Was macht ein Security Engineer?
Security Engineers setzen IT-Sicherheit technisch um. Sie konfigurieren Firewalls, Zugriffsrechte und Verschlüsselung, richten Systeme zur Protokollauswertung (SIEM) und zur Erkennung von Angriffen auf Endgeräten ein und schreiben Regeln, nach denen verdächtige Ereignisse gemeldet werden. In Cloud-Umgebungen prüfen sie Konfigurationen bei AWS, Azure oder Google Cloud und automatisieren Sicherheitsprüfungen in Build- und Deployment-Prozessen. Ein großer Teil der Arbeit besteht aus Schwachstellenmanagement: Scans auswerten, Risiken bewerten, Patches mit den Betriebsteams abstimmen und nachhalten, ob Lücken tatsächlich geschlossen wurden. Kommt es zu einem Vorfall, analysieren sie Logdaten, isolieren betroffene Systeme und dokumentieren, was passiert ist. Dazu kommen Konzepte für neue Systeme, Stellungnahmen zu Architekturentscheidungen und Nachweise für Audits nach ISO 27001, BSI-Grundschutz oder branchenspezifischen Vorgaben wie NIS2 oder DORA. Die Bezeichnung ist nicht einheitlich: Manche Stellen sind nah am Netzwerkbetrieb, andere an der Softwareentwicklung, wieder andere an Penetrationstests oder Cloud-Infrastruktur.
Wie wird man Security Engineer?
Einen festgelegten Ausbildungsweg gibt es nicht. Viele kommen über ein Studium der Informatik, Wirtschaftsinformatik oder eines spezialisierten Studiengangs wie IT-Sicherheit oder Cybersecurity. Ebenso verbreitet ist der Weg über eine Ausbildung zum Fachinformatiker für Systemintegration oder Anwendungsentwicklung mit anschließender Berufserfahrung in Administration, Netzwerk oder Entwicklung. Direkt nach Studium oder Ausbildung als Security Engineer einzusteigen, ist möglich, häufiger aber ist der Wechsel nach einigen Jahren im IT-Betrieb. Zertifikate wie CompTIA Security+, CISSP, OSCP oder Cloud-Sicherheitszertifikate werden in Anzeigen oft verlangt oder gern gesehen. Für einen Quereinstieg ohne IT-Hintergrund reichen Kurse allein meist nicht; praktisches Wissen über Betriebssysteme, Netzwerke und Skripting ist die Grundlage.
Was der Beruf verlangt
Der Beruf verlangt, sich laufend weiterzubilden, weil sich Angriffstechniken, Werkzeuge und Vorschriften schnell ändern. Ein Teil davon passiert erfahrungsgemäß in der Freizeit. Viele Stellen beinhalten Rufbereitschaft, denn Vorfälle halten sich nicht an Bürozeiten; in Security Operations Centern wird teils im Schichtdienst gearbeitet. Bei einem ernsten Angriff entsteht erheblicher Druck, und Entscheidungen müssen schnell und unter Unsicherheit fallen. Im Alltag schwer fällt oft die Rolle zwischen den Stühlen: Sicherheitsanforderungen bremsen Projekte, und Security Engineers müssen andere Teams überzeugen, statt Anweisungen erteilen zu können. Gefragt sind Sorgfalt, ein Verständnis für Zusammenhänge über viele Systeme hinweg, Englisch für Dokumentation und Fachliteratur und die Fähigkeit, Risiken für Nicht-Fachleute verständlich zu erklären. Für Stellen bei Behörden oder in der Rüstungsindustrie ist eine Sicherheitsüberprüfung üblich.
Aussichten
Die Nachfrage ist hoch und wird durch gesetzliche Vorgaben wie NIS2, KRITIS-Regelungen und DORA weiter gestützt, die deutlich mehr Unternehmen zu nachweisbarer IT-Sicherheit verpflichten. Gesucht werden besonders Fachleute mit Erfahrung in Cloud-Sicherheit, Incident Response und Identitäts- und Zugriffsmanagement. Für Berufsanfänger ohne Praxis ist der Einstieg dennoch schwerer, als die allgemeine Nachfrage vermuten lässt, weil viele Arbeitgeber Erfahrung voraussetzen. Entwicklungswege führen zur Security Architecture, zu Penetrationstests und Red-Team-Arbeit, zur Leitung eines Sicherheitsteams oder zur Rolle eines Informationssicherheitsbeauftragten bis hin zum CISO. Auch eine selbstständige Tätigkeit als Berater ist mit Erfahrung verbreitet.