IT-Sicherheit

Was macht eine Fachkraft für IT-Sicherheit?

Drei Dinge, die in verschiedenen Häusern verschieden verteilt sind. Erstens vorbeugen: Systeme härten, Firewallregeln und Netzsegmente entwerfen, Zugänge nach dem Grundsatz der geringsten Rechte einrichten, Schwachstellen suchen und ihre Behebung nachhalten, Sicherheitsprüfungen neuer Anwendungen begleiten. Zweitens erkennen: Protokolle zusammenführen, Auffälligkeiten auswerten, Warnungen bewerten – die Arbeit im Sicherheitsbetriebszentrum, das in größeren Häusern rund um die Uhr besetzt ist. Drittens reagieren: Wenn es passiert ist, den Vorfall eingrenzen, Beweise sichern, wiederherstellen, aufarbeiten und Meldepflichten erfüllen.

Dazu kommt die organisatorische Seite, die in der Praxis oft unterschätzt wird: Richtlinien schreiben, Berechtigungskonzepte prüfen, Verträge mit Dienstleistern auf Sicherheitsanforderungen abklopfen, Mitarbeiter schulen und Zertifizierungen vorbereiten. Regelwerke geben dabei den Rahmen – die ISO-Norm 27001, der IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik, in der Automobilzulieferkette TISAX, und für Betreiber wichtiger Einrichtungen die europäische NIS2-Richtlinie mit ihren nationalen Umsetzungsgesetzen.

Eine Ausprägung wächst besonders: die Sicherheit von Produktionsanlagen. Steuerungen, die zwanzig Jahre laufen sollen und nie für ein Netz gedacht waren, werden vernetzt – und die Frage, wie man sie schützt, ohne die Produktion anzuhalten, ist eine andere als die im Büronetz.

Wie wird man Fachkraft für IT-Sicherheit?

Über Umwege, fast immer. Ein Einstieg direkt nach dem Studium ist möglich – Informatik, IT-Sicherheit, zunehmend eigene Studiengänge –, der Regelfall ist aber der Wechsel aus der Systemadministration, dem Netzbetrieb oder der Softwareentwicklung. Der Grund liegt in der Sache: Wer nicht weiß, wie ein System gebaut ist, kann es nicht verteidigen. Zertifikate wie CISSP, CISM oder die Prüfungen für Penetrationstester sind in diesem Feld verbreiteter als in jedem anderen der IT.

Was die Arbeit verlangt

Ausdauer gegen Widerstand. Sicherheit macht anderen Abteilungen die Arbeit zunächst unbequemer, und wer sie durchsetzen will, muss begründen statt anordnen. Dazu kommen Rufbereitschaft und die Erfahrung, dass ein Vorfall keinen Feierabend kennt. Der schwierigste Teil ist psychologisch: Erfolg ist unsichtbar – gemessen wird man an dem, was nicht passiert ist, und nach einem Vorfall an dem, was man vorher hätte tun müssen.

Aussichten

Sehr gut. Die Bedrohungslage nimmt zu, die regulatorischen Anforderungen ebenfalls, und beides erzeugt Stellen. Auf diesem Portal ist das Feld klein – gemessen 29 von 1.525 Anzeigen –, denn die Breite dieses Arbeitsmarktes bildet ein Schwesterportal ab. Wege führen in die Leitung der Informationssicherheit, in die Prüfung und Zertifizierung oder in die spezialisierte Beratung.