Penetration Tester greifen im Auftrag von Unternehmen und Behörden deren IT-Systeme, Netzwerke und Anwendungen gezielt an, um Sicherheitslücken zu finden, bevor Kriminelle sie ausnutzen. Die Ergebnisse halten sie in Berichten mit Empfehlungen zur Behebung fest.
3 offene Stellen zu diesem Beruf im aktuellen Bestand.
5.800 Euro brutto im Monat sind der mittlere Verdienst mit Berufserfahrung. Über alle Erfahrungsstufen reicht die Spanne von 3.800 bis 9.500 Euro.
| Erfahrung | Von | Median | Bis | Jahresbrutto | Verhältnis |
|---|---|---|---|---|---|
| Berufseinstieg | 3.800 € | 4.300 € | 5.000 € | 51.600 € | |
| Mit Berufserfahrung | 5.000 € | 5.800 € | 6.800 € | 69.600 € | |
| Mit langjähriger Erfahrung | 6.500 € | 7.500 € | 9.500 € | 90.000 € |
Das Gehalt hängt stark von Zertifikaten, Spezialisierung und Arbeitgeber ab: Große Beratungen, Banken und Konzerne zahlen deutlich mehr als kleine Dienstleister, Behörden wie das BSI vergüten nach TVöD Bund, meist in den Entgeltgruppen E11 bis E13, teils mit IT-Fachkräftezulage. Freiberufliche Pentester rechnen über Tagessätze ab und können erheblich mehr verdienen, tragen aber das Auslastungsrisiko.
Die Werte sind Orientierungswerte und keine amtliche Statistik. Sie sind aus öffentlich verfügbaren Erhebungen, Tarifwerken und Stellenanzeigen abgeleitet und auf volle Euro gerundet. Im Einzelfall entscheiden Betrieb, Tarifbindung, Region, Qualifikation und Verhandlung – die Abweichung nach oben wie nach unten kann erheblich sein.
Das Jahresbrutto ist das 12-fache des Monatswertes. Urlaubs- und Weihnachtsgeld sind nicht enthalten, weil sie sich von Branche zu Branche unterscheiden.
Penetration Tester, oft kurz Pentester genannt, prüfen die Sicherheit von IT-Systemen, indem sie diese mit den Methoden echter Angreifer attackieren. Das geschieht immer mit schriftlicher Erlaubnis des Auftraggebers und in einem vorher festgelegten Rahmen. Zu Beginn eines Auftrags klären sie mit dem Kunden, welche Systeme getestet werden dürfen, etwa eine Webanwendung, das interne Firmennetz, eine Cloud-Umgebung oder die Active-Directory-Struktur. Danach sammeln sie Informationen, scannen Ports, suchen nach veralteter Software, Fehlkonfigurationen und schwachen Passwörtern und versuchen, gefundene Schwachstellen auszunutzen. Dabei arbeiten sie mit Werkzeugen wie Burp Suite, Nmap oder Metasploit, schreiben aber auch eigene Skripte in Python oder Bash. Manche Aufträge umfassen Social Engineering, also Phishing-Mails oder Versuche, physisch in Gebäude zu gelangen. Ein großer Teil der Arbeit ist Dokumentation: Jeder Fund wird nachvollziehbar beschrieben, nach Risiko bewertet und mit einer Empfehlung versehen. Am Ende steht ein Bericht, der sowohl für Technikerinnen als auch für die Geschäftsleitung verständlich sein muss.
Eine geregelte Ausbildung gibt es nicht. Viele kommen über ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit in den Beruf, einige Hochschulen bieten eigene Studiengänge zur Cybersicherheit an. Ebenso verbreitet ist der Weg über eine Ausbildung zum Fachinformatiker für Systemintegration oder Anwendungsentwicklung und einige Jahre Erfahrung in Administration, Netzwerktechnik oder Softwareentwicklung. Direkt nach dem Abschluss als Pentester einzusteigen gelingt selten, Junior-Stellen setzen meist Vorkenntnisse voraus. Praktische Zertifikate wie OSCP, eJPT oder CRTO werden von Arbeitgebern stark beachtet, ebenso nachweisbare Erfolge auf Übungsplattformen oder in Capture-the-Flag-Wettbewerben. Quereinsteiger ohne IT-Hintergrund brauchen in der Regel mehrere Jahre Selbststudium.
Der Beruf erfordert breites technisches Wissen über Betriebssysteme, Netzwerke, Webtechnologien und Programmierung, das sich ständig verändert. Wer nicht laufend dazulernt, oft auch in der Freizeit, fällt schnell zurück. Projekte stehen unter Zeitdruck, weil Testfenster begrenzt und Berichte termingebunden sind. Manche Tests laufen nachts oder am Wochenende, um den Betrieb des Kunden nicht zu stören. In Beratungsfirmen kommen Dienstreisen hinzu. Das Schreiben ausführlicher Berichte empfinden viele als mühsam, es macht aber einen erheblichen Teil der Arbeitszeit aus. Rechtlich bewegt sich der Beruf in einem sensiblen Bereich, Verschwiegenheit und sorgfältige Einhaltung der Auftragsgrenzen sind zwingend. Ein einwandfreies Führungszeugnis wird meist verlangt, für Aufträge bei Behörden zusätzlich eine Sicherheitsüberprüfung.
Die Nachfrage ist hoch und dürfte es bleiben. Gesetzliche Vorgaben wie die NIS-2-Richtlinie, der Digital Operational Resilience Act für Finanzunternehmen und Anforderungen an kritische Infrastrukturen verpflichten immer mehr Organisationen zu regelmäßigen Sicherheitsprüfungen. Gesucht werden vor allem erfahrene Fachkräfte, der Einstieg ist dagegen umkämpfter, als die allgemeine Fachkräftelage vermuten lässt. Mit Erfahrung bieten sich Spezialisierungen etwa auf Red Teaming, Cloud-Sicherheit, industrielle Steuerungssysteme oder Hardware an. Andere wechseln in die Leitung von Testteams, in die Sicherheitsberatung, in die Rolle eines Information Security Officers oder machen sich selbstständig.
Üblich ist ein Bachelorstudium in Informatik oder IT-Sicherheit von drei bis dreieinhalb Jahren oder eine dreijährige Ausbildung zum Fachinformatiker mit anschließender Berufserfahrung in Administration oder Entwicklung. Der Wechsel ins Pentesting erfolgt meist nach ein bis drei Jahren und wird häufig durch praktische Zertifikate wie OSCP unterstützt.
Fachinformatiker für Systemintegration planen, installieren und betreiben IT-Systeme und Netzwerke und sind die Praktiker der IT-Infrastruktur.
Information Security Officer steuern die Informationssicherheit in Unternehmen und Behörden. Sie bewerten Risiken, schreiben Sicherheitsrichtlinien, begleiten Audits und koordinieren die Reaktion auf Sicherheitsvorfälle.
jobs-jobs-jobs.de verwendet nur die Cookies, die für den Betrieb der Seite nötig sind. Zur Reichweitenmessung nutzen wir Matomo auf unserem eigenen Server – ohne Cookies und mit gekürzter IP-Adresse. Keine Werbenetzwerke. Einzelheiten stehen in der Datenschutzerklärung.