Kann ein HR-Profi wirklich in die Cybersicherheit wechseln?

Ja – und HR-Profis bringen oft unterschätzte Vorteile in die Cybersicherheit mit: starke Kommunikation, Vertrautheit mit Richtlinien, Stakeholder-Management und Erfahrung in der Navigation von Compliance-Frameworks. Die Lücke liegt nicht in Ihrem Hintergrund, sondern in der technischen Grundlage, die Sie bewusst aufbauen müssen.

Warum HR-Fähigkeiten besser transferierbar sind als Sie denken

HR-Arbeit umfasst die Interpretation von Richtlinien, die Verwaltung sensibler Daten (Mitarbeiterdaten, Hintergrundüberprüfungen, Leistungsinformationen) und die Durchsetzung von Compliance mit Regelungen wie HIPAA oder GDPR. Das überlappt sich direkt mit Governance-, Risk- und Compliance-Arbeiten (GRC) in der Sicherheit. Sie haben wahrscheinlich bereits Geheimhaltungsvereinbarungen, Vorfallsdokumentation (Untersuchungen am Arbeitsplatz) und abteilungsübergreifende Koordination bearbeitet – alles Kernaufgaben in Sicherheitsbetrieb und Awareness-Schulungsrollen.

HR-Profis sind oft auch diejenigen, die Schulungen durchführen und Kulturwandel in einer Organisation vorantreiben. Security-Awareness-Programme benötigen genau diesen Skill-Set. Viele Security-Teams kämpfen damit, Mitarbeiter davon abzuhalten, auf Phishing-Links zu klicken oder Passwörter wiederzuverwenden – das ist genauso ein Personenproblem wie ein technisches, und das können Sie bereits lösen.

Realistische Einstiegspunkte

Zielen Sie nicht auf Tag eins auf eine Penetration-Testing-Rolle. Konzentrieren Sie sich stattdessen auf Positionen, bei denen Ihre vorhandenen Stärken Gewicht haben, während Sie technische Tiefe aufbauen:

• Security Awareness & Training Specialist – entwerfen und führen Phishing-Simulationen durch, entwickeln Onboarding-Sicherheitsmodule und Compliance-Schulungen.
• GRC Analyst – unterstützen Audits, ordnen Controls Frameworks wie NIST CSF oder ISO 27001 zu und verfolgen Abhilfemaßnahmen.
• Security Program Coordinator – verwalten Vendor-Risk-Assessments, Policy-Dokumentation und abteilungsübergreifende Sicherheitsinitiativen.
• Trust & Safety oder Insider Risk Rollen – HR-Erfahrung mit Mitarbeiteruntersuchungen ist hier gut anwendbar.

Diese Rollen sind echte Einstiege, keine Sackgassen. Viele Menschen wechseln von GRC- oder Awareness-Rollen in Blue-Team-Analyst-Positionen, sobald sie technische Versiertheit aufgebaut haben.

Die technischen Fähigkeiten, die Sie wirklich brauchen

Sie müssen nicht über Nacht ein Hacker werden, aber Sie brauchen grundlegende technische Literalität. Priorisieren Sie in dieser Reihenfolge:

1. Netzwerk-Grundlagen – verstehen Sie IP-Adressierung, DNS, Firewalls und wie Daten sich bewegen. Das bildet die Grundlage für fast alles andere in der Sicherheit.
2. Grundlagen von Betriebssystemen – werden Sie vertraut mit der Linux-Kommandozeile und verstehen Sie Konzepte von Windows Active Directory, da die meisten Unternehmensumgebungen auf AD laufen.
3. Sicherheits-Frameworks – erlernen Sie NIST CSF, CIS Controls und ISO 27001 gut genug, um sie in Interviews zu diskutieren.
4. Häufige Bedrohungen und Controls – Phishing, Malware, Ransomware, MFA, least privilege und grundlegende Incident-Response-Schritte.
5. Eine Skriptsprache – selbst grundlegendes Python hilft Ihnen, Log-Parsing zu verstehen, Automatisierung und wie Tools unter der Haube funktionieren.

Zertifizierungen, die es wert sind, zuerst angestrebt zu werden

Zertifizierungen helfen, Ihren Wechsel gegenüber Hiring-Managern zu validieren, die Ihren Hintergrund nicht kennen. Eine sinnvolle Abfolge:

• CompTIA Security+ – das Standard-Einstiegszertifikat; behandelt Grundkonzepte über Netzwerk, Bedrohungen und Controls.
• CompTIA Network+ zuerst, wenn Ihr Netzwerkwissen dünn ist – das macht Security+-Material schneller verständlich.
• Certified in Governance, Risk and Compliance (GRC-fokussierte Zertifikate), wenn Sie auf richtliniennahe Rollen zielen – diese setzen auf Fähigkeiten auf, die Sie bereits haben.
• CISSP schließlich, sobald Sie praktische Erfahrung haben – es ist angesehen, erfordert aber Arbeitshistorie zur Qualifizierung.

Stapeln Sie nicht fünf Zertifizierungen, bevor Sie irgendwo bewerben. Ein oder zwei solide Berechtigungsnachweise plus ein Portfolio-Projekt (ein Home Lab, eine dokumentierte Phishing-Simulation, eine Mock-Risk-Assessment) demonstrieren Initiative überzeugender als eine Zertifikatwand.

Wie Sie Ihren HR-Hintergrund in Interviews darstellen

Schwächen Sie Ihre HR-Erfahrung nicht ab – rahmen Sie sie neu. Wenn Sie sensible Mitarbeiterdaten verwalteten, sprechen Sie darüber in Begriffen von Datenklassifizierung und Zugriffskontrolle. Wenn Sie Untersuchungen durchführten, rahmen Sie es als Vorfallsdokumentation und Chain-of-Custody-Denken ein. Wenn Sie Schulungen durchführten, beschreiben Sie es als Design von Verhaltensänderungsprogrammen, genau das, was Security Awareness braucht.

Hiring-Manager für Entry-Level-GRC- und Awareness-Rollen schätzen oft jemanden, der mit nicht-technischem Personal und Führungskräften sprechen kann, genauso wie jemanden, der Logs lesen kann. Beginnen Sie mit dieser Stärke, während Sie ehrlich sind, wo Sie noch technische Tiefe aufbauen – und zeigen Sie einen klaren Lernplan.

Eine praktische erste 90 Tage

• Woche 1–4: Erlernen Sie Netzwerk-Grundlagen und beginnen Sie mit Security+-Studienmaterial.
• Woche 5–8: Bauen Sie ein einfaches Home Lab auf (eine VM mit Linux, grundlegende Firewall-Regeln, vielleicht eine SIEM-Testversion wie Wazuh).
• Woche 9–12: Dokumentieren Sie ein kleines Projekt – eine Mock-Risk-Assessment, eine Phishing-Awareness-Kampagne oder eine Richtlinie, die Sie mit einem echten Framework umschreiben.

Das Projekt wird Ihr Gesprächspunkt in Interviews und beweist, dass Sie nicht nur Theorie studieren, sondern sie anwenden.

Wenn Sie diesen Übergang weiter aufbauen möchten, erkunden Sie die Career Change und Certifications Segmente von Korra Studio für strukturierte Pfade in Sicherheitsrollen.