Consultants für Informationssicherheit und IT Security beraten Unternehmen und Behörden dabei, ihre Daten und IT-Systeme gegen Angriffe, Ausfälle und Datenverlust zu schützen. Sie analysieren Risiken, entwickeln Sicherheitskonzepte und begleiten deren Umsetzung bis zur Zertifizierung.
10 offene Stellen zu diesem Beruf im aktuellen Bestand.
6.000 Euro brutto im Monat sind der mittlere Verdienst mit Berufserfahrung. Über alle Erfahrungsstufen reicht die Spanne von 3.900 bis 10.000 Euro.
| Erfahrung | Von | Median | Bis | Jahresbrutto | Verhältnis |
|---|---|---|---|---|---|
| Berufseinstieg | 3.900 € | 4.500 € | 5.200 € | 54.000 € | |
| Mit Berufserfahrung | 5.200 € | 6.000 € | 7.200 € | 72.000 € | |
| Mit langjähriger Erfahrung | 6.800 € | 8.000 € | 10.000 € | 96.000 € |
Die Gehälter werden meist frei verhandelt und hängen stark vom Arbeitgeber ab: Große Beratungen und Wirtschaftsprüfungsgesellschaften sowie Banken zahlen deutlich mehr als kleine Systemhäuser, Standorte wie München und Frankfurt liegen über dem Durchschnitt. Im öffentlichen Dienst gilt der TVöD oder TV-L, wo die Bezahlung niedriger, aber planbarer ist; in der Beratung kommen oft variable Boni hinzu.
Die Werte sind Orientierungswerte und keine amtliche Statistik. Sie sind aus öffentlich verfügbaren Erhebungen, Tarifwerken und Stellenanzeigen abgeleitet und auf volle Euro gerundet. Im Einzelfall entscheiden Betrieb, Tarifbindung, Region, Qualifikation und Verhandlung – die Abweichung nach oben wie nach unten kann erheblich sein.
Das Jahresbrutto ist das 12-fache des Monatswertes. Urlaubs- und Weihnachtsgeld sind nicht enthalten, weil sie sich von Branche zu Branche unterscheiden.
Der Kern der Arbeit ist die Frage, wo eine Organisation verwundbar ist und was dagegen hilft. Consultants führen Risikoanalysen durch, prüfen bestehende Prozesse gegen Normen wie ISO 27001 oder den IT-Grundschutz des BSI und schreiben Sicherheitsrichtlinien, Notfallpläne und Berechtigungskonzepte. Ein großer Teil des Alltags besteht aus Workshops mit IT-Abteilungen, Fachbereichen und Geschäftsführung, aus Interviews, Dokumentation und Präsentationen. Je nach Ausrichtung liegt der Schwerpunkt eher auf Organisation und Regulierung, etwa bei der Umsetzung von NIS2, DORA oder KRITIS-Vorgaben, oder eher auf Technik, etwa bei der Bewertung von Firewall-Architekturen, Cloud-Konfigurationen oder Penetrationstests. Nach einem Sicherheitsvorfall unterstützen manche Consultants auch bei Aufklärung und Wiederherstellung.
Eine geschützte Ausbildung gibt es nicht. Üblich ist ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit, zunehmend auch spezialisierte Bachelor- und Masterstudiengänge in Cybersecurity. Ebenso verbreitet ist der Weg über die Praxis: Wer einige Jahre als Fachinformatikerin, Systemadministrator oder Netzwerktechniker gearbeitet hat, kann über Weiterbildungen in die Beratung wechseln. Zertifikate spielen eine große Rolle, etwa ISO 27001 Lead Auditor, IT-Grundschutz-Praktiker, CISSP, CISM oder OSCP für technische Prüfungen. Viele Beratungshäuser stellen Absolventen als Junior Consultants ein und bilden sie im Projekt weiter. Quereinsteiger aus Revision, Datenschutz oder Risikomanagement finden vor allem in der organisatorischen Beratung einen Zugang.
Der Beruf verlangt laufendes Lernen, weil sich Angriffsmethoden, Technologien und Regelwerke ständig ändern. Ein großer Teil der Weiterbildung geschieht neben dem Projektgeschäft. In Beratungsfirmen ist Reisebereitschaft oft Voraussetzung, mehrere Tage pro Woche beim Kunden sind keine Seltenheit, auch wenn seit einigen Jahren mehr aus der Ferne gearbeitet wird. Projekte haben feste Fristen, etwa vor einem Audit, und dann werden lange Tage üblich. Bei Sicherheitsvorfällen kann Arbeit am Wochenende oder in der Nacht anfallen. Schwierig ist häufig die Rolle zwischen den Stühlen: Sicherheitsmaßnahmen kosten Geld und Bequemlichkeit, und Consultants müssen Empfehlungen gegen Widerstand vertreten, ohne selbst Entscheidungsbefugnis zu haben. Dazu kommt viel Schreibarbeit, die nicht jedem liegt, der aus der Technik kommt.
Die Nachfrage ist hoch und dürfte es bleiben. Neue gesetzliche Pflichten wie die NIS2-Umsetzung erweitern den Kreis der Unternehmen, die ein Informationssicherheits-Managementsystem brauchen, erheblich. Fachkräfte sind knapp, besonders solche mit technischer Tiefe und Branchenkenntnis. Entwicklungswege führen zum Senior oder Principal Consultant, zur Projekt- oder Teamleitung, in die Partnerschaft einer Beratung oder auf die Unternehmensseite, etwa als Informationssicherheitsbeauftragter oder Chief Information Security Officer. Auch die Selbstständigkeit als Berater oder Auditor ist verbreitet.
Üblich ist ein Bachelor- oder Masterstudium in Informatik, Wirtschaftsinformatik oder IT-Sicherheit von drei bis fünf Jahren mit anschließendem Einstieg als Junior Consultant. Alternativ führt eine dreijährige Ausbildung zum Fachinformatiker mit mehreren Jahren Praxis und Zertifizierungen wie ISO 27001 Lead Auditor oder CISSP in den Beruf.
Informationssicherheitsbeauftragte planen, steuern und überwachen den Schutz von Informationen in einer Organisation. Sie bauen ein Informationssicherheits-Managementsystem auf, bewerten Risiken und sorgen dafür, dass Vorgaben wie ISO 27001, BSI-Grundschutz oder NIS2 eingehalten werden.
Penetration Tester greifen im Auftrag von Unternehmen und Behörden deren IT-Systeme, Netzwerke und Anwendungen gezielt an, um Sicherheitslücken zu finden, bevor Kriminelle sie ausnutzen. Die Ergebnisse halten sie in Berichten mit Empfehlungen zur Behebung fest.
Security Engineers schützen IT-Systeme, Netzwerke und Anwendungen vor Angriffen. Sie planen Sicherheitsmaßnahmen, setzen sie technisch um, überwachen die Infrastruktur und reagieren auf Vorfälle.
jobs-jobs-jobs.de verwendet nur die Cookies, die für den Betrieb der Seite nötig sind. Zur Reichweitenmessung nutzen wir Matomo auf unserem eigenen Server – ohne Cookies und mit gekürzter IP-Adresse. Keine Werbenetzwerke. Einzelheiten stehen in der Datenschutzerklärung.