Weg zum IT-Security-Spezialisten

Du willst in die IT-Security einsteigen, weißt aber nicht, wo du anfangen sollst: Netzwerke, Linux, Pentesting, Compliance, Zertifikate, Tools. Alles wirkt wichtig, aber nichts klar greifbar. Dieser Leitfaden sortiert dir das Thema und zeigt dir einen realistischen Weg vom Einsteiger zum Spezialisten.

Was ein IT-Security-Spezialist wirklich können muss

IT-Security ist kein reines „Hacker werden“. Du brauchst ein Fundament aus klassischer IT und darauf aufbauend spezialisierte Fähigkeiten. Typisch sind vier Kompetenzbereiche:

• Technik verstehen: Netzwerke, Betriebssysteme, Virtualisierung, Cloud-Grundlagen
• Angriffe nachvollziehen: wie Angreifer vorgehen, typische Schwachstellen, Exploits
• Verteidigung planen: Schutzkonzepte, Monitoring, Incident Response
• Organisation und Regeln: Richtlinien, Gesetze, Standards, Risiko-Management

Je nach Rolle verschieben sich die Schwerpunkte, aber ohne Basiswissen in allen vier Bereichen wirst du schnell an Grenzen stoßen.

Fundament: Netzwerk- und Systemgrundlagen

Ohne solides Fundament in Netzwerken und Betriebssystemen bringt dir kein Pentest-Tool und keine SIEM-Konsole etwas. Wenn du bei diesen Fragen zucken musst, ist hier dein erster Baustellenbereich:

• Wie funktioniert ein TCP-Handshake?
• Was ist der Unterschied zwischen Routing und Switching?
• Wie arbeitet DNS, was ist eine Zone, was ein Record?
• Wie bootet ein Linux-System, wie sieht ein Systemd-Log aus?
• Wie verwaltest du Benutzer und Rechte unter Windows und Linux?

Netzwerke: dein Pflichtprogramm

Darauf solltest du hinarbeiten:

• OSI- und TCP/IP-Schichtenmodell sicher erklären können
• IPv4-Adressierung, Subnetting, grundlegendes Routing
• Typische Protokolle: HTTP/S, DNS, SMTP, SSH, RDP, SMB
• Grundbegriffe: VLAN, NAT, VPN, Firewall, Proxy

Praktische Übungsideen:

• Richte dir zuhause ein kleines virtuelles Lab ein, z. B. mit VirtualBox oder Proxmox.
• Simuliere ein Firmennetzwerk mit einem internen Netz, einem „DMZ“-Netz und einem „Internet“-Netz.
• Protokolliere mit Wireshark, was tatsächlich über die Leitung geht, wenn du z. B. eine Website aufrufst oder per SSH verbindest.

Betriebssysteme: mindestens Windows plus Linux

Du musst kein Kernel-Entwickler sein, aber:

• Unter Windows:
• Benutzer, Gruppen, NTFS-Rechte
• Dienste, Ereignisanzeige, Aufgabenplanung
• Grundprinzipien von Active Directory verstehen
• Unter Linux:
• Dateisystemstruktur, Berechtigungen, Nutzer- und Gruppenverwaltung
• systemctl, journalctl, grundlegende Logs lesen
• Paketverwaltung, SSH, einfache Shell-Skripte

Praxisansatz: Richte dir mindestens eine Windows- und eine Linux-VM ein und führe typische Admin-Aufgaben durch. Dokumentiere dir dabei Befehle und Stolpersteine. Das ist genau das Wissen, auf dem du später Angriffswege und Schutzmaßnahmen aufbaust.

Sicherheitsgrundlagen: vom Bauchgefühl zu strukturiertem Denken

Mit Netzwerk- und Systemwissen kannst du anfangen, „in Security zu denken“. Dafür brauchst du ein paar grundlegende Konzepte:

• Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit
• Bedrohungsmodelle: Wer greift an, warum, mit welchen Mitteln?
• Sicherheitsprinzipien:
• Least Privilege
• Defense in Depth
• Need-to-know
• Secure by Default
• Typische Angriffskategorien:
• Web: SQL Injection, XSS, CSRF, Authentifizierungsfehler
• Netzwerk: Scans, Man-in-the-Middle, Schwachstellen in Diensten
• Endpoints: Malware, Ransomware, Phishing
• Kryptografie-Basics: Symmetrisch vs. asymmetrisch, Zertifikate, TLS grob einordnen

Ein guter Einstieg ist, eigene Dienste „mit Angreiferbrille“ zu betrachten: Wie würde ich hier Passwörter stehlen, Rechte ausweiten, Daten exfiltrieren?

Spezialisierungen: Blue Team, Red Team, GRC und mehr

Wenn die Grundlagen einigermaßen sitzen, solltest du dich grob orientieren, in welche Richtung du willst. Drei häufige Pfade:

Blue Team: Verteidigung, Monitoring, Incident Response

Blue-Teamer sorgen dafür, dass Angriffe erkannt, abgewehrt und aufgearbeitet werden. Typische Aufgaben:

• Log- und Event-Analyse in SIEM-Systemen
• Regeln und Alarme definieren
• Schwachstellenscans planen und bewerten
• Incident-Response-Prozesse mitgestalten und umsetzen
• Hardening von Systemen, z. B. Windows-Server, Linux, Active Directory

Wichtige Skills:

• Gute Kenntnis von Windows- und AD-Umgebungen
• Grundlagen in Skriptsprachen, z. B. PowerShell, Python
• Verstehen von Logformaten, Syslog, Windows Event Logs
• Grundverständnis von Forensik und Artefakten (z. B. Browser-Historien, Prefetch-Dateien, Event-IDs)

Red Team / Pentesting: angreifen, um zu schützen

Red-Teamer und Pentester simulieren Angreifer. Sie suchen Schwachstellen und zeigen, wie weit sie kommen. Tätigkeiten:

• Informationsbeschaffung, z. B. OSINT
• Netzwerkscans, Service-Identifikation, Exploit-Recherche
• Web-Applikationen testen
• Passwort-Angriffe, z. B. Hash-Dumps, Brute Force in Laborumgebungen
• Berichte schreiben, Findings priorisieren, Maßnahmen vorschlagen

Wichtige Skills:

• Sehr gute Netzwerk- und Protokollkenntnisse
• Linux-Sicherheit, Berechtigungen, typische Schwachstellen
• Web-Security-Grundlagen (OWASP Top 10)
• Umgang mit Tools wie Nmap, Burp Suite, Metasploit in Testumgebungen
• Saubere Dokumentation und Berichterstellung

Wichtig: Seriöses Pentesting passiert immer mit schriftlicher Erlaubnis und klaren Regeln. Alles andere ist illegal, auch „nur mal ausprobieren“.

GRC: Governance, Risk, Compliance

GRC-Spezialisten verbinden Security mit Organisation und Recht. Sie sind näher an Management und Fachbereichen als an der Kommandozeile.

Typische Aufgaben:

• Sicherheitsrichtlinien entwickeln und pflegen
• Risiken bewerten, Risikobehandlungspläne erstellen
• Audits begleiten, z. B. nach ISO 27001
• Awareness-Maßnahmen planen
• Anforderungen aus Gesetzen und Standards in die Praxis übersetzen

Wichtige Skills:

• Verständnis von Informationssicherheits-Managementsystemen (ISMS)
• Grundkenntnisse relevanter Normen und Gesetze
• Fähigkeit, technische Themen verständlich zu erklären
• Strukturierte Dokumentation und Prozessdenken

GRC eignet sich oft für Leute mit organisatorischer Stärke oder IT-Erfahrung, die stärker in die Steuerung wollen.

Zertifikate: Orientierung, kein Selbstzweck

Zertifikate sind kein Ersatz für Praxis, aber sie helfen dir, deinen Weg zu strukturieren und gegenüber Arbeitgebern sichtbar zu machen. Ein möglicher Pfad:

Einstieg: breite Grundlagen

• CompTIA Security+ Deckt grundlegende Security-Konzepte, Netzwerke, Kryptografie, Identitätsmanagement und Risiko-Themen ab. Gut für den Überblick und oft akzeptiert.

Technische Spezialisierung

• Blue Team / Defense:
• Microsoft-Zertifikate rund um Security, Identity, Defender
• CompTIA CySA+ für analytische Security-Rollen
• Red Team / Pentesting:
• eJPT (Entry-level Junior Penetration Tester) als praxisnaher Einstieg
• Später eventuell OSCP, wenn du wirklich tief ins Pentesting willst
• GRC:
• Zertifizierungen im Umfeld ISO 27001, z. B. Lead Implementer oder Auditor
• Je nach Branche auch spezifische Zertifikate, etwa im Datenschutz

Nimm Zertifikate als Wegweiser: Wähle ein Ziel, schau dir die Skills an, die dafür gefordert werden, und nutze das als Lernplan.

Welche Schulungen den Einstieg tragen

Gerade am Anfang ist es hilfreich, nicht alles allein aufzubauen, sondern strukturierte Schulungen zu nutzen. Die Reihenfolge ist dabei wichtiger als der „Kursname“. Ein sinnvoller Aufbau sieht oft so aus:

1. Netzwerkgrundlagen intensiv Ziel: OSI-Modell, TCP/IP, Routing, Subnetting, Standardprotokolle, Grundbegriffe wie VLAN, NAT, VPN wirklich verstanden haben. Nutze Lab-Umgebungen, in denen du Konfigurationen selbst durchspielst.

2. Windows- und Linux-Admin-Basics Ziel: Benutzer und Rechte, Dienste, Logs, Remote-Zugriff, grundlegende Härtungsmaßnahmen. Du solltest nach so einem Training in der Lage sein, ein kleines System eigenständig zu betreiben.

3. Einführung in IT-Security Ziel: Überblick über Bedrohungen, Schutzziele, typische Angriffsarten und Verteidigungsmaßnahmen. Hier bekommst du das Vokabular und die Einordnung, welche Security-Rolle was macht.

4. Erste Spezialisierung je nach Zielrolle

• Für Blue Team:
• Schulung zu SIEM/SOC-Grundlagen, Log-Analyse, Incident Handling
• Für Red Team:
• Einstieg in Penetration Testing, z. B. Netzwerk- und Web-Pentests in einer Laborumgebung
• Für GRC:
• Grundlagen-Schulung zu ISMS und ISO 27001, Risikomanagement

5. Vertiefung und Zertifikatsvorbereitung Wenn du merkst, dass dir ein Bereich liegt, kannst du gezielt Vertiefungskurse und Zertifikatsvorbereitungen wählen. Aktuelle Termine und passende Kurse findest du bei cmt.de.

Achte bei der Wahl von Schulungen darauf, dass du echte Praxisanteile hast: Übungen, Labs, Fallstudien. Reine Frontalvorträge bringen dich in Security selten weit.

Praxis aufbauen: ohne Labor kein Fortschritt

Security lernst du durch Ausprobieren. Ein paar konkrete Ideen, wie du dir Praxis schaffst:

• Virtuelles Heimlabor:
• Mehrere VMs mit verschiedenen Betriebssystemen
• Ein „Opfer“-System, an dem du Härtung und Angriffssimulation übst
• Logging zentral sammeln und auswerten
• Capture-the-Flag (CTF)-Plattformen:
• Geeignete legale Plattformen nutzen, um typische Angriffswege kennenzulernen
• Fokus auf Verständnis, nicht auf „Flag um jeden Preis“
• Log-Analyse:
• Eigene Systeme bewusst „angreifen“ und schauen, wie die Logs aussehen
• Regeln formulieren, nach welchen Mustern du solche Angriffe erkennen würdest
• Dokumentation:
• Führe ein Lerntagebuch: Was hast du getestet, was hat funktioniert, was nicht?
• Diese Dokumentation ist später Gold wert, auch für Bewerbungen und Gespräche.

Typische Einstiegswege und realistische Erwartungen

Die meisten IT-Security-Spezialisten kommen nicht direkt aus der Schule in eine reine Security-Rolle. Häufige Pfade:

• System- oder Netzwerkadministrator, dann schrittweise Fokus auf Security
• Entwickler, der sich in Richtung Application Security orientiert
• IT-affine Quereinsteiger, die erst Grundlagen aufholen, dann in Junior-Security-Rollen starten

Realistisch ist, dass du einige Jahre brauchst, bis du wirklich sattelfest bist. Das ist normal, das Feld ist breit. Wichtig ist, dass du:

• kontinuierlich lernst, nicht in Crash-Kursen „alles auf einmal“
• Grundlagen ernst nimmst, bevor du in Spezialtools abtauchst
• dir eine Richtung suchst, aber offen bleibst, falls sich dein Interesse verschiebt

Fazit: Klarer Pfad statt Tool-Sammlung

Der Weg zum IT-Security-Spezialisten ist kein Geheimnis, aber er verlangt Struktur und Ausdauer. Baue zuerst dein Fundament in Netzwerken und Systemen. Lerne, in Schutzzielen, Bedrohungen und Risiken zu denken. Entscheide dich dann für eine grobe Richtung: Blue Team, Red Team oder GRC. Nutze Schulungen und Zertifikate als Leitplanke, nicht als Selbstzweck, und bau dir so früh wie möglich Praxis in Laborumgebungen auf.

Wenn du diesen Weg bewusst gehst, wirst du mit der Zeit vom neugierigen Einsteiger zum gefragten Spezialisten, der nicht nur Tools bedient, sondern versteht, was im Hintergrund passiert.