„IT-Security-Gehalt“ ist keine Zahl, sondern eine Bandbreite von rund 25.000 € — und ein überraschend großer Teil davon hängt nicht an deinem Können, sondern an deinem Jobtitel. Ein IT-Security-Spezialist verdient im Median 59.500 €, ein IT Security Engineer 55.200 €, ein Cyber Security Analyst 51.400 € (StepStone, Stand 07/2026) — bei teils überlappenden Aufgaben. Dieser Artikel zeigt, welcher Titel was zahlt, warum die Portale so weit auseinanderliegen und welche Stellschrauben du tatsächlich drehen kannst.
Warum der Jobtitel dein Gehalt mitbestimmt
Wer in Stellenanzeigen sucht, findet für sehr ähnliche Tätigkeiten mindestens vier Bezeichnungen: IT-Security-Spezialist, IT Security Engineer, Cyber Security Analyst, Information Security Officer. Die Aufgaben überschneiden sich stark — die Gehaltsmediane nicht.
| Titel | Median | Typische Spanne | Was dahinter steckt |
|---|---|---|---|
| IT-Security-Spezialist | 59.500 € | 51.800–71.100 € | Breiter Sammeltitel, oft mit Verantwortung für Konzepte und Betrieb |
| IT Security Engineer | 55.200 € | 47.900–66.400 € | Technisch, Umsetzung: Härtung, Tooling, Automatisierung |
| Cyber Security Analyst | 51.400 € | 45.300–63.200 € | Auswertend, häufig SOC-nah — die klassische Einstiegsrolle |
| Penetration Tester | ab ca. 49.600 €* | 42.400–60.000 €* | Offensiv, projektgetrieben — Datenlage besonders uneinheitlich |
* StepStone-Werte. GEHALT.de weist für dieselbe Rolle einen Median von 84.100 € aus — warum, steht weiter unten.
Der Abstand zwischen „Spezialist“ und „Analyst“ beträgt im Median rund 8.100 €. Das ist kein Naturgesetz, sondern eine Folge davon, wer den Titel vergibt: „Analyst“ ist in vielen Häusern die Einstiegsstufe, „Spezialist“ und „Engineer“ liegen darüber, und „Officer“/„Manager“ markieren Verantwortung. Wenn du intern von Analyst auf Engineer wechselst, verhandelst du in der Praxis nicht nur eine neue Rolle, sondern ein anderes Gehaltsband.
Vor der Gehaltsverhandlung lohnt der Blick auf die Stellenbezeichnung im Vertrag, nicht nur auf die Aufgaben. Wer faktisch Engineering macht, aber als „Analyst“ geführt wird, argumentiert oft erfolgreicher über die Titeländerung als über einen Prozentaufschlag — das Gehaltsband folgt dem Titel, nicht umgekehrt.
Warum die Gehaltsportale so weit auseinanderliegen
Wer zwei Portale vergleicht, findet für denselben Beruf Unterschiede von 30.000 € und mehr. Beim Penetration Tester nennt StepStone rund 49.600 € im Durchschnitt, GEHALT.de einen Median von 84.100 €. Beide Zahlen sind nicht falsch — sie messen Verschiedenes:
Unterschiedliche Grundgesamtheit. StepStone speist sich stark aus ausgeschriebenen Stellen und Selbstauskünften auf der Plattform, in denen Einstiegs- und Mittelbau-Positionen dominieren. GEHALT.de zieht Vergütungsdaten stärker aus Unternehmensmeldungen und Tarifvergleichen, in denen erfahrene Vollzeitkräfte in größeren Firmen überrepräsentiert sind.
Median gegen Durchschnitt. Der Durchschnitt wird von wenigen Spitzengehältern nach oben gezogen, der Median nicht. Wenn ein Portal „Ø“ schreibt und das andere „Median“, vergleichst du zwei verschiedene Kennzahlen.
Bezugsbasis. GEHALT.de rechnet auf 40 Wochenstunden hoch. Wer in einem 35-Stunden-Haus arbeitet, findet sich in dieser Zahl nicht wieder.
Die praktikable Regel: Nimm nie eine einzelne Portalzahl in die Verhandlung mit. Nimm zwei bis drei Quellen, schau auf den Median statt auf den Durchschnitt, und prüfe die Bezugsbasis (Wochenstunden, Region, Erfahrungsstufe). Alle Zahlen in diesem Artikel sind Bruttojahresgehälter für Deutschland, Stand 07/2026 — Spannen, keine Zusagen.
Region: warum Bonn in den Top 5 steht
Bei den Gehältern nach Stadt taucht ein Name auf, den man in IT-Rankings selten sieht — Bonn, in beiden StepStone-Auswertungen unter den fünf bestzahlenden Standorten:
| Stadt | IT-Security-Spezialist | IT Security Engineer |
|---|---|---|
| Stuttgart | 68.300 € | 62.700 € |
| Hamburg | 66.500 € | 60.900 € |
| Bonn | 64.700 € | 59.100 € |
| Düsseldorf | 64.000 € | 57.900 € |
| Berlin | 63.000 € | 58.300 € |
Der Grund ist Struktur, nicht Zufall: In Bonn sitzen das BSI, die Deutsche Telekom mit ihrer Security-Sparte und eine Reihe von Behörden und Dienstleistern mit Sicherheitsauftrag. Diese Nachfrage-Ballung zieht das lokale Gehaltsniveau hoch — bei deutlich niedrigeren Lebenshaltungskosten als in München oder Stuttgart. Für alle, die Standortwahl und Gehalt zusammen denken, ist das eine der interessantesten Konstellationen in Deutschland.
Umgekehrt gilt: Stuttgart und Hamburg zahlen zwar am besten, kompensieren aber mit Mieten. Wer remote arbeitet, verhandelt zunehmend gegen das Niveau des Firmensitzes — das ist der stille Hebel hinter vielen Gehaltssprüngen der letzten Jahre.
Was Erfahrung wirklich bringt
Der Einstieg liegt bei den meisten Titeln zwischen 46.900 € (Spezialist) und 50.000 € (Engineer). Interessant ist, was danach passiert: StepStone weist für erfahrene IT-Security-Spezialisten einen Durchschnitt von rund 76.500 € aus — der Sprung vom Einstieg dorthin ist mit über 60 % Zuwachs einer der steilsten im gesamten IT-Bereich.
Der Grund für den steilen Verlauf: In der IT-Security ist Erfahrung schlecht substituierbar. Wer einen echten Vorfall gemanagt, ein Audit begleitet oder eine Migration ohne Sicherheitslücke durchgezogen hat, bringt etwas mit, das sich nicht anlesen lässt. Genau das bezahlen Arbeitgeber.
Was netto übrig bleibt
Die Bruttowerte sagen wenig über das Konto. Als Orientierung rechnet StepStone für den IT-Security-Spezialisten in Steuerklasse I ohne Kirchensteuer:
| Brutto p. a. | Netto p. a. | Netto pro Monat |
|---|---|---|
| 51.800 € (unteres Ende) | ca. 33.670 € | ca. 2.806 € |
| 59.500 € (Median) | ca. 38.675 € | ca. 3.223 € |
| 71.100 € (oberes Ende) | ca. 46.215 € | ca. 3.851 € |
Als Faustregel bleiben 48 bis 65 % des Bruttos übrig — je höher das Gehalt, desto kleiner der Anteil. Kirchensteuer, Steuerklasse und Zusatzbeiträge der Krankenkasse verschieben das um mehrere hundert Euro im Monat; für die eigene Situation ist ein Netto-Rechner mit den konkreten Merkmalen genauer als jede Faustregel.
Die vier Hebel, die wirklich zählen
Spezialisierung statt Breite. Cloud Security, OT/ICS, Incident Response und Identity sind knapp. Generalistisches Security-Wissen ohne erkennbare Tiefe landet zuverlässig in der Feldmitte.
Der Titelwechsel. Von Analyst auf Engineer oder Spezialist zu wechseln, verschiebt das komplette Gehaltsband — häufig wirksamer als jede Prozentverhandlung innerhalb der alten Rolle.
Branche und Größe. Regulierte Sektoren — Finanzen, Versicherung, KRITIS — und Konzerne zahlen spürbar über dem Mittelstand. Beim Penetration Tester liegen Häuser mit über 20.000 Mitarbeitenden rund 24 % über Betrieben unter 100 Mitarbeitenden (GEHALT.de).
Formale Qualifikation — auch gefördert. Wer aus einer angrenzenden IT-Rolle kommt oder ganz neu einsteigt, braucht meist einen belastbaren Nachweis. Für eine Umschulung oder Weiterbildung in Richtung IT-Security kann die Agentur für Arbeit die Kosten über einen Bildungsgutschein übernehmen, wenn die persönlichen Voraussetzungen erfüllt sind und die Maßnahme AZAV-zertifiziert ist.
Häufige Fragen
Wie hoch ist das IT-Security-Gehalt in Deutschland?
Der Median liegt je nach Jobtitel zwischen 51.400 € (Cyber Security Analyst) und 59.500 € (IT-Security-Spezialist) brutto im Jahr. Die typische Spanne reicht von rund 45.000 € bis 71.100 €; erfahrene Spezialisten erreichen im Schnitt etwa 76.500 € (Stand 07/2026).
Was ist der Unterschied zwischen IT-Security- und Cyber-Security-Gehalt?
Inhaltlich kaum etwas — die Begriffe werden in Stellenanzeigen weitgehend synonym verwendet. Der Unterschied entsteht über den konkreten Jobtitel: „Analyst“ markiert häufig die Einstiegsstufe, „Engineer“ und „Spezialist“ liegen im Median rund 4.000 bis 8.000 € darüber.
Was verdient man als Einsteiger in der IT-Sicherheit?
Einstiegsgehälter liegen typischerweise zwischen 46.900 € und 50.000 € brutto im Jahr, abhängig von Rolle, Region und Vorbildung. In SOC-nahen Einstiegsrollen kann der Start darunter liegen, dafür kommen Schichtzulagen hinzu.
Warum weichen die Gehaltsangaben der Portale so stark voneinander ab?
Weil sie unterschiedliche Grundgesamtheiten messen und teils Median, teils Durchschnitt ausweisen. StepStone stützt sich stärker auf ausgeschriebene Stellen, GEHALT.de auf Unternehmensdaten mit höherem Anteil erfahrener Vollzeitkräfte, hochgerechnet auf 40 Wochenstunden.
In welcher Stadt verdient man in der IT-Security am meisten?
Stuttgart führt mit rund 68.300 € für IT-Security-Spezialisten, gefolgt von Hamburg (66.500 €) und Bonn (64.700 €). Bonn ist wegen des BSI-Sitzes und der dort ansässigen Security-Arbeitgeber ein Sonderfall mit hohem Niveau bei moderaten Lebenshaltungskosten.
Wie viel bleibt vom IT-Security-Gehalt netto?
Von 59.500 € brutto im Jahr bleiben in Steuerklasse I ohne Kirchensteuer rund 3.223 € netto im Monat. Als Faustregel verbleiben 48 bis 65 % des Bruttos; der genaue Wert hängt von Steuerklasse, Kirchensteuer und Krankenkasse ab.