Stellenbeschreibung IT Security Engineer: Vorlage für die Schweiz

IT-Security Engineers härten Infrastruktur und Anwendungen, betreiben Identity- und Access-Management, überwachen Systeme, schliessen Schwachstellen und bearbeiten Vorfälle. Mit der Verlagerung nach Azure und AWS wächst der Anteil Cloud Security; dazu kommen Zero Trust, Verschlüsselung und die technische Umsetzung regulatorischer Vorgaben.

Das Berufsfeld ist klein und wächst schnell: Die Bedarfsprognose 2033 von ICT-Berufsbildung Schweiz (BSS, 2025) zählt für 2024 rund 7'300 Personen in der ICT Security, fünfmal so viele wie 2010, bei kleiner Stichprobe. Die swissICT-Salärstudie 2026 nennt Cybersecurity neben KI, Cloud und Data als gefragteste Kompetenz. In der Praxis sitzt die Nachfrage vor allem in Zürich und Genf, getrieben von Banken, Versicherern und Betreibern kritischer Infrastruktur. Die Zahlen unter diesem Abschnitt zeigen den aktuellen Stand auf ITBoard.

In die Security führt selten ein Direkteinstieg; die meisten Profile kommen aus System Engineering, Netzwerk oder Entwicklung, wie das Rollenprofil zeigt. Sagen Sie im Titel, ob die Person baut oder überwacht: «Security Engineer» baut und härtet, «SOC Analyst» erkennt und untersucht Vorfälle, «Security Architect» entwirft, «Security Officer» verantwortet Governance und Risiko. Wer alle vier in einer Person sucht, erhält von keinem eine Bewerbung.

• –

  Härten: Baselines für [Windows Server, Linux, Kubernetes], Patch-Management, Penetration Tests beauftragen.

• –

  IAM betreiben: Rollen, MFA und privilegierte Zugriffe in [Microsoft Entra ID] pflegen, Zero-Trust-Regeln umsetzen.

• –

  Monitoring aufbauen: Log-Quellen an das [SIEM] anbinden, Erkennungsregeln schreiben, Alarme triagieren.

• –

  Vorfälle bearbeiten: Incident Response bis zum Bericht; bei kritischen Infrastrukturen die Meldung an das BACS innert 24 Stunden vorbereiten.

• –

  Cloud absichern: Netzwerke, Identitäten und Daten in [Azure / AWS], Policies als Code, Schlüsselverwaltung.

• –

  Vorgaben umsetzen: [DSG, FINMA-Rundschreiben 2023/1, ISO 27001] in technische Kontrollen übersetzen, Nachweise für Audits liefern.

Nennen Sie die Verteilung, etwa «50 % Engineering, 30 % Monitoring, 20 % Audits». Läuft Ihr SOC rund um die Uhr, gehören Pikett-Turnus, Reaktionszeit und Entschädigung ins Inserat.

Verlangen Sie den CISSP nicht von Juniors: ISC2 setzt mindestens fünf Jahre kumulierte Vollzeit-Berufserfahrung in zwei der acht Domänen voraus; ein Studienabschluss oder CompTIA Security+ ersetzt ein Jahr. Microsoft hat den «Azure Security Engineer Associate» per 31. August 2026 eingestellt; schreiben Sie darum «Cloud-Security-Nachweis» statt eines Prüfungscodes.

Für Meldungen an BACS oder FINMA und für Gespräche mit der Revision zählt Deutsch im Alltag; nennen Sie im Inserat den Zweck, nicht nur ein Sprachniveau. «Arbeitsbewilligung vorhanden» ist zulässig, weil der Aufenthaltsstatus laut Rechtsratgeber des Bundes ein sachliches Kriterium ist.

Der ITBoard-Gehaltsreport für Security Engineers schätzt aus mehreren Lohnquellen Jahreslöhne nach Stufe (Stand 2025/2026). Junior: Median CHF 88'000, mittlere Hälfte rund CHF 80'300 bis 95'700. Mid-Level: Median CHF 118'000, rund CHF 107'600 bis 128'400. Senior: Median CHF 145'000, rund CHF 130'700 bis 159'300. Das liegt über dem Mittel von CHF 130'650, das die swissICT-Salärstudie 2026 für die Stufe «Senior» über alle ICT-Berufe nennt, eine Stufe unter «Senior Expert» mit CHF 177'938. Im Inserat steht der Lohn als Monatslohn × 13: CHF 118'000 sind rund CHF 9'077 × 13. Ein Profil nach Stadt rechnet der Gehaltsrechner.

Eine Pflicht zur Lohnangabe gibt es nicht, siehe Stelleninserat schreiben. Nennen Sie im Security-Inserat trotzdem «13. Monatslohn»: 75.9 % der Arbeitnehmenden erhielten ihn 2024 laut BFS.

Das Pensum steht in Prozent im Titel; «80–100 %» ist verbreitet, bei SOC-Schichten mit Rund-um-die-Uhr-Abdeckung «100 %». Homeoffice ist für Security-Rollen selten uneingeschränkt möglich, weil SOC-Präsenz und privilegierte Zugriffe Vor-Ort-Zeit brauchen; die swissICT-Salärstudie 2026 nennt trotzdem 94 % der Firmen mit Homeoffice-Option, meistens an drei Bürotagen. Nennen Sie die Tage, die bei Ihnen vor Ort nötig sind. Fünf Wochen Ferien sind Marktstandard (Durchschnitt 2025: 5.2 Wochen).

Security-Leute lesen ein Inserat wie einen Audit-Bericht und suchen, was fehlt. Fehlt das SIEM im Inserat, vermuten sie, dass keines im Einsatz ist; fehlt die Teamgrösse, lesen sie das als Alleinstellung. Nennen Sie SIEM, Teamgrösse und Pikett-Turnus deshalb konkret.

Eine Liste mit fünfzehn Produktnamen schreckt ab; nennen Sie drei Kernsysteme, der Rest ist lernbar. «Hacker-Mentalität» ist keine Anforderung. Wer Richtlinien schreibt und mit der Revision spricht, sucht eine GRC-Stelle, keinen Engineer.

Auf der SECO-Liste der meldepflichtigen Berufsarten 2026 steht keine Informatik-Berufsart; Sie publizieren ohne RAV-Sperrfrist. Seit dem 1. April 2025 melden Betreiber kritischer Infrastrukturen Cyberangriffe innert 24 Stunden nach Entdeckung dem Bundesamt für Cybersicherheit BACS (ISG Art. 74b). Seit dem 1. Oktober 2025 drohen dafür Bussen bis CHF 100'000. Banken und Versicherer melden nach Art. 29 Abs. 2 FINMAG an die FINMA (Aufsichtsmitteilung 05/2020).

Steht der Betrieb der Plattform im Vordergrund, passt die Vorlage DevOps Engineer. Geht es um eine Azure- oder AWS-Landschaft aus Cloud-Sicht, ist es eine Cloud-Stelle mit Security-Schwerpunkt.