Bin ich zu spät dran, um eine Karriere in Cybersecurity zu starten?

Jede Woche stellt jemand diese Frage in jedem Cybersecurity-Forum, ohne Ausnahme. Meist sind sie 27, oder 35, oder 45, und überzeugt, dass alle anderen einen fünf Jahre Vorsprung haben. Das stimmt nicht. Hier ist die echte Mathematik zum Timing, plus ein realer Weg rein.

Warum das Feld nicht wie ein Rennen funktioniert

Cybersecurity ist kein fester Pool von Jobs, der sich füllt und schließt. Neue Angriffsflächen entstehen ständig: Cloud-Fehlkonfigurationen, AI-Modell-Endpoints, IoT-Firmware, Supply-Chain-Abhängigkeiten. Jede braucht Menschen zur Verteidigung. Das Feld wächst ungefähr im Schritt mit der Menge der Welt, die auf Software läuft, und diese Zahl steigt weiter, nicht weniger. Ein SOC-Analyst, der 2015 eingestellt wurde, beschäftigte sich mit einem völlig anderen Bedrohungsszenario als einer, der 2024 eingestellt wurde — Ransomware-as-a-Service, MFA-Fatigue-Attacken und Living-off-the-Land-Techniken gab es vor einem Jahrzehnt kaum oder sahen ganz anders aus. Der Mensch, der "früh anfing", sitzt also nicht auf einem angesammelten Vorsprung, der dich unhirebar macht. Die Hälfte des frühen Wissens ist bereits veraltet.

Der Skill Gap ist real, kein Marketing

ISC2-Arbeitsstudien haben über Jahre hinweg einen persistenten Mangel an qualifizierten Sicherheitsfachleuten gezeigt, und Einstellungsmanager, mit denen ich gesprochen habe, bestätigen es von der anderen Seite des Tisches: Sie bekommen viele Lebensläufe, aber wenige Kandidaten, die tatsächlich praktische Fähigkeit nachweisen können. Dieser Gap schließt sich nicht, weil es keine magische Pipeline von 22-Jährigen gibt, die ihr ganzes Leben lang nur Sicherheit studiert haben. Er schließt sich (langsam) durch Karrierewechsler — ehemalige Sysadmins, Entwickler, Help-Desk-Techniker, sogar Lehrer und Militärveteranen — die 6-12 Monate konzentriert arbeiten und kompetent werden.

Was beim Einstiegspunkt wirklich zählt

Einstellungsmanager für SOC-Analyst-, IT-Security- oder Junior-Pentest-Rollen fragen nicht, wie lange du "in Cyber" bist. Sie prüfen auf spezifische, überprüfbare Dinge:

• Kannst du eine Packet Capture in Wireshark lesen und erklären, was darin passiert
• Verstehst du, wie TCP/IP, DNS und HTTP tatsächlich funktionieren, nicht nur was die Akronyme bedeuten
• Hast du etwas gebaut oder gebrochen — ein Home Lab, einen CTF Writeup, eine anfällige VM, die du gerootet hast
• Kannst du einen klaren Incident Report schreiben oder eine Schwachstelle für jemanden ohne technischen Hintergrund erklären
• Kennst du dich auf der Linux-Kommandozeile aus, ohne ein Spickzettel für Grundlagen zu brauchen

Nichts davon erfordert Jahre. Es erfordert deliberate Practice. Jemand, der vier konzentrierte Monate in den Aufbau eines Home Labs mit pfSense, Security Onion und ein paar absichtlich anfälligen Maschinen (TryHackMe, HackTheBox, VulnHub) investiert, wird oft jemanden im Interview schlagen, der drei Jahre im Help Desk sitzt und nichts Sicherheitsrelevantes tut.

Ein realistischer Sechsmonatsplan, wenn du bei null anfängst

Monat 1-2: Networking-Grundlagen und Linux-Basics. Werde vertraut mit Subnetting, dem OSI-Modell und grundlegendem Bash. Professor Messers Network+-Material und OverTheWires Bandit Wargame sind beide kostenlos und solide Ausgangspunkte.

Monat 2-4: Wähle eine Richtung — Blue Team oder Offensive — und gehe tief in eine Plattform. TryHackMes SOC Level 1 Path oder der Pre Security Path funktionieren gut für Blue Team; PortSwigers Web Security Academy ist kostenlos und hervorragend, wenn du eher Offensive/Web interessierst.

Monat 4-6: Hol eine Zertifizierung, die zu deiner Richtung passt (Security+ für eine breite Grundlage, oder eJPT, wenn du etwas Praktischeres willst) und baue zwei oder drei dokumentierte Projekte — ein Home-SIEM-Setup, einen CTF-Writeup-Blog, einen kleinen Pentest-Report auf einer Lab-Umgebung. Leg sie auf GitHub oder eine einfache Website. Recruiter überfliegen Lebensläufe für dreißig Sekunden; ein Link zu echter Arbeit ändert das Gespräch.

Das eine, das dich wirklich disqualifiziert

Alter disqualifiziert dich nicht. Ein Non-CS-Abschluss disqualifiziert dich nicht. Was dich disqualifiziert, ist Inkonsistenz — einen Kurs anfangen, nach zwei Wochen stoppen, sechs Monate später mit einem anderen Kurs neu anfangen. Die, die durchbrechen, sind nicht die mit dem meisten natürlichen Talent, sondern die, die ein paar Monate hintereinander aufgetaucht sind. Das ist wirklich das ganze Geheimnis, so wenig glamourös es auch klingt.

Wenn du den nächsten Schritt kartiert haben willst, gehen Korra Studios Breaking In und Certifications Tracks tiefer in welche Entry-Level-Rollen man zuerst anvisieren sollte und wie man die erste Zertifizierung sequenziert.