Cloud Security: Markt

Stelle

eine offene Stelle, die das Qualitäts-Gate passiert hat und mindestens zwei Technologien nennt

Beobachteter Kandidat

ein Kandidat, dessen Stack diese Technologie enthält; ein Aggregat — kein einziger Datensatz verlässt den Perimeter

Matchbarer Kandidat

noch nicht gezählt

Fenster

Stellen, die zum Zeitpunkt der Erstellung des Snapshots offen waren

Junior — typischer Einstieg: 1) Cloud Engineer Middle + Interesse an Sicherheit (Cloud-Expertise ist bereits vorhanden, Security-Techniken fehlen), 2) Security Engineer Middle + Interesse an cloudspezifischer Tiefe, 3) DevSecOps Middle + Cloud-Fokus. Der Sprung Junior → Middle — nach der ersten Einführung eines CSPM-Tools (Wiz / Prisma Cloud / natives AWS Security Hub) + der ersten Initiative zur IAM-Bereinigung über mehrere Accounts. Middle → Senior — Multi-Cloud-Governance + Sicherheitsarchitektur der Landing Zone + Beherrschung von CNAPP-Tooling + Automatisierung von Compliance-Frameworks (cloudspezifische Nachweise für FedRAMP / SOC 2 / ISO 27001). Senior → Cloud Security Architect — organisationsweite Cloud-Sicherheitsstrategie + Multi-Cloud-Zero-Trust + Beratung der Geschäftsleitung. Karriereweg: Cloud Engineer Senior (3-5 Jahre) + Interesse → Cloud Security Engineer Junior (1-2 Jahre) → Middle (2-3 Jahre) → Senior → entweder Cloud Security Architect, Spezialist für CNAPP/CSPM-Tooling (Wiz CSE / Prisma-Cloud-Experte), CISO-Cloud-Pfad oder Wechsel in ein natives Security-Team eines Cloud-Anbieters (AWS / GCP / Azure — Premium-Stufe).

Top 5: cloud, aws, azure, gcp, ci/cd. Eine Cloud-Plattform in der Tiefe + Grundlagen der anderen zwei. Souveräne AWS Security: GuardDuty + Security Hub + Macie + Inspector + Detective + Config + IAM Access Analyzer + KMS + Secrets Manager + WAF + Shield + Network Firewall + VPC Flow Logs + Security Lake (2024+ — Security Data Lake). Zertifikat AWS Security Specialty (SCS-C02). Souveräne GCP Security: Security Command Center (SCC Enterprise — Flaggschiff) + Cloud Armor (WAF + DDoS) + Cloud DLP + Cloud KMS + Secret Manager + Cloud Identity + Web Risk + Chronicle (Googles SIEM — Premium). Zertifikat GCP Professional Cloud Security Engineer. Azure SC-100 (Cybersecurity Architect Expert) + AZ-500 (Security Engineer Associate). Souveränes CSPM: Wiz (führend 2026 — Premiumpreise, agentenlose Architektur — Pflichtwissen für Spitzenrollen in der Cloud-Sicherheit) + Prisma Cloud (Palo Alto Enterprise) + Lacework + Orca Security (agentenloser Wiz-Konkurrent) + Sysdig Secure + Aqua Cloud Security + Check Point CloudGuard + Tenable Cloud Security (Ermetic — stark bei CIEM) + Datadog Cloud Security Management + Zscaler Posture Control. Open Source: Prowler (führend bei AWS — Pflicht für AWS-Unternehmen) + Cloud Custodian (Multi-Cloud-Policy-Engine) + ScoutSuite + CloudSploit + Steampipe (SQL-Abfragen auf Cloud-Ressourcen). CIEM: Wiz CIEM + Tenable Cloud Security (Ermetic — führend bei CIEM) + SailPoint + Saviynt + CyberArk Secure Cloud Access. Pacu (offensive AWS-Exploitation). CNAPP: Wiz (hat die Kategorie definiert) + Prisma Cloud + CrowdStrike Falcon Cloud Security + Lacework + Orca + Sysdig + SentinelOne Cloud Security + Aqua CNAPP. DSPM auf dem Vormarsch 2024+: BigID (führend) + Cyera + Symmetry Systems + Sentra + Securiti. Container- / K8s-Sicherheit: Falco Runtime + Cilium Tetragon + Tracee + Trivy/Grype/Snyk Container Image-Scanning + OPA Gatekeeper / Kyverno Admission Controller + Sigstore cosign Image-Signierung + Kubescape (CNCF, K8s-Posture) + kube-bench (CIS) + kube-hunter (Pentesting). Serverless-Sicherheit: Snyk Function Scanning + Least Privilege für Lambda + Sicherheit der Abhängigkeiten. IaC-Scanning: Checkov (am besten für Terraform/CFN) + tfsec + KICS + Terrascan + Snyk IaC. Cloud-Secrets: HashiCorp Vault (Branchenstandard) + cloud-native (Secrets Manager/Parameter Store + Secret Manager + Key Vault) + Doppler/Akeyless/1Password Secrets Automation + External Secrets Operator für K8s. Cloud-Verschlüsselung: KMS Envelope Encryption + HSM (CloudHSM/Cloud HSM/Dedicated HSM) + BYOK/HYOK. Compliance-Frameworks: SOC 2 + ISO 27001 + PCI-DSS + HIPAA + FedRAMP + GDPR + 152-FZ + 187-FZ + CIS AWS/Azure/GCP Benchmarks. Sprachen: Python primär + Terraform-IaC-Sicherheit + bash + PowerShell + Go als Bonus.

Cloud Engineer — Fokus auf Bereitstellung der Cloud-Infrastruktur + Kostenoptimierung + Multi-Account-Governance. Nicht sicherheitsspezifisch. Siehe Cloud Engineer. DevSecOps Engineer — Fokus auf Sicherheit in CI/CD-Pipelines + IaC-Sicherheit + Container-Runtime + Supply Chain. Infrastrukturseitig. Siehe DevSecOps. Security Engineer (allgemein) — breite Abdeckung aller Sicherheitsdomänen. Siehe Security Engineer (allgemein). Cloud Security Engineer (diese Seite) — Fokus auf cloudspezifische Sicherheit: native Dienste von AWS/GCP/Azure + CSPM/CIEM/CNAPP + Cloud-Compliance + Beherrschung des cloudspezifischen IAM + Multi-Account-Governance + Cloud-Verschlüsselung. Premium-Segment im Sweet Spot dank hybrider Fähigkeiten. Realität 2026 (Overlap-Heatmap): Cloud Security ↔ Cloud Engineer: 60% (beide tief in einer Cloud, aber mit anderem Fokus). Cloud Security ↔ DevSecOps: 50% (Überschneidung bei Container-Sicherheit + IaC + Supply Chain). Cloud Security ↔ Security Engineer allgemein: 40% (Cloud Security tief in der Cloud-Domäne, Security Engineer in der Breite). Karrierewechsel: Cloud Engineer Senior → Cloud Security Junior — 4-8 Monate (Sicherheitstechniken + CSPM-Tools + IAM-Beherrschung + Compliance-Frameworks hinzulernen). Security Engineer Middle → Cloud Security — 4-8 Monate (Cloud-Tiefe nötig). DevSecOps Senior → Cloud Security — 2-4 Monate (viel Überschneidung). Realität 2026: Der Markt für Cloud Security wächst schneller als die Sicherheit insgesamt — dank fortgesetzter Cloud-Einführung (89% der Unternehmen nutzen laut Flexera 2+ Clouds) + Schmerzen bei der Multi-Cloud-Governance + regulatorischem Druck (FedRAMP / SOC 2 / CIS Benchmarks).

Einsatzfall: Unternehmen mit Budget + Multi-Cloud + Wunsch nach Best-in-Class. Gewinner des jüngsten Gartner MQ 2024. 2) Prisma Cloud (Palo Alto Networks) — umfassende Enterprise-Lösung — konsolidierte Übernahmen von Twistlock + RedLock + PureSec. Stärken: tiefe Container-/K8s-Sicherheit (Twistlock-Erbe), breite Abdeckung. Schwächen: schwereres Deployment, komplexe Preisgestaltung. Einsatzfall: bestehender Kunde von Palo Alto Networks + Wunsch nach einer einheitlichen Plattform. 3) Lacework — verhaltensbasierte Erkennung (Datenplattform Polygraph) + Multi-Cloud. Stärken: Anomalieerkennung ohne eigene Regeln. Schwächen: weniger ausgereifte UI als Wiz. Einsatzfall: Mittelstand + Wunsch nach verhaltensgesteuerter Erkennung. 4) Orca Security — agentenloser Wettbewerber von Wiz (ähnliche Architektur — nutzt Cloud-APIs). Stärken: patentierte Side-Scanning-Technologie — keine Agenten, weniger Performance-Einfluss. Typischerweise günstiger als Wiz. Einsatzfall: ähnlich wie Wiz, aber mit begrenztem Budget. 5) Sysdig Secure — auf Laufzeit fokussiert (eBPF-basiert) + stark bei Containern. Stärken: tiefe Laufzeitsicherheit (Falco-Erbe — Sysdig hat Falco erfunden), am besten für containerlastige Workloads. Schwächen: weniger breite CSPM-Abdeckung. Einsatzfall: Kubernetes-lastig + Wunsch nach Tiefe bei der Laufzeitsicherheit. 6) Aqua Cloud Security — Container-first-Anbieter (Schöpfer von Trivy) + CNAPP. Stärken: Tiefe bei der Containersicherheit + Open-Source-Erbe (Trivy weit verbreitet). Einsatzfall: Teams mit ausgereifter Containernutzung + Wunsch nach einem Anbieter, der Open Source pflegt. 7) CrowdStrike Falcon Cloud Security — Erweiterung vom EDR-Marktführer CrowdStrike. Stärken: integriert mit EDR + Falcon-Plattform. Einsatzfall: bestehender CrowdStrike-Kunde, der eine Cloud-Security-Erweiterung möchte. 8) Snyk Cloud — Erweiterung vom SCA/SAST-Marktführer Snyk. Stärken: entwicklerfreundlich + IDE-Integration. Einsatzfall: bestehender Snyk-Kunde, der Cloud-Sicherheit möchte. 9) Cloud-nativ (kostenlos / günstig): AWS Security Hub + GuardDuty + Macie + IAM Access Analyzer + Config / GCP Security Command Center / Azure Defender for Cloud + Sentinel. Einsatzfall: begrenztes Budget + Vendor-Lock akzeptabel + kleiner Cloud-Footprint. 10) Open-Source-CSPM: Prowler (AWS — Marktführer, von Wiz selbst für AWS-Scans genutzt), Cloud Custodian (Multi-Cloud-Policy-Engine), ScoutSuite, CloudSploit, Steampipe (SQL-Abfragen für Cloud-Ressourcen). Einsatzfall: null Budget + technisches Team, das es betreiben kann. Standardempfehlungen 2026: Enterprise + Multi-Cloud + Budget ok → Wiz oder Prisma Cloud. Containerlastig → Sysdig Secure oder Aqua. Bestehender CrowdStrike/Snyk-Kunde → Erweiterung Falcon Cloud Security / Snyk Cloud. Begrenztes Budget → cloud-nativ + Open Source Prowler / Cloud Custodian. Beste UX agentenlos → Wiz oder Orca. Russischer Markt (nach dem Rückzug von AWS/GCP) → nativ beim Cloud-Anbieter + russische Sicherheitsanbieter.

Ja, 33% der Stellen als Cloud Security Engineer sind vollständig remote oder hybrid. Cloud-Security-Arbeit ist vollständig cloudbasiert (komplett über Konsolen + Dashboards + SaaS-Tools). Outsourcing-Firmen (EPAM Cloud Security Practice / Luxoft / Andersen / DataArt Cloud Security) — fast immer remote bei US-Projekten. Russische Banken — hybrid/Büro wegen Regulierung + Vorgabe zur Souveränität von Cloud-Daten. Russische Cloud-Anbieter — hybrid oder remote nach Sicherheitsüberprüfung. Russische Security-Anbieter — hybrid. Staatsunternehmen — hybrid/Büro verpflichtend wegen Air-Gap + Freigaben. CSPM/CNAPP-Anbieter (Wiz / Prisma Cloud / Lacework / Orca / Sysdig / Aqua / Snyk Cloud) — vollständig remote als Standard, Premiumsegment für russischsprachige Seniors mit Englisch. Cloud-native Security — vollständig remote. Big Tech Cloud Security (AWS Security team / GCP Security / Azure Security / Apple Cloud / Meta Production Engineering Security) — Hybrid als Standard. Relokations-Hubs: Polen (Cloud-Security-freundliche EU) / Deutschland (Berlin + München) / Kanada / Serbien / VAE. Englisch für internationale Cloud-Security-Remote-Arbeit — Pflicht (Anbieterdokumentation von Wiz / Prisma / Snyk + Community + Konferenzen fwd:cloudsec / RSA / Black Hat — englischsprachig).

Senior Cloud Security Engineer — praktisch verantwortlich für die Umsetzung der Cloud-Sicherheit. Alltag: Richtlinien von CSPM-Tools abstimmen (Regeln in Wiz / Prisma Cloud), auf Sicherheitsbefunde reagieren, IAM-Behebung, Triage von Schwachstellen, Automatisierung (Python für Cloud-Sicherheitsskripte), Sammeln von Compliance-Nachweisen. Mäßige Programmierung. Cloud Security Architect — entwirft die organisationsweite Cloud-Sicherheitsstrategie + Multi-Cloud-Zero-Trust-Architektur + Sicherheitsmuster für Landing Zones + Auswahl des Compliance-Frameworks. Alltag: ADRs für Entscheidungen zur Cloud-Sicherheit schreiben, Design Reviews der Cloud-Sicherheitsvorschläge von Produktteams, Multi-Cloud-Governance-Strategie, Beratung der Führungsebene (CISO / CTO), Bewertung von Anbietern (Entscheidung Wiz vs. Prisma vs. Orca), Verteidigung des Budgets. Weniger Programmierung. Karriereweg: Senior Cloud Security Engineer (4-6 Jahre) → Cloud Security Architect → Principal Cloud Security Architect / Distinguished / CISO-Track Cloud. CSPM/CNAPP-Spezialist (Teilspezialisierung) — tiefe Expertise in einem CSPM-Tool (Wiz CSE — Certified Security Engineer / Prisma Cloud Certified Engineer / Lacework). Arbeitet oft bei Anbietern oder Premium-Beratungen (PwC Cloud Security / Deloitte Cloud Security). Gehalt vergleichbar mit Senior Cloud Security + Aufschlag für die Anbieterzertifizierung. AWS / GCP / Azure Security Engineer (cloudspezifischer Spezialist) — tiefe Expertise in den nativen Sicherheitsdiensten einer Cloud (nicht allgemeine Cloud-Sicherheit). Oft in einem Team des Cloud-Anbieters (AWS Security / GCP Security / Azure Security) oder in Unternehmen mit starker Ausrichtung auf eine Cloud. Karrierewahl: Senior Engineer, wenn praktische Arbeit reizt, Architect bei Strategie + teamübergreifender Arbeit, CSPM-Spezialist bei Tool-Tiefe, Spezialist für eine Cloud, wenn Sie die Premiumstufe in einem nativen Team eines Cloud-Anbieters anstreben.

Roadmap: 1) Solide Cloud-Grundlagen — eine Cloud in der Tiefe wählen (AWS / GCP / Azure) und das Foundation-Zertifikat ablegen (AWS Cloud Practitioner / GCP Cloud Digital Leader / Azure Fundamentals AZ-900). 2) Basis als Cloud Engineer — Zertifikat auf Associate-Niveau (AWS SA Associate / GCP Associate Cloud Engineer / Azure AZ-104). IAM beherrschen + VPC-Design + Überblick über Cloud-native Dienste. 3) Sicherheitsgrundlagen — OWASP Top 10 + CIA-Triade + Grundlagen der Kryptografie + Netzwerkprotokolle (TCP / TLS / VPN). 4) Zertifikat Security+ (CompTIA — Grundlage). 5) Zertifikat speziell für Cloud Security: AWS Security Specialty (SCS-C02) — Pflicht für den AWS-Security-Weg (Premium-Zertifikat + branchenweit anerkannt). Oder Azure SC-100 (Cybersecurity Architect Expert) + AZ-500 (Security Engineer). Oder GCP Professional Cloud Security Engineer. 6) IaC beherrschen: Terraform + Cloud-natives IaC (AWS CDK / Azure Bicep). Praxis mit Checkov / tfsec für Sicherheitsscans von IaC. 7) Open-Source-CSPM in der Praxis: Prowler (AWS — Pflicht) + Cloud Custodian + ScoutSuite. Auf Ihrem eigenen AWS-Free-Tier-Konto ausführen. Muster von Fehlkonfigurationen verstehen. 8) Container-Sicherheit: Falco zur Laufzeit + Image-Scans mit Trivy + Admission mit OPA Gatekeeper oder Kyverno. Auf Ihrem eigenen K8s-Cluster einrichten (kind / k3s). 9) HashiCorp Vault in der Tiefe: Branchenstandard für das Secrets-Management. Selbst gehostetes Vault einrichten + Integration mit K8s (External Secrets Operator). 10) Cloud-natives SIEM in der Praxis: AWS Security Lake einrichten oder GCP Chronicle oder Azure Sentinel. Grundlegende Erkennungsregeln erstellen. 11) CSPM-/CNAPP-Tools von Anbietern (bei Budget oder wenn vom Arbeitgeber gestellt): Wiz / Prisma Cloud / Snyk-Cloud-Testversion / Lacework-Demos ausprobieren. Die Berichtsausgaben verstehen. 12) Compliance-Frameworks in der Tiefe: CIS AWS Benchmarks / CIS Azure / CIS GCP — Compliance-Prüfungen automatisieren (Prowler setzt CIS bereits um). Cloud-spezifische Anforderungen von FedRAMP / SOC 2 / ISO 27001. 13) Weg der Premium-Zertifikate: CCSP (Certified Cloud Security Professional — ISC²) oder CCSK (Certificate of Cloud Security Knowledge — Cloud Security Alliance) — Premium-Zertifikate für Cloud Security. Multi-Cloud-Trio: AWS Security Specialty + Azure SC-100 + GCP Professional Cloud Security — ein Signal der Premiumklasse im Lebenslauf. 14) Portfolio aus Pet-Projekten: a) vollständige Cloud-Security-Architektur für ein AWS-Konto (Multi-Account-Governance + Control Tower + Security Hub + GuardDuty + eigene Prowler-Regeln); b) Demo-Deployment von Wiz / Prisma Cloud (Testversion nutzen); c) Sicherheitsaufbau für K8s (Falco + Kyverno-Richtlinien + Signierung mit Sigstore). Auf GitHub dokumentieren + Blogbeitrag. International (EN): SANS-Kurse (SEC540 Cloud Security & DevOps Automation — Premium, teuer, aber die besten), Kurse von „Practical DevSecOps“, Security-Tracks bei A Cloud Guru / Cloud Academy, Security-Lernpfade im AWS Skill Builder. Pflichtlektüre: „Cloud Native Security“ von Liz Rice, „Container Security“ von Liz Rice, „Practical Cloud Security“ von Chris Dotson, „AWS Security Cookbook“ von Heartin Kanikathottu. Cloud Engineer Middle + Interesse → Cloud Security Junior — 4-8 Monate.

286 active open Cloud Security Engineer positions — growing segment due to mainstream cloud adoption + multi-cloud reality + regulatory pressure (FedRAMP / SOC 2 / CIS Benchmarks). Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment (CSPM/CNAPP vendors — full-remote-friendly) + Big Tech Cloud Security teams (AWS Security largest + GCP Security + Azure Security teams). Time to close a Senior Cloud Security Engineer — 6-12 weeks (longer than general DevOps due to rare-skill combination — cloud expertise + security expertise + multi-cloud certifications).

Ein Senior Cloud Security Engineer verantwortet den gesamten Zyklus der Cloud-Sicherheit + Multi-Cloud-Governance + technische Führung. Sicherheitszertifizierung einer Cloud auf Pro-Niveau: AWS Security Specialty (SCS-C02) oder Azure SC-100 / AZ-500 oder GCP Professional Cloud Security Engineer — bei echtem Produktionsmaßstab. Multi-Cloud-Grundlagen: Kenntnis der beiden anderen Clouds mindestens auf Associate-Niveau. Beherrschung von IAM in der Tiefe: Least-Privilege-Entwurf über mehrere Konten + Automatisierung (AWS Organizations SCPs + GCP Organization Policy + Azure Management Groups), IAM-Muster für Service-to-Service (IRSA für EKS / Workload Identity für GKE / Managed Identity für Azure), Privileged Access Management (PAM-Tools — CyberArk / BeyondTrust / HashiCorp Boundary), Muster für JIT-Zugriff (Just-In-Time). Beherrschung von CSPM-Tools: eines von Wiz / Prisma Cloud / Lacework / Orca / Sysdig in der Tiefe — Erstellen eigener Richtlinien, Workflows zur Triage von Befunden, Automatisierung der Behebung, Strategie für das Onboarding mehrerer Konten. Beherrschung nativer Cloud-Sicherheitsdienste: AWS Security Hub + GuardDuty + Macie + Inspector + Config + IAM Access Analyzer fortgeschritten (eigene Detektoren, automatisierte Behebung) oder GCP Security Command Center fortgeschritten oder Azure Defender for Cloud fortgeschritten. Cloud-natives SIEM: AWS Security Lake + Detective oder Google Chronicle oder Azure Sentinel — eigene Erkennungsregeln, Aggregation von Logs aus mehreren Clouds. Beherrschung von Container- / K8s-Sicherheit: eigene Falco-Regeln + Richtlinien in Kyverno / OPA Gatekeeper fortgeschritten + Signatur-Workflows mit Sigstore cosign + Posture Management mit Kubescape + Sicherheitsstrategien für mehrere Cluster. Beherrschung von IaC-Sicherheit: Entwicklung eigener Checkov-Checks, Sicherheitsmuster für Terraform, Sicherheit Cloud-nativer IaC (AWS CDK + Azure Bicep). Beherrschung der Verschlüsselung in der Cloud: fortgeschrittene Muster für Envelope Encryption mit KMS, HSM-Integration (CloudHSM / Dedicated HSM), BYOK / HYOK für Compliance, Automatisierung der Schlüsselrotation. Beherrschung des Secrets-Managements: HashiCorp Vault fortgeschritten (Transit / KV / Database / PKI / Cloud-native Auth-Methoden), External Secrets Operator für K8s, Multi-Cloud-Strategie für Secrets. Beherrschung von Compliance-Frameworks: SOC 2 + ISO 27001 + PCI-DSS + HIPAA + FedRAMP + DSGVO + 152-FZ + 187-FZ + Automatisierung der CIS Benchmarks. Systeme zur automatisierten Beweissammlung entwerfen (Drata / Vanta / Secureframe). Threat Modelling für die Cloud: cloudspezifische Angriffsvektoren (Pfade zur Rechteausweitung in IAM, kontoübergreifende Angriffe, Ausnutzung von Lambda, Container Escape, Supply Chain in der Cloud), MITRE ATT&CK Cloud Matrix. Systementwurf für Cloud-Sicherheit: Multi-Cloud-Zero-Trust-Architektur am Whiteboard entwerfen, Sicherheitsmuster für Landing Zones entwerfen, Multi-Region-Strategie für das Schlüsselmanagement entwerfen, Zero Trust Network Access (ZTNA) entwerfen. Programmierung: Python in der Tiefe (Beherrschung der Cloud-SDKs — boto3 + google-cloud + azure-sdk) für eigene Sicherheitsautomatisierung, Terraform für IaC, Bash + PowerShell. Soft Skills: Verfassen von ADRs für Entscheidungen zur Cloud-Sicherheit, technisches Schreiben (Design-Dokumente zur Cloud-Sicherheit + Audit-Berichte), Kommunikation mit der Führungsebene (Lage der Cloud-Sicherheit an CISO / CTO / Vorstand), Bewertung von Anbietern (Entscheidung Wiz vs. Prisma vs. Orca), Mentoring von Middle Cloud Security Engineers. Englisch ab Senior+ PFLICHT — die Cloud-Security-Community (fwd:cloudsec / RSA Cloud Security Track / CSA) + Anbieterdokumentation (Wiz / Prisma / Snyk / HashiCorp) sind komplett englischsprachig. Optionaler Bonus: Open-Source-Beiträge zu Cloud-Sicherheitstools (Prowler / Cloud Custodian / Falco / OPA / Kyverno) — steigern den Marktwert bei Einstellungen in Big-Tech-Cloud-Security + bei CSPM-/CNAPP-Anbietern deutlich. Vorträge auf fwd:cloudsec / RSA Cloud Security Track — Aufschlag bei führenden Cloud-Security-Unternehmen.