„GenAI-Premium war für mich abstrakt. Wer LLM-Integration nachweisen kann verdient 18 bis 25 Prozent mehr als reine Backend-Profile. Ich habe in zwei Wochen ein Side-Projekt mit RAG-Stack gebaut und damit den Sprung von 92k auf 116k geschafft.“
Aktualisiert September 2026
IT-Sicherheitsexperte Gehalt 2026: 70.000 – 125.000 €
Aktuelle Gehaltsdaten für IT-Sicherheitsexperten und Information Security Manager nach Region, Erfahrung und Arbeitgebertyp – auf Basis amtlicher Statistik.
70.000 €
3–5 Jahre IT-Security
88.000 €
Senior-Level 5–8 Jahre
125.000 €
Head of / Information Security Manager
Dein Marktwert
Live Geschätzte Spanne
— – — €/Jahr
Median — · Basis: IT-Sicherheitsexperte / Information Security Manager 2026
Was verdient ein IT-Sicherheitsexperte / Information Security Manager 2026?
Ein IT-Sicherheitsexperte (Information Security Manager) verdient 2026 zwischen 70.000 € und 125.000 €. Der Median liegt bei 88.000 €. Mit CISSP und Erfahrung im Aufbau und Betrieb eines ISMS verdienen Information Security Manager am oberen Ende dieser Spanne.
Auf einen Blick
IT-Sicherheitsexperte / Information Security Manager Gehalt 2026
- Einstiegsgehalt
- 70.000 € brutto/Jahr
- Median-Gehalt
- 88.000 € brutto/Jahr
- Top-Gehalt
- 125.000 € brutto/Jahr
- Top-Region
- Hessen (Frankfurt) (101.200 € Median)
- Top-Arbeitgeber
- Big Tech (108.000 € Median)
- Gehaltsrechner
- Individuelles Gehalt berechnen →
Quelle: amtliche Statistik (Bundesagentur für Arbeit, Statistisches Bundesamt), abgeglichen mit der Vermittlungspraxis der ADVERGY GmbH · Methodik ansehen
Regionaler Vergleich
IT-Sicherheitsexperte / Information Security Manager Gehalt nach Bundesland.
Regionale Unterschiede bei IT- und Tech-Gehältern sind deutlich. München, Stuttgart und Frankfurt führen mit den größten Tech-Arbeitgebern und einer dichten Startup-Szene.
| Region | Einstieg | Median | Top |
|---|---|---|---|
| Hessen (Frankfurt) | 80.500 € | 101.200 € | 143.750 € |
| Bayern (München) | 78.400 € | 98.560 € | 140.000 € |
| Baden-Württemberg | 75.600 € | 95.040 € | 135.000 € |
| Hamburg | 74.200 € | 93.280 € | 132.500 € |
| Nordrhein-Westfalen | 70.000 € | 88.000 € | 125.000 € |
| Berlin | 68.600 € | 86.240 € | 122.500 € |
| Niedersachsen | 65.800 € | 82.720 € | 117.500 € |
| Bremen | 64.400 € | 80.960 € | 115.000 € |
| Schleswig-Holstein | 64.400 € | 80.960 € | 115.000 € |
| Rheinland-Pfalz | 64.400 € | 80.960 € | 115.000 € |
| Saarland | 63.000 € | 79.200 € | 112.500 € |
| Brandenburg | 63.000 € | 79.200 € | 112.500 € |
| Mecklenburg-Vorpommern | 61.600 € | 77.440 € | 110.000 € |
| Sachsen-Anhalt | 61.600 € | 77.440 € | 110.000 € |
| Thüringen | 61.600 € | 77.440 € | 110.000 € |
| Sachsen | 61.600 € | 77.440 € | 110.000 € |
Erfahrungsstufen
IT-Sicherheitsexperte / Information Security Manager Gehalt nach Erfahrung.
Berufserfahrung ist der stärkste Gehaltshebel. So entwickelt sich dein Gehalt über die Jahre.
| Erfahrung | Gehaltsspanne | Median | Typische Rolle |
|---|---|---|---|
| Junior IT-Sicherheits-Specialist (2–4 Jahre) | 58.000 – 75.000 € | 66.000 € | Junior Security-Specialist, Policy-Mitarbeit, Security-Awareness-Trainings, Vulnerability-Management-Tickets, Mentoring durch Senior-Experte. Vorbereitung auf BSI IT-Grundschutz-Praktiker oder CompTIA Security+ |
| IT-Sicherheitsexperte (4–6 Jahre) | 72.000 – 90.000 € | 80.000 € | Eigenverantwortliche Policy-Erstellung, Koordination Penetration-Tests, Security-Awareness-Programm, SIEM-Triage, Incident-Response-Koordination, ISO 27001 Lead Implementer in Vorbereitung |
| Senior IT-Sicherheitsexperte / ISM (6–9 Jahre) | 86.000 – 108.000 € | 96.000 € | ISMS-Verantwortung, ISO 27001-Zertifizierungen vorbereiten, Risiko-Analysen, Vendor-Security-Assessments, Reporting an CISO, Mentoring Junior-Specialists |
| Lead ISM / Banking Information Security Manager (9–12 Jahre) | 100.000 – 128.000 € | 115.000 € | Banking-Information-Security (BAIT/VAIT), Vorstands-Reporting, NIS2-Programmleitung, Aufbau von ISM-Teams, Audit-Koordination mit externen Prüfern |
| Head of Information Security / CISO-Stv. (12+ Jahre) | 120.000 – 165.000 € | 138.000 € | Head of Information Security, Führung 4–10 Security-Experten, Budget-Verantwortung 1,5–4 Mio. €/Jahr, Aufsichtsrats-Reporting, Sprungbrett zur CISO-Rolle |
Die Stufenseiten, das Diagramm und der Karriere-Block lesen genau diese Zeilen. Die Tabelle beschreibt den Weg durch die Rolle und über sie hinaus, deshalb reicht sie an beiden Enden über die Zahlen im Seitenkopf hinaus: Die erste Zeile kann unter dem Einstiegswert liegen, die letzte über dem Top-Gehalt. Einstieg, Median und Top im Seitenkopf beschreiben die Rolle selbst.
Du willst wissen, was du verdienen kannst?
Kostenlose Einschätzung in 2 Minuten — basierend auf deinem Profil.
Arbeitgebertypen
IT-Sicherheitsexperte / Information Security Manager Gehalt nach Arbeitgeber.
Der Arbeitgebertyp bestimmt nicht nur das Gehalt, sondern auch Benefits, Projekte und Karrierewege in der IT und im Tech-Umfeld.
| Arbeitgeber | Einstieg | Median | Top | Benefits |
|---|---|---|---|---|
| Big Tech Google Cloud, AWS Frankfurt, Microsoft, Meta | 85.000 € | 108.000 € | 155.000 € | RSU-Aktienoptionen (35–65k/Jahr), 30+ Urlaubstage, Workation global, Zertifizierungsbudget 10k/Jahr, Black Hat EU + RSA Conference EU |
| Bank / Versicherung Deutsche Bank, Allianz, Munich Re, Commerzbank, DZ Bank | 84.000 € | 105.000 € | 150.000 € | Tarifvertrag oder AT-Vertrag, 30+ Urlaubstage, BAV 6–9% vom Brutto, Bonus 15–20%, ISMS-Team-Verantwortung ab Senior, 40–55% Remote, Firmenwagen ab Lead |
| DAX-Konzern Siemens, Telekom, BMW, BASF, Bayer, SAP, RWE | 80.000 € | 100.000 € | 142.000 € | Tarifvertrag, 30 Urlaubstage, Betriebsrente, Firmenwagen ab Senior, Inhouse-Awareness-Programme, Speaker-Budget 5k/Jahr |
| Beratung KPMG Cyber, Accenture Security, Deloitte, PwC, HiSolutions | 77.000 € | 96.000 € | 132.000 € | Schnelle Karrierepfade (Senior nach 3 Jahren), internationale ISMS-Projekte, Zertifizierungsbudget 10k/Jahr, Partner-Pfad nach 10+ Jahren |
| KRITIS (Energie, Wasser, Krankenhaus) E.ON, RWE, EnBW, Stadtwerke, Universitätskliniken | 75.000 € | 95.000 € | 128.000 € | Hohe Arbeitsplatzsicherheit, Tarifvertrag, 30+ Urlaubstage, BAV, klare Arbeitszeiten, IT-Sicherheitsgesetz-Meldewesen als CV-Asset |
| Spezialisierter Mittelstand Hidden Champions, Familienunternehmen, Healthcare-Unternehmen | 66.000 € | 83.000 € | 115.000 € | Stabile Festverträge, echte ISMS-Ownership, oft voll Remote möglich, klare Projektpläne für ISO-27001-Zertifizierungen |
| Öffentlicher Dienst / Behörden BSI, Landesbehörden, ITZBund, BwI, Sparkassen-Finanzgruppe | 62.000 € | 77.000 € | 105.000 € | Verbeamtung möglich (A13/A14), TVöD, 30+ Urlaubstage, Pensionsansprüche, Security-Clearance als Asset, stabile Laufbahn |
Insider-Tipp von ADVERGY
Der unterschätzteste Gehaltshebel 2026 für IT-Sicherheitsexperten: die Kombination aus CISSP plus ISO 27001 Lead Implementer plus einer Branchen-spezifischen Referenz. Faustregel: Jede Stufe – CISSP, dann zusätzlich ISO 27001 Lead Implementer, dann eine dokumentierte NIS2- oder KRITIS-Referenz – hebt das erreichbare Gehaltsband spürbar an. Die Kombination CISSP + ISO 27001 LI + NIS2-/KRITIS-Referenz ist 2026 das profitabelste Portfolio für ISM-Rollen. Zweiter unterschätzter Hebel: Security-Awareness-Programme mit messbaren Outcomes dokumentieren. Ein abgeschlossenes Awareness-Programm mit 12.000+ Mitarbeitern, nachweisbarer Phishing-Klickrate-Reduktion um 45% oder einem erfolgreichen Tabletop-Exercise-Programm ist in der Gehaltsverhandlung einen Aufschlag wert. Viele IT-Sicherheitsexperten verkaufen sich hier unter Wert, weil sie ihre Programme nicht in harten Zahlen (Teilnehmer, Klickraten, Meldequoten, Zeit bis Incident-Meldung) darstellen. Dritter Hebel: Banking oder KRITIS als Branchen-Premium. Konkreter Rat: Wenn du aktuell bei einem Mittelständler arbeitest und die CISSP-Pipeline durchziehst, plane 18 Monate – nach CISSP + einem ISO-27001-Rezertifizierungs-Projekt wechselst du in ein KRITIS-Unternehmen oder zur Versicherung.
Markt & Trends
IT-Sicherheitsexperte-Gehälter 2026 — NIS2 macht Generalisten gefragter denn je
Der Arbeitsmarkt für IT-Sicherheitsexperten und Information Security Manager ist 2026 der breiteste Teilmarkt innerhalb der deutschen IT-Security. Ein IT-Sicherheitsexperte verdient im Median 88.000€ brutto pro Jahr, Senior-Rollen als Information Security Manager (ISM) liegen bei 96.000€, Lead-Positionen bei 115.000€. Drei strukturelle Treiber sichern die Gehälter ab: Erstens NIS2, mit dem deutschen Umsetzungsgesetz für zehntausende Unternehmen verpflichtend – jedes braucht eine benannte Sicherheitsverantwortung und etablierte ISMS-Strukturen. Die Rolle des IT-Sicherheitsexperten ist damit die am breitesten gesuchte im gesamten Security-Arbeitsmarkt. Zweitens die ISO 27001:2022-Transition, die bis Oktober 2025 alle zertifizierten Organisationen zur Rezertifizierung gezwungen hat. Drittens der anhaltende Fachkräftemangel: Offene Cybersecurity-Stellen bleiben in Europa und Deutschland oft lange unbesetzt.
Die Bedrohungslage bleibt angespannt: Ransomware trifft weiterhin Unternehmen jeder Größe, und Social Engineering und Phishing bleiben der häufigste Einstiegsvektor. Diese Lage treibt direkt die Nachfrage nach Security-Awareness-Programmen, die Domäne des IT-Sicherheitsexperten – IT-Sicherheitsexperten mit nachweisbarer Awareness-Program-Erfahrung (große Schulungsreichweite, dokumentierte Senkung der Phishing-Klickrate) erzielen spürbare Gehaltsaufschläge. Parallel wächst die KRITIS-Nachfrage: Mit der NIS2-Ausdehnung auf weitere Sektoren (u.a. Abfallwirtschaft, Lebensmittelproduktion, Chemie) verdoppelt sich die Anzahl regulierter KRITIS-Unternehmen in DE auf rund 5.800. Jedes davon braucht einen IT-Sicherheitsexperten oder Information Security Manager.
Für dich als IT-Sicherheitsexperte bedeutet das konkret: Ein externer Wechsel hebt das Gehalt stärker als eine interne Gehaltsrunde. Das Year-over-Year-Wachstum liegt 2024 → 2026 deutlich über dem allgemeinen IT-Wachstum. Besonders gefragt sind drei Profile: Banking-ISM mit BAIT/VAIT-Erfahrung, KRITIS-ISM mit IT-Sicherheitsgesetz-2.0-Erfahrung und NIS2-Programm-Leads bei Mittelständlern. Die Rolle ist ideal für Generalisten, die nicht zu tief in eine Nische (Red Team, Cloud, IAM) abtauchen wollen, sondern breite Security-Verantwortung übernehmen möchten.
Gehaltshebel
Welche Faktoren bestimmen das Gehalt ein IT-Sicherheitsexperte / Information Security Manager?
Branche: Banking und Versicherung schlagen Industrie
IT-Sicherheitsexperten bei Banken und Versicherungen verdienen im Median 105.000€ – über DAX-Industrie (100.000€) und spezialisiertem Mittelstand (83.000€). Treiber ist die BaFin-Regulierung mit MaRisk, BAIT, VAIT und DORA, die Information Security Manager-Funktionen als regulatorische Pflichtrollen definieren. Banken und Versicherungen zahlen Premium-Gehälter als Versicherungsprämie gegen Compliance-Bußgelder.
Zertifizierungen: CISSP, CISM und ISO 27001 LI als Basis
Die CISSP-Zertifizierung bringt einen spürbaren Gehalts-Aufschlag und ist bei größeren Mittelständlern, Banken und Beratungen oft Voraussetzung ab Senior-Level. CISM wirkt ebenfalls gehaltssteigernd, besonders für ISM-Rollen mit Management-Ambitionen. ISO 27001 Lead Implementer wirkt gehaltssteigernd, besonders für ISMS-Aufbau-Projekte. Die Trias CISSP + CISM + ISO 27001 LI liegt noch einmal deutlich darüber.
Awareness-Programme: Messbare Outcomes als Premium
Security-Awareness ist die am meisten unterschätzte Domäne innerhalb der ISM-Rolle. Ein dokumentiertes Awareness-Programm mit nachweisbarer Reduktion der Phishing-Klickrate von 22% auf 6% über 12 Monate ist in der Gehaltsverhandlung ein spürbarer Hebel. Grund: Social Engineering und Phishing bleiben der Weg, über den Angreifer am häufigsten überhaupt erst hineinkommen – ein funktionierendes Awareness-Programm hat damit direkten Business-Impact auf die Incident-Häufigkeit.
Branchen-Nische: NIS2-KRITIS als Sonderfall
Mit der NIS2-Ausdehnung auf weitere Sektoren (Abfallwirtschaft, Chemie, Lebensmittelproduktion, Hersteller von Medizinprodukten) verdoppelt sich die Anzahl regulierter KRITIS-Unternehmen in DE auf rund 5.800. Wer bereits IT-Sicherheitsgesetz-2.0-Meldewesen gemacht hat, verdient bei KRITIS-Unternehmen über dem Industrie-Median. Besonders profitabel: Energieversorger und Krankenhäuser, wo die regulatorische Tiefe besonders groß ist.
Region: Frankfurt und München mit Premium
Frankfurt (Hessen) führt 2026 bei IT-Sicherheitsexperten-Gehältern: Median 101.200€, getrieben durch Banking und EZB. München (Bayern) folgt mit 98.560€ durch Allianz, Munich Re und BMW. Hamburg liegt bei 93.280€, Berlin überraschend nur bei 86.240€ – hoher Startup-Anteil drückt Mediane. In Ostdeutschland sind Gehälter unter dem bundesweiten Median, Öffentlicher Dienst (BSI, Landesbehörden) zahlt nach TVöD unter Konzernniveau.
Karrierepfad
Vom Einstieg zum Top-Verdiener.
Stufe 1: Junior IT-Sicherheits-Specialist
58.000 – 75.000 €
2–4 Jahre
Einstieg aus System-Administration, Informatik-Studium oder Support-Rollen. Policy-Mitarbeit, Security-Awareness-Trainings, Vulnerability-Management-Tickets, Mentoring durch Senior-Experte. Vorbereitung auf BSI IT-Grundschutz-Praktiker oder CompTIA Security+.
Stufe 2: IT-Sicherheitsexperte
72.000 – 90.000 €
4–6 Jahre
Eigenverantwortliche Policy-Erstellung, Koordination Penetration-Tests mit externen Dienstleistern, Security-Awareness-Programm, SIEM-Triage, Incident-Response-Koordination. Zertifizierung ISO 27001 Lead Implementer oder CISSP in Vorbereitung.
Stufe 3: Senior IT-Sicherheitsexperte / Information Security Manager
86.000 – 108.000 €
6–9 Jahre
ISMS-Verantwortung, ISO 27001-Zertifizierungen vorbereiten, Risiko-Analysen, Vendor-Security-Assessments, Reporting an CISO, Mentoring Junior-Specialists. Zertifizierung CISM oder CRISC.
Stufe 4: Lead ISM / Banking Information Security Manager
100.000 – 128.000 €
9–12 Jahre
Banking-Information-Security (BAIT/VAIT), Vorstands-Reporting, NIS2-Programmleitung, Aufbau von ISM-Teams, Audit-Koordination mit externen Prüfern. Speaker-Slots auf it-sa oder BSI IT-Sicherheitskongress.
Stufe 5: Head of Information Security / Stellv. CISO
120.000 – 165.000 € + Bonus
12+ Jahre
Head of Information Security, Führung 4–10 Security-Experten, Budget-Verantwortung 1,5–4 Mio. €/Jahr, Aufsichtsrats-Reporting. Sprungbrett zur CISO-Rolle mit vollem Mandat.
Verhandlungstipp
IT-Sicherheitsexperten-spezifische Verhandlungstaktik in drei konkreten Szenarien: (1) Szenario 'Junior-Specialist zu IT-Sicherheitsexperte' (3–5 Jahre Erfahrung): Deinen Gehaltssprung rechtfertigst du mit drei konkreten Security-Outcomes. Beispiel: 'Ich habe in den letzten 18 Monaten ein Security-Awareness-Programm für 3.500 Mitarbeiter implementiert mit Reduktion der Phishing-Klickrate von 22% auf 6% innerhalb 10 Monaten, zwei externe Penetration-Tests koordiniert und 280 Findings in unserem ISMS nachverfolgt.' Solche Zahlen sprechen CISOs und Geschäftsführer direkt an. Fordere zusätzlich die Übernahme der ISO 27001 Lead Implementer (ca. 2.400€) oder CISSP (4.400€), ein Zertifizierungsbudget und Teilnahme an it-sa oder BSI IT-Sicherheitskongress. (2) Szenario 'IT-Sicherheitsexperte zu Senior ISM' (6–8 Jahre): Der Sprung hängt an nachweisbarer ISMS-Verantwortung und Zertifizierungs-Erfolg. Quantifiziere Business Impact: Welche Zertifizierungen hast du vorbereitet (z.B. ISO 27001:2022 für ein Unternehmen mit 2.800 MA)? Wie viele Kontrollen hast du implementiert (z.B. Annex A mit 93 Controls)? Welche Awareness-Reichweite (z.B. 8.000 geschulte MA)? Diese Zahlen rechtfertigen ein Gehalt über dem Erstangebot plus Zielbonus. Verhandle zusätzlich CISM- oder CRISC-Zertifizierung auf Firmenkosten (ca. 2.800€), Speaker-Budget, Workation-Tage und Firmenwagen ab Senior-Level. Branchenwechsel-Hebel: Wer von Industrie oder Mittelstand ins Banking oder zur Versicherung wechselt, verhandelt strukturell mehr wegen BAIT/VAIT-Regulatorik. (3) Szenario 'Senior zu Lead / Head of' (10–14 Jahre): Hier zählen ISMS-Transformations-Projekte mehr als Jahre. Ein nachweisbares ISO-27001-Erstzertifizierungs-Projekt bei einem Unternehmen mit 5.000+ MA, ein NIS2-Programm bei einem KRITIS-Unternehmen oder eine erfolgreiche CISO-Stellvertretung während einer Vakanz sind je einen Aufschlag wert. Verhandle zusätzlich zum Grundgehalt: garantierter Bonus, Firmenwagen gehoben oder Mobilitätsbudget, LTI-Anteile bei DAX oder Banking (über 4 Jahre), 2-monatiges Sabbatical nach 3 Jahren und Speaker-Budget für BSI IT-Sicherheitskongress, it-sa und RSA Conference EU. Anti-Pattern: Nenne nie dein aktuelles Gehalt zuerst – stattdessen: 'Ich bin an Positionen interessiert, abhängig vom Gesamtpaket und Zertifizierungs-Budget.'
Weiterbildung
Zertifizierungs-Roadmap: Diese Weiterbildungen zahlen sich aus.
Jede Zertifizierung wirkt direkt auf dein Gehalt. Die folgende Übersicht zeigt Kosten, Dauer und Schwierigkeitsgrad.
CISSP – Certified Information Systems Security Professional
Die Gold-Standard-Zertifizierung für Senior IT-Sicherheitsexperten und ISM-Rollen. 8 Domains decken die komplette Breite ab (Security & Risk Management, Asset Security, Security Architecture, Network Security, IAM, Security Assessment, Security Operations, Software Development Security). Bei Banken, DAX-Konzernen und Beratungen oft Pflicht ab Senior-Level.
CISM – Certified Information Security Manager
Management-Fokus auf Security-Governance, Risk Management, Program Development und Incident Management. Besonders wertvoll für ISM-Rollen und den Übergang in Head-of-Security- oder CISO-Rollen. Bei Banken und Versicherungen teils Pflicht-Zertifizierung für Führungsebenen.
ISO 27001 Lead Implementer
Die Praxis-Zertifizierung für ISMS-Implementierung. Seit ISO 27001:2022-Update besonders gefragt. Deckt Initiierung, Planung, Implementierung, Betrieb und Verbesserung eines ISMS ab. Voraussetzung für ISMS-Aufbau-Projekte bei Mittelständlern und KRITIS-Unternehmen.
BSI IT-Grundschutz-Praktiker
Die deutsche Pflicht-Zertifizierung für KRITIS-Sektoren, Öffentlichen Dienst und Bundeswehr. Gibt tiefes Methodik-Wissen zu IT-Grundschutz-Kompendium und Standard 200-x. Besonders wertvoll für IT-Sicherheitsexperten in regulierten Branchen oder mit Clearance-Anforderungen.
CRISC – Certified in Risk and Information Systems Control
Spezialisiert auf IT-Risikomanagement und Control-Design. Besonders wertvoll für ISM-Rollen mit DORA-/NIS2-Risikomanagement-Verantwortung. Deckt IT Risk Identification, Assessment, Response & Mitigation ab. Kombiniert mit CISM + CISSP ideal für Banking-ISM-Pfade.
CompTIA Security+
Grundlagen-Zertifizierung für Junior-IT-Sicherheits-Specialists. Vendor-neutral und schnell zu erreichen, daher guter Einstieg. Deckt Threats, Attacks, Vulnerabilities, Architecture, Implementation, Operations, Governance ab. Oft Einstiegshürde bei Beratungen und Mittelstand.
CCSP – Certified Cloud Security Professional
Cloud-agnostische Security-Zertifizierung, wertvolle Ergänzung für IT-Sicherheitsexperten mit Cloud-Betreuung. Besonders relevant, wenn Unternehmen AWS, Azure oder GCP stärker einsetzen. Kombiniert mit CISSP die perfekte breite+tiefe Security-Kombination für ISM-Rollen.
Projekt-Realität
Typische Projekte — Volumen, Dauer, Technologie.
Die Art und Größe deiner Projekte entscheidet maßgeblich über dein Gehalt. Hier typische Projektszenarien mit Volumen, Dauer und Schlüsseltechnologien.
ISO 27001 Erstzertifizierung Mittelstand
620k € Budget (intern+extern) Volumen
14 Monate Dauer
ISO 27001:2022 Annex A (93 Controls)Risk Register in Excel oder GRC-ToolAwareness-Plattform (KnowBe4, SoSafe)Vulnerability Management (Tenable, Qualys)
Erstzertifizierung eines Mittelständlers (1.400 MA, Industrie-Fertigung) nach ISO 27001:2022. Kernaufgaben: Scope-Definition, Kontext-Analyse, Risikobewertung für 220 identifizierte Assets, Policy-Erstellung für 40 Themengebiete (Zugriffskontrolle, Incident-Response, Business Continuity), Implementierung der 93 Annex-A-Controls, Awareness-Programm für 1.400 Mitarbeiter mit 95% Teilnahme-Quote, externer Audit durch DQS. Ergebnis: ISO 27001:2022-Zertifikat nach 14 Monaten, 0 Major Non-Conformities. CV-Wert: Starke Referenz, rechtfertigt einen Gehaltssprung.
NIS2-Umsetzungsprogramm KRITIS-Energieversorger
2,4 Mio € Budget Volumen
16 Monate Dauer
BSI IT-Grundschutz-KompendiumArcher RSA GRCOneTrustSIEM (Splunk oder Sentinel)BSI IT-Sicherheitsgesetz 2.0 Meldewesen
NIS2-Readiness für einen KRITIS-Energieversorger mit 4.500 Mitarbeitern. Kernaufgaben: Gap-Analyse gegen NIS2-Pflichten (10 Security-Maßnahmen gemäß Art. 21), Governance-Modell mit benannter Geschäftsführungs-Verantwortung (§ 38 BSIG), Incident-Meldewesen (24h/72h/1-Monat-Fristen an BSI und BaFin), Supply-Chain-Security-Programm für 180 kritische Lieferanten, Awareness-Programm für Geschäftsführung, Implementierung von 180 neuen/verschärften Kontrollen. Ergebnis: BSI-Registrierung erfolgreich. Hoher CV-Wert für Senior ISM-Rollen.
Security-Awareness-Programm DAX-Konzern
480k € pro Jahr (laufend) Volumen
12 Monate initialer Rollout + Dauerbetrieb Dauer
KnowBe4SoSafeMicrosoft Attack SimulatorInternes LMSPhishing-Simulation-Platform
Konzernweites Awareness-Programm für DAX-Industriekonzern mit 28.000 Mitarbeitern. Kernaufgaben: Phishing-Simulationen (12 Kampagnen/Jahr), rollenbasierte E-Learning-Module (Entwickler, Admin, Führung), Tabletop-Exercises für Krisenteams, Multiplikatoren-Netzwerk mit 180 Security Ambassadors. Ergebnis: Phishing-Klickrate von 24% auf 4% reduziert (12 Monate), Meldequote verdächtiger Mails verdoppelt, ROSI (Return on Security Investment) von 1:7 nachgewiesen. CV-Wert: Excellent für Head-of-ISM-Sprünge.
Incident-Response-Aufbau Versicherung
1,4 Mio € Budget Volumen
10 Monate Dauer
TheHive + CortexMISP (Threat Intelligence)Splunk SOARServiceNow ITSMMITRE ATT&CK
Aufbau eines strukturierten Incident-Response-Prozesses für eine mittelgroße Versicherung (3.800 MA). Kernaufgaben: IR-Playbooks für Top-15-Incident-Typen (Ransomware, BEC, Data Exfiltration, Privileged Account Compromise), SLA-Definition mit SOC-Dienstleister, Tabletop-Exercises mit Vorstand, Integration mit BaFin-Meldewesen nach VAIT, After-Action-Review-Prozess für Lessons Learned. Ergebnis: Mean Time to Detect (MTTD) von 14h auf 45min reduziert, Meldung an BaFin in allen meldepflichtigen Fällen innerhalb der 72h-Frist. Starker Karriere-Booster für Senior-ISM-Rollen.
Third-Party-Risk-Management Aufbau
680k € Budget Volumen
9 Monate Dauer
OneTrust Third-Party RiskServiceNow GRCBSI C5-FragebogenISO 27001 Vendor-Assessment-Templates
Aufbau eines strukturierten Third-Party-Risk-Management-Prozesses bei einem Mittelständler (2.200 MA) für 340 kritische Lieferanten. Kernaufgaben: Klassifikationsmodell für Vendor-Risiko (High/Medium/Low nach Datenzugriff und Service-Kritikalität), Onboarding-Fragebögen nach ISO 27001 und BSI-C5, jährliche Assessment-Zyklen, Vertragsklauseln für Security-Anforderungen (DPA, SLA, Audit-Recht), Integration mit Einkaufsabteilung. Ergebnis: 100% kritische Lieferanten assessed, 28 Vendors als hochrisikobehaftet identifiziert und ersetzt. Hoher CV-Wert für ISM-Rollen mit Supply-Chain-Security-Fokus.
Selbstständig
Freelancer-Tagessätze für IT-Sicherheitsexperte / Information Security Manager.
Alternative zur Festanstellung: Als selbstständige Fachkraft kannst du deutlich mehr verdienen — tragen aber auch mehr Risiko.
Junior
650–850 €/Tag €
/ Tag netto
Senior
900–1.200 €/Tag €
/ Tag netto
Lead / Experte
1.200–1.600 €/Tag €
/ Tag netto
Typische Auslastung: 175–195 verrechenbare Tage/Jahr (ca. 78–85% Auslastung). IT-Sicherheits-Nachfrage ist durch NIS2 und ISO 27001:2022-Transition extrem hoch.
Vorteile
- Premium-Tagessätze bei NIS2-/ISO-27001-Projekten: Banking-Engagements erreichen 1.350€+ für Senior und 1.600€+ für Lead
- Hohe Auslastung durch NIS2-Umsetzungswelle (viele betroffene Unternehmen sind noch nicht fertig)
- Projektauswahl-Freiheit: Banking, Versicherung, KRITIS, Mittelstand
- Steuerliche Optimierung über UG/GmbH, besonders bei 180k+ Umsatz
- Breite Profilausrichtung: Viele Einstiegspunkte, Generalisten sind gefragt
Nachteile
- NDA-Komplexität: IT-Sicherheits-Engagements erfordern strikte Verschwiegenheit, erschwert Portfolio-Aufbau
- Clearance-Pflichten bei Öffentlichen Aufträgen (BSI, BwI) – Security-Überprüfung Ü2 dauert 6–12 Monate
- Starke Konkurrenz zu Big-4-Beratungen (KPMG, PwC, Deloitte, EY) und Spezial-Beratungen (HiSolutions, Secunet)
- Keine bezahlte Krankheit/Urlaub (min. 18k€/Jahr Puffer einplanen)
- Workshop-Dichte: ISMS-Projekte erfordern viele Workshops und Walkthroughs vor Ort
- Scheinselbstständigkeits-Risiko bei langen ISMS-Projekten (>18 Monate)
Remote-Anteil
Remote-Work im Tech-Bereich: Was ist realistisch?
Remote-First, Hybrid oder Office-First? Der Remote-Anteil hängt stark vom Arbeitgebertyp ab — Software-Rollen sind deutlich remote-freundlicher als Infrastruktur-Rollen.
| Arbeitgebertyp | Remote-Anteil | Typisches Modell |
|---|---|---|
| Big Tech (Google, AWS, Microsoft) | 70–90% | 1–2 Präsenz-Tage/Woche |
| Bank / Versicherung | 35–55% | 3 Präsenz-Tage/Woche typisch |
| Beratung (KPMG, Accenture, HiSolutions) | 60–80% | Kunden-Präsenz je nach Projekt |
| Mittelstand / KRITIS / Inhouse | 40–65% | 2–3 Präsenz-Tage/Woche |
Gehalts-Impact: Vollständig remote arbeitende IT-Sicherheitsexperten akzeptieren oft etwas weniger Grundgehalt als Hybrid-Modelle bei klassischen Mittelständlern. Bei Big Tech und Security-Scale-ups ist Remote Standard und bietet oft ein Premium. Banken zahlen Präsenz-Zulagen für Vor-Ort-Rollen in Frankfurt. KRITIS-Unternehmen zahlen keine Zulage, aber Fahrt- und Parkplatzpauschalen sind üblich.
Karrierepfad-Alternativen
Fach- oder Führungskarriere?
Ab Senior-Level trennen sich die Wege. Beide Pfade führen zu ähnlichen Gehältern — aber mit unterschiedlichen Anforderungen und Aufgaben.
Fachkarriere
Principal Information Security Manager / Security Consultant
Deepdive in ISMS-Methodik und breite Security-Expertise: Du wirst zum Go-To-Experten für ISO-27001-Transformationen, NIS2-Programmleitungen, Awareness-Programme oder Banking-Information-Security. Keine Personalführung im klassischen Sinn, dafür Thought-Leadership, Mentoring von 3–5 ISM-Managern und Speaker-Rollen auf it-sa, BSI IT-Sicherheitskongress oder ISACA EuroCACS.
Typische Anforderungen:
- Mindestens 3 abgeschlossene ISMS-Transformationsprojekte (ISO 27001-Erstzertifizierung oder Rezertifizierung, NIS2-Programm, BSI-Grundschutz-Umsetzung)
- Zertifiziert mit CISSP + CISM + ISO 27001 LI + CRISC
- Branchenexpertise in 1–2 regulierten Branchen (Banking, KRITIS, Versicherung)
- Publikationen in Fachmedien (iX,
, Datenschutz und Datensicherheit DuD) oder Beiträge in BSI-Arbeitsgruppen - Speaker-Referenzen auf it-sa, BSI IT-Sicherheitskongress oder ISACA-Veranstaltungen
Führungskarriere
Head of Information Security / CISO-Stv. / CISO
Personal-, Budget- und Umsatz-Verantwortung: Du führst ein Security-Team von 4–12 Personen (Head of) oder eine gesamte Security-Organisation (CISO-Stv. oder vollwertiger CISO). Weniger hands-on Technik, dafür strategische Hebel auf Gehälter, Boni, Weiterbildungen und Security-Roadmap. Reporting-Linie typisch an CIO (Head of) oder Vorstand (CISO).
Typische Anforderungen:
- Mindestens 2 Jahre Erfahrung in disziplinarischer Führung (3+ Security-Personen)
- Nachgewiesenes Budget-Management (>1 Mio. € Security-Budget/Jahr)
- CISM oder CISSP plus Management-Qualifikation (MBA oder Leadership-Programm)
- Stakeholder-Kommunikation auf C-Level und mit Aufsichtsrat/Vorstand
- Verantwortung für NIS2-/DORA-/BaFin-Reporting und Incident-Kommunikation
- Bereitschaft zu 24/7-Erreichbarkeit bei kritischen Incidents
Was Kandidaten sagen
Echte Stimmen. Anonymisiert.
7 Quotes von Kandidaten die ADVERGY in Tech vermittelt hat — Stand 2025/2026.
„Cloud-Repatriation war bei meinem alten Arbeitgeber ein Tabu — alles musste in AWS bleiben. Über ADVERGY bin ich bei einem Mittelständler gelandet der gerade aktiv on-prem zurückbaut. Plötzlich war meine k8s-Bare-Metal-Erfahrung gefragt statt belächelt.“
„Ich war Senior-Entwickler auf dem Sprung zum Tech-Lead, aber intern blockiert. Christian hat mir drei Stellen gezeigt bei denen das Lead-Mandat von Tag eins kommuniziert war. Bei der zweiten habe ich zugesagt — 22k mehr und endlich Verantwortung für ein Team von acht Leuten.“
„Platform-Engineering wurde mein Karriere-Booster. ADVERGY hat das Profil für mich gebaut: aus Site-Reliability-Erfahrung plus interner Tooling-Arbeit wurde plötzlich ein Senior-Platform-Engineer-Lebenslauf. Drei Wochen später kamen Angebote die ich vorher nicht im Radar hatte.“
„Mein größter Fehler in alten Bewerbungsrunden: Ich habe Bullet-Points statt Impact geschrieben. ADVERGY hat mir gezeigt wie man Latenz-Reduktion in Geschäfts-Sprache übersetzt: Statt P99 von 800ms auf 200ms wurde 35 Prozent weniger Customer-Bounce. Plötzlich kamen Lead-Angebote.“
„Ich hatte ein Inhouse-Angebot mit 15k Gehaltserhöhung als Gegenangebot. ADVERGY hat mir geraten anzunehmen — aber nur als kurzfristige Brücke, weil die Firmen-Kultur strukturell limitiert war. Sechs Monate später dann der echte Wechsel mit 28k Plus statt 15k.“
„Frontend-Markt war 2024 schwierig — viele Bewerbungen, wenig Resonanz. Hannes hat das Problem identifiziert: Mein Profil war zu generisch React-Entwickler. Mit Fokus auf Design-System-Architektur wurde ich plötzlich für Senior-Stellen relevant statt Mid-Level.“
Offene Positionen
Aktuelle IT-Sicherheitsexperte / Information Security Manager-Stellen.
Echte offene IT-Sicherheitsexperte / Information Security Manager-Mandate, die ADVERGY aktuell besetzt — viele davon remote. Der Klick führt direkt zur vollständigen Stelle & Bewerbung bei ADVERGY.
Keine passende Stelle dabei? Profil im Talent-Pool hinterlegen — wir melden uns, sobald eine passende (oft remote) IT-Sicherheitsexperte / Information Security Manager-Rolle frei wird.
Typische Verläufe
Modellfälle: So kann ein Gehaltssprung beim Wechsel aussehen.
Typischer Verlauf
76.000 €→98.000 €
IT-Sicherheitsexperte (m, 30), 5 Jahre Erfahrung bei IT-Dienstleister in Köln. Wechsel als Senior Information Security Manager zu Versicherungsgruppe in Hamburg mit ISO-27001-Rezertifizierungs-Fokus. Entscheidend waren CISSP + ISO 27001 Lead Implementer + ein dokumentiertes Awareness-Programm mit 2.800 Teilnehmern (Phishing-Klickrate-Reduktion von 19% auf 5%). Neues Paket: 98.000€ Grundgehalt, 15% Zielbonus, AT-Vertrag, 30 Urlaubstage, 55% Remote, BAV-Zuschuss 10% vom Brutto plus Übernahme CISM (2.800€). Gehaltssprung +29%.
Typischer Verlauf
92.000 €→120.000 €
Senior Information Security Manager (w, 36), 8 Jahre Erfahrung, zuletzt bei DAX-30-Industriekonzern. Wechsel zu Top-10-Bank in Frankfurt als Lead ISM mit BAIT/VAIT-Schwerpunkt. Neues Paket: 120.000€ Grundgehalt + 20% Zielbonus + Tarifvertrag, 30 Urlaubstage, 50% Remote, BAV-Zuschuss 9% vom Brutto, Zertifizierungsbudget 7.000€/Jahr, Firmenwagen (BMW 3er). Ausschlaggebend: CISSP + CISM + CRISC + nachweisbare NIS2-Programmleitung für 15.000 MA. Gehaltssprung +30%.
Typischer Verlauf
115.000 €→148.000 €
Lead Information Security Manager (m, 43), 12 Jahre Erfahrung. Spezialisierung: ISMS-Transformationen und Banking-ISM. Wechsel von Big-4-Beratung (Deloitte) zu Head of Information Security bei einem KRITIS-Energieversorger. Neues Paket: 148.000€ Grundgehalt + 22% Zielbonus + Firmenwagen (Audi Q5) + 10.000€ Weiterbildungsbudget + 32 Urlaubstage + BAV 8% + Aufsichtsrats-Reporting-Mandat. Ausschlaggebend: CISSP + CISM + Drei ISO-27001-Zertifizierungen als Lead Implementer + Zwei NIS2-Programme. Gesamtvergütung Jahr 1: ~195.000€.
Verwandte Rollen
Ähnliche Tech-Berufsbilder.
Diese Tech-Profile passen thematisch zu IT-Sicherheitsexperte / Information Security Manager — vergleiche Gehälter und Karrierewege.
Ratgeber
Passende Ratgeber für IT-Sicherheitsexperte / Information Security Manager
FAQ
Häufig gestellte Fragen zum IT-Sicherheitsexperte / Information Security Manager Gehalt.
IT-Sicherheitsexperte vs. Security Engineer – was ist der Unterschied?
Beide Rollen haben Schnittmengen, aber klare Schwerpunkte. IT-Sicherheitsexperte / Information Security Manager ist der Generalist mit Governance-Fokus: ISMS-Aufbau, Policy-Arbeit, Awareness-Programme, Vendor-Management, Risiko-Analyse. Median-Gehalt 88k€. Security Engineer ist der Spezialist mit Technik-Fokus: SIEM-Tuning, Penetration-Test-Durchführung, Detection-Engineering, Netzwerk-Härtung. Welchen Pfad du wählst, hängt von deiner Präferenz ab: Liebst du tiefe Technik-Arbeit und Detection-Rules schreiben? Security Engineer. Liebst du Stakeholder-Management, ISMS-Audits und Governance? IT-Sicherheitsexperte. Die Gehälter auf Senior-Level liegen nah beieinander, aber der Karrierepfad zum CISO führt typisch über die ISM-Rolle.
Warum zahlen Banken mehr als die Industrie für ISM-Rollen?
Drei Faktoren treiben den Banking-Aufschlag: Erstens sind BAIT und VAIT regulatorisch zwingend und definieren Information Security Manager als aufsichtsrechtlich relevante Funktionen. Zweitens ist DORA seit Januar 2025 verbindlich und fordert ICT-Security-Governance mit Bußgeldern bei Verstößen. Drittens verlangt die BaFin eine eigenständige Information-Security-Funktion mit dokumentiertem Governance-Modell, was die Nachfrage nach erfahrenen ISM mit CISM oder CISSP verknappt. Konkret: Ein Senior ISM bei einer Bank oder Versicherung verdient im Median 105.000€ versus 100.000€ in der DAX-Industrie.
Welche Zertifizierung zuerst: CISSP, CISM oder ISO 27001 Lead Implementer?
Die Reihenfolge hängt von deinem Erfahrungsstand ab. Bei 3–5 Jahren Erfahrung: Starte mit ISO 27001 Lead Implementer (ca. 2.400€ Invest, 5 Tage Kurs) – schnell zu erreichen und direkter Praxisnutzen für ISMS-Projekte. Bei 5–7 Jahren Erfahrung: CISSP (ca. 4.200€ Invest, 6–9 Monate Vorbereitung) – die Gold-Standard-Zertifizierung, öffnet Türen zu Senior-ISM- und Beratungs-Rollen. Bei 7+ Jahren mit Management-Ambitionen: CISM (ca. 2.700€ Invest, 4–6 Monate) – Management-Fokus auf Security-Governance. Die lukrativste Kombination ist ISO 27001 LI + CISSP + CISM – ISM mit dieser Trias verdienen spürbar mehr als ohne diese Kombination. Tipp: Der Arbeitgeber übernimmt die Kosten oft ganz oder teilweise, wenn du im ersten Gespräch danach fragst.
Wie realistisch ist Freelancing für IT-Sicherheitsexperten?
Sehr realistisch und hoch profitabel, vor allem in der NIS2- und ISO-27001-Welle. Tagessatz-Bandbreiten 2026 in Deutschland: Senior 900–1.200€, Lead 1.200–1.600€, Banking-Spezialisten mit BAIT/VAIT-Erfahrung 1.350–1.700€+. Aufs Jahr gerechnet liegt der Umsatz spürbar über einem vergleichbaren Festgehalt; Urlaub, Krankheit und Altersvorsorge trägst du allerdings selbst. Die Akquise-Situation ist besonders günstig: Viele NIS2-betroffene Unternehmen haben die Umsetzung noch nicht abgeschlossen. Risiken: NDA-Komplexität, Clearance bei öffentlichen Aufträgen, Konkurrenz durch Big-4 und Spezial-Beratungen. Ideal für den Freelance-Sprung: 8+ Jahre Erfahrung, CISSP + CISM + ISO 27001 LI, 2–3 Stammkunden aus der Festanstellung.
IT-Sicherheitsexperte Gehalt netto – was bleibt übrig?
Bei einem Bruttojahresgehalt von 88.000€ (Median) bleibt einem ledigen IT-Sicherheitsexperten in Steuerklasse 1 ca. 51.500–53.500€ netto pro Jahr (ca. 4.290–4.460€/Monat). In Steuerklasse 3 (verheiratet) sind es ca. 57.500–59.500€ netto. Bei 125.000€ Brutto (Top-Wert) liegt der Netto-Betrag bei 68.500–71.000€ (Steuerklasse 1). Hinzu kommen oft geldwerte Vorteile: Firmenwagen ab Senior-Level, Jobticket, BAV (6–9% vom Brutto als AG-Zuschuss bei Banken), Zertifizierungsbudget, Speaker-Budget und On-Call-Pauschalen bei KRITIS. In Summe liegt das effektive Nettoeinkommen bei vielen Senior ISM spürbar über dem reinen Gehaltsnetto.
Was verdient ein IT-Sicherheitsexperte mit 6 Jahren Erfahrung?
Die Werte je Erfahrungsstufe stehen in der Tabelle „Gehalt nach Erfahrung“ auf dieser Seite. Die Spanne erklärt sich durch Branche und Zertifizierungen: Es macht einen Unterschied, ob du bei einer Bank in Frankfurt, bei einem DAX-Industriekonzern oder im spezialisierten Mittelstand arbeitest. Spezialisierungs-Aufschläge: Banking-ISM mit BAIT/VAIT, KRITIS-ISM mit IT-Sicherheitsgesetz 2.0, Awareness-Specialists mit messbaren Outcomes. Tipp: Mit 6 Jahren Erfahrung ist der ideale Zeitpunkt für den Banking-Wechsel – BAIT/VAIT-Projekte suchen genau dieses Seniority-Level. Wer zusätzlich ein abgeschlossenes NIS2-Programm nachweisen kann, verhandelt ein Gehalt über dem Median.
20 Städte
IT-Sicherheitsexperte / Information Security Manager Gehalt nach Stadt.
Finde heraus, was ein IT-Sicherheitsexperte / Information Security Manager in deiner Stadt verdient.
Kostenloser Gehaltscheck
Persönliche Gehaltseinschätzung — kostenlos & unverbindlich.
Unsere IT-Berater melden sich mit deinem exakten Marktwert als IT-Sicherheitsexperte / Information Security Manager, einem anonymen Peer-Vergleich und einer ehrlichen Einschätzung zum Wechselpotenzial.
- Individuelle Gehaltsspanne für IT-Sicherheitsexperte / Information Security Manager
- Anonymer Peer-Vergleich (Perzentile)
- Wechselpotenzial & Top-Arbeitgeber
Deine Daten bleiben bei der ADVERGY GmbH
Danke für deine Anfrage!
Unsere IT-Recruiting-Experten melden sich bei dir mit deinem exakten Marktwert, Peer-Vergleich und Wechselpotenzial.
Vertraulich · Keine Weitergabe
Transparenz
Quellen & Methodik.
Die Gehaltszahlen stammen aus amtlicher Statistik, abgeglichen mit der Vermittlungspraxis der ADVERGY GmbH. Mehr zu unserer Methodik
- Bundesagentur für Arbeit – Entgeltatlas – Medianentgelte der einschlägigen Berufsgruppe nach Anforderungsniveau und Region – Primärquelle der Gehaltszahlen (Bundesagentur für Arbeit – Entgeltatlas)
- Statistisches Bundesamt – Verdienststrukturerhebung – Verdienste nach Wirtschaftszweig und Betriebsgröße (Statistisches Bundesamt – Verdienststrukturerhebung)
- ADVERGY Vermittlungspraxis – Qualitativer Marktabgleich aus der Vermittlungspraxis (IT-Sicherheit/ISM) – keine statistische Datenbasis