Kein Ausbildungsberuf, sondern ein belegter Weg
Ohne vorgezeichneten Bildungsweg entscheidet, was du vorzeigen kannst, und ohne schriftliche Beauftragung entscheidet das Strafrecht.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Suche nach der Ausbildung läuft ins Leere, und das hat Folgen für die Bewerbung
Es gibt Studiengänge für IT-Sicherheit, und sie legen gute Grundlagen. Ein Berufszugang sind sie nicht, denn keiner von ihnen führt zu einem Abschluss, der die Tätigkeit benennt. Ebenso wenig gibt es einen dualen Ausbildungsberuf dafür. Wer nach einer Ausbildung sucht, findet deshalb Kurse und Zertifikate, und beides ist etwas anderes als eine geregelte Qualifikation.
Für die Bewerbung heißt das: Es gibt keinen Nachweis, der dich automatisch qualifiziert, und damit auch keinen, hinter dem du dich verstecken kannst. Geprüft wird, ob du eine Schwachstelle nicht nur findest, sondern ihren Weg und ihre Auswirkung nachvollziehbar aufschreiben kannst. In der Praxis läuft das über eine Arbeitsprobe, oft über einen anonymisierten Bericht oder über ein Testszenario im Gespräch.
Der teuerste Fehler auf dem Weg dorthin ist das Üben am falschen Objekt. Wer die Systeme seines Arbeitgebers, eines Bekannten oder eines Anbieters ohne schriftliche Beauftragung prüft, bewegt sich im Strafrecht, und zwar unabhängig davon, ob dabei ein Schaden entsteht oder ob es gut gemeint war.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Sieben Schritte, die den Weg hinein tatsächlich beschreiben
Diese Reihenfolge ist keine Empfehlung aus dem Lehrbuch, sondern die, die sich bei Leuten wiederholt, die aus Administration oder Entwicklung in das Feld gewechselt sind. Wer sie umdreht und mit Werkzeugen beginnt, bleibt bei Kochrezepten hängen.
- 1
Netzwerk und Betriebssysteme auf Arbeitsniveau bringen
TCP und UDP, DNS, HTTP mit seinen Kopfzeilen, Zertifikate, Namensauflösung im Windows-Netz, Rechte unter Linux und im Verzeichnisdienst. Das ist der Stoff, auf dem alles Weitere aufsetzt, und er unterscheidet sich nicht von dem, was ein guter Administrator kann.
Geschafft, wenn: Du kannst erklären, warum ein Angriffsschritt in der einen Umgebung greift und in der anderen nicht.
- 2
Ein eigenes Labor aufbauen
Zwei bis vier virtuelle Maschinen, ein Verzeichnisdienst mit einem Server und zwei Arbeitsplätzen, dazu absichtlich verwundbare Webanwendungen. Wichtig ist, dass du die Umgebung selbst gebaut hast, denn dann verstehst du, warum ein Angriff funktioniert, statt nur zu sehen, dass er funktioniert.
Geschafft, wenn: Du hast eine Umgebung, in der du ohne rechtliches Risiko alles ausprobieren kannst.
- 3
Skripten lernen und Werkzeuge lesen statt nur bedienen
Python, Bash und PowerShell reichen für den Anfang. Der eigentliche Schritt ist, in ein Werkzeug hineinzuschauen und zu verstehen, welche Anfragen es stellt. Wer das kann, erkennt, wann ein Werkzeug etwas übersieht, und genau das trennt den Prüfer vom Bediener eines Scanners.
Geschafft, wenn: Du kannst einen Prüfschritt von Hand nachstellen, den sonst ein Werkzeug für dich macht.
- 4
Webanwendungen systematisch durcharbeiten
Nimm dir den Web Security Testing Guide der OWASP und arbeite die Abschnitte an deinen Laboranwendungen durch, mit einem abfangenden Zwischenserver als ständigem Werkzeug. Schnittstellen gehören dazu, denn ein wachsender Teil der Angriffsfläche liegt heute nicht mehr in der Oberfläche, sondern in den Aufrufen dahinter.
Geschafft, wenn: Du prüfst eine Anwendung entlang einer Liste statt entlang deiner Erinnerung.
- 5
Berichte schreiben, bevor jemand dafür bezahlt
Schreib zu jedem Laborfund einen kurzen Bericht: Was wurde gefunden, wie reproduziert man es, was ist die Auswirkung für den Betrieb, was empfiehlst du. Diese Berichte sind später deine Bewerbungsunterlage, denn sie zeigen genau das, was Auftraggeber kaufen.
Geschafft, wenn: Du hast drei Berichte, die du ohne Nacharbeit vorzeigen könntest.
- 6
Ein Zertifikat wählen, das zur Zielstelle passt
Ethical Hacking Essentials ordnet den Einstieg, der Certified Ethical Hacker ist der Nachweis, der in Ausschreibungen am häufigsten wörtlich verlangt wird, und Prüfungen mit praktischem Teil und Berichtspflicht wie CPENT belegen eigenständiges Arbeiten. Wer in Richtung Webanwendungen geht, findet dort eigene Prüfungen.
Geschafft, wenn: Du kannst begründen, warum genau diese Prüfung zu deiner Zielstelle passt.
- 7
Über eine Nachbarrolle einsteigen, wenn der Direkteinstieg nicht klappt
Viele kommen über Anwendungsbetreuung, Administration, Softwareentwicklung oder die Abwehrseite hinein und übernehmen dort zuerst Prüfaufgaben. Das ist kein Umweg, sondern verschafft dir Umgebungswissen, das reinen Prüfern oft fehlt und das im Bericht sofort sichtbar wird.
Geschafft, wenn: Du arbeitest bezahlt an echten Systemen, während du den Rest aufbaust.
Fünf Abschnitte eines Tests, und wo die Zeit hingeht
- 01 Der Auftrag legt Umfang, Zeitraum und Ansprechpartner schriftlich fest.
- 02 Die Aufklärung sammelt Systeme, Dienste und Versionen im vereinbarten Umfang.
- 03 Die Prüfung sucht Wege hinein und belegt jeden Schritt nachvollziehbar.
- 04 Der Bericht ordnet jeden Fund nach Auswirkung und liefert die Reproduktion.
- 05 Der Nachtest belegt, dass die Behebung wirkt und nichts Neues entstanden ist.
- 06 Aufklärung und Prüfung sind der kleinere Teil, Bericht und Abstimmung der größere.
Was du aufbaust, wenn dir niemand einen Weg vorzeichnet
Der Weg besteht aus vier Teilen, die aufeinander aufbauen: Grundlagen, eigene Laborarbeit, Berichtsfähigkeit und ein Zertifikat, das zur angestrebten Stelle passt. In dieser Reihenfolge, denn ein Zertifikat ohne Laborzeit fällt im Gespräch nach wenigen Minuten auf.
Verstehen, wie Systeme funktionieren, bevor du sie brichst
Ohne Netzwerkschichten, DNS, Zertifikate, Verzeichnisdienst und Rechteverwaltung bleiben Angriffe Kochrezepte. Genau daran scheitern Bewerber im Gespräch, wenn die Rückfrage kommt, warum ein bestimmter Schritt in dieser Umgebung funktioniert hat und in einer anderen nicht.
Ein eigenes Labor betreiben, das dir gehört
Virtuelle Maschinen, absichtlich verwundbare Anwendungen und ein kleiner Verzeichnisdienst mit zwei, drei Rechnern reichen für den größten Teil des Lernstoffs. Das Labor ist zugleich die einzige Umgebung, in der du ohne Beauftragung testen darfst.
Webanwendungen systematisch statt zufällig prüfen
Der Web Security Testing Guide der OWASP gibt dir eine vollständige Prüfliste vom Aufbau der Anwendung über Authentisierung und Sitzungsverwaltung bis zur Eingabeprüfung. Systematik ist genau das, was den bezahlten Test vom Herumprobieren unterscheidet.
Den Bericht als das eigentliche Produkt begreifen
Ein Fund ohne Reproduktionsschritte, ohne Einordnung der Auswirkung und ohne eine Empfehlung, die zur Umgebung des Kunden passt, ist wertlos. Übe das Schreiben an deinen Laborfunden, lange bevor dich jemand dafür bezahlt.
Vor dem Test die Beauftragung schriftlich klären
Umfang, Zeitraum, erlaubte Techniken, Ansprechpartner und ein Notfallkontakt gehören in ein Dokument, das der Berechtigte unterschreibt. Liegen Systeme bei einem Anbieter, brauchst du zusätzlich dessen Einverständnis, und bei allem, was Beschäftigtendaten berührt, ist die Mitbestimmung zu klären.
Ein Zertifikat wählen, das die Lücke im Lebenslauf schließt
Prüfungen mit hohem Wissensanteil öffnen die Vorauswahl, Prüfungen mit einem praktischen Teil und Berichtspflicht belegen die Arbeitsweise. Welches du brauchst, hängt davon ab, ob dir eher der Zugang zum Gespräch fehlt oder der Beleg, dass du eigenständig arbeiten kannst.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Was den Arbeitstag tatsächlich füllt
Der Anteil, den sich Außenstehende vorstellen, also das Suchen und Ausnutzen von Schwachstellen, ist der kleinere Teil eines Auftrags. Davor liegt die Abstimmung des Umfangs, denn was nicht im Auftrag steht, darf nicht geprüft werden, und was falsch abgegrenzt ist, macht das Ergebnis wertlos. Danach liegt der Bericht, und der ist das Produkt, für das der Kunde bezahlt.
Ein guter Bericht ordnet Funde nach Auswirkung auf den Betrieb, nicht nach technischer Eleganz, und er liefert zu jedem Fund die Schritte zur Reproduktion sowie eine Empfehlung, die in der Umgebung des Kunden umsetzbar ist. Zum Auftrag gehört anschließend häufig ein Nachtest, der belegt, dass die Behebung wirkt. Wer diesen Teil nicht mag, wird in dem Beruf nicht glücklich, weil er sich nicht wegdelegieren lässt.
Die zweite falsche Erwartung betrifft die Abwechslung. Ein erheblicher Teil der Aufträge folgt einem festen Ablauf, und viele Funde wiederholen sich über Kunden hinweg. Der interessante Rest entsteht dort, wo eine Umgebung eigen gebaut ist, und den Anteil dieser Aufträge bestimmt der Arbeitgeber, nicht du.
Warum es keine Ausbildung gibt, und was stattdessen zählt
Das Feld ist zu jung und zu beweglich für einen geregelten Bildungsgang. Was heute geprüft wird, unterscheidet sich von dem, was vor zehn Jahren geprüft wurde, und eine Ausbildungsordnung folgt solchen Verschiebungen nicht in der nötigen Geschwindigkeit. Deshalb hat sich der Markt auf Zertifikate verlegt, die schneller angepasst werden, dafür aber von Anbietern stammen, die zugleich die Kurse verkaufen.
Für dich hat das eine angenehme Folge: Der Zugang ist offen. Es gibt keinen Numerus clausus und keine Zulassungsvoraussetzung, und niemand fragt nach dem Abschluss, wenn du eine Arbeitsprobe vorlegen kannst. Es hat aber auch eine unangenehme: Du musst selbst entscheiden, was du lernst, in welcher Reihenfolge, und niemand bestätigt dir unterwegs, dass es reicht.
In der Vorauswahl zählen Zertifikate, weil Personalabteilungen einen Filter brauchen. Im Fachgespräch zählen sie wenig. Dort wird gefragt, wie du in einer bestimmten Situation vorgehen würdest, warum du einen Schritt für aussichtsreich hältst und was du in den Bericht schreiben würdest. Wer nur Prüfungsfragen gelernt hat, kommt an dieser Stelle nicht weiter.
Wo die Strafbarkeit anfängt
Das Verschaffen von Zugang zu fremden, besonders gesicherten Daten ist als Ausspähen von Daten strafbar, und zwar nach § 202a des Strafgesetzbuchs mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Bereits das Vorbereiten fällt unter § 202c, wenn Passwörter oder Programme zu diesem Zweck beschafft oder verbreitet werden. Wer im Zuge eines Tests Daten verändert oder einen Betriebsablauf erheblich stört, kommt zusätzlich in den Bereich von Datenveränderung und Computersabotage nach den §§ 303a und 303b.
Rechtfertigen kann das nur die Einwilligung des Berechtigten, und die muss vor dem Test vorliegen. In der Praxis heißt das: ein unterschriebenes Dokument mit Umfang, Zeitraum, erlaubten Techniken, benannten Ansprechpartnern und einem Notfallkontakt für den Fall, dass etwas ausfällt. Mündliche Zusagen im Projektgespräch tragen nicht, denn im Streitfall muss belegbar sein, wer was wann erlaubt hat.
Zwei Fälle werden regelmäßig übersehen. Erstens gehören Systeme oft nicht dem Auftraggeber allein, etwa bei Diensten, die bei einem Anbieter liegen. Dann brauchst du zusätzlich dessen Einverständnis, und die Anbieter haben dafür eigene Verfahren. Zweitens berührt jede Prüfung, die auf Beschäftigte zielt, also insbesondere nachgestellte Phishing-Kampagnen, Beschäftigtendaten und damit Mitbestimmung und Datenschutz. Das ist vor dem Start zu klären und nicht danach.
Woran du wächst und wohin die Rolle führt
Zwei Leute mit gleicher Berufsdauer unterscheiden sich an zwei Stellen. Die erste ist die Übersetzung: Wer einen Fund so beschreibt, dass die Geschäftsführung die Folgen versteht und die Administration weiß, was zu tun ist, wird zu Terminen mitgenommen, bei denen es um Budget geht. Die zweite ist das eigene Werkzeug. Wer sich für wiederkehrende Prüfschritte kleine Programme schreibt, wird schneller und findet Dinge, die der Standardablauf übersieht.
Fachlich verzweigt sich der Weg. Die Prüfung von Anwendungen führt weiter in die Sicherheit von Schnittstellen und in die Beratung von Entwicklungsteams, wo du Fehler verhinderst, statt sie zu finden. Umgebungen bei Cloud-Anbietern sind ein eigenes Feld geworden, weil dort Fehlkonfiguration und Rechteverwaltung an die Stelle klassischer Schwachstellen treten. Und wer tiefer will, geht in die Entwicklung von Angriffscode und in das Rückbauen von Software, was ein anderer Beruf mit anderem Arbeitsrhythmus ist.
Daneben steht die Verschiebung des Auftrags selbst. Ein Test sucht Schwachstellen, eine Übung gegen ein verteidigendes Team prüft, ob ein Angriff überhaupt bemerkt wird, und in der gemeinsamen Arbeit von Angriffs- und Abwehrseite entsteht daraus eine bessere Erkennung. Wer in diese Richtung geht, arbeitet enger mit dem Security Operations Center zusammen, und für manche endet der Weg genau dort, weil ihnen dauerhafte Verantwortung mehr liegt als der Auftrag auf Zeit. In die Führung geht es über die Leitung eines Prüfteams, wo Angebotskalkulation, Qualitätssicherung von Berichten und Kundengespräche den Alltag bestimmen.
Warum auf dieser Seite keine Gehaltszahl steht
Für offensive Sicherheitsarbeit gibt es keine amtliche Berufsgattung. Die Klassifikation der Berufe, nach der die Verdiensterhebung des Statistischen Bundesamts rechnet, kennt weder den Penetration Tester noch eine Zelle, die ihn eindeutig aufnimmt. Was wir hier zeigen würden, wäre eine Zuordnung, die wir selbst getroffen haben.
Die Zahlen, die auf Vergleichsportalen zu diesem Beruf stehen, stammen aus Selbstauskünften. Weder die Zahl der Antworten noch das Verfahren dahinter ist offengelegt, und gerade in einem kleinen Feld mit sehr unterschiedlichen Arbeitgebern, von der Prüfstelle über die Beratung bis zur internen Abteilung eines Konzerns, sagt ein Mittelwert aus solchen Angaben wenig aus.
Belegbar ist die Branchenebene. Das Statistische Bundesamt weist für Information und Kommunikation den durchschnittlichen Bruttojahresverdienst Vollzeitbeschäftigter aus, einschließlich Sonderzahlungen. Das ist eine Größenordnung für die Branche und keine Aussage über diese Tätigkeit. In Beratungshäusern hängt der Verdienst zusätzlich an Reisebereitschaft und Auslastung, und beides taucht in keiner Statistik auf.
Dazu passende Kurse
Die Nachweise, die in Ausschreibungen am häufigsten wörtlich genannt werden, deckst du über Prüfungsvorbereitungen von EC-Council ab.
Wer die Gegenseite verstehen will, bekommt über Kurse zur Verteidigung des laufenden Betriebs dieselben Techniken aus der Sicht derer zu sehen, die sie abwehren müssen.
Warum es zu dieser Rolle keine amtliche Zahl gibt
Für den Penetration Tester gibt es keine amtliche Zahl, weil die Klassifikation der Berufe für offensive Sicherheitsarbeit keine Berufsgattung vorsieht. Die im Netz kursierenden Angaben stammen aus Selbstauskünften auf Gehaltsportalen, deren Fallzahlen und Verfahren nicht offengelegt sind, und in einem kleinen Feld mit sehr unterschiedlichen Arbeitgebern trägt ein solcher Mittelwert besonders wenig. Belegbar ist die Branchenebene, also der durchschnittliche Bruttojahresverdienst Vollzeitbeschäftigter in Information und Kommunikation einschließlich Sonderzahlungen. Er zeigt eine Größenordnung für die Branche und keinen Wert für diese Tätigkeit.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Ein sehr gutes, praxisorientiertes und nachhaltiges Seminar. So sollte es immer sein. Vielen Dank.
Ein sehr guter und verständlicher Überblick über die Grundlagen im Umgang mit BricsCAD.
Alle meine Erwartungen wurden erfüllt und ich habe mich sehr gut aufgenommen gefühlt, jede Frage wurden Probleme direkt beseitigt.
Häufige Fragen
Ist der Certified Ethical Hacker Pflicht?
Darf ich zum Üben die Webseite meines Arbeitgebers testen?
Brauche ich ein Studium?
Was unterscheidet einen Schwachstellenscan von einem Penetrationstest?
Quellen
- § 202a Strafgesetzbuch, Ausspähen von Daten
- § 202c Strafgesetzbuch, Vorbereiten des Ausspähens und Abfangens von Daten
- § 303b Strafgesetzbuch, Computersabotage
- OWASP Web Security Testing Guide
- Statistisches Bundesamt, Bruttojahresverdienste nach Wirtschaftszweigen
- Bundesagentur für Arbeit, Klassifikation der Berufe 2010 in der Fassung 2020
Passt thematisch dazu
Was im Bericht als Empfehlung steht, setzt am Ende die Betriebsseite um, und dort helfen die Härtungsschritte in der Reihenfolge, die ein Team auch durchhält .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem IT-Berufe-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Vom Kochrezept zur belegten Vorgehensweise
Wer Angriffstechniken einmal in einer Umgebung geübt hat, in der er sie auch abbrechen darf, geht mit einer anderen Sicherheit in das erste Kundengespräch, und genau dafür gibt es bei cmt Laborzeit unter Anleitung.