Lebenslauf für IT-Security Analysts: Beispiele und Anleitung

Dieses Muster gehört einem Analysten, der im IT-Support angefangen hat, zwei Jahre im SOC eines Managed Security Service Providers gearbeitet hat und heute intern bei einem Klinikverbund tätig ist. Name und Arbeitgeber sind erfunden. Versionen für den Einstieg und den Quereinstieg folgen weiter unten; der Aufbau bleibt gleich, die Größenordnung ändert sich.

Auf Stellen als Security Analyst bewerben sich viele, darunter zahlreiche Quereinsteigerinnen und Quereinsteiger mit einem Zertifikat, aber ohne Praxis. SOC-Leitungen achten auf vier Dinge, um diejenigen, die den Job gemacht haben, von denen zu unterscheiden, die darüber gelesen haben.

• Werkzeuge mit Namen und Nachweis. Nicht „SIEM“, sondern „Splunk Enterprise Security“ oder „Microsoft Sentinel (KQL)“; nicht „EDR“, sondern „CrowdStrike Falcon“. Dann ein Stichpunkt, der zeigt, dass Sie damit gearbeitet haben: bewertete Alarme, geschriebene Suchen, isolierte Hosts.
• Vorfälle, die Sie als Geschichte erzählen können. Ein oder zwei echte Vorfälle (Phishing, das zu einer Postfachregel führte, Schadsoftware auf einem Arbeitsplatz, ein kompromittiertes Dienstkonto) mit dem, was Sie gefunden und getan haben, und wie lange es dauerte. Im Gespräch wird danach gefragt; der Lebenslauf sollte die Geschichte ankündigen.
• Zertifikate, die zum Niveau passen. Security+ ist für viele Analystenstellen die Untergrenze. CySA+, GCIH, GCIA, SC-200 oder CCNA Cybersecurity (früher Cisco CyberOps Associate) zeigen Tiefe im SOC. CISSP im Lebenslauf für den Einstieg wirkt seltsam, solange Ihnen die dafür nötigen 5 Jahre fehlen.
• Grundlagen. Netzwerk (TCP/IP, DNS, der Weg eines Pakets), Windows- und Linux-Logs, Active Directory und etwas Skripting. Das wird im Gespräch getestet, deshalb bekommt ein Lebenslauf, der diese Grundlagen zeigt (IT-Support, Systemadministration, Homelab, Netzwerkzertifikat, Ausbildung als Fachinformatiker/in), den Anruf.

“Zeigen Sie mir das SIEM, mit dem Sie gearbeitet haben, wie viele Alarme Sie an einem schlechten Tag abgearbeitet haben, und einen Vorfall, den Sie von Anfang bis Ende verantwortet haben. Wer zwölf Frameworks und keinen einzigen Vorfall aufzählt, hat meistens noch keine Schicht gemacht.”

Drei bis vier Zeilen unter dem Kopf. Zuerst Niveau und Jahre, dann das Umfeld (SOC, intern, MSSP), dann die Werkzeuge, dann ein Ergebnis und Ihre Zertifikate.

Berufsziel oder Profil? In jedem Fall ein Profil. Auch ohne bezahlte Erfahrung sagt das Beispiel für den Einstieg nach dem Studium, was Sie getan haben (Praktikum, Labs, geschriebene Erkennungsregeln), statt was Sie sich wünschen.

Jeder Stichpunkt braucht Werkzeug, Volumen und Ergebnis. Sechs Zeilen, die in Hunderten Lebensläufen von Analystinnen und Analysten stehen, umgeschrieben mit den Details, die eine SOC-Leitung sehen will. Setzen Sie Ihre eigenen Zahlen ein.

Gliedern Sie die Kenntnisse nach Kategorien und beschränken Sie sich auf 12 bis 16 Einträge. Das Recruiting durchsucht Bewerbermanagementsysteme nach Werkzeugnamen, schreiben Sie sie also wie der Hersteller. Nennen Sie nur, womit Sie gearbeitet haben.

• SIEM und Log-Plattformen: Splunk Enterprise Security, Microsoft Sentinel, IBM QRadar, Elastic Security, Google SecOps (Chronicle), Sumo Logic, Wazuh (Open Source)
• Endpoint Detection and Response: CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Carbon Black, Palo Alto Cortex XDR
• Schwachstellenmanagement: Tenable Nessus und Tenable Vulnerability Management (ehemals Tenable.io), Qualys, Rapid7 InsightVM, Priorisierung über CISA KEV und CERT-Bund-Warnmeldungen
• Netzwerk und Perimeter: Palo Alto, Fortinet, Cisco ASA, Zscaler, Wireshark, Zeek, Suricata, Snort
• E-Mail- und Identitätssicherheit: Proofpoint, Mimecast, Microsoft Defender for Office 365, Okta, Entra ID (Azure AD), MFA und Conditional Access
• Automatisierung und Skripting: Python, PowerShell, Bash, KQL, SPL, reguläre Ausdrücke, Splunk SOAR, Palo Alto Cortex XSOAR, Tines
• Threat Intelligence und Analyse: MITRE ATT&CK, VirusTotal, AbuseIPDB, MISP, Shodan, einfache Malware-Analyse in der Sandbox (Any.Run, Joe Sandbox)
• Frameworks und Regulierung: BSI IT-Grundschutz, ISO/IEC 27001, NIST CSF 2.0, NIST SP 800-61, CIS Controls, NIS2 mit dem seit Dezember 2025 geltenden neuen BSIG (NIS2-Umsetzungsgesetz) und seinen Meldepflichten, KRITIS, DORA im Finanzsektor, TISAX in der Automobilbranche, PCI DSS
• Grundlagen: TCP/IP und DNS, Windows-Ereignisprotokolle und Sysmon, Linux-Auth-Logs und Syslog, Active Directory, Cloud-Logging (AWS CloudTrail, Azure Activity Log, GCP-Audit-Logs)

Soziale Kompetenzen zählen im SOC, gehören aber nicht als Schlagwörter in die Liste. Zeigen Sie sie: „Vorfallsberichte für die CISO-Ebene geschrieben“, „4 neue Tier-1-Kolleginnen und -Kollegen eingearbeitet“. Klares Schreiben unter Zeitdruck ist die Fähigkeit, deren Fehlen SOC-Leitungen am häufigsten beklagen.

Für IT-Security Analysts gibt es in Deutschland keine staatliche Zulassung, deshalb prüfen Arbeitgeber Ihr Grundniveau über Zertifikate. Nennen Sie sie in einem eigenen Abschnitt mit Jahr, die neuesten zuerst, und ergänzen Sie laufende Zertifikate mit dem geplanten Prüfungstermin. Neben den internationalen Zertifikaten gibt es deutsche Nachweise, die vor allem bei Rollen mit Compliance-Anteil zählen: IT-Grundschutz-Praktiker nach dem Schulungskonzept des BSI, Kurse zum ISO-27001-Auditor und T.I.S.P. von TeleTrusT.

• CompTIA Security+: die Basis. Viele Anzeigen für Analystenstellen nennen es als Pflicht oder Wunsch, vor allem bei international arbeitenden Unternehmen. In den USA erfüllt es zusätzlich die Vorgaben des Verteidigungsministeriums (DoD 8140), in Deutschland hat das keine formale Bedeutung. Wenn Sie sonst nichts haben, machen Sie dieses.
• CompTIA CySA+: der SOC-spezifische nächste Schritt (Log-Analyse, Erkennung von Bedrohungen, Incident Response). Häufig in Anzeigen für Tier-1- und Tier-2-Analystinnen und -Analysten.
• GIAC GCIH (Incident Handling), GCIA (Intrusion Analysis), GSEC (Grundlagen): teuer, meist vom Arbeitgeber bezahlt und bei SOC-Leitungen sehr angesehen.
• Microsoft SC-200 (Security Operations Analyst): wertvoll, wo Sentinel und Defender im Einsatz sind, was in vielen deutschen Unternehmen mit Microsoft 365 der Fall ist. Splunk Core Certified User oder Power User leistet dasselbe in Splunk-Umgebungen.
• ISC2 Certified in Cybersecurity (CC): das Einstiegszertifikat von ISC2; das Programm mit kostenloser Prüfung (One Million Certified in Cybersecurity) nimmt seit Mai 2026 keine neuen Anmeldungen mehr an, die Prüfung kostet regulär 199 US-Dollar, dazu kommt eine Jahresgebühr von 50 US-Dollar; ein sinnvoller erster Eintrag für Studierende. ISC2 SSCP liegt eine Stufe darüber.
• CISSP: setzt 5 Jahre bezahlte Berufserfahrung voraus (4 mit passendem Studium). Schreiben Sie es im Lebenslauf für den Einstieg nicht als „in Vorbereitung“. Wer die Prüfung ohne die Erfahrung bestanden hat, ist „Associate of ISC2“, und das ist die richtige Bezeichnung.
• Sicherheitsüberprüfung: Wenn Sie eine bestehende oder kürzlich abgeschlossene Sicherheitsüberprüfung nach dem SÜG (Ü1, Ü2 oder Ü3) haben, nennen Sie Stufe und Jahr in der Kopfzeile. Für Stellen bei Behörden, der Bundeswehr und in der Rüstungsindustrie ist das ein wichtiges Suchwort. Beantragen können Sie sie nicht selbst; das veranlasst der Arbeitgeber.

„Ohne Erfahrung“ heißt in der IT-Sicherheit selten ohne passende Erfahrung. IT-Support, Systemadministration, Netzwerkbetrieb und Fernmelde- oder IT-Aufgaben bei der Bundeswehr enthalten alle Sicherheitsarbeit, wenn Sie sie herausarbeiten. Nicht verzichten können Sie auf praktische Nachweise: Eine SOC-Leitung muss sehen, dass Sie sich Logs und Alarme angesehen haben, und sei es im Lab.

1. 1Zertifikate und Ausbildung nach oben: Security+ (oder der Prüfungstermin), ISC2 CC, ein Netzwerkzertifikat (CompTIA Network+, CCNA), Ihr Studium, Ihre Ausbildung als Fachinformatiker/in oder Ihr Bootcamp. Passende Studienfächer nur dann, wenn Sie noch keine Zertifikate haben.
2. 2Ein Abschnitt Projekte oder Homelab, beschrieben wie ein Job und mit Zahlen: „SOC-Lab auf Proxmox mit Wazuh als SIEM, Sysmon auf 3 Windows-VMs und Suricata aufgebaut; 20 Erkennungsregeln nach MITRE ATT&CK geschrieben und 6 simulierte Angriffe auf GitHub dokumentiert.“ Verlinken Sie das GitHub-Repository in der Kopfzeile.
3. 3Plattformen und Stunden, ehrlich angegeben: TryHackMe SOC Level 1 abgeschlossen, 40 untersuchte Alarme bei LetsDefend, Blue Team Labs Online, HackTheBox Sherlocks, CyberDefenders-Aufgaben, eine Platzierung in einem CTF der Hochschule. SOC-Leitungen kennen diese Namen und den Aufwand dahinter.
4. 4Ihr aktueller oder früherer Job, mit den Sicherheitsanteilen nach vorn: bearbeitete Phishing-Tickets, Einführung von MFA oder Patches, Prüfungen von AD-Konten, Änderungsanträge für Firewalls, Vorfallsberichte, alles mit Logs.
5. 5Praktika und Ehrenamt: Ein 3-monatiges Praktikum im SOC ist mehr wert als jedes Zertifikat; führen Sie es mit Alarmzahlen unter Berufserfahrung. Ehrenamtliche Sicherheitsarbeit für einen Verein (MFA-Einführung, ein Phishing-Test) zählt ebenfalls.

• Länge: eine Seite bis etwa 5 Jahre Erfahrung. Zwei Seiten sind in Deutschland für Senior-Analystinnen und -Analysten, Incident Responder und alle mit vielen Projekten oder einer Sicherheitsüberprüfung üblich.
• Reihenfolge mit Erfahrung: Kopf (mit Sicherheitsüberprüfung, falls vorhanden), Profil, Berufserfahrung, Kenntnisse nach Kategorien, Zertifikate, Ausbildung. Beim Einstieg: Kopf, Profil, Zertifikate, Projekte oder Lab, Berufserfahrung, Ausbildung.
• Layout: eine Spalte, schlichte Überschriften, Standardschriften. Große Unternehmen und Behörden nutzen Bewerbermanagementsysteme, die nur Text lesen. Eine dunkle technische Vorlage wie cvplex cyber-security ist in Ordnung, solange sie einspaltig und textbasiert bleibt. Ein Bewerbungsfoto ist in Deutschland üblich, aber freiwillig; Geburtsdatum und Familienstand ebenso.
• Übernehmen Sie die genauen Werkzeug- und Frameworknamen der Anzeige, wenn sie auf Sie zutreffen: SIEM, EDR, Incident Response, Threat Hunting, Schwachstellenmanagement, MITRE ATT&CK, BSI IT-Grundschutz, ISO 27001, NIS2, KRITIS, Splunk, Sentinel, CrowdStrike, KQL, Python. Das System vergleicht Zeichenfolgen, keine Synonyme.