Security Engineer: Markt

Stelle

eine offene Stelle, die das Qualitäts-Gate passiert hat und mindestens zwei Technologien nennt

Beobachteter Kandidat

ein Kandidat, dessen Stack diese Technologie enthält; ein Aggregat — kein einziger Datensatz verlässt den Perimeter

Matchbarer Kandidat

noch nicht gezählt

Fenster

Stellen, die zum Zeitpunkt der Erstellung des Snapshots offen waren

Junior — typischer Einstieg: SOC Analyst Middle → Junior Security Engineer (Wechsel vom Betrieb ins Engineering) oder Sysadmin / DevOps Middle + Security-Zertifikate (CompTIA Security+ / CySA+). Der Sprung Junior → Middle — nach dem ersten End-to-End abgeschlossenen Sicherheitsvorfall + der ersten Erkennungsregel im SIEM + dem ersten Zyklus der Schwachstellenbewertung. Middle → Senior — domänenübergreifende Verantwortung (SIEM + EDR + IAM + Cloud), Leitung des Threat Modelling, Automatisierung in SOAR (typisches Mandat: 50%+ der L1-SOC-Alerts automatisieren), Verantwortung für Compliance-Frameworks. Senior → Staff / Principal / Security Architect — organisationsweite Strategie + Zero Trust + Beratung des CISO + Verteidigung des Budgets. Karriereweg: SOC Analyst (1-2 Jahre) / DevOps Middle → Junior Security Engineer (1-2 Jahre) → Middle (2-3 Jahre) → Senior → entweder Security Architect, Threat Hunter, IR-Spezialist, CISO-Pfad oder Senior DevSecOps.

Top 5: cloud, aws, python, ci/cd, azure. SPL (Splunk Search Processing Language) oder KQL (Kusto Query Language für Sentinel) — Pflicht für Detection Engineering. SOAR: Palo Alto Cortex XSOAR (führend) / Splunk SOAR (Phantom) / IBM Resilient / Swimlane / Tines (modern, ohne Code) / Torq. Python zum Schreiben von Playbooks. EDR / XDR: eines von CrowdStrike Falcon (führend 2026) / SentinelOne / Microsoft Defender for Endpoint / Palo Alto Cortex XDR / Trellix / Carbon Black / Cybereason. Russisch: Kaspersky KEDR / MaxPatrol EDR. Threat Intelligence: Recorded Future (führend) / Mandiant Advantage / Anomali / MISP (Open Source) / AlienVault OTX (kostenlos) / VirusTotal Enterprise. Schwachstellenmanagement: Qualys VMDR / Tenable Nessus / Rapid7 InsightVM / OpenVAS. Russisch: MaxPatrol VM (dominiert in RU). IAM: siehe IAM Engineer (sobald die Seite online ist). Netzwerksicherheit: Palo Alto Networks NGFW (führend) + Fortinet + Check Point + Cisco + pfSense / OPNsense. Russisch: UserGate / Continent / InfoWatch ARMA / ViPNet. Container-Sicherheit: Falco Runtime + Trivy + Aqua Security + Sysdig + Prisma Cloud. DLP: Symantec + Forcepoint + Microsoft Purview. Russisch: InfoWatch Traffic Monitor + Solar Dozor (Marktführer in RU). Forensik / IR: Volatility (Speicher) + Wireshark (Netzwerk) + Velociraptor (Endpoint) + Autopsy / FTK / EnCase. Compliance: SOC 2 + ISO 27001 + PCI-DSS + HIPAA + NIST CSF + CIS Controls + 152-FZ + 187-FZ. Sprachen: Python primär + bash + PowerShell + Go als Bonus.

Security Engineer (diese Seite) — Generalist, breite Abdeckung aller Sicherheitsdomänen. Fokus: SIEM-Betrieb + Schwachstellenmanagement + Identität + Netzwerksicherheit + Threat Modelling + Compliance. DevSecOps Engineer — Fokus auf Sicherheit INNERHALB von CI/CD-Pipelines + IaC-Sicherheit + Containersicherheit + Lieferkette. Programmierlastig. Siehe DevSecOps. SOC Analyst — operative Rolle im Security Operations Center, Fokus auf Echtzeit-Triage von Alerts + Incident Response. Oft 24×7-Schichtarbeit (Ebenen L1 / L2 / L3). Siehe SOC Analyst. SecOps Engineer — Security Engineer mit betriebslastigem Fokus. Baut Erkennungsregeln + SOAR-Playbooks für das SOC-Team. Brücke zwischen SOC und Security Engineering. Karrierewechsel: SOC Analyst Senior → Security Engineer Junior — 4-8 Monate. Security Engineer Middle → DevSecOps — 4-8 Monate. DevSecOps Senior → Security Engineer Senior — 2-4 Monate. Security Architect — typischerweise 6-10 Jahre ab Junior. Realität 2026: In kleineren Organisationen ist eine Person = Security Engineer und DevSecOps und SOC L3. Mittelgroße bis große — getrennte Teams. Banken / staatliche Unternehmen in RU — klare Trennung aufgrund regulatorischer Anforderungen.

Referenz-Security-Stack für eine Organisation in Produktion 2026: 1) SIEM — zentrale Log-Aggregation + Korrelation + Alerting. Splunk Enterprise Security / Microsoft Sentinel / IBM QRadar / Elastic Security / MaxPatrol SIEM (russisch). Das Fundament des gesamten SOC. 2) SOAR — Automatisierungs-Playbooks für wiederkehrende Vorfälle. Palo Alto Cortex XSOAR / Splunk SOAR / Tines / Torq. Pflicht: 50%+ der L1-SOC-Alerts automatisieren. 3) EDR / XDR — agentenbasierte Überwachung von Endpunkten + Verhaltensanalyse + Behebung aus der Ferne. CrowdStrike Falcon (Marktführer) / SentinelOne / Microsoft Defender / Cortex XDR. 4) Schwachstellenmanagement — kontinuierliches Scannen + Priorisierung + Nachverfolgung. Tenable / Qualys / Rapid7 / MaxPatrol VM. SLA: Critical 7 T / High 30 T / Medium 90 T. 5) Identity / Access Management (IAM) — SSO + MFA + privilegierter Zugriff. Okta / Microsoft Entra ID / Ping / Keycloak. PAM: CyberArk / BeyondTrust / HashiCorp Boundary. 6) Netzwerksicherheit — NGFW + IPS + IDS + Mikrosegmentierung. Palo Alto / Fortinet / Check Point / Cisco. Russisch: UserGate / Continent. 7) E-Mail-Sicherheit — Anti-Phishing + Sandbox + DMARC. Proofpoint / Mimecast / Microsoft Defender for Office 365. 8) WAF + DDoS-Schutz — Cloudflare / Akamai / AWS WAF + Shield / Imperva. Russisch: Kaspersky DDoS Protection / Qrator. Speist das SIEM für proaktives Blockieren. 10) Cloud-Sicherheit (CSPM + CIEM + CNAPP) — Wiz / Lacework / Prisma Cloud / Orca + Cloud-native Tools (AWS Security Hub + GuardDuty / Security Command Center / Azure Defender). 11) Container-Sicherheit — Falco zur Laufzeit + Image-Scans mit Trivy + Aqua / Sysdig / Prisma Cloud + Admission Controller (OPA Gatekeeper / Kyverno). 12) DLP — Symantec / Forcepoint / Microsoft Purview. Russisch: InfoWatch Traffic Monitor / Solar Dozor (Marktführer in RU). 13) Backup + Wiederherstellung nach Ransomware — Veeam mit unveränderlichem Speicher + getestete DR-Playbooks. 14) Schulungen zum Sicherheitsbewusstsein — KnowBe4 / Proofpoint Security Awareness + simuliertes Phishing. 15) Asset-Inventar + CMDB — ServiceNow / Axonius (konsolidierte Security-CMDB). Übergreifend: Automatisierung von Compliance-Frameworks (Drata / Vanta / Secureframe für SOC 2 / ISO 27001), Forensik-Tools (Volatility + Wireshark + Velociraptor). Ein Senior Security Engineer verantwortet + optimiert den Großteil dieses Stacks + der Integrationen.

Ja, 36% der Stellen als Security Engineer sind vollständig remote oder hybrid. Security-Arbeit ist überwiegend cloudbasiert (Konsolen + Dashboards + SaaS-Tools). Outsourcing-Firmen — fast immer remote bei US-Projekten. Russische Banken — hybrid/Büro wegen regulatorischer Vorgaben + Sicherheitsfreigaben + Abdeckung 24×7. Russische Security-Anbieter — hybrid oder remote nach Sicherheitsüberprüfung. Staatsunternehmen — hybrid/Büro verpflichtend wegen Air-Gap + Freigaben. Internationale Tech-Unternehmen — vollständig remote als Standard. Big Tech Security — Hybrid als Standard. Relokations-Hubs: Polen (Security-freundliche EU) / Deutschland (Berlin + München) / Kanada / Serbien. Englisch für internationale Security-Remote-Arbeit — Pflicht (Security-Community / OWASP / Defcon / Black Hat / RSA + Anbieterdokumentation von CrowdStrike / Palo Alto / Splunk — englischsprachig).

Senior Security Engineer — praktisch verantwortlich für die Umsetzung der Sicherheit. Alltag: Erkennungsregeln im SIEM abstimmen, SOAR-Playbooks debuggen, Triage von Schwachstellen, Schichten in der Incident Response, Integration von Sicherheitsfunktionen mit Produktteams. Programmierlastig (Python für Automatisierung). Security Architect — entwirft die organisationsweite Sicherheitsstrategie + Zero-Trust-Architektur + Ansatz für Compliance-Frameworks + Technologieauswahl. Alltag: ADRs für Sicherheitsentscheidungen schreiben, Design Reviews der Sicherheitsvorschläge von Produktteams, Threat-Modelling-Sitzungen, Präsentationen vor CISO / Vorstand, Verteidigung des Budgets, Bewertung von Anbietern. Weniger Programmierung. Karriereweg: Senior Security Engineer (4-6 Jahre) → Security Architect → Principal Security Architect / Distinguished / CISO-Track. Threat Hunter — alternative Spezialisierung (tiefe proaktive Erkennung): fortgeschrittene Erkennungsregeln schreiben + nach unbekannten Bedrohungen suchen + Angreiferemulation + Reverse Engineering von Malware. Incident Response (IR) Engineer / Forensik-Spezialist — Spezialisierung auf reaktive Vorfallsbehandlung: Malware-Analyse, Speicherforensik (Volatility), Datenträgerforensik, rechtliche Aspekte / Beweiskette. Oft bei externen IR-Beratungen. Karrierewahl: Senior Engineer, wenn praktische Arbeit reizt, Architect bei Strategie + teamübergreifender Arbeit, Threat Hunter bei proaktiver Erkennung + Forschung, IR-Spezialist bei Forensik + Adrenalin der Vorfälle.

Roadmap: 1) Grundlagen — OWASP Top 10 in der Tiefe, CIA-Triade, Authentifizierung vs. Autorisierung, Grundlagen der Kryptografie (symmetrisch / asymmetrisch / Hashing), Netzwerkprotokolle in der Tiefe (TCP / UDP / DNS / HTTP / TLS / VPN). Bücher: „The Web Application Hacker's Handbook“ von Stuttard / Pinto (kanonisch), „Practical Cryptography for Developers“ von Nakov (kostenlos online). 2) Grundlegende Zertifikate — CompTIA Security+ (Einstiegsstandard der Branche) oder CompTIA CySA+ (stärker auf Analysten ausgerichtet). 3) Grundlagen von Linux + Windows — Systemadministration + Speicherorte von Logs + Grundlagen des Auditings + Rechteausweitung. 4) Python in der Tiefe für Sicherheitsautomatisierung. Bücher: „Black Hat Python“ von Justin Seitz (offensives Scripting). 5) SIEM beherrschen — ein SIEM in der Tiefe wählen. Splunk Fundamentals (kostenloses Training — Pflicht) oder Microsoft Sentinel (kostenloses Azure-Kontingent). Erkennungsregeln in SPL / KQL üben. 6) Netzwerkanalyse — Wireshark beherrschen + tcpdump. Capture-the-Flag-Übungen mit PCAP-Dateien. 7) Schwachstellenbewertung in der Praxis — Nessus Essentials (kostenlose Heimversion) oder OpenVAS. Das eigene Heimlabor scannen + die Bewertung nach CVE / CVSS verstehen. 8) Grundlagen der Cloud-Sicherheit — Zertifikatsweg AWS Security Specialty (oder Azure Security Engineer Associate AZ-500). IAM beherrschen + KMS + Cloud-native Sicherheitsdienste. 9) Erfahrung mit offensiver Sicherheit (für die Intuition in der Verteidigung dringend empfohlen): HackTheBox / TryHackMe / PortSwigger Web Security Academy (kostenlos / günstig). OSCP versuchen, wenn der offensive Weg ernst gemeint ist. 10) SOAR + Automatisierung — das kostenlose Kontingent von Tines oder die Community-Version von Cortex XSOAR ausprobieren. Ein einfaches Playbook bauen (automatische Triage von Phishing-E-Mails). 11) Grundlagen der Threat Intelligence — MISP installieren + AlienVault OTX nutzen + IoC-Formate verstehen (STIX / TAXII). 12) Incident Response — IR-Playbooks von SANS + Speicherforensik mit Volatility an CTF-Aufgaben üben. 13) Kenntnis von Compliance-Frameworks — Überblicke zu SOC 2 / ISO 27001 / PCI-DSS lesen + Automatisierungstools (Drata / Vanta / Secureframe). 14) Portfolio aus Pet-Projekten: Heimlabor mit Wazuh SIEM + EDR auf Endpunkten + simulierten Angriffen + Demo zum Threat Hunting mit Zuordnung zu MITRE ATT&CK + SOAR-Playbook zur Automatisierung der Phishing-Triage. Auf GitHub dokumentieren. International (EN): SANS-Kurse (Premium, teuer, aber die besten — SEC401 / SEC501 / SEC555 SIEM), kostenlose OWASP-Ressourcen, Cybrary (kostenlos / günstig), TryHackMe + HackTheBox Academy, Coursera IBM Cybersecurity Specialization. Pflichtlektüre: „The Practice of Network Security Monitoring“ von Richard Bejtlich, „Incident Response & Computer Forensics“ von Luttgens / Pepe / Mandia, „Applied Network Security Monitoring“ von Sanders / Smith. Weg der Premium-Zertifikate: Security+ → CySA+ → OSCP (offensiv — ein Zertifikat, das Respekt verschafft) → CISSP (Management — 5+ Jahre Erfahrung erforderlich) oder GIAC (GCIH / GCFA / GREM — Premium-Spezialisierung). SOC Analyst Middle / DevOps Middle + Interesse → Security Engineer Junior — 6-12 Monate.

3520 active open Security Engineer positions — flagship of the security direction, largest segment. Geography: the US, the UK, India. The real market is broader thanks to the international remote segment + Big Tech Security teams. Time to close a Senior Security Engineer role — 6-12 weeks (longer than general DevOps due to rare-skill combination + extensive background checks at banks + security clearances).

Ein Senior Security Engineer verantwortet den gesamten Zyklus der Security Operations + technische Führung. Sicherheitsgrundlagen in der Tiefe: Beherrschung der OWASP Top 10, angewandte Kryptografie (Beherrschung von TLS + Cipher Suites + PKI), MITRE-ATT&CK-Framework für die Bedrohungsmodellierung, Zero-Trust-Prinzipien, Defense-in-Depth-Entwurf. Beherrschung von SIEM: Splunk Enterprise Security fortgeschritten (SPL — komplexe Abfragen + Alerting + Dashboards + Makros + Lookup-Tabellen) oder KQL für Sentinel. Verfassen eigener Erkennungsregeln + Tuning der False-Positive-Raten + Korrelationsregeln. Beherrschung von SOAR: Cortex XSOAR / Splunk SOAR / Tines fortgeschritten — Verfassen von Playbooks in Python, Integration mit 50+ Sicherheitstools, Automatisierung für 50%+ der L1-SOC-Alerts aufbauen. Beherrschung von EDR / XDR: eines von CrowdStrike Falcon / SentinelOne / Microsoft Defender in der Tiefe — eigene IOA-Regeln, Workflows für Threat Hunting, Automatisierung der Reaktion. Beherrschung von Threat Intelligence: IoC-Workflows, Protokoll STIX / TAXII, Installation von MISP + Integration von Community-Feeds, Profiling von Bedrohungsakteuren, Methodik der Attribution. Beherrschung des Schwachstellenmanagements: Tenable / Qualys / MaxPatrol VM fortgeschritten — eigene Scan-Richtlinien, Priorisierung (CVSS + EPSS + Ausnutzbarkeit), Workflow des Patch-Managements. Identität / Zugriff fortgeschritten: Okta / Entra ID / Ping fortgeschritten — SAML / OIDC / OAuth 2.0 in der Tiefe, MFA, PAM (CyberArk / BeyondTrust / HashiCorp Boundary), Muster für JIT-Zugriff. Netzwerksicherheit fortgeschritten: fortgeschrittene Konfiguration von Palo Alto / Fortinet / Cisco, Zero Trust Network Access (ZTNA), Mikrosegmentierung, NDR-Integration. Cloud-Sicherheit in der Tiefe: AWS Security Specialty oder Azure Security Engineer Expert. Integration von CSPM-Tools (Wiz / Lacework / Prisma Cloud / Orca). Beherrschung der Incident Response: Sicherheitsvorfälle unter Stress leiten, Grundlagen der Forensik (Speicher mit Volatility + Netzwerk mit Wireshark + Grundlagen der Datenträger), Post-Mortems ohne Schuldzuweisung, Chain of Custody. Beherrschung von Compliance-Frameworks: SOC 2 + ISO 27001 + PCI-DSS + HIPAA + 152-FZ + 187-FZ — automatisierte Erfassung von Nachweisen entwerfen (Drata / Vanta / Secureframe). Detection Engineering: fortgeschrittene Erkennungsregeln auf Basis von ATT&CK-Techniken schreiben, nach unbekannten Bedrohungen jagen, Emulation von Angreifern (Purple Team). Programmierung: Python in der Tiefe + Bash + PowerShell + Go-Grundlagen. Systementwurf für Sicherheit: Zero-Trust-Architektur entwerfen, Programm für Supply-Chain-Sicherheit, Schlüsselverwaltung über mehrere Regionen, SOC-Workflows der Stufen 1/2/3. Soft Skills: Verfassen von ADRs, Entwicklung von Sicherheitsschulungen für Engineers, Kommunikation mit der Führungsebene (Sicherheitslage gegenüber CISO / Vorstand / Prüfungsausschüssen), Mentoring von Middle Security Engineers. Englisch ab Senior+ PFLICHT. Optionaler Bonus: Zertifikate für Offensive Security (OSCP / OSCE / OSEP), GIAC (GCIH / GCFA / GREM), CISSP, Open-Source-Beiträge zu Sicherheitstools (Suricata / Falco / MISP / Velociraptor) — steigern den Marktwert deutlich.