Lebenslauf für Penetrationstester/innen: Beispiele und Anleitung

Dieses Muster gehört einem Berater bei einem Dienstleister für Sicherheitstests, der Tests von Webanwendungen und internen Netzwerken durchführt. Namen und Unternehmen sind erfunden. Interne Red Teamer und Application Security Engineers behalten den Aufbau und ändern die Testarten; für den Einstieg gibt es weiter unten einen eigenen Abschnitt.

Die Entscheidung trifft meist die Leitung des Pentest-Teams oder ein Principal Consultant, also jemand, der den Job selbst gemacht hat. Sie erkennen nach vier Zeilen, ob Sie schon etwas Echtes getestet haben.

• Art und Zahl der Projekte. Web, API, Mobile, intern, extern, Cloud, WLAN, Social Engineering, Red Team, physisch. Nennen Sie die Mischung und die Zahl pro Jahr. „Penetrationstests durchgeführt“ sagt einer Pentest-Leitung nichts.
• Hinweise auf Tiefe. Erreichte Angriffspfade, Techniken zur Rechteausweitung, verkettete Befunde, selbst geschriebene Exploits oder Skripte. Das unterscheidet echtes Testen davon, einen Scanner laufen zu lassen und die Ausgabe zu formatieren.
• Zertifikate, und zwar die praktischen. OSCP ist das Standardsignal für den Einstieg, weil die Prüfung ein 24-stündiger Praxistest ist. GPEN und GWAPT von GIAC, der Burp Suite Certified Practitioner von PortSwigger, PNPT, CRTO und die weiterführenden Zertifikate von OffSec haben alle Gewicht. CEH ist bekannt, belegt allein aber keine praktischen Fähigkeiten.
• Berichte und Kommunikation mit Kunden. Das ist die halbe Arbeit und der häufigste Grund, warum technisch starke Bewerberinnen und Bewerber abgelehnt werden. Nennen Sie, wie viele Berichte Sie schreiben, wie schnell Sie liefern und ob Sie vor der Geschäftsleitung präsentieren.
• Scoping und rechtliches Bewusstsein. Rules of Engagement, schriftliche Beauftragung, Testfenster, Umgang mit Systemen außerhalb des Scopes und was Sie tun, wenn Sie auf etwas stoßen, das Sie nicht anfassen durften. In Deutschland ist die schriftliche Beauftragung die Grundlage dafür, dass ein Test legal ist; ohne sie können die §§ 202a bis 202c StGB greifen (als sogenannter Hackerparagraf gilt § 202c). Beratungsunternehmen fragen danach in jedem Gespräch.

“Zeigen Sie mir einen Angriffspfad, keine Werkzeugliste. Und sagen Sie mir, wer Ihre Berichte liest. Wir haben brillante Tester eingestellt, die keinen Befund so schreiben konnten, dass ein Kunde danach handeln kann, und das kostet mehr als eine übersehene Schwachstelle.”

Zeigen Sie Technik, Umfang und Folgen. Vage Formulierungen zu Befunden lassen Sie am schnellsten wie jemanden aussehen, der nur einen Scan gestartet hat.

In diesem Feld wiegen praktische Prüfungen im Lab weit mehr als Multiple-Choice-Tests. Nennen Sie die praktischen zuerst und jeweils mit Jahr.

• OSCP von OffSec. Eine 24-stündige Praxisprüfung plus Bericht und weiterhin die häufigste Grundanforderung in Stellenanzeigen. Die weiterführenden Zertifikate (OSEP für die Umgehung von Abwehrmaßnahmen, OSWE für Web-Exploitation, OSED für Exploit-Entwicklung) stehen jeweils für eine Spezialisierung.
• GIAC-Zertifikate: GPEN für Netzwerk-Penetrationstests, GWAPT für Webanwendungen, GXPN für fortgeschrittene Exploitation, GCPN für Cloud. Teuer, angesehen und verbreitet bei großen und international tätigen Unternehmen.
• Burp Suite Certified Practitioner von PortSwigger. Praktisch, günstig und für Stellen im Webtest ernst genommen.
• CRTO von Zero-Point Security für Red-Team-Einsätze und PNPT von TCM Security, das einen Bericht und eine Nachbesprechung einschließt und für den Einstieg geschätzt wird.
• CEH vom EC-Council. Weit verbreitet in Personalfiltern und bei manchen Ausschreibungen gefordert, sagt einer Pentest-Leitung allein aber nicht, dass Sie testen können. Kombinieren Sie es mit einem praktischen Zertifikat.
• CISSP ist ein eher managementorientiertes Zertifikat. Es hilft bei Senior- und Beratungsrollen und bei vertraglichen Anforderungen, nicht als Nachweis praktischer Fähigkeiten.
• In Deutschland fragen vor allem Behörden teils nach einem vom BSI zertifizierten Dienstleister für Penetrationstests oder nach einer entsprechenden Personenzertifizierung des BSI; prüfen Sie in der Ausschreibung, was genau gefordert ist. In Großbritannien übernehmen CREST und CHECK diese Rolle.
• Bug-Bounty-Ergebnisse, CVEs, Vorträge auf Konferenzen und öffentliche Werkzeuge zählen hier als Nachweise. Fassen Sie sie in einem eigenen kurzen Block mit Links zusammen.

Einstiegsstellen im Penetrationstest sind umkämpft, weil viele sie wollen und wenige Unternehmen ausbilden möchten. Der Lebenslauf muss beweisen, dass Sie die Arbeit schon können, ohne dass eine Stellenbezeichnung es sagt.

1. 1Erwerben Sie ein praktisches Zertifikat. OSCP ist das stärkste Signal; PNPT und der Burp Suite Certified Practitioner sind günstiger und zählen trotzdem. Eine Teilnahmebescheinigung eines Kurses ist nicht dasselbe, und Pentest-Leitungen kennen den Unterschied.
2. 2Bauen Sie ein Lab und beschreiben Sie es als Infrastruktur: ein Domain Controller, zwei Arbeitsplätze, ein Linux-Server, eine verwundbare Webanwendung, eine EDR-Testversion. Sagen Sie, was Sie angegriffen und was Sie über Erkennung gelernt haben.
3. 3Zeigen Sie Ihr Volumen auf Übungsplattformen mit Link: Hack The Box, TryHackMe, PortSwigger Web Security Academy, Proving Grounds. Anzahl der Maschinen und Rang sind auf diesem Niveau legitime Nachweise.
4. 4Schreiben Sie. Öffentliche Writeups kommen einer Arbeitsprobe am nächsten, wenn das wichtigste Arbeitsergebnis ein schriftlicher Bericht ist. Fünf gute Writeups schlagen fünfzig halb gelöste Boxen.
5. 5Probieren Sie Bug Bounty und berichten Sie ehrlich. „3 akzeptierte Meldungen, 1 Duplikat, insgesamt 400 €“ ist glaubwürdig; „Bug-Bounty-Hunter“ ohne etwas dahinter ist es nicht.
6. 6Nutzen Sie verwandte Erfahrung richtig. IT-Support, Systemadministration, Netzwerktechnik, Entwicklung und SOC-Arbeit sind echte Vorteile, weil Tester/innen, die verstehen, wie Systeme tatsächlich gebaut werden, mehr finden. Schreiben Sie diese Stellen um das herum, was Sie über die Angriffsfläche gelernt haben.
7. 7Bewerben Sie sich bei Beratungsunternehmen ebenso wie bei Produktfirmen. Beratungen stellen Juniors viel häufiger ein und bilden sie aus, und die Menge an Projekten lässt Sie schneller lernen.

• Eine Seite für den Einstieg; mit mehreren Jahren Erfahrung sind in Deutschland zwei Seiten akzeptiert. Pentest-Leitungen lesen schnell und schätzen Dichte mehr als Design.
• Reihenfolge: Kopf mit Zertifikaten und GitHub-Link, Profil, Berufserfahrung, gruppierte Kenntnisse, Zertifikate und Community-Arbeit, Ausbildung. Beim Einstieg stehen Labs, Plattformen und Writeups vor der Berufserfahrung.
• Schlicht, einspaltig, markierbarer Text. Security-Lebensläufe mit aufwendigem Design werden von Bewerbermanagementsystemen zerlegt, und viele Security-Teams stellen weiterhin über die Personalportale der Unternehmen ein. Ein Bewerbungsfoto ist in Deutschland üblich, aber freiwillig.
• Gruppieren Sie die Kenntnisse: Testarten, dann Werkzeuge, dann Sprachen, dann Frameworks. Listen Sie nicht 60 Werkzeuge auf, sondern die, zu denen Sie im Gespräch ohne Zögern Fragen beantworten.
• Verlinken Sie GitHub oder einen Blog als einfachen Text und achten Sie darauf, dass dort Fertiges steht. Ein leeres Profil ist schlechter als keines.
• Nennen Sie nie Kundennamen, echte Befunde, Screenshots oder etwas, das unter eine Verschwiegenheitsvereinbarung fällt. Beschreiben Sie stattdessen Branche und Größe.
• Nennen Sie eine Sicherheitsüberprüfung nach dem SÜG, falls vorhanden, weil Aufträge von Behörden und aus der Rüstung sie oft voraussetzen, und geben Sie Ihre Reisebereitschaft an. Stellen in der Beratung erwarten häufig 20 bis 40 % Reisezeit.
• Übernehmen Sie die Begriffe der Anzeige, wenn sie zutreffen: Penetrationstest, Red Team, Webanwendung, API, Active Directory, Cloud, OWASP, MITRE ATT&CK, PCI DSS, Berichtserstellung, Behebung.
• PDF mit dem Dateinamen Vorname-Nachname-Lebenslauf-Penetrationstester.pdf. Bei deutschen Arbeitgebern gehört meist ein kurzes Anschreiben dazu, und manche Ausschreibungen der öffentlichen Hand fragen zusätzlich nach einer BSI-Zertifizierung.