Cybersecurity-Rollen richtig briefen: SOC, Pentest, GRC oder Architektur?

Warum ein unscharfes Briefing teuer wird

 

Ein allgemeines Jobprofil zieht allgemeine Bewerbungen an. Im Ergebnis sprechen Fachbereich, HR und Kandidat:innen über unterschiedliche Erwartungen. Die Folge sind lange Auswahlprozesse, Absagen nach dem zweiten Gespräch oder eine Besetzung, die nach drei Monaten nicht zu den tatsächlichen Aufgaben passt.

Im Cybersecurity-Umfeld kommt hinzu, dass erfahrene Fachkräfte am Markt stark gefragt sind. Wer sein Anforderungsprofil nicht klar beschreiben kann, verliert gute Kandidat:innen an Unternehmen, die das besser können. Ein präzises Briefing ist deshalb kein Formalismus, sondern ein Wettbewerbsvorteil.

 

Vier Rollen, vier Arbeitsweisen

Der europäische Kompetenzrahmen ECSF beschreibt zwölf Rollenprofile. Für viele Unternehmen im DACH-Raum lassen sich die häufigsten Anfragen jedoch auf vier Bereiche verdichten.

1. SOC: erkennen und reagieren

Fachkräfte im Security Operations Center überwachen Systeme, bewerten Alarme und reagieren auf Sicherheitsvorfälle. Sie arbeiten mit SIEM- und EDR-Werkzeugen, analysieren Logdaten und eskalieren Vorfälle nach festgelegten Abläufen. Typische Fragen im Briefing: Gibt es Rufbereitschaft oder Schichtbetrieb? Welche Werkzeuge sind im Einsatz? Bis zu welcher Stufe darf die Person selbst Maßnahmen setzen?

2. Pentest: Schwachstellen gezielt finden

Penetrationstester:innen prüfen Anwendungen, Netzwerke oder Cloud-Umgebungen aus Angreiferperspektive. Sie planen Tests, dokumentieren Findings und erklären den Verantwortlichen, welche Risiken daraus entstehen. Wichtig im Briefing: Geht es um Webanwendungen, Infrastruktur, Cloud oder Social Engineering? Werden die Tests intern durchgeführt oder begleitet die Person externe Dienstleister?

3. GRC: Vorgaben in Maßnahmen übersetzen

Governance, Risk und Compliance verbinden Regulierung mit dem Betrieb. Fachkräfte in diesem Bereich bewerten Risiken, bereiten Audits vor und übersetzen Anforderungen wie das NISG 2026 oder ISO/IEC 27001 in Richtlinien und Prozesse. Sie brauchen weniger Werkzeugwissen als Kommunikationsstärke und Erfahrung mit Management, Fachbereichen und Prüfstellen.

4. Security-Architektur: sichere Systeme planen

Security-Architekt:innen sind früh in Projekten eingebunden. Sie definieren Zugriffskonzepte, bewerten Cloud- und Schnittstellenarchitekturen und sorgen dafür, dass Sicherheit nicht erst am Ende nachgerüstet wird. Im Briefing zählt vor allem: In welchen Projekten wird die Person eingesetzt und welche Entscheidungsbefugnis hat sie gegenüber Entwicklung und Betrieb?

Drei Fragen vor jeder Suche

Bevor ihr ein Profil ausschreibt oder an einen Partner weitergebt, helfen drei Fragen, die Rolle zu schärfen.

1. Wer entscheidet über Maßnahmen? Darf die Person selbst Systeme isolieren, Freigaben verweigern oder Richtlinien setzen, oder bereitet sie Entscheidungen für andere vor?
2. Mit wem arbeitet die Rolle täglich zusammen? IT-Betrieb, Entwicklung, Datenschutz, Management oder externe Dienstleister: Die wichtigsten Schnittstellen bestimmen, welche Erfahrung und welche Kommunikationsfähigkeit gefragt sind.
3. Was soll nach 90 Tagen konkret funktionieren? Ein funktionierender Eskalationsprozess, ein abgeschlossener Pentest oder ein auditfähiges Risikoregister: Ein konkretes Ziel macht die Rolle messbar und das Gespräch mit Kandidat:innen ehrlicher.

Festanstellung, Projekt oder Mischform?

Nicht jede Cybersecurity-Aufgabe braucht sofort eine Festanstellung. Ein Pentest oder die Vorbereitung auf ein Audit sind oft zeitlich begrenzte Vorhaben. Der Aufbau eines SOC oder einer dauerhaften GRC-Funktion dagegen braucht Kontinuität. Viele Unternehmen kombinieren beides: Externe Spezialist:innen starten ein Vorhaben, während parallel die interne Rolle besetzt wird.

Entscheidend ist, diese Frage früh zu klären. Sie beeinflusst Budget, Zeitplan und die Ansprache von Kandidat:innen. Wer projektbezogen sucht, erreicht andere Profile als ein Unternehmen, das eine langfristige Position anbietet.

Typische Stolpersteine im Briefing

Aus unserer Erfahrung wiederholen sich einige Muster:

• Zu viele Rollen in einem Profil: SOC-Erfahrung, Pentest-Zertifizierungen und Audit-Kompetenz in einer Person sind selten und teuer.
• Zertifikate statt Aufgaben: Eine Liste von Zertifizierungen ersetzt nicht die Beschreibung dessen, was die Person tatsächlich tun soll.
• Fehlende Befugnisse: Wer Verantwortung trägt, aber keine Entscheidungen treffen darf, verlässt das Unternehmen schnell wieder.
• Unklare Erreichbarkeit: Rufbereitschaft und Wochenenddienste gehören ins Briefing, nicht erst ins dritte Gespräch.

Was der ECSF für die Praxis bedeutet

Der European Cybersecurity Skills Framework schafft eine gemeinsame Sprache für Rollen und Kompetenzen in Europa. Für Unternehmen bietet er eine gute Orientierung, um Aufgaben, Ergebnisse und Fähigkeiten strukturiert zu beschreiben. Die laufende Überarbeitung, die auch Thema der ENISA-Konferenz ist, zeigt, dass sich Anforderungen weiterentwickeln, etwa durch KI-gestützte Angriffe und Abwehrwerkzeuge.

Für das Briefing heißt das: Nutzt den Rahmen als Checkliste, aber übernehmt ihn nicht eins zu eins. Entscheidend sind eure Systeme, eure Prozesse und eure Ziele.

Ein Beispiel aus der Praxis

Ein mittelständisches Unternehmen meldet sich mit der Anfrage „Security Engineer, Vollzeit, ab sofort“. Im Gespräch zeigt sich: Der eigentliche Anlass ist ein bevorstehendes Audit nach NISG 2026. Es fehlen ein Risikoregister, dokumentierte Zuständigkeiten und ein Notfallprozess. Gesucht wird also nicht in erster Linie jemand, der Systeme härtet, sondern eine Person mit GRC-Erfahrung, die Strukturen aufbaut und mit Geschäftsführung und IT-Betrieb gleichermaßen sprechen kann.

Mit dieser Klarheit ändert sich alles: die Stellenbeschreibung, die Kandidat:innen, die angesprochen werden, und auch das Modell. In diesem Fall startete eine erfahrene GRC-Spezialistin projektbezogen für sechs Monate, während parallel eine interne Rolle für den laufenden Betrieb aufgebaut wurde. Das Audit wurde vorbereitet, und das Unternehmen wusste danach genau, welches Profil es langfristig braucht.

Checkliste für euer Briefing

Ein gutes Cybersecurity-Briefing beantwortet mindestens diese Punkte:

• Anlass: Warum sucht ihr jetzt? Audit, Vorfall, Wachstum, neues Projekt oder Nachbesetzung?
• Hauptaufgabe: Welche der vier Rollen steht im Mittelpunkt, und welche Aufgaben sind ausdrücklich nicht Teil der Rolle?
• Umgebung: Welche Systeme, Werkzeuge und Cloud-Plattformen sind im Einsatz?
• Befugnisse: Welche Entscheidungen darf die Person selbst treffen?
• Schnittstellen: Mit welchen Teams und externen Partnern arbeitet sie täglich?
• Rahmen: Standort, Remote-Anteil, Rufbereitschaft, Sprachen, Sicherheitsüberprüfung.
• Ziel nach 90 Tagen: Woran erkennt ihr, dass die Besetzung funktioniert?

Diese Liste passt auf eine Seite. Sie hilft intern bei der Abstimmung und extern bei der Ansprache, weil Kandidat:innen sofort sehen, worum es wirklich geht.

Fazit: Erst die Rolle, dann die Suche

Cybersecurity ist kein einzelnes Profil, sondern ein Feld mit klar unterscheidbaren Rollen. Wer vor der Suche festlegt, welche Aufgabe im Mittelpunkt steht, wer entscheidet und was nach 90 Tagen funktionieren soll, spart Zeit und findet Menschen, die wirklich passen.

Bei Suppliance unterstützen wir Unternehmen dabei, Cybersecurity-Rollen zu schärfen und passende Spezialist:innen zu finden, ob für ein Projekt oder für eine langfristige Zusammenarbeit. Welche Rolle sucht ihr gerade? Lasst uns das Rollenprofil gemeinsam schärfen.