Interviewfragen für Security Architects, mit ausgearbeiteten Antworten

So nutzt du diese Fragen

Viele Runden geben dir ein Diagramm und fragen, was dir Sorgen macht. Fang damit an, was das System schützt und wer es angreifen würde, und geh dann Identitäten, Netz, Daten und Logging durch. Ordne, was du findest, nach dem Schaden, und sag, was du zuerst beheben und was du vorerst akzeptieren würdest.

Was ein Security Architect können muss

• Das Handwerk: SicherheitsarchitekturEntwerfen, wie ein System oder eine Firma geschützt wird, von Identitäten und Netzen bis zu Daten und Logging., von Referenzentwürfen bis zu Reviews einzelner Projekte.
• Die Grundlagen: Identity and Access ManagementEntwerfen, wer und was jedes System erreichen darf: mit minimalen Rechten, starker Anmeldung und regelmäßigen Reviews., NetzeNetze, Firewalls und Segmente so gut lesen und entwerfen, dass du beurteilen kannst, was ein Angreifer erreicht. und Verschlüsselung.
• Die moderne Landschaft: Cloud-SicherheitCloud-Konten, Netze und Dienste von Anfang an sicher entwerfen, mit Leitplanken, die Teams nicht aus Versehen abschalten können. und Zero TrustDen schrittweisen Weg zu Zero Trust planen, bei dem jede Anfrage geprüft wird, egal woher sie kommt..
• Die Methode: Threat ModelingThreat-Modeling-Sitzungen leiten, die die echten Risiken eines Entwurfs finden, bevor er gebaut wird. und ein Managementsystem wie ISO 27001Wissen, was ein Managementsystem nach ISO 27001 von der Architektur und ihren Nachweisen verlangt..

Anzeigen nennen Werkzeuge gleichberechtigt nebeneinander, und keines ist Pflicht: Microsoft Entra ID und Okta für Identitäten, HashiCorp Vault und die Schlüsseldienste der Cloud-Anbieter für Secrets, OWASP Threat Dragon, IriusRisk oder das Microsoft Threat Modeling Tool für Threat Models. Interviewer interessiert der Entwurf dahinter mehr als das Produkt.

Bedrohungen, Identitäten und das Netz

Wie erstellst du ein Threat Model für ein neues System?

Worauf sie achten: dass du die echten Risiken vor dem Bau findest.

Kurze Antwort: „Ein Threat Model ist ein strukturierter Blick darauf, was an einem Entwurf schiefgehen kann: was wir schützen, wer es angreifen könnte, wie, und was wir gegen jede Bedrohung tun. Ich zeichne mit dem Team die Datenflüsse, markiere, wo sich das Vertrauen ändert, gehe die Bedrohungen an jeder Grenze mit einer einfachen Checkliste durch und vereinbare die Korrekturen mit den Verantwortlichen.“

Die ausführliche Antwort: Mach es früh und halte es kurz; eine Stunde mit dem Team vor dem Bau findet mehr als ein langer Bericht danach.

Schwache Antwort: „Der Penetrationstest findet die Probleme.“ Nachfrage: „Das Team hat keine Zeit für einen Workshop.“ Sag, was du stattdessen tust.

Was bedeutet Zero Trust für dich in einem echten Entwurf?

Worauf sie achten: dass aus einem Schlagwort Entscheidungen werden.

Kurze Antwort: „Zero Trust heißt, keiner Anfrage wird vertraut, weil sie von einem bestimmten Ort kommt, etwa aus dem Büronetz; jede wird darauf geprüft, wer oder was fragt, in welchem Zustand das Gerät ist und was erreicht werden soll. In der Praxis: starke Anmeldung für alle, Zugriff je Anwendung statt auf das ganze Netz und ein Protokoll jeder Entscheidung.“

Die ausführliche Antwort: Es ist eine Richtung, kein Produkt; plane es in Schritten, beginnend mit den wertvollsten Anwendungen.

Schwache Antwort: „Wir haben ein Zero-Trust-Produkt gekauft.“ Nachfrage: „Eine alte Anwendung kann keine moderne Anmeldung.“ Sag, wie du sie einbindest.

Wie entwirfst du Identitäten und Zugriffe für Beschäftigte, Kunden und Maschinen?

Worauf sie achten: IdentitätenEntwerfen, wer und was jedes System erreichen darf: mit minimalen Rechten, starker Anmeldung und regelmäßigen Reviews., wo die meisten Angriffe beginnen.

Kurze Antwort: „Eine Identität je Person oder Service, starke Anmeldung und Least Privilege, also bekommt jedes Konto nur den Zugriff, den seine Arbeit braucht, und nur so lange, wie es ihn braucht. Admin-Rechte werden für eine Aufgabe vergeben und laufen ab; Maschinen-Identitäten bekommen eigene Konten und Schlüssel; Zugriffe werden mit den Verantwortlichen überprüft.“

Die ausführliche Antwort: Kunden brauchen einen anderen Entwurf als Beschäftigte: eine einfache Anmeldung, Schutz vor der Übernahme von Konten und eigene Regeln für den Datenschutz.

Schwache Antwort: „Jeder in der IT hat Admin-Rechte.“ Nachfrage: „Ein Servicekonto hat seit sechs Jahren dasselbe Passwort.“ Sag, was du tust.

Wie würdest du ein Netz segmentieren, das über die Jahre flach gewachsen ist?

Worauf sie achten: dass du begrenzt, wie weit ein Angreifer kommt.

Kurze Antwort: „Segmentierung heißt, ein Netz in Zonen aufzuteilen, damit ein Einbruch in einem Teil nicht den Rest erreicht. Ich erfasse, welche Systeme mit welchen sprechen, stelle die wertvollsten in eigene Zonen, erlaube nur die Verbindungen, die gebraucht werden, und gehe Schritt für Schritt vor: erst beobachten, dann blockieren.“

Die ausführliche Antwort: Fang in einem Überwachungsmodus an; er zeigt die Verbindungen, die niemand dokumentiert hat, bevor du sie kappst.

Schwache Antwort: „Wir haben eine Firewall an den Rand gestellt.“ Nachfrage: „Eine Produktionslinie steht still, wenn du eine Verbindung blockierst.“ Sag, wie du das vermeidest.

Wie entscheidest du, was verschlüsselt wird und wer die Schlüssel hält?

Worauf sie achten: Verschlüsselung, die wirklich schützt.

Kurze Antwort: „Daten in der Übertragung immer; gespeicherte Daten standardmäßig, mit zusätzlichem Schutz für die sensibelsten Daten. Schlüsselmanagement heißt, wie Schlüssel erzeugt, gespeichert, rotiert, genutzt und vernichtet werden; ich lege Schlüssel in einen verwalteten Schlüsseldienst oder ein Hardware-Modul, getrennt von den Daten, mit Zugriff für so wenige Menschen und Services wie möglich.“

Die ausführliche Antwort: Verschlüsselung ist nur so stark wie die Kontrolle über ihre Schlüssel; die meisten Fehler sind Schlüssel am falschen Ort.

Schwache Antwort: „Die Cloud verschlüsselt sowieso alles.“ Nachfrage: „Eine Aufsicht fragt, wer die Kundendaten lesen kann.“ Sag, wie du antwortest.

Wo liegen Secrets in deinen Entwürfen, und wie werden sie rotiert?

Worauf sie achten: eine häufige Schwäche, die sich vermeiden lässt.

Kurze Antwort: „Passwörter, Tokens und Schlüssel liegen in einem Secrets Store wie HashiCorp Vault oder dem Secret-Dienst eines Cloud-Anbieters, nie im Code oder in Konfigurationsdateien. Anwendungen holen sie zur Laufzeit mit ihrer eigenen Identität, und der Store rotiert sie nach Plan und nach jedem Verdacht.“

Die ausführliche Antwort: Durchsuche auch die Code-Repositories nach Secrets; die alten sind oft noch gültig.

Schwache Antwort: „Die Entwickler bewahren sie sicher auf.“ Nachfrage: „Ein Schlüssel wurde in ein öffentliches Repository gepusht.“ Sag, was in der nächsten Stunde passiert.

Entwürfe, Risiken und Partner

Was bedeutet Secure by Design in einem Projekt, zu dem du spät dazukommst?

Worauf sie achten: dass du vorankommst, wenn der ideale Moment vorbei ist.

Kurze Antwort: „Secure by Design heißt, Entscheidungen zur Sicherheit sind von Anfang an Teil des Entwurfs, sodass die sichere Wahl die Voreinstellung ist. Wenn ich spät dazukomme, mache ich ein kurzes Threat Model, behebe, was sich noch günstig ändern lässt, und mache aus dem Rest einen Plan mit Terminen, damit das nächste Release besser ist als dieses.“

Die ausführliche Antwort: Sorg dafür, dass man dich das nächste Mal früher einlädt, indem du diesmal nützlich bist.

Schwache Antwort: „Ich stoppe das Release.“ Nachfrage: „Der Go-live ist in zwei Wochen.“ Sag, was vorher behoben sein muss.

Ein Team kann einen Sicherheitsstandard nicht rechtzeitig erfüllen. Wie gehst du mit der Risikoausnahme um?

Worauf sie achten: dass die richtigen Menschen über Risiken entscheiden.

Kurze Antwort: „Eine Risikoausnahme ist eine festgehaltene Entscheidung, eine Lücke gegenüber einem Standard für eine begrenzte Zeit zu akzeptieren. Ich beschreibe das Risiko in Begriffen des Geschäfts, schlage Kontrollen vor, die es in der Zwischenzeit senken, und lasse den Verantwortlichen im Geschäft unterschreiben, nicht die Sicherheit, mit einem Enddatum.“

Die ausführliche Antwort: Prüf Ausnahmen, bevor sie ablaufen; eine vergessene Ausnahme wird zum Standard.

Schwache Antwort: „Ich genehmige sie, damit das Projekt weiterläuft.“ Nachfrage: „Dasselbe Team bittet um seine dritte Verlängerung.“ Sag, was du tust.

Wie beurteilst du die Sicherheit eines Dritten oder eines SaaS-Produkts?

Worauf sie achten: das Risiko der Lieferkette.

Kurze Antwort: „Danach, was es berührt: die Daten, die Zugriffe und wie schwer es wäre, wieder auszusteigen. Bei Lieferanten mit hohem Risiko lese ich ihre Zertifizierungen und Berichte, stelle gezielte Fragen zu Identitäten, Verschlüsselung und Vorfällen und entwerfe unsere Seite so, dass ihr Ausfall uns so wenig wie möglich schadet, mit begrenztem Zugriff und eigenem Logging.“

Die ausführliche Antwort: Ein Zertifikat auf der Website beantwortet wenige Fragen; frag, was es abdeckt.

Schwache Antwort: „Sie sind zertifiziert, also passt das.“ Nachfrage: „Der Lieferant beantwortet deine Fragen nicht.“ Sag, was du empfiehlst.

Welches Logging planst du ein, damit sich Vorfälle untersuchen lassen?

Worauf sie achten: Erkennung und Reaktion, die im Entwurf eingebaut sind.

Kurze Antwort: „Anmeldungen, Admin-Aktionen, Zugriffe auf sensible Daten, Änderungen an Sicherheitseinstellungen und Netzverbindungen an den Grenzen, geschickt an einen zentralen Ort, den die eigenen Admins des Systems nicht ändern können, mit synchronen Uhrzeiten. Ich stimme mit den Security Analysts ab, welche Alarme sie brauchen und wie lange Logs nach den geltenden Regeln aufbewahrt werden.“

Die ausführliche Antwort: Teste es: Bitte das Incident-Team, ein ausgedachtes Ereignis nur mit den Logs zu untersuchen.

Schwache Antwort: „Wir protokollieren alles.“ Nachfrage: „Die Logs kosten mehr als das System.“ Sag, was du behältst.

Wie sicherst du eine Landing Zone in der Cloud ab?

Worauf sie achten: Cloud-SicherheitCloud-Konten, Netze und Dienste von Anfang an sicher entwerfen, mit Leitplanken, die Teams nicht aus Versehen abschalten können. von Anfang an im Entwurf.

Kurze Antwort: „Eine Landing Zone ist die vorbereitete Struktur aus Konten oder Subscriptions, in die Teams ausliefern. Ich trenne die Umgebungen, binde Identitäten an das zentrale Verzeichnis an, setze Leitplanken, die riskante Einstellungen wie öffentlichen Speicher blockieren, schicke Logs an ein zentrales Konto und halte die Netzrouten unter Kontrolle, auf AWS genauso wie auf Azure.“

Die ausführliche Antwort: In der Cloud schlagen Leitplanken Reviews, denn sie greifen bei jeder Änderung, zu jeder Stunde.

Schwache Antwort: „Jedes Team richtet sein eigenes Konto ein.“ Nachfrage: „Ein Team braucht einen öffentlichen Endpunkt.“ Sag, wie es ihn sicher bekommt.

Wie schützt du ein Altsystem, das sich nicht patchen lässt?

Worauf sie achten: Realismus im Umgang mit alter Technik.

Kurze Antwort: „Ich verkleinere, wer und was es erreichen kann: ein eigenes Netzsegment, Zugriff über ein kontrolliertes Gateway, kein Internet und eine enge Überwachung dessen, was mit ihm spricht. Ich halte das Risiko mit dem Verantwortlichen fest und dränge auf einen Termin für den Ersatz.“

Die ausführliche Antwort: Viele alte Systeme steuern Maschinen oder Zahlungen; schütze sie an den Rändern, denn sie zu ändern, ist oft das größere Risiko.

Schwache Antwort: „Abschalten.“ Nachfrage: „Es steuert das Lager.“ Sag, was du diesen Monat tust.

Standards, Reviews und neue Technik

Wie prägen ISO 27001 und die EU-Richtlinie NIS2 deine Arbeit an der Architektur?

Worauf sie achten: dass du Standards und Regeln mit Entwürfen verbindest.

Kurze Antwort: „ISO 27001 ist der internationale Standard, um Informationssicherheit als Managementsystem zu betreiben, mit Risiken, Kontrollen und Nachweisen; NIS2 ist eine EU-Richtlinie, die Pflichten zu Sicherheit und Meldungen für viele Branchen festlegt und von jedem Mitgliedstaat in sein eigenes Recht übertragen wird. Beide verlangen Kontrollen nach Risiko und Nachweise; ich sorge dafür, dass die Architektur zeigt, welche Kontrolle welches Risiko abdeckt.“

Die ausführliche Antwort: Außerhalb der EU gelten andere Regeln, etwa die Frameworks des NIST in den USA oder die Leitlinien des britischen NCSC; die Rechtsabteilung der Firma sagt, welche sie binden. In Deutschland folgen viele Sicherheitsentwürfe außerdem dem IT-Grundschutz, der Methode des BSI.

Schwache Antwort: „Das macht Compliance.“ Nachfrage: „Ein Auditor fragt, woher du weißt, dass eine Kontrolle wirkt.“ Sag, welche Nachweise du zeigst.

Wie führst du ein Architektur-Review, zu dem Teams gern kommen?

Worauf sie achten: Einfluss, ohne zu blockieren.

Kurze Antwort: „Früh, kurz und nützlich: ein Review, solange der Entwurf noch eine Skizze ist, eine klare Liste, was sich ändern muss und was ein Rat ist, und Muster, die sie wiederverwenden können, damit das nächste Review schneller geht. Ich veröffentliche die Referenzentwürfe, damit Teams sich selbst prüfen können.“

Die ausführliche Antwort: Zähl, wie viele Teams kommen, bevor sie müssen; das ist das Maß für ein gutes Review.

Schwache Antwort: „Jedes Projekt braucht meine Freigabe.“ Nachfrage: „Ein Team ist ohne Review live gegangen.“ Sag, was du tust.

Wie würdest du ein System absichern, das KI nutzt oder sensible Daten hält?

Worauf sie achten: die Risiken von heute.

Kurze Antwort: „Ich behandle das KI-Modell als Komponente, die sich täuschen lässt: Eingaben können versteckte Anweisungen tragen, Ausgaben können Daten preisgeben, und das Modell hat vielleicht mehr Zugriff, als es sollte. Ich begrenze, was es erreichen kann, filtere Ein- und Ausgaben, protokolliere seine Aktionen, lasse bei wichtigen Entscheidungen einen Menschen entscheiden und klassifiziere die Daten, die es sieht.“

Die ausführliche Antwort: Regeln für Daten gelten für KI wie für jedes System; der Datenschutzbeauftragte ist Teil des Reviews, wo personenbezogene Daten genutzt werden.

Schwache Antwort: „Um die Sicherheit kümmert sich der KI-Anbieter.“ Nachfrage: „Der Chatbot hat mit den Daten eines anderen Kunden geantwortet.“ Sag, was versagt hat.

Senior-Runden

Wie würdest du als Senior Security Architect die Sicherheitsarchitektur für eine ganze Firma festlegen?

Worauf sie achten: Strategie, Prioritäten und Menschen.

Kurze Antwort: „Ich gehe von den Risiken des Geschäfts und dem heutigen Stand aus, schreibe eine kurze Referenzarchitektur für Identitäten, Netz, Daten, Cloud und Logging und mache aus den Lücken eine Roadmap, die die Geschäftsleitung finanziert. Ich baue Muster, die Teams wiederverwenden können, und coache die Architekten, die Projekte prüfen.“

Die ausführliche Antwort: Ein Principal Security Architect oder Head of Security Architecture wird an Risiken gemessen, die in der ganzen Firma gesunken sind, nicht an Dokumenten.

Schwache Antwort: „Ich schreibe die Sicherheitsrichtlinie.“ Nachfrage: „Das Budget deckt ein Drittel deiner Roadmap.“ Sag, was zuerst kommt.

Dein Lebenslauf für diese Fragen

Jeder Job in deinem Lebenslauf lädt zu den Fragen oben ein: welches System, welche Bedrohung, welche Kontrolle und was sich geändert hat. Gib diesen Geschichten je eine Zeile, so geschrieben, dass eine Sicherheitsleitung mehr hören will:

Leg deinen Lebenslauf mit dem kostenlosen Score neben einen Job als Security Architect, den du willst; den Bereich, den er als dünn erkennt, übst du zuerst, mit einem Entwurf, den du aus dem Kopf zeichnen und angreifen kannst.