Karriere als Security Engineer: zum Security Architect, Head of Security und CISO
Jeder Schritt auf der Leiter in der IT-Sicherheit, vom Security Engineer zum Security Architect, Head of Security und Chief Information Security Officer (CISO): was sich im Job ändert, welche Lücke du schließen musst, wie du es im Lebenslauf und im Vorstellungsgespräch zeigst und ein Plan, dem du neben der Arbeit folgen kannst.
Das cvscored-Team
Inhalt
Die Leiter auf einen Blick
| Schritt | Woran du als Nächstes gemessen wirst | Typische Dauer |
|---|---|---|
| Vom Security Engineer zum Senior Security Engineer | Bereiche, die du von vorn bis hinten verantwortest, ohne Reviewer | 2 bis 3 Jahre |
| Vom Senior Security Engineer zum Lead oder Staff Security Engineer | Sicherheitsergebnisse über mehrere Teams hinweg | 2 bis 4 Jahre |
| Vom Lead oder Staff Security Engineer zum Security Architect | Wie das ganze System zusammenpasst, aufgeschrieben | 2 bis 4 Jahre |
| Vom Security Architect zum Head of Security | Ein Team, ein Budget und der Sicherheitsplan der Firma | 3 Jahre oder mehr |
| Vom Head of Security zum CISO | Sicherheitsrisiko auf Ebene der Geschäftsleitung und das Vertrauen von Kunden und Aufsicht | 3 Jahre oder mehr |
Viele Security Engineers beginnen in Cloud-Teams, und Cloud-Sicherheit ist einer der geschäftigsten Bereiche dieses Felds; die Leiter der Cloud-Plattform selbst, bis zum Cloud Architect und Head of Cloud, steht in den Karrierewegen für Cloud Engineers.
Erkennung und Reaktion sind die andere Hälfte der Sicherheitsarbeit: Die Leiter vom SOC Analyst über den SOC Team Lead bis zum Head of Security Operations, die beim CISO auf diese trifft, steht in den Karrierewegen für Security Analysts.
Als Security Architect sind die nächsten Schritte Senior, Principal und Chief Security Architect oder Head of Security Architecture; sie stehen in den Karrierewegen für Security Architects.
Die Schritte bis zum Lead und Staff
Vom Security Engineer zum Senior Security Engineer
Was sich ändert: Du verantwortest einen Bereich, etwa Cloud-Leitplanken, Erkennungen oder Application Security, vom Plan bis zum Ergebnis, und andere kommen mit ihren Fragen zu dir.
Was dir fehlt: Tiefe in einem Bereich und Breite im Rest; Threat Models, die du leitest; Automatisierung in PythonIn 18 % der Anzeigen für Security Engineer gefragt (Stand 06.11.2026).Die Routine automatisieren: Logs auswerten, APIs aufrufen, Alarme anreichern und kleine Sicherheitswerkzeuge schreiben. oder Ähnlichem; und die Gewohnheit, zu messen, ob eine Maßnahme wirkt.
Im Lebenslauf und im Vorstellungsgespräch: ein Bereich, den du verantwortet hast, und wie sich sein Risiko verändert hat, mit einer Zahl. Rechne mit einem Design-Review oder dem Durchgehen eines Incidents.
Plan (9 bis 12 Monate): Nimm deinem Lead einen Bereich ab; automatisiere seine mühsamste Aufgabe; leite zwei Threat Models; schreib das Runbook, das andere nutzen.
Vom Senior Security Engineer zum Lead Security Engineer
Was sich ändert: Du führst eine kleine Gruppe von Security Engineers: die Arbeit planen, prüfen, Hindernisse wegräumen und Prioritäten mit Engineering Managern abstimmen.
Was dir fehlt: Planen und Nein sagen, Engineers coachenIn 8 % der Anzeigen für Security Engineer gefragt (Stand 06.11.2026).Die Sicherheitsrichtung für mehrere Teams vorgeben, Entwürfe prüfen und andere Engineers weiterbringen. und Prioritäten abstimmenIn 6 % der Anzeigen für Security Engineer gefragt (Stand 06.11.2026).Produkt, Entwicklung und Rechtsabteilung für Korrekturen gewinnen, die mit neuen Funktionen um Zeit konkurrieren. mit Teams, die eigene Termine haben.
Im Lebenslauf und im Vorstellungsgespräch: Arbeit, die deine Gruppe geliefert hat, und wie du sie dorthin gebracht hast. Rechne mit Fragen zu einem Konflikt über Prioritäten und dazu, wie du einen Junior wachsen lässt.
Plan (12 Monate): Leite zwei Quartale lang die Planung der Gruppe; begleite zwei Engineers als Mentor; vereinbare ein gemeinsames Ziel mit einem Engineering Manager und berichte jeden Monat darüber.
Vom Senior Security Engineer zum Staff Security Engineer
Was sich ändert: Du übernimmst die schwersten Sicherheitsprobleme, die über Teams hinweg reichen, etwa die Umstellung der Firma auf Single Sign-on oder auf kurzlebige Zugangsdaten, und setzt den technischen Standard.
Was dir fehlt: Vorschläge schreiben, denen andere folgen, Paved Roads entwerfen, die von Haus aus sicher sind, und Einfluss, ohne jemandes Führungskraft zu sein.
Im Lebenslauf und im Vorstellungsgespräch: eine Änderung über Teams hinweg, die du vorangetrieben hast, mit ihrer Wirkung. Rechne mit einer Frage zum Systemdesign, in deren Mitte die Sicherheit steht.
Plan (12 Monate): Schreib einen firmenweiten Vorschlag und gewinne Zustimmung dafür; bau eine Paved Road, die ein Team übernimmt; prüf jede Woche Entwürfe außerhalb deines eigenen Bereichs.
Die Schritte nach Lead und Staff
Vom Lead Security Engineer zum Security Architect
Was sich ändert: Du entwirfst, wie Identität, Netze, Datenschutz und Monitoring in der ganzen Firma zusammenpassen, und schreibst die Referenzentwürfe, nach denen Teams bauen.
Was dir fehlt: ein Blick auf die ganze IT-Landschaft, Cloud und eigenes Rechenzentrum; Rahmenwerke wie Zero Trust; und einen Entwurf so zeichnen, dass Engineers und Führungskräfte ihm folgen können.
Im Lebenslauf und im Vorstellungsgespräch: eine Referenzarchitektur, die du geschrieben hast, und die Projekte, die sie genutzt haben. Rechne damit, am Whiteboard einen sicheren Entwurf für ein neues System zu zeichnen.
Plan (12 Monate): Dokumentiere die heutige Sicherheitsarchitektur; schreib zwei Referenzentwürfe; sitz bei jedem großen Projekt im Architekturgremium.
Vom Staff Security Engineer zum Security Architect
Was sich ändert: Deine Standards über Teams hinweg werden zur Sicherheitsarchitektur der Firma, die du verantwortest und aktuell hältst.
Was dir fehlt: Breite außerhalb deines stärksten Bereichs, die Sprache von Risiko und Compliance und Planung über mehrere Jahre statt über ein Projekt.
Im Lebenslauf und im Vorstellungsgespräch: die Standards, die du gesetzt hast, und wie sie die IT-Landschaft verändert haben. Rechne mit Fragen zu einem Entwurf für eine regulierte Anwendung.
Plan (12 Monate): Füll deinen schwächsten Bereich mit einem echten Projekt; ordne die Maßnahmen einem Rahmenwerk wie ISO 27001In 29 % der Anzeigen für Security Engineer gefragt (Stand 06.11.2026).Die internationale Norm für ein Managementsystem für Informationssicherheit: Risiken, Maßnahmen, Audits. zu; stell einen Zielentwurf über mehrere Jahre vor.
Vom Security Architect zum Head of Security
Was sich ändert: Du leitest das Sicherheitsteam und sein Budget, verantwortest den Sicherheitsplan der Firma und stehst für Vorfälle und Audits ein.
Was dir fehlt: Menschen einstellen und führen, Budgets und Lieferanten, Richtlinien, Audits und Aufsichtsbehörden und Präsentationen vor der Leitung.
Im Lebenslauf und im Vorstellungsgespräch: das Team, das du aufgebaut hast, das Programm, das du geleitet hast, und ein Audit oder ein Vorfall, den du geführt hast. Rechne mit Fragen zu Prioritäten bei festem Budget.
Plan (12 Monate oder mehr): Führe zwei oder drei Menschen; verantworte ein Audit von Anfang bis Ende; schreib den Sicherheitsplan für das nächste Jahr mit seinen Kosten; mach eine Incident-Übung mit der Leitung.
Vom Head of Security zum CISO
Was sich ändert: Du verantwortest das Sicherheitsrisiko der ganzen Organisation, berichtest an den CEO oder die Geschäftsleitung und sprichst für die Firma gegenüber Kunden und Aufsicht.
Was dir fehlt: Berichte an die Geschäftsleitung, die rechtlichen Pflichten der Firma, Krisenkommunikation und Sicherheit als Teil der Geschäftsstrategie.
Im Lebenslauf und im Vorstellungsgespräch: das Risiko, das du auf Ebene der Firma gesenkt hast, das Programm, das du aufgebaut hast, und wie du mit der Geschäftsleitung gearbeitet hast. Rechne mit einer Fallstudie zu einem schweren Einbruch.
Plan (12 Monate oder mehr): Präsentiere vor der Geschäftsleitung oder ihrem Risikoausschuss; leite eine Krisenübung mit der Führungsebene; bau eine Sicherheitsstrategie, die an die Pläne der Firma geknüpft ist.
Dein Lebenslauf für den nächsten Schritt
Bei jedem Schritt nach oben in der Sicherheit wollen die Einstellenden den größeren Rahmen schon in deinem Lebenslauf sehen, unter einem echten Job, in den Wörtern ihrer Anzeigen. Drei Regeln:
- Behalte die Titel, die du hattest. Zeig den größeren Rahmen in den Zeilen unter jedem Job.
- Nutze die Wörter der nächsten Stufe. Eine Senior-Rolle will „verantwortet“, „Threat Models“, „Automatisierung“; eine Rolle als Lead oder Staff will „über Teams hinweg“, „Standards“, „Mentoring“; eine Architektenrolle will „Referenzarchitektur“, „Zero Trust“; eine Rolle als Head of Security will „Programm“, „Budget“, „Audit“, „Geschäftsleitung“.
- Sag, was sich verändert hat. Ein gesenktes Risiko, ein bestandenes Audit, ein schneller eingedämmter Vorfall oder Menschen, die du hast wachsen lassen.
| Skill | Schwache Zeile | Starke Zeile, mit Beleg |
|---|---|---|
| Verantwortung | An Cloud-Sicherheit gearbeitet. | Die Cloud-Leitplanken für 85 Subscriptions verantwortet; Vorfälle mit öffentlichem Speicher gingen von monatlich auf null zurück. |
| Über Teams hinweg | Anderen Teams geholfen. | 40 Services mit ihren Teams auf kurzlebige Zugangsdaten umgestellt; keine langlebigen Keys mehr in der Produktion. |
| Architektur | Sicherheitslösungen entworfen. | Den Referenzentwurf für Zero Trust geschrieben; die 6 sensibelsten Anwendungen zogen innerhalb eines Jahres dahinter um. |
| Programm | Sicherheit gemanagt. | Ein Team von 5 Menschen und den Sicherheitsplan aufgebaut; das erste Zertifikat nach ISO 27001 in 14 Monaten. |
Das Wichtigste
- Die Leiter: Security Engineer, Senior, Lead oder Staff, Security Architect, Head of Security, dann CISO.
- Senior heißt, einen Bereich zu verantworten und zu zeigen, dass sein Risiko gesunken ist.
- Der Lead lässt eine Gruppe von Engineers wachsen; der Staff Engineer löst die schwersten Probleme über Teams hinweg.
- Der Security Architect entwirft, wie die ganze IT-Landschaft zusammenpasst; der Head of Security bringt ein Team, ein Budget und Audits dazu.
- Der CISO verantwortet das Sicherheitsrisiko der Organisation und spricht mit Geschäftsleitung, Kunden und Aufsicht.
Häufige Fragen
- Was kommt nach dem Senior Security Engineer?
- Lead oder Staff Security Engineer, dann Security Architect, Head of Security und CISO.
- Was ist der Unterschied zwischen Lead und Staff?
- Beide stehen auf derselben Stufe. Ein Lead führt eine Gruppe von Engineers; ein Staff Engineer treibt die schwerste technische Arbeit über Teams hinweg voran, ohne Menschen zu führen.
- Brauche ich das CISSP, um Security Architect oder CISO zu werden?
- Viele Anzeigen für diese Rollen nennen es, und es zeigt breites Wissen. Entscheidend ist der Rahmen, den du schon verantwortet hast, gezeigt mit Ergebnissen.
- Arbeitet ein CISO noch selbst praktisch mit?
- Selten. Der CISO gibt die Richtung vor, verantwortet das Risiko und das Budget und führt die Menschen, die die praktische Arbeit machen.
- Was sollte der Lebenslauf für eine Rolle als Head of Security zeigen?
- Ein Team, das du aufgebaut hast, ein Programm, das du geleitet hast, ein Audit oder einen Vorfall, den du geführt hast, und das Risiko, das gesunken ist.