Ein Security-Engineer ist die Person, die Sicherheitsmaßnahmen in Systemen plant und umsetzt. Die Rolle sitzt zwischen Entwicklung und Betrieb.
- Security-Engineer
Die Person, die Sicherheitsmaßnahmen in Systemen plant und umsetzt.
Beispiel: „Der Security-Engineer hat die Freigabekette für Veröffentlichungen umgebaut.“Auch: Sicherheitsingenieur, in Stellenanzeigen auch Application Security Engineer oder Cloud Security Engineer, je nach Schwerpunkt.
Abgrenzung zum Informationssicherheitsbeauftragten: Der verantwortet und prüft, der Security-Engineer baut.
Was ein Security-Engineer können muss
Drei Dinge, und das dritte wird unterschätzt. Technisch: wissen, wie Angriffe funktionieren, und Systeme so bauen, dass sie sie aushalten. Handwerklich: programmieren und automatisieren können, denn Sicherheit, die von Hand hergestellt wird, hält keine zwei Wochen. Und sozial: Entwicklern erklären können, warum eine Maßnahme nötig ist, ohne dass sie als Bremse wahrgenommen wird.
Worin sich die Rolle vom Pentester unterscheidet
In der Richtung. Der Penetrationstest sucht Wege hinein und endet mit einem Bericht; der Security-Engineer baut die Wege zu und lebt danach mit dem Ergebnis. Beide brauchen dasselbe Wissen, aber die tägliche Arbeit ist verschieden: Die eine ist projektweise und zugespitzt, die andere dauerhaft und voller Abwägungen.
Wie man in die Rolle hineinkommt
Meist über die Entwicklung oder den Betrieb, selten direkt. Wer Systeme gebaut oder betrieben hat, bringt mit, was sich nicht anlesen lässt: ein Gefühl dafür, was in der Praxis durchhält. Der Rest kommt über Zertifikate, über Bug-Bounty-Programme und über das Mitlesen bei den Leuten, die Lücken veröffentlichen. Ein Studium ist üblich und nicht Bedingung.