Was macht ein Security Architect?
Ein Security Architect plant, wie ein Unternehmen oder eine Behörde ihre IT absichert. Dazu gehört, bestehende Systeme zu analysieren, Schwachstellen und Bedrohungen zu bewerten und daraus Vorgaben abzuleiten: wie Netze in Zonen getrennt werden, wie Identitäten und Berechtigungen verwaltet werden, welche Verschlüsselung zum Einsatz kommt, wie Cloud-Dienste angebunden und überwacht werden. Ein großer Teil der Arbeit besteht aus Abstimmung. Security Architects sitzen in Projektbesprechungen, prüfen Architekturentwürfe von Entwicklungsteams, schreiben Sicherheitskonzepte und Richtlinien und begründen gegenüber Fachabteilungen und Management, warum eine Maßnahme nötig ist und was sie kostet. Sie bewerten Produkte von Herstellern, begleiten Penetrationstests, werten deren Ergebnisse aus und unterstützen bei Audits und Zertifizierungen, etwa nach ISO 27001 oder dem IT-Grundschutz des BSI. Bei Sicherheitsvorfällen werden sie häufig hinzugezogen, um Ursachen zu klären und die Architektur nachzubessern.
Wie wird man Security Architect?
Einen geregelten Ausbildungsweg gibt es nicht. Die meisten haben ein Studium der Informatik, Wirtschaftsinformatik, Elektrotechnik oder IT-Sicherheit abgeschlossen. Ebenso verbreitet ist der Weg über eine Ausbildung zum Fachinformatiker mit anschließender langjähriger Praxis. In jedem Fall ist Security Architect keine Einstiegsposition: Üblich sind mehrere Jahre Erfahrung als Systemadministrator, Netzwerkingenieur, Softwareentwickler oder Security Engineer, bevor jemand Architekturverantwortung übernimmt. Zertifikate wie CISSP, CISM, CCSP oder Herstellerzertifizierungen für Cloud-Plattformen werden in vielen Stellenanzeigen verlangt oder gern gesehen. Für Stellen bei Behörden und Unternehmen der kritischen Infrastruktur ist oft eine Sicherheitsüberprüfung nach dem Sicherheitsüberprüfungsgesetz Voraussetzung.
Was der Beruf verlangt
Der Beruf verlangt breites technisches Wissen über Netzwerke, Betriebssysteme, Cloud, Kryptografie und Anwendungsentwicklung, das ständig aktualisiert werden muss. Neue Angriffsmethoden, Gesetze wie NIS2 oder der Cyber Resilience Act und neue Produkte verändern das Feld laufend; regelmäßige Weiterbildung gehört dazu und findet nicht immer in der Arbeitszeit statt. Hinzu kommt eine Rolle zwischen den Stühlen: Security Architects müssen Einschränkungen durchsetzen, die Projekte verlangsamen oder verteuern, und brauchen dafür Überzeugungskraft und Geduld. Die Verantwortung ist hoch, weil Fehler in der Architektur später schwer zu beheben sind. Die Arbeitszeiten sind meist regulär, bei Sicherheitsvorfällen, Audits oder Projektabschlüssen können aber Überstunden und kurzfristige Einsätze anfallen. In Beratungsunternehmen kommt Reisetätigkeit zu Kunden hinzu. Englisch ist in vielen Stellen Arbeitssprache.
Aussichten
Die Nachfrage nach erfahrenen Fachkräften für IT-Sicherheit ist seit Jahren deutlich höher als das Angebot, und neue Pflichten aus der NIS2-Umsetzung erweitern den Kreis der Unternehmen, die Sicherheitsarchitektur nachweisen müssen. Gesucht wird vor allem bei Banken, Versicherungen, Industrieunternehmen, Behörden, IT-Dienstleistern und Beratungen. Wer sich weiterentwickeln will, kann sich auf Cloud-Sicherheit, Identitätsmanagement, industrielle Steuerungssysteme oder Anwendungssicherheit spezialisieren oder in Führungsrollen wechseln, etwa als Leiter der IT-Sicherheit oder Chief Information Security Officer. Auch die Selbstständigkeit als Berater ist ein üblicher Weg, setzt aber ein belastbares Netzwerk und Referenzen voraus.