Der Quereinstieg in die Cyber Security funktioniert — aber selten dort, wo die meisten es versuchen. In Deutschland fehlen laut Bitkom rund 109.000 IT-Fachkräfte, und 43 % der Unternehmen finden nicht genug qualifiziertes Personal für ihre Security-Teams. Trotzdem scheitern Quereinsteiger reihenweise an der ersten Bewerbung. Der Grund: Die Lücke klafft bei den Erfahrenen, nicht bei den Einsteigern. Dieser Artikel zeigt, welche drei Türen tatsächlich offen stehen, welche Herkunftsberufe einen messbaren Vorteil haben — und was ein realistischer Fahrplan von heute bis zur ersten Stelle kostet.
Das Paradox: Riesiger Bedarf, schwerer Einstieg
Kaum ein Feld wird so laut beworben wie die IT-Security. „Händeringend gesucht“, „100.000 offene Stellen“, „krisensicher“ — und dann kommen auf die eigene Bewerbung drei Absagen mit demselben Satz: Wir suchen jemanden mit einschlägiger Berufserfahrung.
Beides stimmt gleichzeitig. Die Nachfrage ist real und wächst, aber sie richtet sich überwiegend auf Profile, die schon liefern können: Menschen, die einen Vorfall gemanagt, ein Audit begleitet oder eine Cloud-Umgebung gehärtet haben. Unternehmen decken ihren Bedarf zunehmend, indem sie bestehende Teams weiterqualifizieren, statt Junioren einzustellen und auszubilden. Für dich heißt das nicht „geht nicht“ — es heißt: Der Einstieg läuft über bestimmte Rollen, nicht über den Traumjob.
Wer dir erzählt, du seist nach einem dreimonatigen Kurs „Penetration Tester“, verkauft dir etwas. Pentesting ist eine Rolle für Fortgeschrittene — der übliche Weg dorthin führt über zwei bis vier Jahre in einer anderen Security-Rolle. Realistisch ist die erste Stelle im SOC, im Security-nahen IT-Betrieb oder im Compliance-Umfeld. Von dort geht es weiter, oft schneller als erwartet.
Welche Herkunftsberufe wirklich funktionieren
Quereinstieg ist nicht gleich Quereinstieg. Entscheidend ist, wie viel deiner bisherigen Arbeit sich in Security-Sprache übersetzen lässt. Grob drei Gruppen:
| Du kommst aus … | Realistische erste Rolle | Dein Startvorteil | Typische Dauer |
|---|---|---|---|
| IT-Support / Helpdesk | SOC-Analyst Tier 1, Security-Admin | Ticketing, Incident-Denken, Systemverständnis — der kürzeste Weg überhaupt | 6–12 Monate |
| Systemadministration / Netzwerk | Security Engineer (Junior), SOC Tier 2 | Du kennst die Systeme, die du absichern sollst. Der wertvollste Vorlauf | 6–12 Monate |
| Softwareentwicklung | AppSec, DevSecOps | Code lesen und Schwachstellen verstehen — knapp und gut bezahlt | 6–12 Monate |
| Audit, Recht, Qualitätsmanagement | GRC, ISMS-Beauftragte, Informationssicherheit | Normen, Nachweise, Dokumentation — hier zählt Technik weniger als Systematik | 9–15 Monate |
| Polizei, Bundeswehr, Ermittlung | Digitale Forensik, Incident Response | Beweissicherung, Kette der Verwahrung, Stressresistenz | 12–18 Monate |
| Fachfremd ohne IT-Bezug | SOC Tier 1 nach Umschulung | Kein Vorlauf — dafür zählen Sorgfalt, Schichtbereitschaft, Lernwille | 18–24 Monate |
Die unterschätzte Gruppe steht in der vorletzten Zeile: Wer aus Audit, Recht oder Qualitätsmanagement kommt, hat es in der Informationssicherheit oft leichter als ein Technik-Autodidakt. ISMS-Arbeit nach ISO 27001, Nachweisführung und Auditvorbereitung sind gefragte Tätigkeiten, für die Unternehmen händeringend Leute suchen — und sie verlangen genau die Systematik, die in diesen Berufen ohnehin trainiert wird.
Die drei Türen, die tatsächlich offen stehen
Tür 1: Das SOC. Security Operations Center betreiben Schichtmodelle und haben strukturellen Bedarf an Tier-1-Kräften — Alarme sichten, triagieren, eskalieren. Das ist der klassischste Einstieg, weil hier ausgebildet wird und weil Schichtbereitschaft ein Argument ist, das man mitbringen kann statt lernen zu müssen. Nachteil: Schichtdienst, und das Einstiegsgehalt liegt am unteren Rand des Feldes. Vorteil: Nach zwei Jahren Tier 1/2 bist du kein Quereinsteiger mehr.
Tür 2: Der Umweg über die IT. Ein Jahr Helpdesk oder Systemadministration in einem Unternehmen, das eine Security-Abteilung hat — und dann intern wechseln. Klingt langsam, ist aber häufig der schnellste Weg, weil interne Wechsel andere Maßstäbe haben als externe Bewerbungen: Man kennt dich, dein Ruf ersetzt die fehlende Zeile im Lebenslauf.
Tür 3: Compliance und GRC. Der am meisten unterschätzte Pfad. Regulierung — NIS2, DORA, ISO 27001, branchenspezifische Auflagen — erzeugt Arbeit, für die man kein Hacker sein muss, aber Genauigkeit und Durchhaltevermögen braucht. Wer aus einem dokumentationsstarken Beruf kommt, ist hier oft in unter einem Jahr vermittelbar.
Was auf der anderen Seite des Tisches passiert
Eine typische Security-Stelle sammelt dreistellige Bewerberzahlen, von denen viele frisch zertifiziert und praxislos sind. Die Person, die sortiert, hat pro Bewerbung etwa eine Minute. Sie sucht nicht nach dem besten Kandidaten — sie sucht nach einem Grund, den Stapel kleiner zu machen.
Was in dieser Minute zählt, ist selten das, was Kursanbieter versprechen:
Nachweisbares Tun schlägt Teilnahmebescheinigung. Ein öffentlich dokumentiertes Home-Lab, gelöste Übungsmaschinen mit eigenen Notizen, ein GitHub-Profil mit Auswertungsskripten — das lässt sich in Sekunden prüfen und ist deutlich seltener als ein Zertifikatsscan.
Übersetzte Vorerfahrung schlägt Neuanfangs-Rhetorik. „Ich wollte schon immer etwas mit Sicherheit machen“ ist ein Satz ohne Information. „Ich habe im Qualitätsmanagement fünf Jahre Audits vorbereitet und Nachweise geführt — dieselbe Arbeit, die ein ISMS verlangt“ ist eine Bewerbung.
Realistische Rollenwahl schlägt Anspruch. Wer sich mit sechs Monaten Kurs auf eine Senior-Pentester-Stelle bewirbt, landet auf dem Nein-Stapel. Wer sich auf Tier 1 bewirbt und begründet, warum er in einem Jahr Tier 2 kann, wird eingeladen.
„Ich habe im Qualitätsmanagement fünf Jahre Audits vorbereitet, Nachweise geführt und Abweichungen nachverfolgt. Das ist die Arbeit, die ein ISMS nach ISO 27001 täglich verlangt — ich muss die Norm lernen, nicht die Arbeitsweise.“
Formulierung für Anschreiben und Vorstellungsgespräch, wenn du aus einem dokumentationsstarken Beruf kommstEin realistischer Fahrplan über zwölf Monate
Der folgende Plan geht von einem fachfremden Start neben einem Vollzeitjob aus (etwa 8–10 Stunden pro Woche). Wer aus der IT kommt, kann die ersten beiden Stufen deutlich kürzen.
- Monat 1–3: Fundament. Netzwerkgrundlagen und Linux — ohne die versteht man in der Security nichts. Parallel eine geführte Einsteiger-Lernplattform mit Browser-Labs, täglich eine kleine Übung statt einmal wöchentlich vier Stunden.
- Monat 4–6: Security-Grundlagen mit Zertifikatsziel. Die Inhalte eines herstellerneutralen Einsteigerzertifikats durcharbeiten (CompTIA Security+ ist der Marktstandard). Das Zertifikat ist dabei weniger wert als der Stoff — es ist aber der Filter, den viele HR-Systeme abfragen.
- Monat 5–9: Sichtbar üben. Home-Lab aufsetzen, Übungsmaschinen lösen und jede Lösung öffentlich dokumentieren. Ziel sind nicht 200 gelöste Maschinen, sondern zehn sauber dokumentierte, an denen man dein Denken sieht.
- Monat 8–10: Profil übersetzen. Lebenslauf auf Security-Vokabular umschreiben, Vorerfahrung explizit übersetzen, LinkedIn-Profil auf die Zielrolle ausrichten. Ein Fachgespräch mit jemandem aus dem Feld ist hier mehr wert als zwei weitere Kurse.
- Monat 10–12: Gezielt bewerben. Auf Tier-1-SOC-Rollen, Junior-Security-Admin, GRC-Assistenz — und auf interne Wechsel, falls dein Arbeitgeber eine Security-Abteilung hat. Zwanzig passgenaue Bewerbungen schlagen zweihundert Serienbriefe.
Wer diesen Weg Vollzeit über eine geförderte Umschulung geht, komprimiert die Stufen 1 bis 3 auf wenige Monate — dafür fehlt dann die parallele Berufserfahrung, die den Wechsel sonst trägt.
Was der Weg kostet — und wer ihn bezahlen kann
Selbst gelernt ist der Quereinstieg günstig: Einsteiger-Lernplattformen kosten im Abo etwa 10 bis 15 € im Monat, viele Inhalte sind kostenlos, und ein Home-Lab läuft auf vorhandener Hardware. Der größte Posten ist das erste Zertifikat — die CompTIA-Security+-Prüfung liegt in Deutschland bei rund 370 € (Stand 07/2026).
Teuer wird es erst bei betreuten Vollzeit-Umschulungen, die vier- bis fünfstellig liegen. Genau dafür gibt es Förderwege: Für eine Umschulung oder Weiterbildung in Richtung IT-Security kann die Agentur für Arbeit die Kosten über einen Bildungsgutschein vollständig übernehmen, wenn die persönlichen Voraussetzungen erfüllt sind und die Maßnahme AZAV-zertifiziert ist. Für Beschäftigte kommt eine Förderung über das Qualifizierungschancengesetz in Betracht. Beides ist eine Ermessensentscheidung — sie wird im Gespräch mit der zuständigen Stelle geklärt, nicht im Voraus zugesagt.
Häufige Fragen
Ist ein Quereinstieg in die Cyber Security realistisch?
Ja, aber über bestimmte Einstiegsrollen. Realistisch sind SOC-Analyst Tier 1, Security-naher IT-Betrieb und GRC/Compliance. Unrealistisch ist der Direkteinstieg in Pentesting oder Senior-Rollen. Wer aus IT-Support, Administration oder einem dokumentationsstarken Beruf kommt, hat einen deutlichen Startvorteil.
Wie lange dauert der Quereinstieg in die IT-Security?
Aus einer angrenzenden IT-Rolle typischerweise 6 bis 12 Monate, aus einem fachfremden Beruf eher 18 bis 24 Monate. Über eine Vollzeit-Umschulung lässt sich die Lernphase verkürzen, dafür fehlt die parallel erworbene Berufserfahrung.
Welche Voraussetzungen braucht man für den Quereinstieg?
Formal ist kein Studium erforderlich. Vorausgesetzt werden Netzwerk- und Linux-Grundlagen, Bereitschaft zum kontinuierlichen Lernen und in SOC-Rollen häufig Schichtbereitschaft. Wichtiger als Abschlüsse sind nachweisbare praktische Übungen und die Fähigkeit, Vorerfahrung in Security-Kontext zu übersetzen.
Welches Zertifikat ist für Quereinsteiger sinnvoll?
Als herstellerneutraler Einstieg gilt CompTIA Security+ als Marktstandard; die Prüfung kostet in Deutschland rund 370 € (Stand 07/2026). Es ersetzt keine Praxis, wird aber von vielen Bewerbungssystemen als Filter abgefragt. Fortgeschrittene Zertifikate wie OSCP oder CISSP sind für den Einstieg nicht geeignet.
Warum ist der Einstieg trotz Fachkräftemangel schwierig?
Weil sich der Bedarf überwiegend auf erfahrene Profile richtet. Unternehmen decken ihn zunehmend durch Weiterqualifizierung bestehender Teams statt durch Einstellung von Junioren. Die Lücke ist real, sie liegt aber bei den Erfahrenen — deshalb führt der Einstieg über ausbildende Rollen wie ein SOC.
Kann die Agentur für Arbeit eine Umschulung in die IT-Security fördern?
Eine Förderung über einen Bildungsgutschein kann in Betracht kommen, wenn die persönlichen Voraussetzungen erfüllt sind und die Maßnahme AZAV-zertifiziert ist. Für Beschäftigte ist eine Förderung nach dem Qualifizierungschancengesetz möglich. Die Entscheidung liegt im Ermessen der zuständigen Stelle.