Was macht ein Spezialist für Informationssicherheit?
Im Mittelpunkt steht die Frage, welche Informationen ein Unternehmen hat, wie wertvoll sie sind und wodurch sie bedroht werden. Spezialisten für Informationssicherheit erstellen Risikoanalysen, schreiben Sicherheitsrichtlinien und Notfallpläne und prüfen, ob technische und organisatorische Maßnahmen tatsächlich greifen. Dazu gehört der Aufbau und die Pflege eines Informationssicherheits-Managementsystems nach ISO 27001 oder nach IT-Grundschutz des BSI, die Vorbereitung von Audits und Zertifizierungen sowie die Umsetzung gesetzlicher Vorgaben wie NIS2, DORA im Finanzsektor oder der Regeln für kritische Infrastrukturen. Je nach Stelle liegt der Schwerpunkt eher organisatorisch, etwa bei Richtlinien, Schulungen und Lieferantenbewertungen, oder eher technisch, etwa bei der Auswertung von Schwachstellenscans, der Konfiguration von Firewalls und Endpoint-Schutz oder der Analyse von Sicherheitsvorfällen. Ein großer Teil der Arbeit ist Abstimmung: mit der IT-Abteilung, dem Datenschutz, der Geschäftsleitung und Fachabteilungen, die Sicherheitsvorgaben oft als Hindernis empfinden.
Wie wird man Spezialist für Informationssicherheit?
Einen geschützten Ausbildungsberuf gibt es nicht. Üblich ist ein Studium der Informatik, Wirtschaftsinformatik oder ein spezialisierter Studiengang wie IT-Sicherheit oder Cybersecurity. Ebenso verbreitet ist der Weg über eine Ausbildung als Fachinformatiker für Systemintegration mit anschließender Berufserfahrung in Administration oder Netzwerktechnik. Quereinsteiger kommen häufig aus der IT-Administration, dem Datenschutz, der Revision oder dem Risikomanagement. In allen Fällen spielen Zertifikate eine große Rolle, etwa ISO 27001 Foundation oder Lead Auditor, IT-Grundschutz-Praktiker, CISM oder CISSP; letztere setzen mehrere Jahre Berufserfahrung voraus.
Was der Beruf verlangt
Der Beruf erfordert die Fähigkeit, technische Zusammenhänge zu verstehen und sie zugleich in Richtlinien, Berichte und verständliche Erklärungen für Nicht-Fachleute zu übersetzen. Viel Zeit fließt in Dokumentation, was nicht jedem liegt. Bei Sicherheitsvorfällen entsteht schnell hoher Druck, dann sind Einsätze am Abend oder am Wochenende möglich; in Security Operations Centern wird im Schichtdienst oder mit Rufbereitschaft gearbeitet. Vor Audits und Prüfterminen von Aufsichtsbehörden häufen sich Fristen. Wer Vorgaben durchsetzen muss, stößt regelmäßig auf Widerstand und braucht Durchsetzungsvermögen. Weil sich Bedrohungen, Normen und Gesetze laufend ändern, ist ständige Weiterbildung Teil der Arbeit und nicht freiwillig. Für Stellen in Behörden oder bei Rüstungsunternehmen ist häufig eine Sicherheitsüberprüfung Voraussetzung.
Aussichten
Die Nachfrage ist seit Jahren hoch und wird durch neue Regulierung wie NIS2 weiter gestützt, weil deutlich mehr Unternehmen als früher ein geregeltes Sicherheitsmanagement nachweisen müssen. Gesucht werden Fachkräfte in Unternehmen aller Größen, in Beratungen, bei IT-Dienstleistern und im öffentlichen Dienst. Mit Erfahrung führt der Weg zum Informationssicherheitsbeauftragten, Chief Information Security Officer, zum Auditor oder in die Beratung. Eine Spezialisierung auf Cloud-Sicherheit, Incident Response oder Branchenregulierung im Finanz- und Gesundheitswesen verbessert die Chancen zusätzlich. Einsteiger ohne Praxiserfahrung haben es dagegen schwerer als erfahrene Kräfte, da viele Stellen mehrjährige Berufspraxis verlangen.