Information Security Officer steuern die Informationssicherheit eines Unternehmens: Sie legen Richtlinien fest, bewerten Risiken, überwachen die Einhaltung von Normen und Aufsichtsvorgaben und begleiten Sicherheitsvorfälle. In Banken und Versicherungen ist die Rolle gesetzlich vorgesehen und eng an aufsichtsrechtliche Anforderungen gebunden.
Ein großer Teil der Tätigkeit – Richtlinien schreiben, Risikoanalysen dokumentieren, Berichte erstellen, Dienstleisterunterlagen prüfen und Abstimmungen per Videokonferenz – lässt sich grundsätzlich von zu Hause erledigen. Anwesenheit verlangen vor allem Workshops mit Fachbereichen, Sitzungen mit Vorstand oder Geschäftsführung, Vor-Ort-Prüfungen, Begehungen von Rechenzentren und die Koordination bei schweren Sicherheitsvorfällen. In vielen Unternehmen ist Homeoffice an zwei bis drei Tagen pro Woche üblich; Stellen, die ganz oder überwiegend von zu Hause ausgeübt werden, kommen vor allem bei externen Beratungen und Dienstleistern vor und sind bei Banken und Versicherungen eher die Ausnahme, weil dort Präsenz in Gremien und Nähe zu den Fachbereichen erwartet wird. Wer externe Mandate betreut, muss je nach Kundenstamm mit Reisen rechnen. Gerade in diesem Beruf gelten für das Homeoffice strenge Regeln: dienstliche, verschlüsselte Geräte, abgesicherter Zugang ins Firmennetz, keine Einsicht Dritter in vertrauliche Unterlagen. Bei Vorfällen wird schnelle Erreichbarkeit erwartet, auch wenn gerade nicht im Büro gearbeitet wird.
Das gilt für den Beruf insgesamt und nicht für jede Stelle. Ob ganz von zu Hause, überwiegend oder an einzelnen Tagen gearbeitet wird, steht in der jeweiligen Anzeige – darauf lohnt sich vor der Bewerbung ein genauer Blick.
| Erfahrung | Von | Median | Bis | Jahresbrutto | Verhältnis |
|---|---|---|---|---|---|
| Berufseinstieg | 4.200 € | 5.000 € | 6.000 € | 60.000 € | |
| Mit Berufserfahrung | 5.500 € | 6.500 € | 7.800 € | 78.000 € | |
| Mit langjähriger Erfahrung | 7.000 € | 8.300 € | 10.500 € | 99.600 € |
Das Gehalt hängt stark von Branche und Unternehmensgröße ab: Große Banken und Versicherungen zahlen meist außertariflich und deutlich über dem Niveau von Mittelstand und öffentlichem Dienst, wo nach TVöD oder TV-L etwa in den Entgeltgruppen E11 bis E13 vergütet wird; im privaten Bankgewerbe liegt die Rolle oft oberhalb des Tarifvertrags für das private Bankgewerbe. Zertifikate wie CISM oder CISSP, Führungsverantwortung und ein Arbeitgebersitz in Frankfurt oder München heben das Gehalt spürbar.
Die Werte sind Orientierungswerte und keine amtliche Statistik. Sie sind aus öffentlich verfügbaren Erhebungen, Tarifwerken und Stellenanzeigen abgeleitet und gerundet. Sie gelten für eine Vollzeitstelle und für den Beruf insgesamt – im Büro wie von zu Hause. In Teilzeit verringert sich das Gehalt im Verhältnis der Stunden.
Das Jahresbrutto ist das 12-Fache des Monatswertes, ohne Urlaubs- und Weihnachtsgeld. Im Einzelfall entscheiden Arbeitgeber, Tarifbindung, Qualifikation und Verhandlung – die Abweichung nach oben wie nach unten kann erheblich sein.
Ein Information Security Officer, oft auch Informationssicherheitsbeauftragter genannt, verantwortet das Managementsystem für Informationssicherheit eines Unternehmens. Die Arbeit ist überwiegend konzeptionell und koordinierend, nicht technisch-operativ: Firewalls konfigurieren oder Server härten in der Regel andere. Zum Alltag gehört es, Sicherheitsrichtlinien zu schreiben und aktuell zu halten, Schutzbedarfe von Anwendungen und Daten mit den Fachbereichen festzulegen, Risikoanalysen durchzuführen und Maßnahmen nachzuverfolgen. Bei Finanzdienstleistern prägen aufsichtsrechtliche Vorgaben den Beruf stark, etwa die europäische DORA-Verordnung, die MaRisk und bis zu deren Ablösung die BAIT. Hinzu kommen Normen wie ISO/IEC 27001 oder der IT-Grundschutz des BSI. Information Security Officer bereiten interne und externe Prüfungen vor, beantworten Feststellungen von Wirtschaftsprüfern oder der Aufsicht, bewerten Dienstleister bei Auslagerungen, organisieren Schulungen und Phishing-Kampagnen für Beschäftigte und berichten regelmäßig an Vorstand oder Geschäftsführung. Bei Sicherheitsvorfällen koordinieren sie die Bewertung und gegebenenfalls die Meldung an Behörden.
Einen geschützten Ausbildungsweg gibt es nicht. Üblich ist ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit, seltener ein betriebswirtschaftliches oder juristisches Studium mit IT-Schwerpunkt. Viele kommen nach einigen Jahren aus der IT-Administration, dem IT-Audit, der Revision, dem Risikomanagement oder der IT-Beratung in die Rolle. Arbeitgeber erwarten häufig Zertifikate wie ISO 27001 Lead Implementer oder Lead Auditor, CISSP, CISM oder eine Weiterbildung zum IT-Sicherheitsbeauftragten mit TÜV- oder IHK-Abschluss. Direkt nach dem Studium ist der Einstieg als alleinverantwortlicher Beauftragter selten; eher beginnt man als Mitarbeitender in einem Team für Informationssicherheit oder als Junior-Berater.
Die Rolle verlangt Durchsetzungsvermögen ohne direkte Weisungsbefugnis. Information Security Officer müssen Fachbereiche und IT von Maßnahmen überzeugen, die Zeit und Geld kosten, und werden oft als Bremse wahrgenommen. Ein großer Teil der Arbeit ist Dokumentation: Richtlinien, Nachweise, Protokolle und Berichte, die einer Prüfung standhalten müssen. Vor Prüfungen und Fristen der Aufsicht entsteht deutlicher Termindruck. Bei Sicherheitsvorfällen ist schnelles Handeln gefragt, auch außerhalb der regulären Arbeitszeit; in manchen Häusern gibt es Rufbereitschaft. Die Verantwortung ist persönlich spürbar, weil Versäumnisse in Prüfberichten auftauchen. Da sich Vorschriften und Bedrohungslage laufend ändern, ist ständige Weiterbildung Teil des Berufs.
Die Nachfrage ist hoch und dürfte es bleiben. DORA, die NIS-2-Richtlinie und steigende Anforderungen von Versicherern und Kunden verpflichten immer mehr Unternehmen, die Rolle zu besetzen und auszustatten. Neben Banken und Versicherungen suchen Energieversorger, Krankenhäuser, Behörden und Industriebetriebe. Entwicklungswege führen zur Leitung eines Teams für Informationssicherheit, zur Position des Chief Information Security Officer oder in die Beratung und Prüfung. Manche spezialisieren sich auf Auslagerungsmanagement, Notfallmanagement oder Cloud-Sicherheit. Auch die Tätigkeit als externer Informationssicherheitsbeauftragter für mehrere kleinere Unternehmen ist verbreitet.
Üblich ist ein Bachelor- oder Masterstudium in Informatik, Wirtschaftsinformatik oder IT-Sicherheit von drei bis fünf Jahren, gefolgt von einigen Jahren Berufserfahrung in IT, Audit oder Beratung. Ergänzend werden berufsbegleitende Zertifikate wie ISO 27001 Lead Auditor, CISM oder eine Weiterbildung zum IT-Sicherheitsbeauftragten erworben, die meist einige Tage bis wenige Monate dauern.
Die InterRisk ist ein auf dem deutschen und österreichischen Markt etablierter Maklerversicherer im Komposit- und Leben-...
abcfinance - der Finanzdienstleister für den Mittelstand.1976 als spezialisierter Finanzdienstleister der Wilh. Werhahn...
Ziraat Bank International AG ist eine seit über 61 Jahren auf dem deutschen Markt erfolgreich tätige Geschäftsbank. Mit...
Wir benachrichtigen dich, sobald passende Stellen erscheinen – kein Spam, jederzeit abbestellbar.