Was macht ein Information Security Consultant?
Information Security Consultants arbeiten meist für Beratungshäuser, IT-Dienstleister oder Wirtschaftsprüfungsgesellschaften und betreuen dort mehrere Kunden, seltener sind sie intern in einem Konzern angestellt. Ein großer Teil der Arbeit ist konzeptionell: Sie erheben in Interviews und Workshops, welche Systeme und Daten ein Unternehmen hat, bewerten Risiken, schreiben Sicherheitsrichtlinien und Notfallkonzepte und bauen Informationssicherheitsmanagementsysteme nach ISO 27001 oder IT-Grundschutz des BSI auf. Dazu kommen Gap-Analysen vor Zertifizierungen, die Vorbereitung auf Audits und die Umsetzung regulatorischer Vorgaben wie NIS2, DORA für Finanzunternehmen oder KRITIS-Anforderungen. Je nach Ausrichtung reicht die Arbeit auch ins Technische: Konfigurationen prüfen, Ergebnisse von Penetrationstests einordnen, Maßnahmen mit Administratoren abstimmen. Ein beträchtlicher Teil des Alltags besteht aus Dokumentation, Präsentationen vor Geschäftsleitungen und dem Nachhalten offener Maßnahmen.
Wie wird man Information Security Consultant?
Einen geregelten Ausbildungsweg gibt es nicht. Üblich ist ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit, einige Hochschulen bieten eigene Studiengänge für Cybersecurity an. Quereinsteiger kommen häufig aus der Systemadministration, dem IT-Betrieb, der Revision oder dem Datenschutz, oft nach einer Ausbildung zum Fachinformatiker und einigen Jahren Berufspraxis. Zertifikate spielen eine große Rolle und werden in vielen Stellenanzeigen ausdrücklich verlangt, etwa ISO 27001 Lead Auditor oder Lead Implementer, BSI-IT-Grundschutz-Praktiker, CISSP oder CISM. Berufseinsteiger beginnen meist als Junior Consultant und arbeiten in Projekten erfahrener Kollegen mit.
Was der Beruf verlangt
Der Beruf verlangt die Fähigkeit, technische Zusammenhänge zu verstehen und sie zugleich in Sprache für Geschäftsführung und Fachabteilungen zu übersetzen. Regelwerke und Normen müssen gründlich gelesen und angewendet werden, was viel Schreibarbeit bedeutet und nicht jedem liegt. In der Beratung kommen Reisen zu Kunden hinzu, teils mehrere Tage am Stück, und Projekte stehen oft unter Termindruck, wenn ein Audit oder eine gesetzliche Frist näher rückt. Nach Sicherheitsvorfällen kann es zu kurzfristigen Einsätzen außerhalb der üblichen Arbeitszeiten kommen. Die Rolle ist nicht immer beliebt: Wer Lücken aufzeigt und Maßnahmen einfordert, stößt bei Kunden auf Widerstand und muss beharrlich bleiben. Weil sich Bedrohungen, Normen und Gesetze laufend ändern, ist ständige Weiterbildung Teil des Berufs. In der Beratung werden zudem häufig abrechenbare Stunden erwartet, was den Druck erhöht.
Aussichten
Die Nachfrage ist hoch und dürfte es bleiben. Neue Regulierungen wie NIS2 erweitern den Kreis der Unternehmen, die ein Sicherheitsmanagement nachweisen müssen, deutlich, und viele mittelständische Betriebe haben dafür kein eigenes Personal. Fachkräfte mit Erfahrung und anerkannten Zertifikaten sind gesucht. Entwicklungswege führen zum Senior oder Managing Consultant mit Projekt- und Personalverantwortung, in die Spezialisierung etwa auf Cloud-Sicherheit, Finanzaufsicht oder Auditierung, in die Selbstständigkeit oder auf die Kundenseite als Informationssicherheitsbeauftragter oder Chief Information Security Officer.