Was macht ein IT Security Manager?
IT Security Manager sorgen dafür, dass Daten, Systeme und Netzwerke einer Organisation angemessen geschützt sind. Im Mittelpunkt steht meist ein Informationssicherheitsmanagementsystem nach ISO 27001 oder BSI-IT-Grundschutz. Dazu gehört, Schutzbedarfe festzustellen, Risikoanalysen durchzuführen und daraus Maßnahmen abzuleiten: Passwort- und Berechtigungskonzepte, Regeln für Fernzugriffe, Vorgaben für Backups und Notfallpläne. Sie schreiben Sicherheitsrichtlinien, stimmen diese mit IT-Betrieb, Datenschutz, Rechtsabteilung und Geschäftsführung ab und prüfen, ob sie eingehalten werden. Ein großer Teil der Arbeit ist Dokumentation und Nachweisführung, etwa für interne und externe Audits, für Kunden oder für Aufsichtsbehörden. Kommt es zu einem Sicherheitsvorfall, koordinieren sie die Analyse, die Eindämmung und die Meldung an Behörden. Hinzu kommen Schulungen für Beschäftigte, Phishing-Kampagnen zur Sensibilisierung und die Bewertung von Dienstleistern und Softwareprodukten. In kleineren Häusern ist die Rolle oft mit der des Informationssicherheitsbeauftragten zusammengelegt, in Konzernen arbeiten IT Security Manager in Teams mit klar abgegrenzten Themen.
Wie wird man IT Security Manager?
Einen geschützten Ausbildungsweg gibt es nicht. Üblich ist ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit, an das sich einige Jahre Berufserfahrung in Systemadministration, Netzwerktechnik, IT-Beratung oder Revision anschließen. Auch Fachinformatiker mit langjähriger Praxis gelangen in die Rolle, häufig über Weiterbildungen. Zertifikate haben in diesem Beruf großes Gewicht: ISO 27001 Lead Implementer oder Lead Auditor, IT-Grundschutz-Praktiker, CISM oder CISSP. Viele Arbeitgeber setzen mindestens eines davon voraus oder finanzieren es nach dem Einstieg. Ein direkter Einstieg nach dem Studium ist möglich, aber seltener; meist beginnt man als Junior oder in einer angrenzenden Sicherheitsrolle.
Was der Beruf verlangt
Der Beruf verbindet technisches Verständnis mit Verwaltungs- und Überzeugungsarbeit. Wer Sicherheitsmaßnahmen durchsetzen will, stößt auf Widerstand, weil Regeln Abläufe verlangsamen oder Geld kosten. Verhandlungsgeschick und Geduld sind deshalb ebenso wichtig wie Fachwissen. Die Dokumentationslast ist hoch, und vor Audits oder Zertifizierungen entsteht regelmäßig Termindruck. Bei Sicherheitsvorfällen muss schnell und auch außerhalb der üblichen Arbeitszeiten reagiert werden; in vielen Stellen gehört eine Rufbereitschaft dazu. Die Verantwortung ist spürbar, denn Versäumnisse können erhebliche Schäden und Haftungsfragen nach sich ziehen. Gesetzliche Vorgaben wie NIS2, DORA oder das IT-Sicherheitsgesetz ändern sich laufend, sodass ständige Weiterbildung zum Alltag gehört. Für Stellen bei Behörden, in der Verteidigung oder bei kritischen Infrastrukturen ist oft eine Sicherheitsüberprüfung nötig.
Aussichten
Die Nachfrage ist hoch und dürfte es bleiben. Neue Regulierungen verpflichten deutlich mehr Unternehmen als früher zu einem nachweisbaren Sicherheitsmanagement, gleichzeitig nehmen Angriffe zu. Erfahrene Fachkräfte sind knapp, besonders solche, die Technik, Recht und Organisation verbinden. Entwicklungswege führen zum Chief Information Security Officer, in die Leitung eines Sicherheitsteams, in die Beratung oder in die Auditierung. Spezialisierungen auf Cloud-Sicherheit, Notfallmanagement oder branchenspezifische Regulierung wie im Finanz- und Gesundheitswesen sind ebenfalls verbreitet.