Cybersecurity Quereinstieg: In 18 Monaten in den Beruf

Du willst in die Cybersecurity. Nicht erst in fünf Jahren nach einem Informatik-Studium, sondern jetzt. In den letzten Jahren habe ich über 4.500 Menschen bei ihren Bewerbungen unterstützt, darunter viele Quereinsteiger, die ohne klassischen Abschluss in der IT-Sicherheit gelandet sind. Die gute Nachricht: Der Markt schreit nach Leuten. Die schlechte Nachricht: Die Unternehmen suchen Profis, keine Zertifikat-Sammler ohne Praxisbezug. Wenn du versuchst, allein mit einem PDF-Zertifikat ohne Praxiserfahrung einen Job bei der Telekom, Siemens oder einem mittelständischen IT-Systemhaus in München zu bekommen, wirst du scheitern.

In diesem Beitrag zeige ich dir den exakten Fahrplan, wie du innerhalb von 18 Monaten die Barriere durchbrichst. Wir reden hier nicht über Theorie, sondern über harte Fakten: Homelabs, Bug Bounties, die richtigen Zertifizierungen und wie du deine Bewerbung so aufbaust, dass Recruiter deine fehlende IT-Vergangenheit ignorieren. Es geht um den Weg vom blutigen Anfänger zum Junior SOC Analysten, Pentester oder GRC-Spezialisten (Governance, Risk and Compliance). Schnall dich an, das wird kein Spaziergang, aber es ist der sicherste Weg in den DACH-Markt.

## Wie starte ich in den ersten 6 Monaten ohne IT-Vorkenntnisse?

Bevor du dich auf Stellenanzeigen bei Bechtle oder Cancom stürzt, musst du verstehen, wie IT funktioniert. Wer Cybersecurity machen will, ohne zu wissen, wie ein TCP-Handshake abläuft oder was ein Active Directory ist, wird im ersten technischen Interview bei Firmen wie Secunet gnadenlos zerlegt. Die ersten sechs Monate gehören den Grundlagen. Du lernst Networking, Linux und Windows Server Administration. Ohne diese Basis brauchst du gar nicht erst an Pentesting zu denken.

Welche Zertifikate zählen im DACH-Raum wirklich? Wenn ich Bewerbungen für meine Klienten optimiere, sehe ich oft einen Wildwuchs an Udemy-Kursen. Das interessiert niemanden. Setz auf den CompTIA Security+. Er ist die Eintrittskarte für viele SOC-Positionen (Security Operations Center). Parallel dazu solltest du den eJPT (eLearnSecurity Junior Penetration Tester) ins Auge fassen, wenn du in die offensive Richtung willst. Der eJPT ist praxisorientiert: Du musst eine reale Umgebung hacken, statt nur Multiple-Choice-Fragen zu beantworten. Das macht sich in der Bewerbung extrem gut, weil es zeigt, dass du zupacken kannst.

Ein kritischer Fehler in dieser Phase ist das "Rabbit Hole" der Tools. Lerne nicht 50 verschiedene Tools oberflächlich, sondern verstehe die Konzepte dahinter. Warum nutzen Angreifer PowerShell? Wie funktioniert eine SQL-Injection auf Protokoll-Ebene? Firmen in Deutschland legen Wert auf Gründlichkeit. Wenn du im Gespräch bei einer Allianz oder einer Versicherung sitzt, wollen die sehen, dass du die Logik verstehst. Ein Zertifikat ist nur der Türöffner, dein Wissen am Whiteboard ist der Deal-Closer.

## Wie ersetze ich fehlende Berufserfahrung in den Monaten 7 bis 12?

Das größte Problem für Quereinsteiger ist die fehlende Berufserfahrung. "Wir suchen jemanden mit 2 Jahren Erfahrung" steht in fast jeder Anzeige für Junior-Rollen. Wie löst du das? Du baust dir deine eigene Erfahrung in deiner Wohnung auf. Ein Homelab ist kein Spielzeug, es ist dein wichtigstes Argument in der Bewerbung. Ich empfehle meinen Klienten immer, ein dediziertes Kapitel "Praktische Projekte / Labs" in den Lebenslauf aufzunehmen.

Was gehört in ein professionelles Homelab? Du kaufst dir einen gebrauchten Server (zum Beispiel einen Dell PowerEdge oder einen ausrangierten Office-PC) und installierst Proxmox oder ESXi. Darauf setzt du eine Active Directory Umgebung mit einem Windows Server und zwei Windows 10 Clients auf. Dann installierst du eine Firewall wie pfSense und ein SIEM (Security Information and Event Management) Tool wie die Open-Source-Variante von Splunk oder den ELK-Stack (Elasticsearch, Logstash, Kibana).

Jetzt wird es spannend: Du generierst Angriffe. Du nutzt Tools wie Kali Linux, um deine eigene Umgebung anzugreifen, und schaust dir im SIEM an, welche Logs dabei entstehen. Das ist echtes SOC-Training. Wenn du im Vorstellungsgespräch bei einem IT-Dienstleister in Hamburg erzählen kannst, wie du eine Pass-the-Hash-Attacke in deinem Labor erkannt und die entsprechenden Firewall-Regeln angepasst hast, hast du gewonnen. Du sprichst dann wie ein Profi, nicht wie ein Theoretiker. Dieses Level an Eigeninitiative schlägt jedes Informatik-Studium ohne Praxisbezug.

## Wie baue ich in den Monaten 13 bis 18 ein sichtbares Profil auf?

In der finalen Phase vor der Bewerbung musst du deine Fähigkeiten nach außen sichtbar machen. Bug Bounty Programme auf Plattformen wie HackerOne oder Bugcrowd sind Gold wert. Du musst keine kritische Lücke bei Google finden. Es reicht, wenn du bei kleineren Programmen Schwachstellen wie Cross-Site Scripting (XSS) oder Fehlkonfigurationen meldest. Jede bestätigte Schwachstelle (Vulnerability) ist wie eine Referenz eines Arbeitgebers.

Zusätzlich solltest du ein GitHub-Repository pflegen. Du musst kein Programmierer sein, aber du solltest zeigen, dass du Skripte (Bash, Python oder PowerShell) nutzen kannst, um Aufgaben zu automatisieren. Ein kleines Skript, das täglich die Logs deiner Firewall scannt und bei Anomalien eine Mail schickt, zeigt tiefes technisches Verständnis. Auch Plattformen wie "TryHackMe" oder "Hack The Box" sind wichtig. Erreiche dort ein hohes Level und verlinke dein Profil in der Bewerbung.

Für den DACH-Raum ist zudem LinkedIn entscheidend. Vernetze dich mit Security-Leuten von Firmen wie CrowdStrike, Palo Alto Networks oder lokalen Playern wie GDATA. Poste nicht einfach nur "Ich suche einen Job". Teile Erkenntnisse aus deinem Homelab. "Heute habe ich gelernt, wie man Brute-Force-Angriffe auf SSH im ELK-Stack visualisiert" zeigt Leidenschaft. Recruiter in der IT-Security suchen nach "Obsession". Sie wollen Leute, die Cybersecurity auch in ihrer Freizeit atmen, weil sich die Bedrohungslage täglich ändert.

## Welchen Karrierepfad soll ich wählen (SOC, Pentest oder GRC)?

Viele Quereinsteiger machen den Fehler, "irgendwas mit Security" machen zu wollen. Du musst dich entscheiden, sonst wirkt deine Bewerbung wie ein Schrotflintenschuss: breit gestreut, aber ohne Durchschlagskraft. In Deutschland gibt es drei Hauptpfade für Quereinsteiger. Der einfachste Einstieg gelingt meistens über das SOC (Security Operations Center). Hier arbeitest du im Schichtbetrieb, überwachst Netzwerke und reagierst auf Alarme. Es ist stressig, aber die Lernkurve ist steil. Gehaltstechnisch startest du hier oft zwischen 45.000 und 55.000 Euro.

Der zweite Pfad ist das Pentesting (Ethical Hacking). Hier ist die Konkurrenz am größten, weil jeder der "coole Hacker" sein will. Wenn du hier rein willst, brauchst du harte Nachweise (OSCP-Zertifizierung ist hier der Goldstandard, aber sehr schwer). Firmen wie Cure53 oder Compass Security suchen hier absolute Spezialisten. Als Quereinsteiger hast du hier nur eine Chance, wenn du ein beeindruckendes Portfolio an Bug Bounties vorweisen kannst.

Der dritte Pfad ist GRC (Governance, Risk and Compliance). Das ist der Bereich für alle, die weniger technisch, aber dafür strukturierter sind. Hier geht es um ISO 27001, TISAX (wichtig für die Automobilbranche bei VW, BMW, Daimler) oder das IT-Sicherheitsgesetz. Wenn du aus dem Projektmanagement oder der Rechtsabteilung kommst, ist das dein Weg. Die Gehälter sind hier oft sogar höher als im SOC, weil die Kombination aus IT-Verständnis und regulatorischem Wissen extrem selten ist. Ein CISA (Certified Information Systems Auditor) ist hier Gold wert.

## Wie bewerbe ich mich erfolgreich als Quereinsteiger im DACH-Raum?

Wenn du als Quereinsteiger die Standard-Bewerbung abschickst, landest du im Stapel ganz unten. Du musst das Pferd von hinten aufzäumen. Dein Lebenslauf darf nicht mit "10 Jahre Erfahrung als Industriekaufmann" beginnen. Der erste Punkt nach deinen Kontaktdaten muss eine "Executive Summary" sein: "Angehender Cybersecurity Spezialist mit Fokus auf SOC-Analyse, 500+ Stunden Praxiserfahrung im Homelab, zertifizierter CompTIA Security+".

Verwende Keywords, die die Scanner der großen Firmen (ATS) erkennen. Begriffe wie EDR (Endpoint Detection and Response), Incident Response, SIEM, Threat Hunting und NIST Framework müssen in deinem Lebenslauf auftauchen, sofern du sie wirklich beherrschst. Ich habe in meiner Beratung oft gesehen, dass Bewerber bei Firmen wie SAP oder Bosch abgelehnt wurden, nur weil die Formatierung ihres Lebenslaufs die technischen Begriffe nicht lesbar gemacht hat.

Ein weiterer Trick für den deutschen Markt: Das Anschreiben ist nicht tot, es muss nur anders sein. Schreib nicht, wie toll die Firma ist. Schreib, welches Problem du für sie löst. "In meinem Homelab habe ich eine Umgebung aufgebaut, die genau Ihre Infrastruktur (Hybrid Cloud, Azure) simuliert. Ich bin ab Tag eins einsatzbereit, um Ihre Analysten bei der Triage von Alarmen zu entlasten." Das ist eine Ansage, die ein IT-Leiter nicht ignorieren kann. Du signalisierst Nutzwert statt Bittstellerei. Wer sich das nicht selbst antun will: deine Bewerbung schreiben lassen ich schreibe dir alles maßgeschneidert.

## Wie verhandele ich mein Gehalt und was erwartet mich im Job?

Lass uns über Geld reden. Quereinstieg bedeutet nicht, dass du für ein Taschengeld arbeiten musst. Im DACH-Raum kannst du als Junior in der Cybersecurity mit 48.000 bis 58.000 Euro rechnen, je nach Region und Unternehmensgröße. In Städten wie München, Zürich oder Frankfurt sind auch 65.000 Euro möglich, wenn du im Bereich GRC oder bei einem spezialisierten Consulting-Haus einsteigst.

Wichtig ist: Dein erstes Gehalt ist zweitrangig. Der Wert dein Lebenslaufs explodiert nach den ersten 24 Monaten echter Berufserfahrung. Sobald du den Titel "Cybersecurity Analyst" für zwei Jahre bei einer namhaften Firma wie Evonik oder der Commerzbank getragen hast, verdoppelt sich dein Marktwert fast. Headhunter werden dich auf LinkedIn mit Angeboten bombardieren. Cybersecurity ist ein Marathon. Die ersten 18 Monate sind der härteste Teil der Strecke. Du wirst frustriert sein, wenn dein virtuelles Netzwerk zum zehnten Mal abstürzt oder du ein Konzept nicht sofort verstehst. Das gehört dazu.

Was du vermeiden musst, ist die Zertifikats-Falle. Gib nicht tausende Euro für SANS-Zertifikate (wie den GSEC) aus, solange du keinen Arbeitgeber hast, der das bezahlt. Diese Zertifikate kosten oft über 8.000 Euro. Konzentriere dich auf die kostengünstigen, hoch angesehenen Zertifikate wie den BSI IT-Grundschutz-Praktiker, wenn du in Deutschland im Behördenumfeld oder bei KRITIS-Unternehmen arbeiten willst. Das zeigt lokalen Fokus und echtes Interesse am deutschen Markt-Standard.

## Mein Rat

In meiner täglichen Arbeit sehe ich, dass der Erfolg im Quereinstieg zu 30 Prozent aus technischem Wissen und zu 70 Prozent aus der richtigen Selbstvermarktung besteht. Wer sein Licht unter den Scheffel stellt, verliert gegen Bewerber, die weniger können, aber lauter trommeln. Du musst kein Genie sein, um in der IT-Sicherheit zu arbeiten. Du musst neugierig, extrem diszipliniert und in der Lage sein, deine Expertise schriftlich und mündlich zu beweisen. Wenn du diese 18 Monate durchziehst, änderst du dein Leben nachhaltig.

Wenn du Unterstützung dabei brauchst, deine individuelle Strategie für den Quereinstieg zu entwickeln oder deine Bewerbungsunterlagen auf das Niveau zu bringen, das Top-Arbeitgeber erwarten, helfe ich dir gerne weiter. In meiner persönlichen Beratung schauen wir uns genau an, wo du stehst und wie wir deine vorhandenen Stärken optimal für die IT-Sicherheit ummünzen.

Der Quereinstieg in die Cybersecurity in 18 Monaten ist absolut machbar, wenn du planvoll vorgehst. Vergiss schnelle Versprechen von dubiosen Bootcamps, die dir den Job garantieren. Dein Erfolg hängt von deiner Hardware im Arbeitszimmer, deiner Ausdauer beim Lernen von Protokollen und deiner Strategie bei der Jobsuche ab. Bau dir ein Fundament, erstelle ein Portfolio durch ein Homelab, werde in der Community sichtbar und verkaufe dich in deiner Bewerbung als Problemlöser. Der Markt wartet auf echte Praktiker. Sei einer davon.