Security Analyst: Skills, Gehalt und der Weg in den Job

Was ein Security Analyst macht

Ein Security Analyst arbeitet in einem oder für ein Security Operations Center, kurz SOC: das Team, das die Logs und Alarme einer Firma rund um die Uhr überwacht. Der Analyst prüft jeden Alarm, entscheidet, ob er harmlos ist oder ein Angriff, trägt zusammen, was passiert ist, und eskaliert oder dämmt ihn ein. Zwischen den Alarmen tunt er Erkennungsregeln, sucht nach Bedrohungen, die die Werkzeuge übersehen haben, und schreibt Vorfälle auf, damit die Firma daraus lernt.

Der Analyst findet Angriffe und reagiert auf sie; der Security Engineer baut und härtet die Abwehr, und der Cloud Engineer betreibt die Plattformen, aus denen immer mehr Logs kommen. Viele SOCs teilen Analysten in Stufen ein: Stufe eins prüft Alarme, Stufe zwei untersucht, Stufe drei sucht aktiv nach Bedrohungen und behandelt große Vorfälle. Die Stufen vom Junior-Analysten bis zum CISO stehen in den Karrierewegen (auf Englisch).

Die Skills, die Anzeigen verlangen

Wir lesen jeden Tag eine Stichprobe der Anzeigen und zählen die Skills, die sie nennen. Am Computer zeigt ein Skill im Text seinen Anteil, wenn du mit der Maus darauf zeigst; auf dem Handy steht dasselbe in der Tabelle.

Zuerst kommen die Werkzeuge: ein SIEMLogs in einem SIEM durchsuchen und verknüpfen, Erkennungsregeln tunen und einen echten Alarm vom Rauschen unterscheiden., das System, das Logs sammelt und Alarm schlägt, und EDRLesen, was ein Endpoint-Werkzeug auf einem Laptop oder Server gesehen hat, eine Maschine isolieren und Beweise sichern., Endpoint Detection and Response auf Laptops und Servern. Anzeigen nennen die Produkte nebeneinander: Splunk, Microsoft Sentinel, QRadar oder Elastic als SIEM und CrowdStrike, SentinelOne oder Microsoft Defender für Endgeräte. Es zählt, eines gut zu kennen und die Ideen hinter allen zu verstehen.

Das Wissen hinter den Werkzeugen: Grundlagen der IT-SicherheitDie Grundlagen von Angriff und Abwehr: Identitäten, Netzwerke, Endgeräte, Cloud, E-Mail und das Web., NetzwerkeProtokolle, Ports, DNS, Proxys und Firewalls gut genug kennen, um Netzwerklogs und Datenverkehr zu lesen., WindowsWindows-Ereignisse, Active Directory und Gruppenrichtlinien: wo die meisten Angriffe im Büro Spuren hinterlassen.- und LinuxSich auf einem Linux-Server zurechtfinden: Prozesse, Benutzer, Logs und was ein Angreifer ändern würde.-Systeme, Cloud-Logs von Plattformen wie AzureAnmelde- und Aktivitätslogs der Cloud, Identitätsrisiken und die Sicherheitseinstellungen eines Cloud-Tenants., die Behandlung von VorfällenEinen Vorfall vom ersten Alarm bis zum Abschluss führen: eindämmen, informieren, wiederherstellen und dokumentieren. und Threat IntelligenceBerichte über Angreifer und ihre Methoden nutzen, um zu entscheiden, wonach du suchst und was du blockierst.. PythonKurze Skripte, um Logs auszuwerten, Schnittstellen von Werkzeugen aufzurufen und wiederkehrende Schritte der Triage zu automatisieren. oder PowerShellSkripte von Angreifern lesen und kleine eigene für Prüfungen unter Windows und das Sichern von Beweisen schreiben. helfen, wiederkehrende Schritte zu automatisieren, digitale ForensikBeweise von Festplatten, Arbeitsspeicher und Logs so sichern und untersuchen, dass die Ergebnisse später standhalten. zählt in Rollen der Incident Response und ISO 27001Die internationale Norm für das Management der Informationssicherheit und die Nachweise, die ein Audit verlangt. in Firmen, die danach zertifiziert sind. Die persönliche Stärke, die am häufigsten genannt wird, ist KommunikationUnter Zeitdruck eine Notiz zum Vorfall schreiben, die eine Führungskraft versteht und ein Engineer umsetzen kann.: Eine Notiz zu einem Vorfall muss auch um drei Uhr morgens klar sein. EnglischDie Sprache der Sicherheitswerkzeuge, der Herstellerhinweise, der Berichte über Bedrohungen und vieler SOC-Teams. ist die Sprache der meisten Sicherheitswerkzeuge und Berichte, und DeutschIn den meisten Anzeigen in Deutschland, Österreich und der Schweiz verlangt, für Berichte und Gespräche mit Nutzern. verlangen die meisten Anzeigen in den deutschsprachigen Ländern.

Wo die Jobs sind, Land für Land

Jedes Land unten hat seine eigenen Zahlen: welche Städte die meisten Jobs in unserer Liste haben, ob die Zahl steigt oder sinkt, wie oft Anzeigen Homeoffice oder hybrides Arbeiten anbieten, die Titel im Land und Gehaltsspannen aus veröffentlichten Studien in der Landeswährung. Für Österreich haben wir keine eigene Gehaltsrecherche; dort steht, wie du eine Anzeige liest.

Meldepflichten und Zertifikate

Wenn ein Vorfall ernst ist, kann das Gesetz eine Frist setzen. In der EU verlangt die DSGVO, eine Datenpanne mit personenbezogenen Daten möglichst binnen zweiundsiebzig Stunden der Datenschutzbehörde zu melden, und die NIS2-Richtlinie der EU verlangt von den erfassten Firmen binnen eines Tages eine Frühwarnung; Banken und Versicherungen in der EU melden schwere Vorfälle nach den DORA-Regeln der EU. Die USA, Großbritannien, die Schweiz und Indien haben eigene Regeln, die in ihren Abschnitten unten stehen. Deine Aufgabe als Analyst ist es, Zeiten und Fakten festzuhalten, damit die Entscheider diese Fristen einhalten können. Das ist ein Überblick zur Orientierung, keine Rechtsberatung; was gilt, entscheiden die Juristen der Firma und ihr Datenschutzbeauftragter.

Zertifikate stehen in vielen Anzeigen und werden hier nebeneinander genannt: CompTIA Security+ und CySA+, GCIH von GIAC für die Behandlung von Vorfällen und OSCP von OffSec für offensive Skills. Manche Anzeigen nennen eines, andere keines; die Alarme, die du bearbeitet hast, und die Vorfälle, an denen du gearbeitet hast, zählen mehr als eine Liste von Zertifikaten.

Dein Lebenslauf für einen Job als Security Analyst

Den Lebenslauf eines Security Analysts lesen zwei: die Bewerbersoftware, die die Wörter der Anzeige sucht, und ein SOC-Lead, der wissen will, welche Werkzeuge du genutzt hast, welche Vorfälle du bearbeitet hast und wie du denkst. Zeig beides: die Stichwörter und die Belege.

Nutze die Stichwörter der Anzeige

• Nenne Werkzeuge und Aufgaben so wie die Anzeige: „SIEM“, „EDR“, „Incident Response“, „Threat Hunting“, „Alert-Triage“ und die Produkte, die du genutzt hast. Die Skill-Tabelle oben zeigt, welche Stichwörter die Anzeigen am häufigsten nutzen.
• Sag, was du überwacht hast: ungefähr wie viele Systeme oder Nutzer, welche Arten von Logs und ob es eine Firma war oder viele Kunden.
• Schreib ein Zertifikat, an dem du noch arbeitest, als „laufend“ mit dem Prüfungstermin, neben die Arbeit, die es stützt.
• Ein Heimlabor, Capture-the-Flag-Wettbewerbe oder Write-ups zählen für die erste Stelle; verlinke öffentliche Write-ups, wenn du welche hast.

Belege jeden Skill

Eine Zeile in der Sicherheit belegt sich mit dem, was sich geändert hat: ein Angriff früh gestoppt, Rauschen gesenkt, damit echte Alarme gesehen werden, ein Vorfall schneller abgeschlossen, eine Regel, die etwas Neues gefunden hat.

Lass Vertrauliches weg: keine Kundennamen, internen Adressen oder Details zu offenen Schwachstellen.

Wie wir unsere Daten lesen

• Die Jobs: die Jobs als Security Analyst, SOC Analyst und IT-Sicherheitsanalyst in unserer Jobsuche, so zugeordnet, wie die Suche sie findet. Unsere Liste ist nicht der ganze Markt, deshalb nennen wir Anteile und Rangfolgen, nie Anzahlen.
• Die Skills: Wir lesen jeden Tag eine Stichprobe der Anzeigen und zählen die Skills darin mit einer festen Wortliste. Wir behalten nur diese Zählung, nie den Text der Anzeige.
• Gehalt: aus veröffentlichten Gehaltsstudien, mit Quelle und Datum, als Spanne vom Berufseinstieg bis Senior. Es ist nicht aus unseren Anzeigen berechnet.
• Datum: Jede Zahl wird täglich neu berechnet und nennt den Tag, an dem sie berechnet wurde.

Mehr zu diesem Beruf