Security-Gehaltsfragen
CISO-Gehälter streuen extrem stark: von 130.000 EUR im Mittelstand bis über 300.000 EUR in DAX-Konzernen und systemrelevanten Banken. Der Median liegt 2026 bei rund 175.000 EUR Grundgehalt plus 20–40 % variable Vergütung.
Banken und Versicherungen zahlen durch DORA- und BAIT-Anforderungen besonders hoch (180.000–280.000 EUR Grundgehalt), DAX-Industriekonzerne liegen bei 160.000–240.000 EUR. Mit Aktienprogrammen (RSUs/LTIPs) kommen bei börsennotierten Unternehmen oft 40.000–100.000 EUR jährlich dazu. Für dich als Senior Security Manager bedeutet das: Der Sprung vom Head of IT-Security (130k–165k) in eine echte CISO-Rolle mit Board-Reporting rechtfertigt 30–60 % Gehaltssprünge.
Typisch sind 4–6 Jahre vom Junior Security Analyst (48.000–58.000 EUR) zum Senior Security Engineer (85.000–115.000 EUR) – das entspricht einer Verdoppelung. Entscheidend sind drei Hebel:
- Der erste Wechsel nach 2–3 Jahren bringt im Schnitt +22 % (laut ADVERGY-Vermittlungsdaten, n=60 Security-Platzierungen).
- Die erste Offensive-Zertifizierung (OSCP oder eCPTX) hebt das Grundgehalt um 8–15 %.
- Ein Wechsel in den Banking- oder DAX-Sektor legt weitere 10–15 % drauf.
Wer parallel Incident-Response-Erfahrung und Cloud-Security-Skills aufbaut, kann den Senior-Status bereits nach 4 Jahren erreichen.
Banking- und Versicherungs-Security zahlt 2026 im Median 12–20 % mehr als vergleichbare Industrie-Security-Rollen. Ein Senior Security Engineer bei einer Landesbank oder der DZ BANK erreicht 95.000–125.000 EUR, im DAX-Industriekonzern typisch 82.000–108.000 EUR.
Grund: NIS2-Richtlinie, DORA (Digital Operational Resilience Act) seit Januar 2025 verpflichtend, BAIT/VAIT-Anforderungen und die direkte Aufsicht durch BaFin/EZB. IT-Compliance-Manager mit ISO-27001- und DORA-Expertise im Frankfurter Banking-Cluster erreichen 100.000–140.000 EUR. In der Industrie (Automotive, Chemie) führt TISAX als Branchenstandard nur zu einem moderateren Premium (+5–8 %).
CISSP ist für Senior-Security- und Management-Rollen die ROI-stärkste Zertifizierung: Kosten ca. 800 EUR Prüfung plus 1.500–2.500 EUR Vorbereitungskurs, Gehaltshebel +12–18 % (8.000–15.000 EUR/Jahr). Amortisation unter 6 Monaten. Voraussetzung: 5 Jahre nachgewiesene Security-Erfahrung.
OSCP lohnt sich für Pentester und Red-Teamer (+8–15 %, typisch +7.000–12.000 EUR), ist aber technisch anspruchsvoll (24h-Prüfung, praktisches Hacking). CEH hat im deutschen Markt das schwächste Preis-Leistungs-Verhältnis (+3–7 %, teils als Grundvoraussetzung verlangt). Wer CISM (Management-Fokus) ergänzt, steigert das Gehalt in Compliance-/GRC-Rollen nochmals um 8–12 %.
ISO-27001-Expertise ist 2026 einer der stärksten Einzelhebel im Security- und Compliance-Segment: +8–14 % Gehaltseffekt, typisch +7.000–14.000 EUR/Jahr. Als ISO-27001-Lead-Auditor zertifizierte Professionals verdienen in IT-Compliance-Rollen 90.000–125.000 EUR.
Grund: Die NIS2-Richtlinie verpflichtet ab 2024/25 rund 30.000 Unternehmen in Deutschland zu strukturiertem Informationssicherheits-Management. Kombinationen schlagen besonders durch: ISO 27001 + BSI-Grundschutz (öffentlicher Sektor, KRITIS), ISO 27001 + DORA (Banking), ISO 27001 + TISAX (Automotive). Freelance-ISMS-Berater erzielen 1.100–1.600 EUR Tagessatz.
Security-Rollen sind 2026 überdurchschnittlich remote-fähig: SOC-Analysten arbeiten zu 70–90 % remote (24/7-Schichtbetrieb, oft in Follow-the-Sun-Modellen), Security Engineers und Pentester zu 60–80 %. Ausnahmen: CISOs mittelgroßer Organisationen sind meist 2–3 Tage/Woche vor Ort, IAM- und Compliance-Rollen in Banken haben durch BAIT/MaRisk mehr Präsenzpflicht (typisch 3 Tage).
Voll-Remote-Positionen zahlen bei Cyber-Security-Scale-ups Premium (+3–7 %), im klassischen Mittelstand dagegen oft Abschlag (−3–5 %). DAX-Konzerne haben sich 2025/26 auf ein 2–3-Tage-Hybridmodell eingependelt, ohne Gehaltsabschlag.
Cloud-Gehaltsfragen
Cloud-Rollen zahlen 2026 systematisch 12–18 % mehr als vergleichbare On-Prem-Positionen. Ein Senior Linux-SysAdmin liegt bei 72.000–88.000 EUR, ein Senior Cloud Engineer bei 85.000–110.000 EUR. Am größten ist der Spread bei Architektur-Rollen: Ein IT-Architekt On-Prem verdient typisch 85.000–110.000 EUR, ein Cloud-Architekt AWS mit Professional-Zertifizierung 110.000–155.000 EUR.
Treiber: Fachkräftemangel (laut Bitkom 149.000 unbesetzte IT-Stellen Ende 2025), Cloud-Migrations-Druck bis 2028 bei rund 70 % der DAX-40 und hohe Hyperscaler-Investitionen in Deutschland (AWS Frankfurt 1–3, Azure Germany West-Central, Google Cloud Berlin/Frankfurt).
AWS Solutions Architect Professional (SAP-C02) führt 2026 das Gehaltsranking mit +10–15 % Effekt an (typisch +10.000–18.000 EUR), gefolgt von Azure Solutions Architect Expert (AZ-305) mit +8–12 % und Google Professional Cloud Architect mit +7–10 %.
Der deutsche Markt ist aktuell AWS-lastig, aber Azure holt im DAX-Segment stark auf (Microsoft-Bestandsverträge, Microsoft 365 als Einstieg). Wer dual zertifiziert ist (AWS + Azure), kann in Multi-Cloud-Architekturrollen 120.000–160.000 EUR erreichen. GCP zahlt am besten in spezialisierten Data-/ML-Kontexten, ist aber im breiten deutschen Markt weniger nachgefragt.
Senior Site Reliability Engineers (SREs) liegen 2026 bei 90.000–140.000 EUR Grundgehalt, DevOps Engineers bei 85.000–125.000 EUR. Der Unterschied: SREs mit Observability-, Chaos-Engineering- und SLO-Expertise (oft aus dem Google-/Netflix-Playbook) verdienen etwa 8.000–12.000 EUR mehr als klassische DevOps-Profile.
Platform Engineers mit Kubernetes- und Terraform-Tiefe erreichen in Scale-ups und DAX-Konzernen 95.000–135.000 EUR. Top-Verdiener: Staff/Principal SREs bei FinTech und Banking (N26, Solarisbank, Deutsche Bank Platform-Teams) mit 130.000–180.000 EUR plus RSUs.
Kubernetes-Produktionserfahrung (nicht nur Minikube-Demos) plus Terraform- oder Pulumi-Expertise ist 2026 der stärkste Einzelskill für Platform- und Cloud-Rollen: +10–18 % Gehaltseffekt, typisch +9.000–18.000 EUR.
Ein klassischer Linux-SysAdmin ohne Kubernetes liegt bei 68.000–85.000 EUR, ein Platform Engineer mit K8s-Produktionsbetrieb und IaC-Codebasen bei 90.000–130.000 EUR. Premium-Add-ons: Service-Mesh (Istio, Linkerd) +3–5 %, GitOps (ArgoCD, Flux) +4–7 %, eBPF/Cilium +5–8 %. CKA/CKAD/CKS zahlen sich primär als Einstiegssignal aus (ca. +5 % bei Erstanstellung), der eigentliche Gehaltshebel ist die Architektur-Erfahrung mit mehreren produktiven Clustern.
Infrastruktur, Management & Karriere
Die CIO-Rolle ist der am stärksten kontextabhängige IT-Job. Spannweite:
- CIO im Mittelstand (50–500 MA, IT-Team 5–15 Personen): 80.000–130.000 EUR
- CIO Upper-Mid (500–5.000 MA): 130.000–200.000 EUR
- CIO DAX/MDAX-Konzern: 220.000–380.000 EUR plus LTIP/Aktien
Treiber: (1) Unternehmensgröße – IT-Budget-Verantwortung korreliert fast linear mit Gehalt (Faustregel: 2–4 % des IT-Budgets als CIO-Gesamtvergütung), (2) Branche (Banking und Pharma über Industrie), (3) C-Level- vs. Bereichsleiter-Status (echter Vorstand +30–50 %), (4) Transformationsauftrag (Cloud-Migration, Carve-Outs, Post-Merger-Integration rechtfertigen Sonderboni). Ein CTO bei einem Tech-Scale-up erreicht mit Equity oft 400.000+ EUR Gesamtvergütung.
Freelance-Pentester liegen 2026 bei 950–1.500 EUR Tagessatz (Median 1.200 EUR). Einsteiger mit 2–4 Jahren Praxis und OSCP erreichen 850–1.050 EUR, Senior-Pentester mit Red-Team- und Banking-Erfahrung 1.300–1.800 EUR. Web-App- und API-Security-Spezialisten mit Burp-Suite-Pro-Zertifikaten und Bug-Bounty-Track-Record erzielen Spitzensätze.
Bei 180–200 abrechenbaren Tagen entspricht das 215.000–300.000 EUR Jahresumsatz (ca. 120.000–160.000 EUR netto nach Steuern/KV/AV als Einzelunternehmer). Vergleichbar: Cloud-Architekten 1.100–1.800 EUR, DevOps/SRE 850–1.300 EUR, CISO-Interim 1.800–2.500 EUR.
Über unsere Daten
Unsere Daten basieren auf Vermittlungen der ADVERGY GmbH im IT-Infrastruktur-, Security- und Cloud-Segment, ergänzt durch den Entgeltatlas der Bundesagentur für Arbeit, StepStone Tech-Gehaltsreport, Honeypot, get-in-IT sowie branchenspezifische Quellen wie (ISC)²-Gehaltsstudien, Heise Security und Bitkom-Studien. Es handelt sich nicht um Selbstauskunft-Umfragen, sondern um echte Vertragsgehälter. Vollständige Methodik auf der Methodik-Seite.
Die Gehaltsdaten werden regelmäßig aktualisiert. Der aktuelle Stand ist April 2026. Alle angegebenen Gehälter sind Bruttojahresgehälter in Euro. Bei wesentlichen Marktveränderungen (z.B. DORA-Inkrafttreten, NIS2-Umsetzungsgesetz) erfolgen unterjährige Anpassungen.
Einstieg bezeichnet das typische Gehalt mit 0–2 Jahren Erfahrung. Der Median ist der Wert, bei dem 50 % mehr und 50 % weniger verdienen – aussagekräftiger als der Durchschnitt. Top-Gehalt zeigt die obere Spanne für Senior-Fachkräfte mit Spezialwissen (z.B. Staff-Level, Principal, Lead-Architect).
tech-gehalt.de ist ein Projekt der ADVERGY GmbH aus Hamburg – einer auf IT-Fachkräfte (Security, Cloud, Infrastruktur, SAP) spezialisierten Personalberatung. ADVERGY vermittelt seit 2010 und verfügt über Gehalts-Marktdaten aus der täglichen Vermittlungspraxis in DAX-Konzernen, Banken, Versicherungen, Mittelstand und Startups. Sitz: Grimm 6, 20457 Hamburg.