Rocken Sie Ihren neuen Job in der Cybersecurity vom ersten Tag an
Du bist also ein Security Engineer und hast gerade den Job bekommen, nach dem du gesucht hast. Herzlichen Glückwunsch! Und was nun?
Lobe dich erst einmal selbst und feiere – du hast es dir verdient. Die Jobsuche ist für sich schon ein Fulltime-Job. Aber sobald der erste Tag in der neuen Position da ist, willst du direkt loslegen und dich sowohl für kurzfristigen als auch langfristigen Erfolg aufstellen.
Wie sieht das für Security Engineers, Security Analysts und ähnliche Rollen aus? Wir haben kürzlich eine erfahrene Fachkraft aus dem Sicherheitsbereich gefragt – Himanshu Anand, Security Analyst beim Cybersicherheitsunternehmen c/side –, einige Einblicke zu geben, wie man das Onboarding mit einem neuen Team und einer neuen Organisation erfolgreich meistert. Anand hat den Großteil seiner Karriere als Security Analyst oder Security Engineer gearbeitet, u.a. bei Unternehmen wie Cloudflare, Symantec und JPMorgan Chase.
Want more from The CTO Club?
Create a free account to finish this piece and join a community of CTOs and engineering leaders sharing real-world frameworks, tools, and insights for designing, deploying, and scaling AI-driven technology.
Have an account? Log In
Ein wichtiges Prinzip, das du dir merken solltest: Die technischen Aspekte des Jobs kennenzulernen ist nur ein Teil der Geschichte.„Die ersten 90 Tage für Security Engineers dienen dazu, sowohl die technischen als auch die menschlichen Aspekte deiner neuen Organisation und deine Rolle darin zu verstehen“, teilt Anand mit. „Ich habe gelernt, dass zwar technisches Sicherheits-Know-how natürlich entscheidend ist, der Erfolg aber ebenso davon abhängt, wie gut du die zugrunde liegenden geschäftlichen Zusammenhänge verstehst und wie effektiv – und manchmal wie schnell – du Beziehungen teamübergreifend aufbauen kannst.“
In diesem Artikel teile ich noch mehr praxisorientierte und leicht verständliche Ideen, wie du in den ersten 90 Tagen im neuen Job richtig durchstartest. Zuerst sollten wir die Rolle definieren.
Was ist ein Security Engineer?
Wir verwenden hier die Berufsbezeichnung „Security Engineer“, aber der gleiche Rat gilt auch für eine Reihe verwandter Sicherheitsrollen wie Security Analyst, Cyber Analyst, Cybersecurity Analyst oder SOC Analyst, um nur einige zu nennen.
Um diesen Punkt zu unterstreichen, findest du auf der Jobseite Glassdoor eine klare Beschreibung der Rolle – unter dem Titel „Information Security Engineer“:
„Security Engineers planen, entwerfen, bauen und integrieren Werkzeuge und Systeme, die zum Schutz von elektronischen Informationen und Geräten eingesetzt werden. Sie implementieren Systeme zur Erfassung von Informationen über Sicherheitsvorfälle und deren Ergebnisse. Sie können Metriken entwickeln oder Verfahren zur Bewertung der Wirksamkeit der eingesetzten Systeme und Taktiken erstellen und sind möglicherweise auch an der Erstellung von Schulungsmaterialien beteiligt. Oft entwickeln sie auch die Infrastruktur, um diese Systeme und Prozesse zu unterstützen.“
Kurz gesagt: Security Engineers stehen an vorderster Front, wenn es darum geht, heutige Organisationen vor einem dynamischen Spektrum potenzieller Cybersecurity-Risiken zu verteidigen. Die Rolle ist wichtiger denn je – was auch bedeutet, dass sie gut bezahlt werden kann. Die Tech-Jobplattform Built In beziffert das durchschnittliche US-Gehalt für Security Engineers auf $129.059. Standort, Erfahrung und weitere Faktoren können diesen Wert natürlich in beide Richtungen verschieben.
Werfen wir einen Blick auf weitere Ratschläge.
Die ersten 30 Tage
Sobald der Papierkram mit der Personalabteilung erledigt ist, dreht sich in den ersten Tagen und Wochen im neuen Job alles ums Lernen. Unabhängig von deiner bisherigen Erfahrung – es ist eine neue Organisation, mit allem was dazugehört: Menschen, Prozesse, Tools, Infrastruktur usw.
Tipp #1: Konzentriere dich auf die Grundlagen und entwickle dich von dort aus weiter.
„Wenn ich an diese ersten 30 Tage als Neueinsteiger denke, würde ich mich stark darauf fokussieren, die Grundlagen der wichtigsten Unternehmenswerte, der zentralen Tools und – vielleicht am wichtigsten – herauszufinden, wie die verschiedenen Teams tatsächlich arbeiten möchten, zu lernen“, sagt Anand.
Was die technischen Aspekte des Jobs angeht, solltest du dich nicht scheuen, kleinere Aufgaben zu übernehmen, um die Eigenheiten des neuen Tech-Stacks und die Werte, die du schützen sollst, kennenzulernen. (In dieser Reddit-Diskussion zum Thema Onboarding als Staff Engineer – zwar eine andere Rolle, aber trotzdem klar im IT-Bereich angesiedelt – wird auch darauf hingewiesen, dass die Bereitschaft, mit einfachen Aufgaben zu beginnen, neuen Kollegen signalisiert, dass dein Ego nicht zu groß ist, um durch die Tür zu passen.)
Gerade dieser Punkt scheint für manche schwierig zu sein. Deine Lernkurve sollte die menschlichen Aspekte deines neuen Unternehmens einschließen – aber wie geht man das an? Einiges ergibt sich mit der Zeit, aber es gibt Möglichkeiten, den Prozess zu beschleunigen. Hier ein konkretes Beispiel aus Anands Erfahrung.
Tipp #2: Tausche dich mit nicht-technischen Teams aus, um deren Ziele und Abläufe kennen zu lernen.
„Ich lege Wert darauf, mich mit Nicht-Security-Teams zu treffen, um deren Workflows zu verstehen“, sagt Anand. „Ich habe festgestellt, dass es mir hilft, die Tools und Prozesse zu kennen, auf die z. B. Sales- oder Marketing-Teams setzen – ob das nun Dropbox ist, Arbeiten aus öffentlichen Netzwerken etc. –, um so meine Planung optimal zwischen Sicherheitsanforderungen und Arbeitsabläufen/Betrieb ausrichten zu können.“
Tipp #3: Sei darauf vorbereitet, dass es Diskussionen und Debatten zu Anbietern und Tools geben wird.
Anand bemerkt außerdem, dass Diskussionen über Anbieter, Tools und Best Practices scheinbar unvermeidlich immer dann aufkommen und erneut geführt werden, wenn neue Leute – also Sie – dem Team beitreten. Heißen Sie diese willkommen – es ist eine gute Gelegenheit, Ihr Fachwissen und Ihre Erfahrungen zu teilen, während Sie gleichzeitig Ihre Teamkollegen kennenlernen und mehr über das Unternehmen im Detail erfahren – insbesondere, weil Sicherheitsexperten (und IT-Profis im Allgemeinen) oft, nun, leidenschaftliche Meinungen zu diesem Thema haben.
„Ich finde mich oft schon in den ersten zwei Wochen in Anbieterdiskussionen wieder“, berichtet Anand. „Die meisten Security Engineers kommen mit starken Meinungen über Sicherheitstools, basierend auf früheren Erfahrungen, ins Unternehmen, und das Teilen dieser Perspektiven kann für das Team wertvoll sein. Denken Sie nur daran, offen zu bleiben dafür, zu verstehen, warum bestimmte Entscheidungen in Ihrem neuen Umfeld getroffen wurden.“
Die ersten 60 Tage
Sobald Sie genug wissen, um nicht in unmittelbarer Gefahr zu stehen, die Server Ihres Unternehmens zu zerstören oder versehentlich eine exorbitante Cloud-Rechnung zu verursachen, können Sie selbstbewusst mehr Verantwortung übernehmen.
In dieser Phase priorisiert Anand Aufgaben und Projekte – Sie können klein anfangen und anschließend mittelgroße und große Projekte hinzufügen –, die den Bezug zu den strategischen Zielen und Prioritäten der Organisation herstellen.
Tipp #4: Übernehmen Sie Aufgaben, die explizit mit den Unternehmenszielen verknüpft sind.
Das kann alles umfassen – von detailorientierter Arbeit wie dem Feinjustieren von Alarmen über die Überprüfung von Konfigurationen bis hin zur Identifizierung potenzieller Sicherheitslücken. Unterschätzen Sie nichts als „zu klein“ – wenn es für das Unternehmen wichtig ist, ist es auch hier von Bedeutung.
Es ist eine Chance, Ihre organisatorische Intelligenz zu beschleunigen und gleichzeitig Ihre spezifische Rolle und Arbeit auf die übergeordnete Mission abzustimmen.
„Nutzen Sie diese Zeit, um noch tiefer zu verstehen, wie Ihre Arbeit mit den wichtigsten Werten Ihrer neuen Organisation in Einklang gebracht werden kann“, sagt Anand.
Die ersten 90 Tage
Im letzten Abschnitt der üblichen dreimonatigen „Einarbeitungsphase“ ist es an der Zeit, das Gelernte anzuwenden – nicht nur aus den ersten 60 Tagen im neuen Unternehmen, sondern über Ihre gesamte Laufbahn hinweg.
Tipp #5: Seien Sie proaktiv bei der Anwendung Ihrer Fähigkeiten und Ihres Fachwissens.
Als Faustregel gilt: Kollegen sind nicht begeistert, wenn ein neuer Mitarbeitender bereits am zweiten Tag jedem erklärt, dass bisher alles falsch gemacht wurde – das kommt meist nicht gut an. Dennoch sollten Sie Ihre Kompetenzen und Ihr Wissen frühzeitig und selbstbewusst einbringen – und jetzt ist ein guter Zeitpunkt dafür.
„Teilen Sie Ihre Sicherheitsbeobachtungen, aber verbinden Sie diese mit umsetzbaren Empfehlungen“, sagt Anand. „Ihre Rolle besteht letztlich darin, das Unternehmen zu befähigen, sicher zu arbeiten und nicht nur Regeln durchzusetzen – darin besteht ein Unterschied.“
Das ist insgesamt eine gute Formel: Zeigen Sie nicht nur potenzielle Probleme auf. Bieten Sie auch Empfehlungen und Lösungen an.
Vergessen Sie zum Schluss nicht: Die ersten 90 Tage sind nur das – die ersten 90 Tage. Es ist der Anfangspunkt einer hoffentlich viel längeren Erfolgsgeschichte.
Tipp #6: Bleiben Sie bescheiden und erinnern Sie sich daran, dass es in Ordnung ist, nicht alles zu wissen.
Anand weist darauf hin, dass SOCs und die Sicherheitsarbeit im Allgemeinen häufig unter hohem Druck und mit hoher Verantwortung verbunden sind. Sie werden nicht jedes Detail Ihrer neuen Organisation in 90 Tagen kennenlernen. Scheuen Sie sich nicht, um Hilfe zu bitten.
„Ich habe festgestellt, dass es entscheidend ist, klare Eskalationswege zu schaffen und niemals zu zögern, erfahrenere Teammitglieder einzubeziehen, wenn etwas nicht richtig erscheint“, sagt Anand. „Es ist besser, frühzeitig Alarm zu schlagen, als alles allein klären zu wollen.“
Das Fazit
Tipp #7: Denken Sie daran, dass Sicherheit genauso sehr Menschen- wie Technikthema ist.
Zum Abschied rät Anand: „Wahrscheinlich ist das Wichtigste, woran sich neu eingestellte Security Engineers erinnern sollten, dass Ihr Alltag genauso sehr von Menschen wie von Systemen geprägt ist. Zugänglich und kooperativ zu sein, bringt Sie weiter als reine Fachkompetenz. Halten Sie die Kommunikationswege offen und bedenken Sie, dass jede Organisation ihr eigenes Tempo hat. Ihre Aufgabe ist es, die Sicherheit zu erhöhen, ohne diesen Fluss zu zerstören.“
Abonnieren Sie den Newsletter des CTO Club, um die neuesten Einblicke führender Köpfe der Softwarebranche zu erhalten.
