Lebenslauf für Information Security Engineers: Beispiele und Anleitung

Ein erfundener Engineer mit einem typischen Werdegang: IT-Support, dann Systemadministration, dann SOC-Analyse, dann Security Engineering. Jede Stelle nennt die verantwortete Technik und die Kennzahl, die sich verändert hat.

Vorstellungsgespräche im Security Engineering sind aufwendig, deshalb ist die Vorauswahl über den Lebenslauf streng. Vier Dinge bringen Sie weiter.

• Was Sie verantworten und was Sie nur angefasst haben. Ein SIEM, eine EDR-Einführung, eine Cloud-Baseline oder ein Schwachstellenprogramm zu verantworten ist eine andere Aussage, als diese Werkzeuge benutzt zu haben. Sagen Sie, was zutrifft.
• Was Sie gebaut haben. Erkennungsregeln, Terraform-Module, SOAR-Playbooks, Skripte, Härtungs-Baselines, Security Gates in CI/CD. Engineers liefern Ergebnisse, die man zählen kann, und der Lebenslauf sollte sie mit Anzahl nennen.
• Zahlen, die zeigen, dass die Maßnahme gewirkt hat. Zeit bis zur Erkennung und Reaktion, weniger Fehlalarme, eingehaltene Patch-Fristen, Abdeckungsquoten, Klickraten bei Phishing, Abweichungen in Audits. Die IT-Sicherheit ist voller Kennzahlen, und die meisten Lebensläufe enthalten keine einzige.
• Umfeld und Größenordnung. Anzahl der Endgeräte, Cloud-Konten und Beschäftigten, regulierte Daten und Vorgaben (etwa KRITIS, NIS2, DORA oder TISAX). Ein Start-up mit 200 Leuten und eine Bank mit 40.000 Arbeitsplätzen brauchen unterschiedliche Engineers, und beides ist legitim.

“Die Lebensläufe, die herausstechen, nennen vorzeigbare Ergebnisse: die Zahl der geschriebenen Erkennungsregeln, der automatisierten Playbooks, der Konten unter einer selbst geschriebenen Baseline. Eine Liste aller Sicherheitsprodukte auf dem Markt sagt mir nur, dass Sie in ihrer Nähe saßen. Sagen Sie mir, was Sie gebaut haben und welche Zahl sich dadurch verändert hat.”

Die Rollen überschneiden sich, und die Stellenbezeichnungen werden locker verwendet, aber Führungskräfte trennen sie klar. Die Analysten-Version des Lebenslaufs für eine Engineering-Stelle einzureichen ist der häufigste Grund, warum starke Kandidatinnen und Kandidaten übergangen werden.

• Analystinnen und Analysten verarbeiten Alarme und untersuchen sie. Stellen Sie Triage-Volumen, Qualität der Eskalationen, Untersuchungsberichte, mittlere Reaktionszeit und die Frameworks, unter denen Sie arbeiten, an den Anfang.
• Engineers bauen und betreiben die Systeme, die diese Alarme erzeugen. Stellen Sie geschriebene Erkennungsregeln, gebaute Integrationen, Infrastructure as Code, Ergebnisse der Feinabstimmung und Plattformverantwortung an den Anfang.
• Die Version für Network Security Engineers beginnt mit Firewalls, Segmentierung, VPN und Zero-Trust-Architektur, NAC, TLS-Inspection und der jeweiligen Zahl der Geräte.
• Die Version für Cloud Security Engineers beginnt mit IAM-Design, Guardrails für Konten, geschlossenen CSPM-Befunden, Kubernetes- und Container-Kontrollen und Infrastructure as Code.
• Die Version für Application Security beginnt mit SAST, DAST und SCA in der Pipeline, bewerteten Befunden, Schulungen für Entwicklerinnen und Entwickler und der Zahl der Secure Code Reviews.
• Pflegen Sie ein Masterdokument und leiten Sie daraus für jede Richtung eine Version ab. Die Stichpunkte beschreiben weitgehend dieselbe Arbeit in anderer Reihenfolge, aber das obere Drittel muss zur Anzeige passen.

Drei bis vier Zeilen: Jahre, Umfeld, Verantwortungsbereich, zwei Zahlen, Zertifikat. Kein Berufsziel.

Lebensläufe in der IT-Sicherheit sind voller Werkzeugnamen und arm an Ergebnissen. Jeder Stichpunkt unten nennt, was gebaut wurde, und die Zahl dazu.

Gliedern Sie nach Fachgebieten, statt alles aufzulisten. Zwölf bis sechzehn Zeilen, und zu jeder müssen Sie im Gespräch Rede und Antwort stehen können.

• Erkennung und Monitoring: SIEM (Splunk Enterprise Security, Microsoft Sentinel, Elastic), Detection Engineering mit Sigma und SPL oder KQL, Zuordnung nach MITRE ATT&CK, Design von Log-Pipelines und Anreicherung.
• Endgeräte und Identitäten: EDR (CrowdStrike Falcon, SentinelOne, Defender for Endpoint), Härtung von Active Directory und Entra ID, Conditional Access, Privileged Access Management, Einführung von MFA und passwortloser Anmeldung.
• Cloud: AWS IAM, SCPs, GuardDuty, Security Hub, KMS; Azure Defender for Cloud und Entra ID; die Entsprechungen in GCP; CSPM-Werkzeuge; Kubernetes- und Container-Sicherheit; Secrets Management mit Vault oder einem Cloud-KMS.
• Netzwerk: Firewalls (Palo Alto, Fortinet, Cisco), Segmentierung und Zero-Trust-Design, IDS und IPS, VPN, NAC, TLS- und Zertifikatsmanagement, WAF und DDoS-Schutz.
• Schwachstellen und Anwendungssicherheit: Tenable, Qualys oder Rapid7; SAST, DAST und SCA in CI/CD (Snyk, Semgrep); Patch-Management; Scoping von Penetrationstests und Nachverfolgung der Behebung.
• Automatisierung und Code: Python, PowerShell, Bash, Terraform, CI/CD-Pipelines, API-Integration zwischen Sicherheitswerkzeugen.
• Governance: ISO/IEC 27001 und BSI IT-Grundschutz, NIST CSF, BSI C5 für Cloud-Dienste, PCI DSS, SOC 2 bei US-Kunden, je nach Branche NIS2 und KRITIS, DORA im Finanzsektor (anwendbar seit Januar 2025) oder TISAX in der Automobilbranche, Risikoanalyse, Planung der Reaktion auf Sicherheitsvorfälle und Tabletop-Übungen.

Zertifikate öffnen in der IT-Sicherheit mehr Türen als in den meisten technischen Berufen, besonders bei großen und regulierten Arbeitgebern. Nennen Sie Aussteller und Gültigkeit.

Den CISSP nennen Anzeigen für Senior-Stellen am häufigsten als Pflicht oder Wunsch; er setzt nachgewiesene Berufserfahrung und eine Empfehlung (Endorsement) voraus. GIAC-Zertifikate zählen für praktische Arbeit, OSCP für offensive Kenntnisse und die Spezialisierungen der Cloud-Anbieter für Stellen im Cloud Engineering. Security+ hilft am Anfang und verliert später an Bedeutung. Stellen bei Behörden und in der Rüstungsindustrie verlangen teils bestimmte Nachweise oder eine Sicherheitsüberprüfung nach dem SÜG; lesen Sie deshalb die Anzeige, statt anzunehmen, dass Ihr Zertifikat ausreicht.

Die meisten Security Engineers kommen aus der Systemadministration, dem Netzwerkbereich oder dem SOC. Der Lebenslauf muss diesen Weg geplant und nicht zufällig wirken lassen.

1. 1Stellen Sie Ihre Infrastrukturarbeit als Sicherheitsarbeit dar, wo sie das ehrlich war: Patching, Härtung, Zugriffskontrolle, MFA-Einführung, Backup und Wiederherstellung, Protokollierung und Netzwerksegmentierung.
2. 2Zählen Sie, was Sie gebaut haben, auch wenn es nicht zu Ihrer Stellenbezeichnung gehörte: Skripte, Dashboards, Erkennungsregeln, Automatisierungen, Runbooks. Im Engineering zählen vorzeigbare Ergebnisse.
3. 3Übernehmen Sie bei Ihrem jetzigen Arbeitgeber die Sicherheitsaufgaben, die niemand will: den Schwachstellenbericht, die Nachweisanforderung aus dem Audit, den Phishing-Prozess. Dann schreiben Sie die Zahlen in den Lebenslauf.
4. 4Ein Homelab oder Open-Source-Beiträge nur, wenn sie echt und konkret sind: „Werkzeug zur Umwandlung von Sigma-Regeln für Sentinel gebaut, von 40 Personen auf GitHub genutzt“ statt „Homelab mit pfSense“.
5. 5Erwerben Sie ein glaubwürdiges Zertifikat. Zum Start Security+, danach GCIH oder eine Cloud-Security-Spezialisierung in der Richtung, in die Sie wollen.
6. 6Schreiben Sie das Profil vom Ziel her, nicht als Rückblick: Nennen Sie die Art von Engineering-Stelle, die Sie anstreben, und die Nachweise, die Sie dafür schon haben.

• Eine Seite bis etwa fünf Jahre Erfahrung, danach zwei Seiten. Umgekehrt chronologisch. Ein Bewerbungsfoto ist in Deutschland üblich, aber freiwillig; Geburtsdatum und Familienstand ebenso.
• Schreiben Sie Zertifikate und die Cloud-Plattform in die Kontaktzeile. Beides ist bei vielen Security-Anzeigen ein hartes Filterkriterium.
• Übernehmen Sie die Technologienamen der Anzeige exakt: Splunk, Sentinel, CrowdStrike, Terraform, Kubernetes, ISO 27001, BSI IT-Grundschutz. Bewerbermanagementsysteme vergleichen wörtlich, und Security-Anzeigen sind ungewöhnlich konkret.
• Nennen Sie in jeder Arbeitgeberzeile die Größenordnung: Beschäftigte, Endgeräte, Cloud-Konten, regulierte Daten. Das erspart das Rätseln, auf welchem Niveau Sie arbeiten.
• Verzichten Sie auf Kompetenzbalken und Wortwolken. Nennen Sie Werkzeuge als einfachen Text, nach Fachgebiet gruppiert.
• Ein GitHub-Link nur, wenn die Repositorys aktuell und lesenswert sind. Ein leeres Profil schadet mehr als gar kein Link.
• Prüfen Sie, ob die Jahre aufgehen: Neun Jahre im Profil heißen, dass die Daten darunter neun Jahre abdecken.