Was macht ein Product Security Engineer?
Product Security Engineers kümmern sich um die Sicherheit eines Produkts über seinen gesamten Lebenszyklus. Sie sichern also nicht die interne IT eines Unternehmens, sondern das, was es verkauft: eine Web-Anwendung, eine Mobile-App, ein Steuergerät im Auto, eine Industriesteuerung oder ein vernetztes Medizingerät. Zu Beginn eines Projekts erstellen sie Bedrohungsmodelle und legen fest, welche Sicherheitsanforderungen gelten. Während der Entwicklung prüfen sie Architekturentwürfe und Quellcode, richten Werkzeuge für statische und dynamische Codeanalyse sowie für die Prüfung von Open-Source-Abhängigkeiten in die Build-Pipelines ein und werten deren Befunde aus. Sie führen eigene Penetrationstests durch oder beauftragen externe Dienstleister und besprechen die Ergebnisse mit den Entwicklern. Nach der Auslieferung bewerten sie gemeldete Schwachstellen, priorisieren Patches, schreiben Sicherheitshinweise und betreuen in manchen Firmen ein Bug-Bounty-Programm. Ein großer Teil der Arbeit besteht aus Gesprächen: Entwicklungsteams beraten, Kompromisse zwischen Sicherheit und Termin aushandeln, Schulungen halten. In regulierten Branchen kommt Dokumentation für Normen wie ISO/SAE 21434, IEC 62443 oder den europäischen Cyber Resilience Act hinzu.
Wie wird man Product Security Engineer?
Einen festen Ausbildungsweg gibt es nicht. Die meisten haben ein Studium der Informatik, IT-Sicherheit, Elektrotechnik oder eines verwandten Fachs abgeschlossen, meist als Bachelor oder Master. Häufig ist der Einstieg über einige Jahre in der Softwareentwicklung, im Penetration Testing oder in der Embedded-Entwicklung, denn wer Code anderer bewerten soll, muss selbst programmieren können. Zertifikate wie OSCP, CSSLP oder CISSP sind verbreitet und in Stellenanzeigen gern gesehen, ersetzen aber keine Praxis. Quereinsteiger ohne Studium finden über nachweisbare Erfahrung Zugang, etwa über erfolgreiche Bug-Bounty-Meldungen, Beiträge zu Open-Source-Sicherheitsprojekten oder eine Ausbildung zum Fachinformatiker mit anschließender Spezialisierung.
Was der Beruf verlangt
Der Beruf verlangt breites technisches Wissen und die Bereitschaft, es ständig zu erneuern, weil neue Angriffstechniken, Frameworks und Vorgaben laufend dazukommen. Schwer fällt vielen die Rolle zwischen den Stühlen: Product Security Engineers bremsen Releases, wenn Lücken offen sind, und müssen das gegenüber Produktmanagement und Entwicklung begründen, oft ohne direkte Weisungsbefugnis. Wird eine kritische Schwachstelle öffentlich, entsteht kurzfristig hoher Druck, der auch Abend- oder Wochenendarbeit bedeuten kann; in manchen Unternehmen gibt es dafür Rufbereitschaft. Dazu kommt viel Dokumentation, besonders in Branchen mit Zulassungspflichten. Gute Englischkenntnisse sind fast immer nötig, da Teams, Werkzeuge und Fachliteratur international sind.
Aussichten
Die Nachfrage ist hoch und dürfte weiter steigen. Der Cyber Resilience Act verpflichtet Hersteller vernetzter Produkte in der EU zu Sicherheitsmaßnahmen und Schwachstellenmanagement, in der Automobilindustrie ist Cybersecurity bereits Voraussetzung für die Typzulassung. Fachkräfte sind knapp, besonders mit Erfahrung in Embedded-Systemen oder Cloud-Architekturen. Entwicklungswege führen in die Rolle des Security Architect, in die Leitung eines Product Security Teams oder eines PSIRT, bis hin zur Position eines Chief Product Security Officer. Andere wechseln in die Beratung oder spezialisieren sich auf Penetration Testing oder Kryptografie.