Die Aufgaben
- Sicherheitsvorgaben festlegen und deren Einhaltung prüfen
- Berechtigungen und privilegierte Zugänge kontrollieren
- Angriffe und Auffälligkeiten auswerten
- Notfall- und Wiederanlaufkonzepte testen
- Prüfungen und Meldepflichten begleiten
Was die Rolle zahlt
Monatsbrutto auf den einzelnen Stufen des Weges in diese Rolle. Es sind Orientierungswerte; was ein Haus tatsächlich zahlt, hängt am Tarif, an der Entgeltgruppe und an der Größe des Instituts.
entspricht 17.400 € im Jahr
entspricht 49.200 € im Jahr
Mit 2–3 Jahren Erfahrung
4.600–6.000 €
Orientierungswerte. IT-Sicherheitsstellen liegen in den oberen Tarifgruppen des jeweiligen Tarifvertrags, bei Rechenzentralen und großen Häusern häufig außertariflich, weil Institute mit der IT-Branche um dieselben Fachkräfte konkurrieren. Die untere Stufe ist die Vergütung während der Ausbildung oder eines dualen Studiums.
Was macht ein IT-Sicherheitsspezialist in einer Bank?
Ein Kreditinstitut ist ein attraktives Ziel, und es ist ein reguliertes. Beides prägt die Rolle. Zu schützen sind Kundendaten, Zahlungsverkehr und die Verfügbarkeit der Systeme, auf denen der Betrieb ruht; nachzuweisen ist der Schutz gegenüber Interner Revision, Verbandsprüfung oder Wirtschaftsprüfer und gegenüber der Aufsicht.
Der aufsichtliche Rahmen ist dicht. Die bankaufsichtlichen Anforderungen an die IT verlangen unter anderem eine Informationssicherheitsleitlinie, einen Informationssicherheitsbeauftragten, ein geordnetes Berechtigungsmanagement und Vorgaben für Änderungen an Systemen. Auf europäischer Ebene gilt die Verordnung über die digitale operationale Resilienz des Finanzsektors mit Anforderungen an das Management von Risiken der Informations- und Kommunikationstechnik, an Tests und an die Meldung schwerwiegender Vorfälle innerhalb kurzer Fristen.
Praktisch heißt das: Regeln schreiben, ihre Einhaltung prüfen, Auffälligkeiten auswerten, Schwachstellen bewerten und Wiederanlauf üben – nicht auf dem Papier, sondern als Test mit Ergebnisprotokoll.
Der Arbeitsalltag
Der Alltag verteilt sich auf drei Blöcke. Erstens laufende Kontrolle: Berechtigungen, insbesondere administrative Zugänge, Auswertungen aus Erkennungssystemen, Meldungen der Rechenzentrale, Patchstände. Zweitens Projekte: Einführung neuer Verfahren, Absicherung von Schnittstellen, Notfallübungen, Wiederherstellungstests. Drittens Dokumentation und Prüfungsbegleitung, die mehr Zeit kostet, als Außenstehende vermuten.
Dazwischen liegen Vorfälle. Ein Phishing-Angriff auf Mitarbeitende, ein infizierter Rechner, ein Dienstleister mit gemeldeter Schwachstelle – in solchen Lagen ist Tempo gefragt und gleichzeitig lückenlose Aufzeichnung, weil Meldepflichten und Fristen greifen.
Ehrlich zu benennen: klassische Wechselschicht gibt es in Regionalinstituten nicht, wohl aber Rufbereitschaft, Wochenendarbeit bei Tests und in großen Häusern mit eigenem Lagezentrum Dienste außerhalb der Regelarbeitszeit. Dazu die Abhängigkeit von externen Dienstleistern: wer sein Kernbanksystem bei einer Rechenzentrale betreiben lässt, kann viele Maßnahmen nur einfordern und muss sie im eigenen Haus dennoch vertreten.
Was die Rolle verlangt
Üblich ist ein Studium in Informatik oder Wirtschaftsinformatik, im Direkteinstieg oder über ein duales Studium; ebenso führt die Bankausbildung mit IT-Weiterbildung hierher, besonders wenn Prozesskenntnis gefragt ist. Zertifizierungen im Bereich Informationssicherheit sind verbreitet und werden gefördert.
Fachlich braucht es Netzwerk- und Systemkenntnisse, Verständnis von Berechtigungskonzepten und die Fähigkeit, aufsichtliche Anforderungen in technische Maßnahmen zu übersetzen. Persönlich zählt, ein Risiko so zu benennen, dass ein Vorstand es einordnen kann, ohne es zu dramatisieren.
Was man verdient
Der Einstieg liegt meist zwischen 3.900 und 4.300 Euro brutto im Monat, mit Erfahrung zwischen 4.600 und 6.000 Euro. Grundlage ist der TVöD-Sparkassen, der Tarifvertrag für das private Bankgewerbe oder das genossenschaftliche Tarifwerk; für Spezialisten wird oberhalb der höchsten Tarifgruppe außertariflich vergütet. Rechenzentralen und große Institute zahlen tendenziell mehr als eine kleine Regionalbank, weil sie im offenen Wettbewerb mit der IT-Wirtschaft stehen.
Wie es weitergeht
Ein Weg führt zur Bestellung als Informationssicherheitsbeauftragter mit direkter Berichtslinie zur Geschäftsleitung. Ein zweiter in die Spezialisierung: Angriffserkennung, Notfall- und Auslagerungsmanagement, Prüfung von Dienstleistern. Ein dritter in die IT-Revision, wo dieselben Themen im Nachhinein bewertet werden. Und weil die Kompetenz knapp ist, sind Wechsel zwischen Institut, Verbundunternehmen und Aufsicht in beide Richtungen möglich.
Das sollten Sie mitbringen
Stärken
- • Analytisches Denken bei unklaren Spuren
- • Genauigkeit bei Berechtigungen
- • Ruhe im Vorfall
- • Fähigkeit, Risiken verständlich zu benennen
Studium & Vorwissen
- • IT-Sicherheit und Kryptografie
- • Netzwerke und Betriebssysteme
- • Bankaufsichtsrecht für IT
- • Notfallmanagement
Ein Studium ist für diese Rolle nicht in jedem Fall nötig: Der übliche Weg in eine Bank führt über die Ausbildung zum Bankkaufmann und die Weiterbildung zum Bankfachwirt. Entscheidend ist seltener der Abschluss als die Abteilung, in der man vorher gesessen hat.
Wo gearbeitet wird
- Informationssicherheit einer Sparkasse
- Genossenschaftsbank oder Rechenzentrale
- Privatbank oder Direktbank
- Verbundunternehmen oder Zahlungsdienstleister
Wie es danach weitergeht
- Bestellung zum Informationssicherheitsbeauftragten
- Spezialisierung auf Angriffserkennung oder Notfallmanagement
- Auslagerungssteuerung und Dienstleisterprüfung
- IT-Revision
Häufige Fragen
Wie lange dauert der Weg zum IT-Sicherheitsspezialist Bank?
Üblich sind 36 Monate (3 Jahre) von der Ausbildung bis in die Rolle. Wer über ein Studium einsteigt, ist meist schneller dort; wer aus einer anderen Abteilung wechselt, braucht länger.
Was verdient man als IT-Sicherheitsspezialist Bank?
Zum Berufseinstieg rund 4.100 Euro brutto im Monat. Mit zwei bis drei Jahren Erfahrung liegt die Spanne meist zwischen 4.600 und 6.000 Euro.
Welche Voraussetzungen braucht man?
Erwartet wird Informatik oder Wirtschaftsinformatik (B.Sc./M.Sc.), oft mit Zertifizierung. Fachlich geht es um IT-Sicherheit und Kryptografie, Netzwerke und Betriebssysteme, Bankaufsichtsrecht für IT und Notfallmanagement; persönlich zählen vor allem Analytisches Denken bei unklaren Spuren, Genauigkeit bei Berechtigungen, Ruhe im Vorfall und Fähigkeit, Risiken verständlich zu benennen.
Wie geht es von dieser Rolle aus weiter?
Typische Wege sind Bestellung zum Informationssicherheitsbeauftragten, Spezialisierung auf Angriffserkennung oder Notfallmanagement, Auslagerungssteuerung und Dienstleisterprüfung oder IT-Revision. Das Gehalt liegt dann meist zwischen 4.600 und 6.000 Euro brutto im Monat.