Cybersecurity Quereinstieg: In 18 Monaten in den Beruf

Du willst in die Cybersecurity, nicht erst nach einem Informatikstudium, sondern jetzt. Die gute Nachricht: Der Bedarf an Fachleuten ist groß. Die schlechte: Unternehmen suchen Praktiker, keine Zertifikatssammler ohne Praxis. Wer nur mit einem PDF-Zertifikat und ohne praktische Erfahrung einen Job sucht, hat es schwer.

Hier steht ein Fahrplan, wie du in etwa 18 Monaten den Einstieg schaffen kannst: Homelab, Bug Bounties, die passenden Zertifizierungen und eine Bewerbung, die deine Praxis in den Vordergrund stellt. Es geht um den Weg zum Junior SOC Analyst, Pentester oder GRC-Spezialisten (Governance, Risk and Compliance). Das wird kein Spaziergang, ist aber machbar.

Wie starte ich in den ersten 6 Monaten ohne IT-Vorkenntnisse?

Bevor du dich auf Stellenanzeigen stürzt, musst du verstehen, wie IT funktioniert. Wer nicht weiß, wie ein TCP-Handshake abläuft oder was ein Active Directory ist, hat im ersten technischen Interview kaum eine Chance. Die ersten sechs Monate gehören deshalb den Grundlagen: Netzwerke, Linux und Windows-Server-Administration. Ohne diese Basis brauchst du an Pentesting gar nicht erst zu denken.

Welche Zertifikate zählen? Ein bunter Mix aus Online-Kursen beeindruckt wenig. Verbreitet als Einstieg für SOC-Positionen (Security Operations Center) ist CompTIA Security+. Für die offensive Richtung bietet sich der praxisorientierte eJPT an: Dort musst du eine Umgebung tatsächlich angreifen, statt nur Multiple-Choice-Fragen zu beantworten. Das macht sich in der Bewerbung gut, weil es zeigt, dass du praktisch arbeiten kannst.

Ein typischer Fehler in dieser Phase ist das Kaninchenloch der Werkzeuge. Lerne nicht 50 Tools oberflächlich, sondern verstehe die Konzepte dahinter. Warum nutzen Angreifer PowerShell? Wie funktioniert eine SQL-Injection? Im Gespräch wollen Arbeitgeber sehen, dass du die Logik verstehst. Ein Zertifikat öffnet die Tür, dein Wissen am Whiteboard überzeugt.

Wie ersetze ich fehlende Berufserfahrung in den Monaten 7 bis 12?

Das größte Problem für Quereinsteiger ist die fehlende Berufserfahrung. "Mindestens zwei Jahre Erfahrung" steht auch in vielen Anzeigen für Junior-Rollen. Die Lösung: Du baust dir Erfahrung zu Hause auf. Ein Homelab ist kein Spielzeug, sondern dein stärkstes Argument. Nimm dafür einen eigenen Abschnitt "Praktische Projekte und Labs" in deinen Lebenslauf auf.

Was gehört in ein Homelab? Ein gebrauchter Server oder ein ausrangierter Büro-PC, darauf eine Virtualisierung wie Proxmox. Darauf setzt du eine Active-Directory-Umgebung mit einem Windows Server und zwei Windows-Clients auf, dazu eine Firewall wie pfSense und ein SIEM (Security Information and Event Management), etwa Splunk in der kostenlosen Variante oder den ELK-Stack (Elasticsearch, Logstash, Kibana).

Jetzt wird es spannend: Du greifst deine eigene Umgebung an, zum Beispiel mit Kali Linux, und schaust dir im SIEM an, welche Logs dabei entstehen. Das ist echtes SOC-Training. Kannst du im Vorstellungsgespräch erzählen, wie du in deinem Labor einen Pass-the-Hash-Angriff erkannt und die Firewall-Regeln angepasst hast, sprichst du wie ein Praktiker. Diese Eigeninitiative macht viel fehlende Berufserfahrung wett.

Wie baue ich in den Monaten 13 bis 18 ein sichtbares Profil auf?

In der letzten Phase vor der Bewerbung machst du deine Fähigkeiten sichtbar. Bug-Bounty-Programme auf Plattformen wie HackerOne oder Bugcrowd sind dafür gut geeignet. Du musst keine kritische Lücke bei einem Weltkonzern finden. Auch bestätigte Funde wie Cross-Site Scripting (XSS) oder Fehlkonfigurationen bei kleineren Programmen sind ein Nachweis deines Könnens.

Zusätzlich solltest du ein GitHub-Repository pflegen. Du musst kein Programmierer sein, aber du solltest zeigen, dass du Skripte (Bash, Python oder PowerShell) nutzen kannst, um Aufgaben zu automatisieren. Ein kleines Skript, das täglich die Logs deiner Firewall scannt und bei Anomalien eine Mail schickt, zeigt tiefes technisches Verständnis. Auch Plattformen wie "TryHackMe" oder "Hack The Box" sind wichtig. Erreiche dort ein hohes Level und verlinke dein Profil in der Bewerbung.

Im DACH-Raum ist außerdem LinkedIn wichtig. Vernetze dich mit Security-Fachleuten, auch von Herstellern und lokalen Anbietern. Poste nicht nur "Ich suche einen Job", sondern teile Erkenntnisse aus deinem Homelab, etwa: "Heute habe ich gelernt, wie man Brute-Force-Angriffe auf SSH im ELK-Stack sichtbar macht." Das zeigt Begeisterung, und in der IT-Sicherheit ist es wichtig, am Ball zu bleiben, weil sich die Bedrohungslage ständig ändert.

Welchen Karrierepfad soll ich wählen (SOC, Pentest oder GRC)?

Viele Quereinsteiger wollen "irgendwas mit Security" machen. Entscheide dich, sonst wirkt deine Bewerbung beliebig. Es gibt drei Hauptpfade. Der zugänglichste Einstieg ist oft das SOC (Security Operations Center). Dort arbeitest du häufig im Schichtbetrieb, überwachst Netzwerke und reagierst auf Alarme. Das ist stressig, aber du lernst schnell.

Der zweite Pfad ist Pentesting (Ethical Hacking). Hier ist die Konkurrenz groß, weil viele "der coole Hacker" sein wollen. Du brauchst harte Nachweise, etwa die anspruchsvolle OSCP-Zertifizierung, und ein überzeugendes Portfolio, zum Beispiel aus Bug Bounties.

Der dritte Pfad ist GRC (Governance, Risk and Compliance). Er passt zu Menschen, die weniger technisch, aber sehr strukturiert arbeiten. Hier geht es um ISO 27001, TISAX (in der Automobilbranche verbreitet) oder gesetzliche Vorgaben zur IT-Sicherheit. Wenn du aus dem Projektmanagement oder der Rechtsabteilung kommst, kann das dein Weg sein. Zertifizierungen wie CISA (Certified Information Systems Auditor) sind hier anerkannt.

Wie bewerbe ich mich erfolgreich als Quereinsteiger im DACH-Raum?

Mit einer Standardbewerbung landest du als Quereinsteiger schnell unten im Stapel. Dreh die Reihenfolge um: Dein Lebenslauf sollte nicht mit „10 Jahre Erfahrung als Industriekaufmann“ beginnen, sondern mit einem Kurzprofil, etwa: „Angehender Cybersecurity-Spezialist mit Fokus auf SOC-Analyse, über 500 Stunden Praxis im Homelab, CompTIA Security+ zertifiziert“, mit deinen echten Zahlen.

Verwende die Fachbegriffe, nach denen Recruiter suchen, etwa EDR (Endpoint Detection and Response), Incident Response, SIEM, Threat Hunting oder NIST Framework, sofern du sie wirklich beherrschst. Achte außerdem auf ein einfaches Layout, damit Bewerbermanagementsysteme deinen Lebenslauf richtig auslesen.

Ein Tipp für den deutschen Markt: Das Anschreiben ist nicht tot, es muss nur anders sein. Schreib nicht, wie toll die Firma ist, sondern welches Problem du löst, zum Beispiel: „In meinem Homelab habe ich eine Umgebung aufgebaut, die Ihrer Infrastruktur (Hybrid Cloud, Azure) ähnelt. Ich kann Ihre Analysten bei der Einordnung von Alarmen schnell entlasten.“ So zeigst du Nutzen statt Bittstellerei. Wer sich das nicht selbst antun will, kann seine Bewerbung schreiben lassen.

Wie verhandele ich mein Gehalt und was erwartet mich im Job?

Auch beim Quereinstieg musst du nicht für ein Taschengeld arbeiten. Das Gehalt hängt von Rolle, Region und Unternehmensgröße ab. Eine Orientierung bieten Gehaltsvergleiche und Tarifverträge, im öffentlichen Dienst etwa die Entgelttabellen.

Wichtig ist: Dein erstes Gehalt ist zweitrangig. Nach den ersten Jahren echter Berufserfahrung steigt dein Marktwert deutlich, und du wirst für Headhunter interessanter. Cybersecurity ist ein Marathon, die ersten 18 Monate sind der härteste Teil. Du wirst frustriert sein, wenn dein virtuelles Netzwerk zum zehnten Mal abstürzt oder du ein Konzept nicht sofort verstehst. Das gehört dazu.

Vermeide die Zertifikatsfalle: Gib kein Vermögen für teure Zertifikate aus, solange kein Arbeitgeber sie bezahlt. Wenn du in Deutschland im Behördenumfeld oder bei Betreibern kritischer Infrastrukturen arbeiten willst, kann eine Schulung zum IT-Grundschutz-Praktiker nach BSI-Standard sinnvoll sein. Das zeigt, dass du die deutschen Standards kennst.

Fazit

Beim Quereinstieg entscheidet nicht nur technisches Wissen, sondern auch, wie gut du es zeigst. Wer sein Licht unter den Scheffel stellt, verliert gegen Bewerber, die weniger können, sich aber besser verkaufen. Du musst kein Genie sein, um in der IT-Sicherheit zu arbeiten, aber neugierig, diszipliniert und in der Lage, deine Fähigkeiten zu belegen.

Wenn du deine Unterlagen für den Quereinstieg professionell aufbereiten willst, findest du Unterstützung bei der Bewerbungshilfe.

Der Quereinstieg in die Cybersecurity ist in rund 18 Monaten machbar, wenn du planvoll vorgehst. Misstraue Angeboten, die dir einen Job garantieren. Dein Erfolg hängt von deiner Ausdauer beim Lernen, deinem Homelab und deiner Strategie bei der Jobsuche ab. Bau ein Fundament, zeig es in einem Portfolio, werde in der Community sichtbar und präsentiere dich als Problemlöser.