Ein Cyber Security Engineer sorgt dafür, dass Daten dort bleiben, wo sie hingehören.

Cyber Security Engineer steht auf unserer Teamseite in der Disziplin Betrieb, Qualität und Sicherheit, neben System Engineer, QA Engineer und Data Engineer. Von den vier Rollen ist es die, nach der am häufigsten gefragt wird und die am seltensten jemand erklären kann. Die kurze Antwort: Ein Cyber Security Engineer sorgt dafür, dass Daten dort bleiben, wo sie hingehören und dass Systeme das tun, was sie sollen, auch wenn jemand versucht, sie zu etwas anderem zu bringen. Das klingt nach Firewall und Virenscanner. Beides gehört dazu, beides ist der kleinere Teil. Wir erklären die Rolle über ihre Arbeit, grenzen sie vom IT Administrator ab, mit dem sie am häufigsten verwechselt wird und sagen, ab wann ein KMU sie braucht. Die Antwort ist nicht immer.

Ein Cyber Security Engineer geht davon aus, dass etwas schiefgeht und richtet alles darauf ein.

Der Unterschied zu den anderen technischen Rollen liegt in der Grundannahme. Ein Software Engineer baut etwas, damit es funktioniert. Ein System Engineer betreibt es, damit es läuft. Ein Cyber Security Engineer fragt, was passiert, wenn es jemand absichtlich kaputt macht und was passiert, wenn das trotzdem gelingt. Beide Fragen sind wichtig, die zweite ist wichtiger, weil kein Schutz vollständig ist.

Konkret heisst das: Er schaut, welche Daten ein Unternehmen hat, welche davon wertvoll sind und wer darauf zugreifen kann. Kundendaten, Offerten, Lohnlisten, Verträge, die Zugänge zur Buchhaltung und zum E-Banking. Für jeden dieser Punkte kennt er den Weg, über den ein Angreifer hinkommt und er weiss, welche dieser Wege offen sind. Meistens sind es weniger, als man befürchtet und andere, als man denkt. Der Server im Keller ist selten das Problem. Das Passwort, das seit 2019 dasselbe ist und in drei Diensten verwendet wird, schon.

Der Alltag besteht aus Zugängen, Updates, Überwachung und dem Fall, den niemand will.

Vier Dinge füllen den Tag. Zugänge: wer hat Zugriff worauf, braucht er ihn noch, ist er mit einem zweiten Faktor geschützt und was passiert mit dem Zugang, wenn die Person das Unternehmen verlässt. Das ist unspektakulär und bewirkt mehr als jede Firewall, weil die meisten Angriffe über einen gültigen Zugang laufen, nicht über eine Lücke im System.

Updates: welche Software läuft wo, in welcher Version und wo eine bekannte Schwachstelle offen ist. Dazu gehört seit einigen Jahren auch die Software, die ein Unternehmen nicht gekauft, sondern eingebaut hat. Der Angriff über das npm Paket axios im März 2026 hat gezeigt, dass ein Entwicklerrechner über eine einzige Bibliothek übernommen werden kann. Ein Cyber Security Engineer weiss, welche Bibliotheken im Einsatz sind und hat einen Weg, sie innert Stunden zu prüfen, wenn eine Meldung kommt.

Überwachung: Wenn etwas passiert, merkt es jemand und zwar bevor der Kunde anruft. Das heisst Protokolle, die jemand liest und Alarme, die bei den richtigen Leuten landen. Monitoring ist kein Selbstzweck und es gibt Fälle, in denen ein KMU keines braucht, weil das Hauptsystem beim Plattformanbieter läuft. Zu wissen, welcher Fall vorliegt, ist ein Teil der Rolle.

Und der Fall, den niemand will: Morgen früh sind alle Dateien verschlüsselt. Wer wird angerufen, welches Backup wird zurückgespielt, wie lange dauert das, wer informiert die Kunden, wer entscheidet, ob Lösegeld überhaupt ein Thema ist. Das steht auf einem Blatt, bevor es gebraucht wird. Ein Backup ist ein Versprechen, ein Restore der Beweis und der Cyber Security Engineer ist die Person, die den Beweis einmal im Jahr verlangt, solange er noch nichts kostet.

Ein IT Administrator hält Systeme am Laufen, ein Cyber Security Engineer hält sie dicht.

Die beiden Rollen werden verwechselt, weil in den meisten KMU dieselbe Person beides macht, in der Regel der IT Partner. Die Ziele widersprechen sich aber regelmässig. Der Administrator will, dass alles läuft und niemand blockiert ist. Der Cyber Security Engineer will, dass nur läuft, was laufen soll und dass jeder blockiert ist, der dort nichts verloren hat. Wenn ein Mitarbeitender Administratorrechte auf seinem Laptop hat, weil das Installieren sonst mühsam ist, hat der Administrator gewonnen. Wenn dafür ein Trojaner mit denselben Rechten läuft, verliert das Unternehmen.

Das ist kein Vorwurf an den IT Partner. Er wird dafür bezahlt, dass die Systeme laufen und wird angerufen, wenn sie es nicht tun. Für die Sicherheit ruft niemand an, bis es zu spät ist. Deshalb braucht die Rolle jemanden, dessen Auftrag es ist, unbequem zu sein und der dafür nicht bei jedem Ticket ausgebremst wird. In grösseren Unternehmen sind das zwei Personen in zwei Abteilungen. In einem KMU müssen es mindestens zwei Aufträge sein, auch wenn sie bei einer Person oder einem Partner liegen und die Geschäftsleitung muss wissen, welchen der beiden sie gerade bestellt hat.

Ein zweiter Unterschied: Der Administrator arbeitet im System, der Cyber Security Engineer auch im Vertrag und im Prozess. Welche Daten der Cloud Anbieter sehen darf, was mit den Zugängen einer Person passiert, die das Unternehmen verlassen hat, wie eine Weisung zu KI Werkzeugen aussieht, damit keine Kundenliste in einem Chatbot landet: Das sind Sicherheitsfragen und sie lassen sich nicht mit einer Firewall beantworten.

Ein KMU braucht die Rolle ab dem Tag, an dem jemand danach fragt und meistens früher.

Nicht jedes Unternehmen braucht einen Cyber Security Engineer als Person. Jedes Unternehmen braucht jemanden, der die Fragen beantworten kann. Der Moment, in dem das sichtbar wird, ist unserer Erfahrung nach fast immer derselbe: Ein Kunde oder ein Auditor fragt nach der Datensicherheit, schickt einen Fragebogen mit 40 Fragen und die Antwort dauert zwei Wochen, weil sie bei drei Leuten in drei Fächern liegt. Wer die Rolle besetzt hat, beantwortet den Fragebogen in einem Tag, weil die Antworten bereits existieren.

Andere Zeichen: Das Unternehmen hat Kundendaten, für die es nach dem Datenschutzgesetz verantwortlich ist und niemand kann sagen, wo genau sie liegen. Es entwickelt eigene Software oder lässt sie entwickeln. Es hat mehr als 20 Mitarbeitende mit eigenen Zugängen, weil ab da niemand mehr im Kopf hat, wer worauf zugreifen kann. Oder es hat eine Cyberversicherung, deren Bedingungen Massnahmen verlangen, die noch niemand gelesen hat.

Was das kostet, hängt davon ab, wie viel schon in Ordnung ist. Als Grössenordnung aus unserer Erfahrung: Für ein KMU mit 20 bis 50 Mitarbeitenden ohne eigene Softwareentwicklung ist es nach einer ersten Bestandesaufnahme von zwei bis vier Tagen mit einem halben bis einem Tag pro Monat getan. Das ist keine Stelle, sondern ein Auftrag und er lässt sich an jemanden von aussen geben. Eine Vollzeitstelle wird es erst, wenn das Unternehmen selber Software betreibt, die Kunden nutzen, oder wenn es in einer regulierten Branche arbeitet.

Die Rolle entscheidet nicht allein, sie liefert der Geschäftsleitung die Grundlage.

Ein Cyber Security Engineer kann jedes Risiko benennen. Er kann nicht entscheiden, welches das Unternehmen eingehen will, weil das eine Frage von Geschäft und Geld ist, nicht von Technik. Ob die Anmeldung mit zweitem Faktor für alle Pflicht wird, obwohl der Aussendienst sich beschwert. Ob der alte Server mit der Maschinensteuerung noch drei Jahre läuft, weil der Ersatz mit CHF 80'000 offeriert ist. Ob eine Weisung zu KI Werkzeugen erlassen wird oder nicht. Das entscheidet die Geschäftsleitung und sie kann es nur entscheiden, wenn ihr jemand sagt, was das Risiko ist, was die Massnahme kostet und was passiert, wenn man sie lässt.

Genau das ist die Übergabe an den CTO. Ein CTO entscheidet, was gebaut, gekauft und gelassen wird und Sicherheit ist einer der Gründe, etwas zu lassen. Der Cyber Security Engineer liefert die Einschätzung, der CTO bringt sie mit Kosten, Verträgen und Datenschutz zusammen und trägt den Entscheid in die Geschäftsleitung. In einem KMU sind das oft dieselbe Person oder derselbe Partner und das ist in Ordnung, solange beide Fragen gestellt werden: was das Risiko ist und ob das Unternehmen es tragen will.

Bei uay ist die Rolle Teil der Disziplin Betrieb, Qualität und Sicherheit.

Auf unserer Teamseite steht Cyber Security Engineer neben System Engineer, QA Engineer und Data Engineer in der Disziplin Betrieb, Qualität und Sicherheit. Die vier gehören zusammen, weil Sicherheit ohne Betrieb nicht funktioniert: Wer die Systeme nicht kennt, kann sie nicht schützen und wer sie nur schützt, ohne sie zu betreiben, wird nach drei Monaten umgangen.

Bei jedem Problem schauen wir zuerst, welche Rollen es braucht. Bei Fragen zu Datenschutz, Cloud Verträgen, KI Weisungen und Kundenaudits ist diese fast immer dabei, oft mit einem Tag Aufwand, selten mit mehr. Sie muss nicht bei uns liegen. Wenn der IT Partner die Fragen beantworten kann und den Auftrag dafür hat, ist das der einfachere Weg. Wenn niemand zuständig ist, übernehmen wir es, mit Aufwand und Preis in der Offerte und bleiben gegenüber dem Kunden verantwortlich.