Day in the Life of a Cybersecurity Analyst

Du stellst dir vor, wie ein Tag als Cybersecurity Analyst aussieht, und bekommst online fast nur Hochglanzbilder. Die Realität ist anders: viel Lesen, viel Vergleichen, viele kurze Unterbrechungen und eine Menge Arbeit, die niemand sieht. Hier ist ein ehrlicher Ablauf.

Ich beschreibe einen typischen Werktag auf mittlerer Ebene, etwa zwei bis vier Jahre Erfahrung in einem Security Operations Center oder im internen Security-Team. Kein Heldentum, keine Hollywood-Hacks. Einfach Arbeit.

Der Morgen beginnt mit Übergaben, nicht mit Angriffen#

Der Tag startet selten dramatisch. Ich lese zuerst die Übergabe vom Nachtschicht-Team oder den On-Call-Kollegen. Was ist offen? Was wurde eskaliert? Gab es eine auffällige Meldung kurz vor Feierabend?

Danach checke ich Alerts, die über Nacht reingekommen sind. Die meisten sind Rauschen. Ein fehlgeschlagenes Login von einem Kollegen im Urlaub, ein Scanner des eigenen Pentest-Teams, ein Update, das plötzlich viele Prozesse startet.

Ich arbeite die Queue nach Priorität ab, nicht nach Reihenfolge. Ein kritischer Alert mit Verdacht auf Kompromittierung geht vor einem Rausch-Alarm vom Drucker-Netzwerk.

Meetings fressen mehr Zeit, als du denkst#

Viele überrascht der Anteil an Terminen. An guten Tagen sind es zwei Stunden. An schlechten vier oder mehr. Dazu kommen Stand-ups, Fallbesprechungen und Abstimmungen mit der IT.

Ehrlich gesagt: Auf mittlerer Ebene verbringst du vielleicht 30 bis 50 Prozent der Zeit mit Kommunikation. Das ist keine Zeitverschwendung. Ein Alert ohne Kontext ist nur eine Zahl. Ich brauche Aussagen von Leuten, die das Netzwerk kennen.

Ein typischer Vormittag hat ein kurzes Team-Stand-up, dann Deep Work an offenen Fällen, dann eine Abstimmung mit dem Netzwerk-Team über eine verdächtige Verbindung. Die Reihenfolge variiert, das Muster bleibt.

Tools, die wirklich laufen#

Die Tool-Landschaft hängt stark vom Arbeitgeber ab. Ein paar Kategorien wirst du fast überall finden:

• SIEM wie Splunk, Microsoft Sentinel oder Elastic, um Logs zu sammeln und zu durchsuchen
• EDR-Lösungen wie CrowdStrike, Defender for Endpoint oder SentinelOne, um Endgeräte zu untersuchen
• Ticketing mit Jira oder ServiceNow, weil jeder Fall dokumentiert sein will
• Ein Threat-Intelligence-Feed, den kaum jemand wirklich pflegt
• Python oder PowerShell für eigene Skripte und Automatisierung
• Malware-Analyse-Sandboxes, meist nur für tiefergehende Fälle

Was viele nicht erwarten: Ein erheblicher Teil der Arbeit ist Suchen und Lesen. Logs lesen, Konfigurationen lesen, Alerts lesen. Wer das hasst, wird hier nicht glücklich.

Wenn du dir eine konkrete Stelle ansiehst, hilft ein Werkzeug wie der kostenlose Stellenanzeigen-Decoder, um die Buzzwords in echte Anforderungen zu übersetzen. Nicht jede Aussage im Inserat entspricht dem Alltag.

Ein konkreter Fall am Nachmittag#

Gegen 14 Uhr kommt ein Alert: Ein Endgerät ruft auffällig viele externe Domains auf, kurz hintereinander. Der EDR markiert das als mögliches Command-and-Control-Verhalten.

Mein Ablauf sieht so aus. Ich schaue mir den Prozessbaum an, der die Verbindungen ausgelöst hat. Dann prüfe ich die Reputation der Domains und vergleiche mit Threat-Intelligence. Danach schaue ich, ob der User gerade ein neues Tool installiert hat, das den Traffic erklärt.

In diesem Fall war es ein synchronisierter Cloud-Dienst, den die Marketing-Abteilung neu eingeführt hat. Kein Angriff. Aber der Prozess ist derselbe wie bei einem echten Vorfall. Ich dokumentiere das Ergebnis im Ticket und schlage eine Whitelist-Regel vor.

Der Punkt: Die Mehrheit der Alerts endet mit "kein Vorfall". Das ist kein Rauschschlag, sondern gutes Arbeiten.

Was dich als Neueinsteiger überrascht#

Der erste Schock ist die Menge an Fehlalarmen. Im Training sieht jeder Alert wie ein echter Angriff aus. In der Praxis sind neun von zehn erklärbar.

Der zweite Schock ist die Verantwortung. Ein übersehener echter Vorfall kann ernste Folgen haben. Das ist kein Grund für Panik, aber ein Grund für Sorgfalt. Wer hier oberflächlich arbeitet, merkt das schnell.

Der dritte Punkt ist die Sprache. Du schreibst viel auf Englisch, kommunizierst mit Teams in anderen Zeitzonen und musst technische Sachverhalte für Nicht-Techniker erklären können. Wer das kann, hat einen echten Vorteil.

Übrigens: Bevor du dich bewirbst, lass deinen Lebenslauf durch den kostenlosen ATS-Checker laufen. Gerade in größeren Firmen sortiert ein System vor, bevor ein Mensch liest.

Druckpunkte im Alltag#

Der Druck kommt selten von der Technik allein. Er kommt aus drei Richtungen.

Erstens aus Zeit. Während du einen Fall untersuchst, laufen neue Alerts ein. Die Queue wartet nicht.

Zweitens aus Erwartungen. Das Management will wissen, ob ein Vorfall Schaden verursacht hat. Die Antwort braucht Zeit, die Frage will eine schnelle Einschätzung.

Drittens aus dem On-Call-Dienst. Je nach Arbeitgeber wirst du im Rottationsplan eingeteilt und nachts oder am Wochenende gerufen. Das ist planbar, aber es kostet. Klär das vor der Unterschrift.

Bei Gehaltsfragen: Für SOC-Analysten in Deutschland werden je nach Erfahrung und Region grob Bereiche von etwa 45.000 bis 75.000 Euro berichtet, bei Senior-Rollen und Führungsverantwortung auch mehr. Die Spanne ist breit und ändert sich. Prüfe aktuelle Quellen, bevor du dich festlegst.

Wie sich die Rolle von Junior zu Senior ändert#

Als Junior bearbeitest du vorgegebene Fälle nach Playbook. Du lernst die Tools, die Prozesse und das Vokabular. Die Fälle sind klar abgegrenzt.

Auf mittlerer Ebene entscheidest du selbst, wie tief du gehst. Du erkennst Muster über mehrere Alerts hinweg und schlägst Regeln oder Automatisierungen vor. Du beginnst, Playbooks zu verbessern statt nur zu folgen.

Als Senior oder Lead ändert sich der Schwerpunkt deutlich. Weniger eigene Alert-Bearbeitung, mehr Architektur, Threat Hunting, Mentoring und die schwierigen Fälle, die niemand sonst lösen will. Dazu kommen Gespräche mit dem Management über Risiken.

Der Übergang passiert nicht mit einem Titel. Er passiert, wenn Kollegen deine Einschätzung suchen, bevor sie selbst weiterarbeiten.

Was du vor einer Bewerbung prüfen solltest#

• Wie ist der On-Call-Rottationsplan geregelt und wie oft wirst du wirklich gerufen?
• Welche Tools setzt das Team ein und wie viel Automatisierung gibt es schon?
• Wie groß ist das Team und wie viele Alerts kommen pro Tag rein?
• Gibt es Budget für Trainings und Zertifizierungen?
• Wie sieht der Eskalationsweg aus, wenn ein echter Vorfall passiert?
• Arbeite ich im Team oder eher allein an der Queue?

Wenn du nach passenden Stellen suchst, findest du auf der Jobbörse aktuelle Ausschreibungen im Security-Bereich. Lies die Inserate genau und vergleiche sie mit den Punkten oben.

Ein letzter Realitätscheck#

Der Job ist kein Dauerfeuerwerk. Ein großer Teil ist wiederkehrend: Queue abarbeiten, Fälle dokumentieren, mit Teams sprechen, Regeln pflegen. Wer das aushält und sauber arbeitet, wird gut.

Wer ständig Action will und keine Geduld für Details hat, wird hier unglücklich. Das ist keine Wertung, sondern eine Frage der Passung. Schau dir ruhig weitere Erfahrungsberichte im Karriereblog an, bevor du dich entscheidest.

Kostenlose Tools#

• jobrise.io/de/free-ats-checker/
• jobrise.io/de/free-jd-decoder/
• jobrise.io/de/jobs/
• jobrise.io/de/blog/

Häufige Fragen#

Wie viel Zeit geht wirklich für Meetings drauf?

Auf mittlerer Ebene sind es erfahrungsgemäß 30 bis 50 Prozent der Arbeitszeit, je nach Firma und Teamgröße. In kleinen Teams ist der Anteil oft niedriger, in verteilten Teams höher.

Brauche ich ein Informatikstudium für den Einstieg?

Nein, zwingend nicht. Quereinstiege über Ausbildung, Bootcamps oder Zertifizierungen wie CompTIA Security+ sind möglich. Wichtiger sind nachweisbare praktische Fähigkeiten, Lab-Übung und die Bereitschaft, viel zu lesen.

Wie stressig ist der On-Call-Dienst wirklich?

Das hängt stark vom Arbeitgeber ab. Manche Wochen sind ruhig, andere haben mehrere nächtliche Einsätze. Frag im Gespräch konkret nach der Rottationshäufigkeit und danach, wie oft das Team in den letzten Monaten wirklich gerufen wurde.

Was ist der größte Unterschied zwischen SOC Analyst und Security Analyst?

Die Bezeichnungen werden oft austauschbar verwendet. Im engeren Sinn arbeitet ein SOC Analyst eher an der Alert-Queue und in Schichten, während ein Security Analyst breiter aufgestellt ist, etwa bei Risikobewertung oder Architektur. Lies die Stellenbeschreibung genau.

Welche Gehaltsentwicklung kann ich erwachten?

Die Spanne für Deutschland bewegt sich grob zwischen 45.000 und 75.000 Euro für Analysten mit Erfahrung, bei Senior- und Lead-Rollen auch darüber. Die Zahlen variieren nach Region, Branche und Firmengröße. Prüfe aktuelle Gehaltsreports und verhandle auf Basis deiner konkreten Situation.