Startseite › Berufsaussichten
Berufsaussichten: 36 Minuten aus dem Beruf
Diese Weiterbildung bereitet auf eine Tätigkeit als Junior SOC Analyst vor. Statt den Beruf zu beschreiben, zeigen wir dir einen einzigen Alarm — von der Meldung um 9:12 bis zum Fallbericht um 9:48.
Vorweg: Wir sind ein Bildungsträger und keine Arbeitsvermittlung. Einen Arbeitsplatz können wir dir nicht zusagen. Was wir tun: dir das Handwerk beibringen und die Bewerbung mit dir üben.
Ein Fall, von Anfang bis Ende
9:12 Uhr, ein Alarm landet bei dir
SOC steht für Security Operations Center, auf Deutsch: das Sicherheitsteam eines Unternehmens. Junior heißt Einstiegsstufe. So sieht dort eine gute halbe Stunde aus.
- 1 9:12 Ein System meldet sich von selbst
Auf deinem Bildschirm erscheint eine Zeile: An einem Rechner in der Buchhaltung hat sich um 3:41 Uhr nachts jemand angemeldet. Ein System hat das bemerkt und Alarm ausgelöst. Du bist der erste Mensch, der diese Meldung sieht.
Alarm. So heißt die Meldung eines Systems, dass etwas Ungewöhnliches passiert ist. Die meisten Alarme sind harmlos. - 2 9:15 Du nimmst ihn an
Ein Klick, und der Alarm ist dir zugeteilt. Alle im Team sehen jetzt, dass du daran arbeitest. In der Warteschlange liegen weitere Alarme, nach Dringlichkeit sortiert. Dieser hier ist nicht der dringendste, aber er ist neu.
Triage. Das Sortieren nach Dringlichkeit. Dasselbe Wort wie in der Notaufnahme, und es ist der Kern der Arbeit auf der Einstiegsstufe. - 3 9:24 Du suchst die Belege
Wem gehört der Rechner? Was ist kurz vorher passiert? Gab es den Alarm schon einmal? Die Antworten stehen in den Protokolldateien, in denen ein System mitschreibt, wer sich wann angemeldet hat. Du findest: Dieselbe Anmeldung gab es in den drei Nächten davor auch, immer um dieselbe Zeit. Das sieht nach einem automatischen Wartungsjob aus, nicht nach einem Menschen.
MITRE ATT&CK. Eine öffentliche Sammlung, in der Fachleute weltweit zusammengetragen haben, welche Schritte Angreifer benutzen. Danach ordnest du das Verhalten ein. - 4 9:39 Du entscheidest
Drei Möglichkeiten: Fehlalarm und du schließt den Fall, kleiner Vorfall und du bearbeitest ihn nach einer fertigen Anleitung, ernster Vorfall und du gibst ihn weiter. Hier reicht dir die Spur nicht. Der Wartungsjob steht in keiner Liste, und der Rechner gehört einer Person im Urlaub. Du gibst den Fall weiter.
Eskalieren. Weitergeben an die nächste Stufe. Kein Versagen, sondern der vorgesehene Weg: Auf der Einstiegsstufe sollst du erkennen, nicht alles selbst lösen. - 5 9:48 Du schreibst es auf
Was passiert ist, was du geprüft hast, was du entschieden hast und warum. In kurzen, klaren Sätzen. Die Kollegin, die den Fall übernimmt, muss ihn verstehen, ohne dich zu fragen. Diesen Teil unterschätzen viele Anfänger; im Beruf gehört er fest zur täglichen Arbeit.
Fallbericht. Der schriftliche Abschluss jedes Falls. In diesem Beruf zählt sorgfältiges Arbeiten und saubere Dokumentation, nicht Schnelligkeit.
So geht das den ganzen Tag. Wie viele Alarme anfallen, ist von Firma zu Firma sehr verschieden. Dazwischen kommen Fragen aus dem Haus: Kolleginnen und Kollegen schicken verdächtige E-Mails und wollen wissen, ob sie echt sind. In vielen Teams ist das die erste Aufgabe, die neue Kolleginnen und Kollegen allein übernehmen. Eine ganze Schicht von 8 bis 16 Uhr steht im SOC‑Simulator.
Der Film
Derselbe Beruf in 51 Sekunden
Was ein Junior SOC Analyst tatsächlich den ganzen Tag macht.
Der Ton ist aus, bis du ihn einschaltest.
Belegte Zahlen
Und wie viele solche Stellen gibt es?
Diese Frage steht im Titel der Seite, deshalb beantworten wir sie mit Quellen — auch mit der Zahl, die gegen den Beruf spricht.
Beides stimmt gleichzeitig. Unternehmen suchen lange und stellen auch Menschen ohne einschlägige Ausbildung ein. Zugleich sind 2025 weniger Stellen gemeldet worden als 2024. Rechne mit einer längeren Bewerbungsphase und mit Absagen. Wer das vorher weiß, hört nach der dritten nicht auf.
Vier Arten von Arbeitgebern
Wer solche Stellen ausschreibt
Banken und Versicherungen, Industrie, Energie- und Wasserversorger, Krankenhäuser, Handelsketten, Telekommunikation.
Du kennst mit der Zeit die Systeme eines einzigen Hauses genau und siehst dadurch schneller, was dort nicht normal ist.Sie betreuen mehrere Kunden gleichzeitig. Das Fachwort ist Managed Security Service Provider, kurz MSSP.
Verschiedene Umgebungen, dadurch verschiedene Fälle. Gearbeitet wird nach festen Fristen, oft im Schichtbetrieb.Bund, Länder, Kommunen, Hochschulen, öffentliche Kliniken.
Eingestellt wird nach Tarif, die Stellen werden öffentlich ausgeschrieben. Manche verlangen eine Sicherheitsüberprüfung oder ein erweitertes Führungszeugnis; was gefordert ist, steht in der Ausschreibung.In kleineren und mittleren Firmen ist Sicherheit ein Teil der IT-Arbeit, neben Benutzerbetreuung und Administration.
Für den Einstieg ein möglicher Weg. Ehrlich dazugesagt: Der Anteil reiner Sicherheitsarbeit ist kleiner, und du lernst weniger von erfahrenen Analysten.Ehrlich gefragt
Was diese 36 Minuten von dir verlangen
- Sorgfalt bei Kleinigkeiten — Der Unterschied zwischen echter und gefälschter Mail ist oft ein einziger vertauschter Buchstabe in der Absenderadresse. Wer genau hinsieht, ist im Vorteil.
- Geduld mit Wiederholung — Der Fall oben war ein Fehlalarm, und die meisten sind es. Aufmerksam zu bleiben, wenn wieder nichts dahintersteckt, ist die eigentliche Schwierigkeit.
- Schreiben können — Jeder Fall endet mit einem Text, den ein Kollege ohne Nachfrage versteht. Perfektes Deutsch ist nicht nötig, geordnetes schon.
- Englisch lesen — Fachtexte, Meldungen und die Oberflächen der Werkzeuge sind oft englisch. Sprechen musst du es in vielen Stellen nicht.
- Ungewöhnliche Arbeitszeiten — Manche Sicherheitsteams arbeiten rund um die Uhr, auch nachts und am Wochenende, andere nur zu Bürozeiten. Kläre früh, was zu deinem Leben passt.
Und was der Beruf nicht ist: ein Actionfilm. Es ist Bildschirmarbeit: lesen, vergleichen, nachschlagen, entscheiden, aufschreiben. Wer selbst angreifen will, sucht einen anderen Beruf.
Aus der Weiterbildung
Womit du dich auf so eine Stelle bewirbst
Am letzten Tag hast du mehr als ein Blatt Papier. Was in den neun Monaten passiert, steht im Lehrplan.
- Das Zertifikat der CYBERSQUAD Akademie — Der Nachweis über die abgeschlossene Weiterbildung, mit der Zulassungsnummer der Maßnahme. Trägerintern, kein Abschluss in einem Ausbildungsberuf wie bei der Industrie- und Handelskammer.
- Bis zu drei Zertifizierungen von TryHackMe — SEC0, SEC1 und SAL1, jeweils nach bestandener Prüfung, nachprüfbar über Credly. Der Abschluss der Weiterbildung hängt nicht daran, und der zweite Prüfungsversuch kostet dich nichts.
- Fallberichte wie den oben — Aus dem SOC‑Simulator. Sie zeigen, wie du einen Vorfall bearbeitest und dokumentierst. Genau danach wird im Bewerbungsgespräch gefragt.
- Fertige Bewerbungsunterlagen — Lebenslauf für den deutschen Arbeitsmarkt, LinkedIn-Profil, ein GitHub-Portfolio aus eigenen kleinen Programmen und zwei geübte Bewerbungsgespräche: eines mit einer Person aus dem Personalbereich, eines mit einer Fachkraft aus der IT‑Sicherheit.
Was dir fehlt: Berufserfahrung in einem echten Unternehmen. Da haben alle Anfänger dasselbe Problem, und wir reden es nicht weg. Nenne den Simulator im Gespräch so, wie er ist: eine Übungsumgebung. Erzählen kannst du trotzdem, wie du einen Fall bearbeitet und aufgeschrieben hast.
Klartext
Was wir zusagen und was nicht
- Einen Arbeitsplatz garantieren wir nicht — Wir sind ein Bildungsträger und keine Arbeitsvermittlung. Wir haben keine Stellen zu vergeben. Wenn dir jemand eine Stelle verspricht, verspricht er etwas, das er nicht halten kann.
- Wir nennen keine Vermittlungsquote — Unsere erste Gruppe soll am 2. November 2026 starten. Zahlen über Absolventinnen und Absolventen haben wir deshalb noch nicht. Erfundene bekommst du von uns nicht, geschönte auch nicht.
- Die Gehaltsspanne oben ist keine Zusage — Sie beschreibt, was am Markt üblich ist, nicht was du bekommen wirst. Wie man in Deutschland über Gehalt spricht, üben wir in den letzten drei Wochen.
- Das sagen wir zu — 1.400 Unterrichtseinheiten zu je 45 Minuten, vollständig live mit einem Dozenten, Montag bis Freitag. Auf der Zulassung steht: asynchrone Anteile 0. Dazu die Vorbereitung auf die drei TryHackMe-Prüfungen, drei Wochen Bewerbungsvorbereitung und das trägerinterne Zertifikat, wenn du regelmäßig teilnimmst und abschließt.
- Das musst du selbst tun — Dich bewerben. Absagen aushalten. Weitermachen.
Ehrliche Antworten
Häufige Fragen zum Beruf
Steht deine Frage hier nicht, ruf an: 0211 81994488, Montag bis Freitag. Zuerst antwortet Marsí, unsere KI-Beraterin; auf Wunsch ruft dich ein Mitarbeiter zurück. Weitere Fragen stehen in den häufigen Fragen.
Habe ich nach den neun Monaten sicher eine Stelle?
Brauche ich ein Studium oder eine IT-Ausbildung?
Muss ich nachts oder am Wochenende arbeiten? Geht es von zu Hause?
Wie viel Englisch und wie viel Deutsch brauche ich?
Ich habe keinen deutschen Pass, oder ich bin über 45.
Zwei Minuten. Dann weißt du, welche Regel für dich gilt.
Die Weiterbildung „AI-Driven Security Operations Specialist“ startet am 2. November 2026, neun Monate Vollzeit, online. Ein Bildungsgutschein kann die Kosten übernehmen. Er ist eine Ermessensleistung: Über die Förderung entscheidet die Agentur für Arbeit in deinem Einzelfall.