator, Cloud-Zertifizierungen von AWS oder Azure oder Sicherheitszertifikate wie CompTIA Security+ und OSCP werden in Anzeigen häufig genannt, ersetzen aber keine praktische Erfahrung. Quereinsteiger ohne IT-Hintergrund haben es schwer, weil der Beruf auf breitem Vorwissen aufbaut.
Was der Beruf verlangt
Die Rolle sitzt zwischen Entwicklung, Betrieb und Sicherheit und muss mit allen drei Seiten auskommen. Entwicklungsteams empfinden Sicherheitsvorgaben oft als Bremse, daher gehört Überzeugungsarbeit ebenso zum Alltag wie technisches Können. Die Werkzeuge ändern sich schnell, wer nicht laufend dazulernt, fällt zurück. Wird eine kritische Schwachstelle bekannt, muss sie oft innerhalb von Stunden bewertet und geschlossen werden, was planbare Arbeitstage durchbricht. In vielen Unternehmen gibt es Rufbereitschaft, auch nachts und am Wochenende. Die Verantwortung ist hoch: Ein Fehler in einer Pipeline oder einer Zugriffsregel kann Produktionssysteme lahmlegen oder Daten offenlegen. Teilzeitstellen sind in diesem Beruf seltener als Vollzeitstellen, und auch in Teilzeit bleibt die Erwartung, bei Vorfällen erreichbar zu sein.
Aussichten
Die Nachfrage nach Fachkräften für IT-Sicherheit und Cloud-Betrieb ist in Deutschland seit Jahren größer als das Angebot. Regulierung wie NIS2, DORA im Finanzsektor und der Cyber Resilience Act erhöht den Bedarf an Menschen, die Sicherheit in Entwicklungsprozessen nachweisbar umsetzen können. Gefragt sind vor allem Erfahrene, Einstiegsstellen ohne Vorerfahrung sind dagegen knapp. Entwicklungswege führen zum Security Architect, Cloud Security Engineer, Platform Engineer oder in Leitungsrollen wie Head of Security oder Teamlead DevOps. Auch die freiberufliche Arbeit als Berater ist verbreitet, setzt aber nachweisbare Projekterfahrung voraus.