Consultants für IT Security und Audits prüfen, wie gut Unternehmen und Behörden ihre Informationstechnik gegen Angriffe, Ausfälle und Datenverlust absichern, und beraten bei der Umsetzung von Sicherheitsstandards wie ISO 27001 oder BSI IT-Grundschutz.
5 offene Stellen zu diesem Beruf im aktuellen Bestand.
6.200 Euro brutto im Monat sind der mittlere Verdienst mit Berufserfahrung. Über alle Erfahrungsstufen reicht die Spanne von 4.000 bis 10.000 Euro.
| Erfahrung | Von | Median | Bis | Jahresbrutto | Verhältnis |
|---|---|---|---|---|---|
| Berufseinstieg | 4.000 € | 4.600 € | 5.300 € | 55.200 € | |
| Mit Berufserfahrung | 5.300 € | 6.200 € | 7.300 € | 74.400 € | |
| Mit langjähriger Erfahrung | 7.000 € | 8.200 € | 10.000 € | 98.400 € |
Das Gehalt hängt vor allem vom Arbeitgeber ab: Große Wirtschaftsprüfungs- und Beratungsgesellschaften zahlen deutlich mehr als kleine Beratungshäuser, oft ergänzt um variable Boni, während Stellen bei Behörden nach TVöD oder TV-L meist niedriger, aber planbarer vergütet werden. Anerkannte Zertifikate wie CISA, CISSP oder die BSI-Auditorenzulassung sowie Erfahrung mit Finanz- und KRITIS-Kunden heben das Gehalt spürbar.
Die Werte sind Orientierungswerte und keine amtliche Statistik. Sie sind aus öffentlich verfügbaren Erhebungen, Tarifwerken und Stellenanzeigen abgeleitet und auf volle Euro gerundet. Im Einzelfall entscheiden Betrieb, Tarifbindung, Region, Qualifikation und Verhandlung – die Abweichung nach oben wie nach unten kann erheblich sein.
Das Jahresbrutto ist das 12-fache des Monatswertes. Urlaubs- und Weihnachtsgeld sind nicht enthalten, weil sie sich von Branche zu Branche unterscheiden.
Im Mittelpunkt steht die Frage, ob die Sicherheitsmaßnahmen eines Kunden den eigenen Anforderungen, gesetzlichen Vorgaben und anerkannten Normen genügen. Consultants führen Interviews mit IT-Leitung, Administratoren und Fachabteilungen, sichten Richtlinien, Netzpläne und Berechtigungskonzepte und prüfen Stichproben, etwa ob Zugänge ehemaliger Mitarbeiter gesperrt wurden oder Backups tatsächlich wiederherstellbar sind. Sie bewerten Risiken, schreiben Prüfberichte mit Feststellungen und Empfehlungen und begleiten Unternehmen auf dem Weg zur Zertifizierung nach ISO 27001 oder zum Nachweis nach BSI IT-Grundschutz, KRITIS-Verordnung, NIS2 oder DORA. Dazu kommen Gap-Analysen, der Aufbau von Informationssicherheits-Managementsystemen, Notfallübungen und Schulungen. Ein großer Teil der Arbeit ist Dokumentation und Abstimmung, deutlich weniger ist Arbeit an der Technik selbst. Wer technischer arbeiten will, spezialisiert sich oft auf Penetrationstests oder Cloud-Sicherheit.
Der übliche Weg führt über ein Studium der Informatik, Wirtschaftsinformatik, IT-Sicherheit oder eines verwandten Fachs mit Bachelor- oder Masterabschluss. Große Beratungs- und Wirtschaftsprüfungsgesellschaften stellen Absolventen als Junior Consultants ein und bilden sie im Projektgeschäft aus. Quereinstiege sind verbreitet: Fachinformatiker und Systemadministratoren mit mehreren Jahren Berufserfahrung wechseln häufig in die Beratung, ebenso Revisoren aus dem Finanzbereich. Entscheidend sind Zertifikate, die im Markt als Eintrittskarte gelten, etwa ISO 27001 Lead Auditor, CISA, CISSP oder die Qualifikation zum IT-Grundschutz-Praktiker und später zum BSI-zertifizierten Auditor. Diese Nachweise kosten Zeit und Geld und setzen teils Berufserfahrung voraus.
Die Arbeit ist geistig anspruchsvoll und stark von Normen, Gesetzestexten und Fristen geprägt. Wer Prüfberichte schreibt, muss genau formulieren, denn Feststellungen können für Kunden teure Folgen haben. Audits bedeuten häufig, Schwachstellen gegenüber Menschen anzusprechen, die dafür verantwortlich sind, was Fingerspitzengefühl und Standfestigkeit erfordert. In der Beratung sind Reisetätigkeit von mehreren Tagen pro Woche und Einsätze beim Kunden vor Ort üblich, auch wenn ein Teil inzwischen remote läuft. Vor Zertifizierungsterminen oder gesetzlichen Stichtagen fallen Überstunden an, in großen Beratungshäusern gelten zudem Auslastungsziele. Das Wissen veraltet schnell, regelmäßige Weiterbildung neben dem Projektgeschäft ist Pflicht. Die Nähe zum Thema Haftung und der Druck durch reale Angriffe auf Kunden belasten manche dauerhaft.
Die Nachfrage ist hoch und steigt durch neue Regulierung weiter. Die NIS2-Richtlinie erweitert den Kreis der Unternehmen mit Sicherheitspflichten erheblich, DORA betrifft den gesamten Finanzsektor, und Angriffe mit Ransomware haben das Thema in die Geschäftsleitungen gebracht. Fachkräfte mit Prüfqualifikation sind knapp. Entwicklungswege führen zum Senior Consultant, Manager oder Partner in der Beratung, in die Rolle des Informationssicherheitsbeauftragten oder CISO in einem Unternehmen, zu Behörden wie dem BSI oder in die Selbstständigkeit als Auditor.
Üblich ist ein Bachelorstudium von drei bis vier Jahren, oft ergänzt durch einen Master, in Informatik, Wirtschaftsinformatik oder IT-Sicherheit. Alternativ führt eine dreijährige Ausbildung zum Fachinformatiker mit anschließender Berufserfahrung in die Beratung. Auditqualifikationen wie ISO 27001 Lead Auditor oder CISA werden berufsbegleitend erworben.
Informationssicherheitsbeauftragte planen, steuern und überwachen den Schutz von Informationen in einer Organisation. Sie bauen ein Informationssicherheits-Managementsystem auf, bewerten Risiken und sorgen dafür, dass Vorgaben wie ISO 27001, BSI-Grundschutz oder NIS2 eingehalten werden.
jobs-jobs-jobs.de verwendet nur die Cookies, die für den Betrieb der Seite nötig sind. Zur Reichweitenmessung nutzen wir Matomo auf unserem eigenen Server – ohne Cookies und mit gekürzter IP-Adresse. Keine Werbenetzwerke. Einzelheiten stehen in der Datenschutzerklärung.