Netzwerksicherheit: Markt

Stelle

eine offene Stelle, die das Qualitäts-Gate passiert hat und mindestens zwei Technologien nennt

Beobachteter Kandidat

ein Kandidat, dessen Stack diese Technologie enthält; ein Aggregat — kein einziger Datensatz verlässt den Perimeter

Matchbarer Kandidat

noch nicht gezählt

Fenster

Stellen, die zum Zeitpunkt der Erstellung des Snapshots offen waren

Top 5: cloud, aws, ansible, azure, python. Souveräne Beherrschung von NGFW (Next-Generation Firewall): eines von Palo Alto Networks PAN-OS (Branchenführer — App-ID + User-ID + Content-ID + zentrales Management über Panorama — Premiumwissen), Fortinet FortiGate (Marktführer nach Stückzahl + FortiManager + Security Fabric), Check Point (Quantum + SmartConsole + Maestro), Cisco Secure Firewall (Firepower / FTD + FMC), Juniper SRX. Open Source: pfSense + OPNsense. Russische NGFW (nach dem Rückzug westlicher Anbieter): UserGate (Marktführer in der RF) + Kontinent (Code of Security) + InfoWatch ARMA + Ideco UTM + Rostelecom-Solar NGFW. IDS / IPS: Suricata (modern, multithreaded — Open-Source-Standard 2026) + Snort 3 (Cisco — Klassiker) + Zeek (ehemals Bro — Framework für Netzwerkanalyse — Pflicht für NDR). Kommerziell — Palo Alto Threat Prevention + Cisco Firepower IPS. NDR (Network Detection & Response) auf dem Vormarsch 2024+: Darktrace (KI-basiert — führend) + Vectra AI + ExtraHop Reveal(x) + Corelight (kommerziell auf Zeek-Basis) + Cisco Secure Network Analytics. Zero Trust Network Access (ZTNA): Zscaler Private Access (ZPA — führend) + Cloudflare Access + Palo Alto Prisma Access + Cisco Secure Access + Duo + Netskope + Twingate + Tailscale (modern, auf WireGuard-Basis). SASE (Secure Access Service Edge) — Konvergenz von Netzwerk + Sicherheit: Zscaler (führend) + Palo Alto Prisma SASE + Cloudflare One + Netskope + Cato Networks (SASE-nativer Pionier) + Cisco. VPN: WireGuard (moderner Standard — schnell + minimal) + OpenVPN + IPsec (IKEv2) + Cisco AnyConnect. Russisch: ViPNet (InfoTeCS) + Kontinent. Mikrosegmentierung: VLANs + VXLAN + EVPN + Illumio (führend in Mikrosegmentierung) + Cisco ACI + Cisco Secure Workload (ehemals Tetration) + Akamai Guardicore + VMware NSX. Paketanalyse: Wireshark + tcpdump + Zeek + ntopng. DDoS-Schutz: Cloudflare + Akamai Prolexic + AWS Shield + Radware. Russisch: Qrator + Kaspersky DDoS Protection + StormWall. DNS-Sicherheit: Cisco Umbrella + DNSFilter + Infoblox + Cloudflare Gateway. Grundlage Routing / Switching: Cisco IOS / IOS-XE / NX-OS, Juniper Junos, Arista EOS, BGP / OSPF / EIGRP. Netzwerksicherheit in der Cloud: AWS Network Firewall + Security Groups + NACLs, Azure Firewall + NSG, GCP Cloud Armor + VPC Firewall. Netzwerkautomatisierung: Ansible-Netzwerkmodule + Python (Netmiko + NAPALM + Nornir + Scapy) + Terraform für Cloud-Netzwerke. Sprachen: Python primär + bash.

Network Engineer — Fokus auf Netzwerkinfrastruktur (Routing + Switching + WAN + Rechenzentrums-Fabric). Sicherheit nicht im Vordergrund. Siehe Network Engineer. Network Security Engineer (diese Seite) — Fokus auf Sicherheit auf Netzwerkebene: NGFW + IDS/IPS + NDR + Zero Trust + SASE + Mikrosegmentierung + VPN + DDoS. Brücke zwischen Netzwerken + Sicherheit. Cloud Security Engineer — Fokus auf cloudspezifische Sicherheit (CSPM / CIEM / CNAPP + Cloud-native Sicherheitsdienste). Cloud-Netzwerksicherheit ist eine Teilmenge. Siehe Cloud Security. Security Engineer (allgemein) — breite Abdeckung aller Sicherheitsdomänen (SIEM + EDR + IAM + Netzwerk + Compliance). Siehe Security Engineer (allgemein). Realität 2026 (Überschneidungs-Heatmap): Network Security ↔ Network Engineer: 50% (beide tief in Netzwerken, Fokus auf Sicherheit vs. Infrastruktur). Network Security ↔ Cloud Security: 40% (Überschneidung bei Cloud-Netzwerksicherheit — VPC / Security Groups / Cloud-Firewalls). Network Security ↔ Security Engineer allgemein: 40%. Trend 2026: Die klassische perimeterbasierte Netzwerksicherheit wandelt sich — die Konvergenz von Zero Trust + SASE verwischt die Grenze zwischen Netzwerk-, Endpoint- und Cloud-Sicherheit. Ein moderner Network Security Engineer muss ZTNA / SASE beherrschen (nicht nur klassische NGFW). Karrierewechsel: Network Engineer Senior → Network Security — 4-8 Monate (Sicherheitszertifikate + tiefes NGFW-Wissen + IDS/IPS + NDR ergänzen). Network Security Senior → Cloud Security — 4-8 Monate (CSPM + Cloud-native ergänzen). Network Security Senior → Security Engineer allgemein — 3-6 Monate.

Referenzarchitektur der Netzwerksicherheit 2026 (mehrschichtige Defense in Depth): 1) Perimeter-NGFW — Next-Generation Firewall am Netzwerkrand (Palo Alto / Fortinet / Check Point / Cisco). Anwendungsbewusste Filterung (App-ID), benutzerbezogene Richtlinien (User-ID-Integration mit AD), Bedrohungsabwehr (IPS + Anti-Malware + URL-Filterung). Russisch: UserGate / Kontinent. 2) Interne Segmentierungs-Firewalls — Kontrolle des Ost-West-Verkehrs zwischen Netzwerkzonen (Produktion / Entwicklung / DMZ / Unternehmensnetz). Den Schadensradius begrenzen. 3) Mikrosegmentierung — feingranulare Isolation auf Workload-Ebene (Illumio / Cisco Secure Workload / Guardicore / VMware NSX). Zero-Trust-Prinzip — kein implizites Vertrauen zwischen Workloads. 4) IDS / IPS — Intrusion Detection / Prevention. Suricata (modernes Open Source) oder kommerziell (Palo Alto Threat Prevention / Cisco Firepower IPS). Signaturbasiert + Anomalieerkennung. 5) NDR (Network Detection & Response) — Verhaltensanalyse des Netzwerkverkehrs (Darktrace AI / Vectra / ExtraHop / Corelight / PT NAD russisch). Erkennt laterale Bewegung + C2-Beaconing + Datenexfiltration, die signaturbasiertes IPS übersieht. 6) Zero Trust Network Access (ZTNA) — ersetzt klassisches VPN. Zugriff pro Anwendung (statt netzwerkweitem VPN-Tunnel). Zscaler Private Access / Cloudflare Access / Palo Alto Prisma Access / Twingate / Tailscale. „Never trust, always verify“. 7) SASE (Secure Access Service Edge) — vereint SD-WAN + ZTNA + SWG (Secure Web Gateway) + CASB (Cloud Access Security Broker) + FWaaS (Firewall-as-a-Service) in einer cloudbasierten Plattform. Zscaler / Palo Alto Prisma SASE / Cloudflare One / Netskope / Cato Networks. Trend 2024–2026 — ersetzt die klassische Hub-and-Spoke-Netzwerkarchitektur. 8) DNS-Sicherheit — erste Verteidigungslinie (bösartige Domains vor dem Verbindungsaufbau blockieren). Cisco Umbrella / DNSFilter / Cloudflare Gateway / Infoblox. 9) DDoS-Schutz — Cloudflare / Akamai Prolexic / AWS Shield / Radware. Russisch: Qrator / Kaspersky DDoS. 10) WAF (Web Application Firewall) — Schutz auf Anwendungsebene (Überschneidung mit AppSec). 11) E-Mail-Security-Gateway — Anti-Phishing + Sandbox (Proofpoint / Mimecast / Microsoft Defender for Office 365). 12) Network Access Control (NAC) — Gerätestatus + 802.1X-Authentifizierung (Cisco ISE / Aruba ClearPass / Fortinet FortiNAC). 13) VPN (Legacy oder ergänzend) — WireGuard (modern) / IPsec / OpenVPN für Site-to-Site + Fernzugriff. 14) Cloud-Netzwerksicherheit — AWS Network Firewall + Security Groups / Azure Firewall + NSG / GCP Cloud Armor + VPC Firewall. 15) Netzwerk-Monitoring + Flussanalyse — Analyse von NetFlow / sFlow / IPFIX, Paketmitschnitt (Wireshark / Zeek), SIEM-Integration. Übergreifend: Netzwerkautomatisierung — Automatisierung des Lebenszyklus von Firewall-Regeln (Ansible + Python Netmiko / NAPALM), Konfigurations-Compliance, Drift-Erkennung. Strategie der Netzwerksegmentierung — Entwurf einer Zero-Trust-Architektur (kein implizites Vertrauen, Netzwerkzugriff nach dem Prinzip der minimalen Rechte). Ein Senior Network Security Engineer verantwortet und integriert den Großteil dieses Stacks.

Teilweise. 23% der Network-Security-Stellen — remote oder hybrid, aber typischerweise mit niedrigerer Remote-Quote als Cloud-native Security wegen: 1) Installation und Wartung physischer Firewalls / Netzwerkgeräte + Verkabelung — zwingend vor Ort. 2) Netzwerksicherheit im Rechenzentrum erfordert physische Präsenz. 3) Sicherheitsfreigaben für Verteidigung / Banken / Staatsunternehmen — Präsenz Pflicht. 4) 24×7-Netzwerkbetrieb erfordert oft schnellen physischen Zugang. Remote-Möglichkeiten: softwareseitige Netzwerksicherheit (Verwaltung von Firewall-Richtlinien über zentrale Konsolen — Panorama / FortiManager + Zero Trust / cloudbasiertes SASE + NDR-Analyse + Netzwerkautomatisierung) — kann vollständig remote sein. Cloud-Netzwerksicherheit (AWS / Azure / GCP) — vollständig remote. Outsourcer für cloudseitiges US-Enterprise — meist remote. Russische Banken + Telekommunikation — hybrid/Büro (typisch 3 Tage im Büro). Russische NGFW-Anbieter (UserGate / Code of Security) — hybrid. Staatsunternehmen — hybrid/Büro Pflicht wegen Air-Gap + Freigaben. Relocation-Hubs: Polen (Präsenz von Cisco / Fortinet) / Deutschland / Kanada / Serbien. Englisch für internationales Network-Security-Remote — Pflicht (Herstellerdokumentation Palo Alto / Fortinet / Cisco + Community + Zertifizierungen sind englischsprachig).

Network Security Engineer (klassisch) — Fokus auf das perimeterbasierte Sicherheitsmodell: NGFW am Netzwerkrand, Netzwerkzonen, VPN für den Fernzugriff. Ansatz „Burg und Graben“. Zero Trust Network Engineer (im Aufwind 2024+) — Fokus auf die Zero-Trust-Architektur: „never trust, always verify“, kein implizites Vertrauen aufgrund des Netzwerkstandorts, Zugriff pro Anwendung (statt netzwerkweit), kontinuierliche Verifizierung. Alltag: 1) Einführung von ZTNA (Zscaler Private Access / Cloudflare Access / Palo Alto Prisma Access / Twingate / Tailscale) — klassisches VPN durch Zugriff pro Anwendung ersetzen. 2) Migration zu SASE (SD-WAN + ZTNA + SWG + CASB + FWaaS in einer aus der Cloud bereitgestellten Plattform vereinen — Zscaler / Palo Alto Prisma SASE / Cloudflare One / Netskope / Cato Networks). 3) Identitätsbasierte Zugriffsrichtlinien (Integration mit Okta / Entra ID — Zugriffsentscheidungen auf Basis von Nutzeridentität + Gerätezustand + Kontext, nicht des Netzwerkstandorts). 4) Mikrosegmentierung (Illumio / Cisco Secure Workload / Guardicore — Isolation auf Workload-Ebene). 5) Bewertung des Gerätezustands (NAC-Integration — Compliance des Endpunkts vor Gewährung des Zugriffs). 6) Kontinuierliche Verifizierung (erneute Authentifizierung + Autorisierung während der Sitzung, nicht nur beim Verbindungsaufbau). Treiber 2024–2026: Remote-Arbeit ist dauerhaft (Perimeter aufgelöst — Mitarbeiter überall), Cloud-Migration (Apps nicht im Rechenzentrum), Supply-Chain-Angriffe (Verhinderung lateraler Bewegungen), regulatorischer Druck (die US Executive Order 14028 schreibt Zero Trust für Bundesbehörden vor). Fähigkeiten: klassische Netzwerke + Sicherheit + Identität (IAM) + Cloud + Verständnis der Anbieterlandschaft für SASE / ZTNA. Gehalt: Zero Trust / SASE Network Engineer — Aufschlag gegenüber klassischer Network Security +10-20% wegen einer seltenen Fähigkeit mit wachsender Nachfrage. Karriereweg: Network Security Engineer Senior + Projekterfahrung mit ZTNA / SASE → Zero Trust Network Engineer — 4-8 Monate. Realität 2026: Zero Trust ist in den meisten Organisationen keine eigene Rolle, sondern eine Weiterentwicklung, die von allen Network Security Engineers verlangt wird. „Rein klassische“ Network Security Engineers riskieren einen Karrierestillstand.

Roadmap: 1) Solide Netzwerkgrundlagen — OSI-Modell + TCP / UDP / IP in der Tiefe + Subnetting + Routing (BGP / OSPF / EIGRP) + Switching (VLANs / STP / VXLAN) + DNS + DHCP + NAT. CCNA (Cisco Certified Network Associate) — grundlegendes Zertifikat. Buch: «CCNA 200–301 Official Cert Guide» von Wendell Odom. 2) Sicherheitsgrundlagen — CIA-Triade + Kenntnis der OWASP Top 10 + Grundlagen der Kryptografie (TLS / IPsec / VPN-Protokolle) + typische Netzwerkangriffe (MITM / ARP-Spoofing / DNS-Poisoning / DDoS). Zertifikat CompTIA Security+. 3) Linux + Python — Netzwerk-Stack von Linux + Python für die Netzwerkautomatisierung (Netmiko / NAPALM / Scapy zur Paketmanipulation). 4) NGFW beherrschen — einen Anbieter in der Tiefe wählen. Palo Alto Networks (Zertifikat PCNSE — Premium, anerkannt) oder Fortinet (Weg NSE 4 → NSE 7 → NSE 8) oder Check Point (CCSA → CCSE). Heimlabor: pfSense / OPNsense (kostenlos) zum Üben. Russischer Kontext: Zertifizierung für UserGate (bei Fokus auf die RF). 5) IDS / IPS in der Praxis — Suricata + Snort 3 im Heimlabor einrichten. Erkennungsregeln schreiben. Zeek (früher Bro) für die Netzwerkanalyse. 6) Paketanalyse beherrschen — Wireshark in der Tiefe (Filter + Protokollanalyse + Forensik). An PCAPs mit Malware-Traffic üben (malware-traffic-analysis.net — kostenlos). 7) Zero Trust / SASE (im Aufwind 2024+ — Pflicht für moderne Netzwerksicherheit) — ZTNA-Konzepte verstehen + Tailscale / Twingate ausprobieren (kostenlose Kontingente) + die Architekturen von Zscaler / Cloudflare One / Palo Alto Prisma SASE studieren. 8) Erfahrung mit NDR — Konzepte von Network Detection & Response verstehen (Verhaltensanalyse vs. signaturbasiert) + Überblicke zu Darktrace / Vectra / PT NAD. 9) Cloud-Netzwerksicherheit — AWS (VPC + Security Groups + NACLs + Network Firewall) oder Azure (NSG + Azure Firewall) oder GCP (VPC Firewall + Cloud Armor). Zertifikat AWS Advanced Networking Specialty oder Security Specialty. 10) Netzwerkautomatisierung — Netzwerkmodule von Ansible + Python (Netmiko / NAPALM / Nornir). Das Ausrollen von Firewall-Regeln + die Konfigurations-Compliance automatisieren. 11) Weg der fortgeschrittenen Zertifikate: CCNP Security → CCIE Security (Elite — selten + Premium) oder herstellerspezifisch (PCNSE + Fortinet NSE 7-8 + Check Point CCSE). 12) Portfolio aus Pet-Projekten: a) Heimlabor mit Firewall pfSense / OPNsense + Suricata IDS + Zeek + Segmentierung über VLANs; b) Skripte zur Netzwerkautomatisierung (Verwaltung von Firewall-Regeln mit Python); c) Demo eines Zero-Trust-Aufbaus (Netz mit Tailscale / Twingate). Auf GitHub dokumentieren. International (eng): Cisco Networking Academy (CCNA / CCNP Security), Palo Alto Networks Education (PCNSA → PCNSE), Fortinet NSE Training Institute (NSE 1-3 kostenlos, NSE 4+ kostenpflichtig), SANS SEC503 Network Monitoring and Threat Detection (Premium), Netzwerk-Tracks bei TryHackMe / HackTheBox. Pflichtbücher: «Network Security Assessment» von Chris McNab, «Practical Packet Analysis» von Chris Sanders, «Zero Trust Networks» von Gilman / Barth (O'Reilly — Pflicht für moderne Netzwerksicherheit). Network Engineer Middle + Sicherheitszertifikate → Network Security Junior — 4-8 Monate.

138 active open Network Security Engineer vacancies with explicit network-security focus. The real market is wider — many network security roles classified as general Network Engineer / Security Engineer / Infrastructure (titles like «Network Engineer with security focus» or «Infrastructure Security»). Geography: the US, Poland, India. The real market is wider due to the international remote segment (Palo Alto / Fortinet / Zscaler / Cloudflare / Darktrace / Netskope / Cato Networks — SASE / ZTNA / NDR cloud-delivered teams full-remote-friendly). Senior Network Security Engineer closing time — 6-12 weeks (longer than general DevOps due to rare-skill combination — networking depth + security expertise + vendor-specific certifications).

Ein Senior Network Security Engineer verantwortet den gesamten Lebenszyklus der Netzwerksicherheit + technische Führung. Netzwerkgrundlagen in der Tiefe: Routing-Protokolle beherrschen (BGP fortgeschritten — Route Reflectors / Route Maps / Traffic Engineering; OSPF fortgeschritten — Areas / LSDB; EIGRP), Switching in der Tiefe (VLANs / VXLAN / EVPN — moderne Rechenzentrums-Fabrics), Interna von TCP / IP, DNS / DHCP / NAT beherrschen. NGFW beherrschen: eines von Palo Alto PAN-OS / Fortinet FortiGate / Check Point / Cisco Secure Firewall in der Tiefe — Richtlinienarchitektur, Integration von App-ID / User-ID, Abstimmung der Threat Prevention, zentrale Verwaltung (Panorama / FortiManager / SmartConsole), HA-Konfigurationen, virtuelle Systeme / VDOMs. Russisch: Expertise in UserGate / Kontinent. IDS / IPS beherrschen: Erstellen von Regeln für Suricata / Snort 3, Zeek-Skripte für eigene Netzwerkanalysen, Abstimmung von Fehlalarmen, Verwaltung von Bedrohungssignaturen. NDR beherrschen (im Aufwind 2024+): Darktrace / Vectra / PT NAD — Interpretation der Verhaltensanalyse, Untersuchung von Anomalien, Integration mit SIEM / SOAR. Zero Trust / SASE beherrschen: Design einer ZTNA-Architektur (Zscaler Private Access / Cloudflare Access / Prisma Access), Leitung der Migration zu SASE (Zusammenführung von SD-WAN + ZTNA + SWG + CASB + FWaaS), identitätsbasierte Zugriffsrichtlinien (Integration mit Okta / Entra ID), Design der Mikrosegmentierung (Illumio / Cisco Secure Workload / Guardicore). VPN beherrschen: WireGuard + IPsec (IKEv2) + Site-to-Site + Architektur für Fernzugriff. DDoS-Schutz: Architektur von Cloudflare / Akamai / AWS Shield, Design der Abwehrstrategie. DNS-Sicherheit: Cisco Umbrella / DNSFilter / Infoblox — Blockieren von Bedrohungen auf DNS-Ebene. Cloud-Netzwerksicherheit: AWS Network Firewall + Security Groups + NACLs / Azure Firewall + NSG / GCP Cloud Armor + VPC Firewall — Architektur der Netzwerksicherheit in der Hybrid Cloud. Netzwerkautomatisierung beherrschen: Python (Netmiko + NAPALM + Nornir + Scapy zur Paketmanipulation), Netzwerkmodule von Ansible, Automatisierung des Lebenszyklus von Firewall-Regeln, Konfigurations-Compliance + Erkennung von Abweichungen, Terraform für Cloud-Netzwerke. Paketanalyse beherrschen: Wireshark in der Tiefe (Analyse auf forensischem Niveau), Zeek-Skripte, Analyse von NetFlow / sFlow / IPFIX. Incident Response: Vorfälle mit Netzwerkangriffen leiten (DDoS / laterale Bewegung / Datenabfluss), forensische Netzwerkanalyse. System Design für Netzwerksicherheit: eine mehrschichtige Netzwerkarchitektur (Defense in Depth) am Whiteboard entwerfen, eine Zero-Trust-Netzwerkarchitektur entwerfen, die SASE-Migration über mehrere Standorte entwerfen, eine Strategie für Mikrosegmentierung entwerfen. Compliance-Frameworks: Anforderungen von PCI-DSS an die Netzwerksegmentierung, Netzwerkkontrollen nach ISO 27001 + NIST CSF, 152-FZ + 187-FZ. Soft Skills: ADRs für Entscheidungen zur Netzwerksicherheit schreiben, technisches Schreiben (Designdokumente zur Netzwerksicherheit), teamübergreifende Zusammenarbeit (Teams Netzwerk / Security / Cloud / Infrastruktur), Mentoring von Middle Network Security Engineers, Management der Beziehungen zu Anbietern. Englisch ab Senior PFLICHT — Herstellerdokumentation (Palo Alto / Fortinet / Cisco / Zscaler) + Community + Zertifizierungen sind englischsprachig. Zertifizierungen: CCIE Security (Elite — selten + enormer Aufschlag), CCNP Security, PCNSE (Palo Alto), Fortinet NSE 7-8, Check Point CCSE, AWS Advanced Networking / Security Specialty.