Application Security Engineers sorgen dafür, dass Software von Anfang an sicher entwickelt wird. Sie prüfen Code und Architekturen auf Schwachstellen, testen Anwendungen auf Angriffsmöglichkeiten und unterstützen Entwicklungsteams beim Beheben von Sicherheitslücken.
3 offene Stellen zu diesem Beruf im aktuellen Bestand.
6.300 Euro brutto im Monat sind der mittlere Verdienst mit Berufserfahrung. Über alle Erfahrungsstufen reicht die Spanne von 4.300 bis 9.500 Euro.
| Erfahrung | Von | Median | Bis | Jahresbrutto | Verhältnis |
|---|---|---|---|---|---|
| Berufseinstieg | 4.300 € | 5.000 € | 5.800 € | 60.000 € | |
| Mit Berufserfahrung | 5.500 € | 6.300 € | 7.500 € | 75.600 € | |
| Mit langjähriger Erfahrung | 6.800 € | 7.800 € | 9.500 € | 93.600 € |
Die Gehälter werden überwiegend frei verhandelt und hängen stark von Branche, Unternehmensgröße und Region ab: Finanzdienstleister, große Tech-Konzerne und Unternehmen in München oder Frankfurt zahlen deutlich mehr als kleine Firmen oder Behörden. Im öffentlichen Dienst gilt der TVöD oder TV-L, wo trotz IT-Fachkräftezulage meist weniger gezahlt wird, in der Metall- und Elektroindustrie teilweise der Tarifvertrag der IG Metall.
Die Werte sind Orientierungswerte und keine amtliche Statistik. Sie sind aus öffentlich verfügbaren Erhebungen, Tarifwerken und Stellenanzeigen abgeleitet und auf volle Euro gerundet. Im Einzelfall entscheiden Betrieb, Tarifbindung, Region, Qualifikation und Verhandlung – die Abweichung nach oben wie nach unten kann erheblich sein.
Das Jahresbrutto ist das 12-fache des Monatswertes. Urlaubs- und Weihnachtsgeld sind nicht enthalten, weil sie sich von Branche zu Branche unterscheiden.
Application Security Engineers kümmern sich um die Sicherheit von Webanwendungen, mobilen Apps, Programmierschnittstellen und internen Softwaresystemen. Ein großer Teil der Arbeit besteht darin, Quellcode zu lesen und auf typische Fehler wie SQL-Injection, Cross-Site-Scripting oder fehlerhafte Zugriffskontrollen zu prüfen. Dazu kommen Bedrohungsmodellierungen, bei denen gemeinsam mit Entwicklern überlegt wird, wie ein Angreifer ein geplantes System missbrauchen könnte. Sie richten Werkzeuge zur statischen und dynamischen Codeanalyse in Build-Pipelines ein, werten deren Ergebnisse aus und sortieren Fehlalarme aus. Sie prüfen eingesetzte Open-Source-Bibliotheken auf bekannte Schwachstellen, begleiten Penetrationstests und bewerten gemeldete Lücken. Ein wichtiger Teil ist Vermittlung: Richtlinien für sichere Entwicklung schreiben, Schulungen halten und Entwicklungsteams erklären, warum eine Änderung nötig ist und wie sie umgesetzt wird.
Eine eigene Ausbildung für diesen Beruf gibt es nicht. Die meisten kommen über ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit, einige auch über eine Ausbildung zum Fachinformatiker für Anwendungsentwicklung. Direkt nach dem Abschluss steigen nur wenige ein. Üblich ist ein Weg über einige Jahre Erfahrung als Softwareentwickler, DevOps-Engineer oder Penetrationstester, weil ohne eigenes Programmierverständnis kaum beurteilt werden kann, wo Code unsicher ist. Zertifikate wie OSCP, OSWE, CSSLP oder GWAPT sind verbreitet und werden in Stellenanzeigen häufig gewünscht, ersetzen aber keine praktische Erfahrung. Quereinsteiger aus der Entwicklung haben gute Chancen, wenn sie sich nachweislich mit Sicherheitsthemen beschäftigt haben, etwa durch Bug-Bounty-Programme oder Capture-the-Flag-Wettbewerbe.
Die Arbeit ist überwiegend Bildschirmarbeit im Büro oder im Homeoffice, die Arbeitszeiten sind meist regulär. Belastend sind eher andere Dinge. Wenn eine kritische Schwachstelle bekannt wird oder ein Sicherheitsvorfall passiert, muss schnell reagiert werden, auch abends oder am Wochenende, in manchen Unternehmen gibt es Rufbereitschaft. Die Rolle steht oft zwischen den Stühlen: Entwicklungsteams wollen liefern, Sicherheitsanforderungen bremsen. Wer hier arbeitet, muss Konflikte aushalten und überzeugen können, ohne Weisungsbefugnis zu haben. Die Technik ändert sich ständig, neue Frameworks, Cloud-Dienste und Angriffstechniken erfordern laufendes Lernen, häufig auch in der Freizeit. Viel Fachliteratur und Dokumentation ist auf Englisch, in internationalen Teams ist Englisch die Arbeitssprache.
Die Nachfrage ist hoch und dürfte hoch bleiben. Gesetzliche Vorgaben wie die NIS-2-Richtlinie, der Cyber Resilience Act und branchenspezifische Regeln in Banken, Versicherungen und Medizintechnik zwingen Unternehmen, Sicherheit nachweisbar in die Softwareentwicklung einzubauen. Gesucht wird vor allem in Softwarefirmen, Finanzdienstleistern, Beratungen und großen Industrieunternehmen, zunehmend auch in Behörden. Mit Erfahrung führt der Weg zum Security Architect, zur Leitung eines Product-Security-Teams oder in die Rolle eines Chief Information Security Officer. Andere spezialisieren sich auf Cloud-Sicherheit, mobile Anwendungen oder machen sich als Berater und Penetrationstester selbstständig. Automatisierte Analysewerkzeuge und KI-Assistenten nehmen Routineprüfungen ab, ersetzen aber nicht die Bewertung von Risiken und Architekturen.
Üblich ist ein Bachelor- oder Masterstudium in Informatik oder IT-Sicherheit von drei bis fünf Jahren, alternativ eine dreijährige Ausbildung zum Fachinformatiker für Anwendungsentwicklung. Danach folgen meist zwei bis fünf Jahre Berufserfahrung in der Softwareentwicklung oder im Pentesting, bevor der Wechsel in die Anwendungssicherheit gelingt, oft begleitet von Zertifikaten wie OSCP oder CSSLP.
Softwareentwickler konzipieren, programmieren, testen und pflegen Anwendungen – von der Unternehmenssoftware über Web- und Mobile-Apps bis zu wissenschaftlichen Systemen.
jobs-jobs-jobs.de verwendet nur die Cookies, die für den Betrieb der Seite nötig sind. Zur Reichweitenmessung nutzen wir Matomo auf unserem eigenen Server – ohne Cookies und mit gekürzter IP-Adresse. Keine Werbenetzwerke. Einzelheiten stehen in der Datenschutzerklärung.