Security Architect: Skills, Gehalt und der Weg in den Job

Was ein Security Architect macht

Ein Security Architect, auf Deutsch auch IT-Sicherheitsarchitekt, legt fest, wie der Schutz eingebaut wird: wer welches System erreichen darf, wie Netze getrennt werden, was verschlüsselt wird und wer die Schlüssel hält, was protokolliert wird und woran man einen Angriff bemerken würde. Die Arbeit reicht von der Referenzarchitektur einer Firma für Sicherheit bis zu Reviews einzelner Projekte, Threat Models mit Teams und Entscheidungen über Risiken, die sich nicht sofort beheben lassen.

Die Rolle liegt zwischen Bauen und Überwachen. Der Security Engineer baut und betreibt die Kontrollen, der Security Analyst überwacht und reagiert auf Alarme; der Security Architect entwirft, womit beide arbeiten. Security Architects prüfen die Entwürfe des Solution Architect und arbeiten mit dem Datenschutzbeauftragten zusammen, wo es um personenbezogene Daten geht. Die Stufen vom Security Architect bis zum Chief Security Architect stehen in den Karrierewegen (auf Englisch).

Die Regeln und Stellen, nach denen sich ein Entwurf richtet, sind von Land zu Land verschieden; jeder Abschnitt eines Landes nennt seine eigenen. Diese Seite beschreibt die Arbeit; sie ist keine Rechtsberatung.

Die Skills, die Anzeigen verlangen

Wir lesen jeden Tag eine Stichprobe der Anzeigen und zählen die Skills, die sie nennen. Am Computer zeigt ein Skill im Text seinen Anteil, wenn du mit der Maus darauf zeigst; auf dem Handy steht dasselbe in der Tabelle.

Der Kern führt: SicherheitsarchitekturEntwerfen, wie ein System oder eine Firma geschützt wird, von Identitäten und Netzen bis zu Daten und Logging. und breites Wissen in CybersicherheitDie Angriffe kennen, denen Firmen heute ausgesetzt sind, und wissen, welche Kontrollen sie stoppen, bremsen oder sichtbar machen., dann Identity and Access ManagementEntwerfen, wer und was jedes System erreichen darf: mit minimalen Rechten, starker Anmeldung und regelmäßigen Reviews., Cloud-SicherheitCloud-Konten, Netze und Dienste von Anfang an sicher entwerfen, mit Leitplanken, die Teams nicht aus Versehen abschalten können. auf AzureDie Sicherheitsdienste und die Tenant-Struktur von Azure gut genug kennen, um eine sichere Landing Zone zu entwerfen. oder AWSDie Sicherheitsdienste und die Kontostruktur von AWS gut genug kennen, um eine sichere Landing Zone zu entwerfen., NetzeNetze, Firewalls und Segmente so gut lesen und entwerfen, dass du beurteilen kannst, was ein Angreifer erreicht., Zero TrustDen schrittweisen Weg zu Zero Trust planen, bei dem jede Anfrage geprüft wird, egal woher sie kommt. und Threat ModelingThreat-Modeling-Sitzungen leiten, die die echten Risiken eines Entwurfs finden, bevor er gebaut wird.. Den Bericht eines PenetrationstestsDen Bericht eines Penetrationstests lesen und seine Befunde in Änderungen am Entwurf umsetzen, nicht nur in Patches. zu lesen und in Änderungen am Entwurf umzusetzen, gehört zum Job; ISO 27001Wissen, was ein Managementsystem nach ISO 27001 von der Architektur und ihren Nachweisen verlangt. gibt vielen Firmen den Rahmen für all das.

Die Zertifizierungen stehen gleichberechtigt nebeneinander, und keine ist überall Pflicht: CISSPDas breite Feld kennen, das der CISSP abdeckt, vom Risiko über Netze bis zur Sicherheit von Software. von ISC2 mit der Architektur-Vertiefung ISSAP, SABSADen Weg von SABSA kennen, Sicherheit aus den Anforderungen des Geschäfts abzuleiten, und ihn nutzen, wo er hilft. für eine Sicherheitsarchitektur aus den Anforderungen des Geschäfts, CCSP für Cloud-Sicherheit und TOGAF, wo Security Architects in einem Team für Unternehmensarchitektur arbeiten; die Cloud-Anbieter haben eigene Zertifizierungen für Sicherheit. Ein Zertifikat zeigt das abgedeckte Feld; ein Entwurf, den du verteidigen kannst, zeigt den Rest. Risiken zu erklärenEiner Geschäftsführung ein Risiko in geschäftlichen Begriffen erklären und einem Engineer eine Kontrolle im Detail., auch der Geschäftsführung, steht in den meisten Anzeigen. Standards und Berichte über Bedrohungen sind auf EnglischDie Sprache der meisten Sicherheitsstandards, Berichte über Bedrohungen und internationalen Teams. geschrieben; Auditoren und Fachbereiche in den deutschsprachigen Ländern erwarten DeutschIn den meisten deutschen Anzeigen verlangt, für die Arbeit mit Fachbereichen, Auditoren und Betriebsräten..

Wo die Jobs sind, Land für Land

Jedes Land unten hat seine eigenen Zahlen: welche Städte die meisten Jobs in unserer Liste haben, ob die Zahl steigt oder sinkt, wie oft Anzeigen Homeoffice oder hybrides Arbeiten anbieten, die Titel im Land und Gehaltsspannen aus veröffentlichten Studien in der Landeswährung. Für Österreich haben wir keine eigene Gehaltsrecherche; dort steht, wie du eine Anzeige liest.

Die Regeln und Stellen stehen nebeneinander, jede an ihrem Ort: ISO 27001 als internationaler Standard für das Sicherheitsmanagement; NIS2 in der EU; das BSI mit seinem IT-Grundschutz in Deutschland; die Frameworks des NIST in den USA; die Leitlinien des NCSC in Großbritannien; das Bundesamt BACS in der Schweiz; und die Vorgaben von CERT-In in Indien.

Ein Design-Review, Schritt für Schritt

1. Verstehen: was das System tut, welche Daten es hält, wer es nutzt und womit es verbunden ist.
2. Bedrohungen modellieren: wer es angreifen könnte, wie, und was dem Geschäft am meisten schaden würde.
3. Kontrollen wählen: Identitäten, Segmentierung, Verschlüsselung, Logging und der Rest, passend zum Risiko bemessen.
4. Abstimmen und festhalten: mit dem Team und dem Verantwortlichen, auch jedes Risiko, das vorerst akzeptiert wird.
5. Nachhalten: den Bau, die Tests und die offenen Risiken prüfen, bis sie geschlossen sind.

Ein großer Teil des Tages ist Beratung: ein Team fragt, ob ein Entwurf sicher genug ist, ein Verantwortlicher fragt, was ein Risiko bedeutet, ein Auditor fragt nach Nachweisen. Einem guten Security Architect vertraut man, weil sein Rat verhältnismäßig ist, nicht weil jede Anfrage ein Nein bekommt.

Dein Lebenslauf für einen Job als Security Architect

Den Lebenslauf eines Security Architects liest zuerst die Bewerbersoftware, die die Wörter der Anzeige sucht, dann eine Sicherheitsleitung, die sehen will, was du entworfen hast, welche Risiken du gesenkt hast und wie Teams es übernommen haben. Zeig beides: die Stichwörter und die Belege.

Nutze die Stichwörter der Anzeige

• Beschreib die Arbeit in den Wörtern der Anzeigen: „Sicherheitsarchitektur“, „Zero Trust“, „Identity and Access Management“, „Threat Modeling“, „Cloud-Sicherheit“ und die Standards, mit denen du gearbeitet hast. Die Skill-Tabelle oben zeigt, welche Stichwörter die Anzeigen am häufigsten nutzen.
• Sag, was du geschützt hast: die Zahlungssysteme einer Bank, eine Cloud-Landschaft, das Netz einer Fabrik.
• Zeig Ergebnisse in Begriffen von Risiko und Geschäft: geschlossene Angriffswege, erledigte Audit-Befunde, eingedämmte Vorfälle.
• Nenne eine Zertifizierung, die du noch nicht abgeschlossen hast, als „laufend“, mit dem Prüfungstermin, wenn du einen hast.

Belege jeden Skill

Eine Zeile zur Sicherheit belegt sich mit einem System, einer Kontrolle und einem Risiko, das gesunken ist.

Lass vertrauliche Details weg: keine Schwachstellen, die noch offen sind, keine Details des internen Netzes.

Wie wir unsere Daten lesen

• Die Jobs: die Jobs als Security Architect und IT-Sicherheitsarchitekt (Security Engineers und Analysts zählen auf ihren eigenen Seiten) in unserer Jobsuche, so zugeordnet, wie die Suche sie findet. Unsere Liste ist nicht der ganze Markt, deshalb nennen wir Anteile und Rangfolgen, nie Anzahlen.
• Die Skills: Wir lesen jeden Tag eine Stichprobe der Anzeigen und zählen die Skills darin mit einer festen Wortliste. Wir behalten nur diese Zählung, nie den Text der Anzeige.
• Gehalt: aus veröffentlichten Gehaltsstudien, mit Quelle und Datum, als Spanne vom Berufseinstieg bis Senior. Es ist nicht aus unseren Anzeigen berechnet.
• Datum: Jede Zahl wird täglich neu berechnet und nennt den Tag, an dem sie berechnet wurde.

Mehr zu diesem Beruf