IT-Security-Weiterbildung für Admins: Kurse & Zertifikate

Ein Verschlüsselungstrojaner kommt selten über eine spektakuläre Zero-Day-Lücke. Meistens reicht ein offen gelassener RDP-Port, ein Dienstkonto mit ewig gültigem Passwort und ein Log, das niemand liest. Genau an diesen Stellen entscheidet sich Security im Betrieb, und genau dort arbeitest du als Admin täglich. Awareness-Folien für die Belegschaft sind sinnvoll, lösen dein Problem aber nicht. Du brauchst rollenspezifisches Handwerk: härten, überwachen, im Ernstfall sauber reagieren. Dieser Guide zeigt dir, welche Themen eine Admin-Weiterbildung abdecken sollte und welche Zertifikate am Ende wirklich etwas belegen.

Warum Admins eigene Security-Skills brauchen

Die typische Firmen-Schulung zu Phishing und starken Passwörtern richtet sich an alle Mitarbeitenden. Für dich als Administrator bleibt das reine Grundierung. Deine Arbeit bestimmt, ob ein Angreifer nach dem ersten kompromittierten Rechner beim Domain-Controller landet oder an einem gehärteten Netz scheitert.

Das verlangt Wissen, das über allgemeine Awareness hinausgeht. Du musst wissen, wie Angreifer sich seitlich durch ein Netzwerk bewegen, wie Kerberos-Tickets missbraucht werden, warum ein identisches lokales Admin-Passwort (beziehungsweise dessen Hash) auf jedem Client per Pass-the-Hash zum Flächenbrand wird. Und du musst das in konkrete Handgriffe übersetzen: Gruppenrichtlinien, Firewall-Regeln, Segmentierung, Least Privilege.

Wenn du beim Thema Security noch am Anfang stehst und erst die Grundbegriffe sortieren willst, lies vorab den Einstieg in IT-Security. Dieser Guide setzt darauf auf und geht in die administrative Tiefe.

Systeme härten und Angriffsflächen senken

Härtung heißt, alles abzuschalten, was du nicht brauchst, und den Rest sauber zu konfigurieren. Das klingt banal, ist im gewachsenen Firmennetz aber Kleinarbeit. Ein guter Kurs vermittelt dir hier eine Systematik statt einzelner Tricks.

Konkret geht es um Baselines. Statt jeden Server nach Bauchgefühl zu konfigurieren, arbeitest du gegen einen definierten Soll-Zustand. Die CIS Benchmarks liefern für Windows, Linux, Active Directory, Microsoft 365 und viele Anwendungen geprüfte Härtungsvorgaben, die du übernehmen und per Gruppenrichtlinie oder Ansible ausrollen kannst. Die CIS Benchmarks gibt es kostenlos als PDF. Für den deutschen Rahmen bietet das BSI mit dem IT-Grundschutz-Kompendium strukturierte Bausteine, die auch bei Audits anerkannt sind.

Eine Härtungs-Weiterbildung sollte dir mindestens diese Bereiche durchgehen:

• Betriebssystem-Baselines für Windows Server und Linux, inklusive Dienste, Protokolle und Update-Strategie.
• Active Directory absichern: Tiering-Modell, privilegierte Konten, LAPS für lokale Admin-Passwörter, Deaktivierung von veraltetem NTLM und SMBv1.
• Netzwerksegmentierung, damit ein kompromittierter Client nicht das ganze Netz sieht.
• Angriffsflächen an Perimeter und Fernzugriff, etwa RDP nur über Gateway, VPN mit Zertifikaten, Multifaktor überall dort, wo es geht.

Der Denkrahmen dahinter ist Least Privilege und Zero Trust: kein implizites Vertrauen, jede Verbindung wird geprüft. Ein Praxiskurs lässt dich das an echten Systemen üben, statt es nur auf Folien zu sehen.

Monitoring, Logging und SIEM

Härtung senkt das Risiko, verhindert aber keinen entschlossenen Angriff. Ob du einen Einbruch überhaupt bemerkst, hängt an deinem Monitoring. Viele Firmen scheitern nicht an fehlenden Logs, sondern daran, dass die Logs niemand zusammenführt und auswertet.

Ein SIEM (Security Information and Event Management) sammelt Ereignisse aus Windows-Eventlogs, Firewalls, Proxys, Cloud-Diensten und Endpoint-Agenten an einer Stelle, korreliert sie und schlägt Alarm, wenn ein Muster verdächtig aussieht. Bekannte Vertreter sind Microsoft Sentinel, Splunk, Elastic Security und Wazuh. In einer guten Weiterbildung lernst du nicht nur das Werkzeug, sondern die Methode: Welche Ereignisse sind sicherheitsrelevant, welche Erkennungsregeln braucht es, wie vermeidest du eine Flut aus Fehlalarmen, die am Ende alle ignorieren.

Ein hilfreiches Gerüst ist das MITRE ATT&CK Framework. Es katalogisiert reale Angreifer-Techniken und hilft dir, deine Erkennung an tatsächlichem Verhalten auszurichten statt an Bauchgefühl. Wenn du beispielsweise weißt, wie Credential Dumping in ATT&CK beschrieben ist, kannst du gezielt nach den passenden Windows-Events suchen und eine Regel dafür bauen. Weil immer mehr Systeme in der Cloud laufen, gehört das Monitoring von Azure- und AWS-Umgebungen dazu; die passende Grundlage dafür findest du im Guide zur Cloud-Zertifizierung für Azure und AWS.

Incident Response im Ernstfall

Irgendwann klingelt das Telefon, und ein Server verhält sich seltsam. Ab hier zählt, ob du einen Plan hast oder improvisierst. Incident Response ist eine eigene Disziplin, und sie lässt sich lernen und üben.

Der etablierte Phasenablauf orientiert sich am Leitfaden des NIST, dem Computer Security Incident Handling Guide (SP 800-61 Rev. 2), der bis heute in Schulungen gelehrt wird. NIST hat 2025 mit der Revision 3 nachgezogen und das Modell stärker am Risikomanagement ausgerichtet, die bewährten Phasen bleiben aber ein solides Gerüst. Diese Phasen sind Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung sowie die Nachbereitung. In einer Weiterbildung spielst du diese Kette an einem simulierten Vorfall durch:

• Vorbereitung: Notfallkontakte, Rollen, Zugangsdaten und ein Playbook liegen bereit, bevor etwas passiert.
• Eindämmung: einen betroffenen Host isolieren, ohne vorschnell auszuschalten und damit flüchtige Beweise im RAM zu vernichten.
• Analyse: Logs, Artefakte und Timeline auswerten, um Umfang und Einfallstor zu verstehen.
• Wiederherstellung: sauber neu aufsetzen statt nur die sichtbare Malware zu löschen, denn Persistenzmechanismen bleiben sonst.

Ein oft unterschätzter Punkt ist die Nachbereitung. Nach jedem Vorfall gehört ein ehrliches Lessons-Learned dazu, aus dem konkrete Härtungs- und Monitoring-Verbesserungen folgen. So schließt sich der Kreis zu den ersten beiden Abschnitten. Für kritische Infrastrukturen und größere Betreiber lohnt zusätzlich ein Blick auf die BSI-Vorgaben zur Meldepflicht, die je nach Branche gelten.

Passende Zertifikate: CompTIA Security+, ISO 27001

Ein Zertifikat ersetzt keine Praxis, aber es macht dein Wissen sichtbar und ist im Lebenslauf ein anerkannter Beleg. Für Admins sind vor allem zwei Wege interessant, die unterschiedliche Ziele verfolgen.

CompTIA Security+ ist die solide, herstellerneutrale Basiszertifizierung. Sie deckt Bedrohungen, Kryptografie, Netzwerksicherheit, Identitäten und Incident Response breit ab und wird international als Einstiegsnachweis akzeptiert. Details zu Prüfungszielen und Aufbau stehen bei CompTIA. Wer tiefer in die Angreiferperspektive will, schaut sich danach praxisorientierte Zertifizierungen wie CompTIA CySA+ oder die bekannten Offensive-Security-Nachweise an.

ISO/IEC 27001 zielt in eine andere Richtung. Hier geht es nicht um deine Tastatur-Skills, sondern um ein Informationssicherheits-Managementsystem, also den organisatorischen Rahmen: Risiken bewerten, Maßnahmen dokumentieren, Verantwortlichkeiten festlegen. Für Admins ist die Rolle als interner Auditor oder Information Security Officer interessant, gerade wenn die eigene Firma auf eine Zertifizierung hinarbeitet. Den offiziellen Standard beschreibt die ISO zu ISO/IEC 27001. Eine ISO 27001 Schulung in München richtet sich meist an angehende Auditoren oder Verantwortliche, die das Managementsystem aufbauen und pflegen sollen. Welches der beiden Zertifikate zu dir passt, hängt davon ab, ob du technisch tiefer oder in Richtung Governance und Compliance willst. Termine und Kurse zu Security+ und ISO 27001 findest du bei cmt.de.

Awareness fürs Team mitdenken

Auch die beste Technik hält nicht, wenn jemand im Team Makros aktiviert oder Zugangsdaten am Telefon herausgibt. Als Admin bist du oft die Person, die Awareness im Betrieb überhaupt anstößt, weil du die realen Vorfälle siehst.

Nimm die Nutzerseite deshalb in deine Sicherheitsstrategie mit auf, ohne dich darin zu verlieren. Ein paar wirksame Hebel, die du technisch unterstützen kannst: Phishing-Simulationen, mit denen sich die Belegschaft gefahrlos testen lässt; klare Meldewege, damit ein verdächtiger Anhang schnell bei dir landet statt geöffnet zu werden; und Multifaktor-Authentifizierung, die einen erratenen oder gephishten Zugang trotzdem stoppt. Der Punkt ist, dass Awareness und Admin-Härtung ineinandergreifen. Deine Konfiguration fängt vieles ab, was Menschen falsch machen, und geschulte Menschen erzeugen weniger Vorfälle, die deine Technik abfangen muss.

Für Firmen und IT-Teams in München und Bayern lohnt es sich, das nicht in Einzelkursen zu verzetteln, sondern als Weiterbildungspfad zu planen: erst die administrativen Grundlagen der Härtung, dann Monitoring und Incident Response an echten Systemen, ergänzt um ein Zertifikat als Nachweis. cmt bietet solche IT-Security-Schulungen seit Jahren am Standort München an, wahlweise als offenes Seminar oder inhouse für dein Team. Die aktuellen Termine, Inhalte und Buchung findest du direkt bei cmt.de.