Kann ein QA-Tester in Cybersecurity wechseln?

QA-Tester denken bereits mehr wie Angreifer, als ihnen bewusst ist. Software zu brechen, Grenzfälle zu finden, präzise Reproduktionsschritte zu schreiben und Fehler bis zur Grundursache zu verfolgen sind die gleichen Instinkte, die Security-Teams brauchen. Der Wechsel von QA zu Security ist weniger ein großer Sprung als etwa von Buchhaltung zu Security zu wechseln, aber du musst bestimmte Lücken füllen.

Was bereits übertragbar ist

Wenn du Zeit in QA verbracht hast, hast du bereits:

• Testfall-Design-Fähigkeiten, die sich direkt auf das Schreiben von Security-Testplänen und Abuse Cases übertragen
• Vertrautheit mit SDLC und CI/CD, was dir hilft zu verstehen, wo du Security-Checks einfügst (SAST, DAST, Dependency Scanning)
• Bug-Tracking-Disziplin in Tools wie Jira, die fast identisch mit Vulnerability-Management-Workflows ist
• Regressions-Testing-Gewohnheiten, die sich gut auf die Überprüfung von Fixes für gemeldete Schwachstellen übertragen
• API- und UI-Testing-Erfahrung mit Postman, Selenium oder Cypress, die sich stark mit der Art überlappt, wie AppSec-Tester auf Injection, Broken Auth und Logic Flaws prüfen

Wenn du exploratives oder negatives Testing gemacht hast (absichtlich malformed Input senden, Boundary Conditions testen, Validierungslogik zu brechen versuchen), hast du bereits eine grobe Form von Security Testing ohne das Label gemacht.

Die Lücken, die du schließen musst

QA-Testing geht generell davon aus, dass die Anwendung auf eine bestimmte Weise funktionieren soll, und du überprüfst auf funktionale Korrektheit. Security Testing geht davon aus, dass ein Angreifer aktiv versucht, diese Logik zu untergraben. Du musst aufbauen:

• HTTP-Grundlagen auf tieferem Niveau — Status Codes, Header, Cookies, CORS und wie Sessions tatsächlich unter der Haube funktionieren
• Die OWASP Top 10 auswendig: SQL Injection, XSS, SSRF, Broken Access Control, Insecure Deserialization
• Grundlegende Netzwerke: TCP/IP, DNS, TLS Handshakes, wie ein Proxy wie Burp Suite Traffic abfängt und manipuliert
• Scripting, idealerweise Python oder Bash, damit du wiederholtes Testing automatisieren und kleine Exploit-PoCs schreiben kannst
• Linux-Kommandozeilen-Vertrautheit, da die meisten Security-Tools voraussetzen, dass du vor einem Terminal nicht zurückschreckst

Ein konkreter Lernpfad

Beginne mit PortSwigger's Web Security Academy — es ist kostenlos und führt dich durch jede OWASP-Kategorie mit praktischen Labs mit Burp Suite. Kombiniere das mit TryHackMe's