„GenAI-Premium war für mich abstrakt. Wer LLM-Integration nachweisen kann verdient 18 bis 25 Prozent mehr als reine Backend-Profile. Ich habe in zwei Wochen ein Side-Projekt mit RAG-Stack gebaut und damit den Sprung von 92k auf 116k geschafft.“
Aktualisiert September 2026
SOC-Analyst Gehalt 2026: 48.000 – 105.000 €
Aktuelle Gehaltsdaten für SOC-Analysten nach Region, Erfahrung und Arbeitgebertyp – auf Basis amtlicher Statistik.
48.000 €
1–3 Jahre IT-Security
65.000 €
Tier-2-Niveau 4–6 Jahre
105.000 €
Tier 3 / SOC Lead + Banking
Dein Marktwert
Live Geschätzte Spanne
— – — €/Jahr
Median — · Basis: SOC-Analyst 2026
Was verdient ein SOC-Analyst 2026?
Ein SOC-Analyst verdient 2026 zwischen 48.000 € und 105.000 €. Der Median liegt bei 65.000 €. SOC-Analysten mit Erfahrung in SIEM-Plattformen, Threat-Hunting und der Eskalation von L2/L3-Incidents verdienen am oberen Ende; 24/7-Schichtbereitschaft wird zusätzlich vergütet.
Auf einen Blick
SOC-Analyst Gehalt 2026
- Einstiegsgehalt
- 48.000 € brutto/Jahr
- Median-Gehalt
- 65.000 € brutto/Jahr
- Top-Gehalt
- 105.000 € brutto/Jahr
- Top-Region
- Hessen (Frankfurt) (74.100 € Median)
- Top-Arbeitgeber
- Big Tech (92.000 € Median)
- Gehaltsrechner
- Individuelles Gehalt berechnen →
Quelle: amtliche Statistik (Bundesagentur für Arbeit, Statistisches Bundesamt), abgeglichen mit der Vermittlungspraxis der ADVERGY GmbH · Methodik ansehen
Regionaler Vergleich
SOC-Analyst Gehalt nach Bundesland.
Regionale Unterschiede bei IT- und Tech-Gehältern sind deutlich. München, Stuttgart und Frankfurt führen mit den größten Tech-Arbeitgebern und einer dichten Startup-Szene.
| Region | Einstieg | Median | Top |
|---|---|---|---|
| Hessen (Frankfurt) | 54.720 € | 74.100 € | 119.700 € |
| Bayern (München) | 53.760 € | 72.800 € | 117.600 € |
| Baden-Württemberg | 51.360 € | 69.550 € | 112.350 € |
| Hamburg | 50.880 € | 68.900 € | 111.300 € |
| Nordrhein-Westfalen | 48.000 € | 65.000 € | 105.000 € |
| Berlin | 46.560 € | 63.050 € | 101.850 € |
| Niedersachsen | 45.120 € | 61.100 € | 98.700 € |
| Bremen | 44.160 € | 59.800 € | 96.600 € |
| Schleswig-Holstein | 44.160 € | 59.800 € | 96.600 € |
| Rheinland-Pfalz | 44.160 € | 59.800 € | 96.600 € |
| Saarland | 43.200 € | 58.500 € | 94.500 € |
| Brandenburg | 43.200 € | 58.500 € | 94.500 € |
| Mecklenburg-Vorpommern | 42.240 € | 57.200 € | 92.400 € |
| Sachsen-Anhalt | 42.240 € | 57.200 € | 92.400 € |
| Thüringen | 42.240 € | 57.200 € | 92.400 € |
| Sachsen | 42.240 € | 57.200 € | 92.400 € |
Erfahrungsstufen
SOC-Analyst Gehalt nach Erfahrung.
Berufserfahrung ist der stärkste Gehaltshebel. So entwickelt sich dein Gehalt über die Jahre.
| Erfahrung | Gehaltsspanne | Median | Typische Rolle |
|---|---|---|---|
| Tier 1 SOC-Analyst (1–3 Jahre) | 45.000 – 58.000 € | 52.000 € | Alert-Triage, SIEM-Monitoring in 3-Schicht-Modellen, Standardisierte Playbooks, erste Security+-Zertifizierung, Schichtzulagen 8–15% zusätzlich |
| Tier 2 SOC-Analyst (3–5 Jahre) | 58.000 – 75.000 € | 65.000 € | Incident Response, Deep-Dive-Investigations, MITRE-ATT&CK-Mapping, erste SOAR-Playbook-Entwicklung, GCIH in Vorbereitung |
| Tier 3 SOC-Analyst / Threat Hunter (5–8 Jahre) | 75.000 – 95.000 € | 85.000 € | Threat Hunting, proaktive Queries, Malware-Analyse, Detection Engineering (Sigma/KQL/SPL), Incident-Lead-Rollen, GCFA/GCFE-zertifiziert |
| Senior Detection Engineer / SOC Lead (8–11 Jahre) | 90.000 – 115.000 € | 102.000 € | Detection-Engineering-Lead, Sigma-Regel-Kuration, SOAR-Architektur, Team-Koordination 4–8 Analysten, CISO-Berichtslinie |
| Head of SOC / SOC Manager (11+ Jahre) | 110.000 – 145.000 € | 125.000 € | Head of SOC, Team 15–50 Analysten, Budget-Verantwortung 2–8 Mio. €/Jahr, Follow-the-Sun-Modelle, Vorstands-Reporting, CISSP/CISM |
Die Stufenseiten, das Diagramm und der Karriere-Block lesen genau diese Zeilen. Die Tabelle beschreibt den Weg durch die Rolle und über sie hinaus, deshalb reicht sie an beiden Enden über die Zahlen im Seitenkopf hinaus: Die erste Zeile kann unter dem Einstiegswert liegen, die letzte über dem Top-Gehalt. Einstieg, Median und Top im Seitenkopf beschreiben die Rolle selbst.
Du willst wissen, was du verdienen kannst?
Kostenlose Einschätzung in 2 Minuten — basierend auf deinem Profil.
Arbeitgebertypen
SOC-Analyst Gehalt nach Arbeitgeber.
Der Arbeitgebertyp bestimmt nicht nur das Gehalt, sondern auch Benefits, Projekte und Karrierewege in der IT und im Tech-Umfeld.
| Arbeitgeber | Einstieg | Median | Top | Benefits |
|---|---|---|---|---|
| Bank / Versicherung Deutsche Bank, Commerzbank, Allianz, Munich Re, DWS | 58.000 € | 78.000 € | 118.000 € | Tarifvertrag, 30+ Urlaubstage, BAV, Bonus 12–20%, DORA-SOC-Aufbauten als CV-Booster, Schichtzulagen 15–25% für Nacht/Feiertag |
| Big Tech Microsoft Detection & Response Team, AWS Security Response, Google Chronicle | 68.000 € | 92.000 € | 138.000 € | RSU-Aktienoptionen (25–50k/Jahr), 30+ Urlaubstage, Workation global, kein klassischer Schichtbetrieb (Follow-the-Sun), SANS-Budget |
| MSSP / Managed Security T-Systems CERT, Arctic Wolf, Orange Cyberdefense, Secureworks | 48.000 € | 64.000 € | 95.000 € | Schichtzulagen garantiert, Bonus 8–15%, schnelle Tier-Progression, Kunden-Vielfalt (20–40 Mandanten), Weiterbildungsbudget 4–8k/Jahr |
| DAX-Konzern Siemens CERT, Telekom Security SOC, BMW CSIRT, BASF Cyber-Defense | 54.000 € | 71.000 € | 108.000 € | Tarifvertrag, 30 Urlaubstage, Betriebsrente, Schichtzulagen nach TV-EF, Inhouse-Labs für Threat Hunting, Firmenwagen ab Tier 3 |
| Beratung KPMG Cyber Defense, Accenture Security, Deloitte CSIRT, PwC Cyber | 55.000 € | 70.000 € | 100.000 € | Schnelle Karrierepfade, internationale SOC-Aufbau-Projekte, Zertifizierungsbudget 6–10k/Jahr, Consulting-Track ab Tier 2 |
| Mittelstand / KRITIS Stadtwerke, Wasserwirtschaft, Regionale Banken, Krankenhäuser | 46.000 € | 62.000 € | 88.000 € | TVöD/TV-L 11–14, Pensionsansprüche, unkündbar, 30+ Urlaubstage, klare Schichtzulagen, KRITIS-Meldepflicht-Zulage |
Insider-Tipp von ADVERGY
Der am meisten unterschätzte Gehaltshebel 2026: Der Tier-3-Sprung durch Threat-Hunting-Zertifikate. Ein Tier-2-Analyst bei 65k kann durch den Sprung in Tier 3 + GCFA (GIAC Certified Forensic Analyst) strukturell mehr erreichen. Tier-3-Analysten mit GCFA + GCFE (Certified Forensic Examiner) liegen deutlich über dem Tier-2-Niveau. Zweiter unterschätzter Hebel: Schichtzulagen mitverhandeln. Viele Arbeitgeber zahlen Zulagen für Nacht/Feiertag/Wochenende nach TV-EF-Tarif, aber nur bei aktiver Nachfrage im Vertrag – viele SOC-Analysten sehen diese Komponente erst nach der Unterschrift. Bei 65k Grundgehalt und 3-Schicht-System sind Schichtzulagen realistisch – das ist mehr als eine typische Gehaltserhöhung. Dritter Hebel: Detection Engineering als Aufstiegsweg. Die Umstellung von reiner Alert-Triage auf proaktives Detection Engineering (Sigma-Regel-Entwicklung, SOAR-Playbook-Automatisierung, KQL/SPL-Queries) ist das profitabelste Karriere-Investment 2026. Detection Engineers erreichen bei Banking-Häusern ein deutlich höheres Gehaltsband, bei Big Tech (Microsoft MSTIC, Google Chronicle) noch einmal mehr. Konkreter Rat: Wenn du aktuell als Tier-1-Analyst bei 52k sitzt, plane einen 24-Monats-Pfad: Monate 1–8 GCIH + erste SOAR-Playbooks entwickeln, Monate 9–16 GCFA + 10 Sigma-Regeln im Produktivbetrieb, Monate 17–24 Wechsel ins Banking oder zu Big Tech als Detection Engineer.
Markt & Trends
SOC-Gehälter 2026 — Schichtarbeit wird zur Wachstumsdisziplin
Der Arbeitsmarkt für SOC-Analysten in Deutschland ist 2026 durch massive Aufbau-Dynamik geprägt. Ein SOC-Analyst verdient im Median 65.000€ brutto pro Jahr. Drei Treiber beschleunigen den Markt: Erstens die NIS2-Umsetzung, die mit dem deutschen Umsetzungsgesetz 24/7-Security-Monitoring für zehntausende Unternehmen de-facto vorschreibt – viele Mittelständler bauen erstmals eigene SOCs auf oder kaufen MSSP-Services. Zweitens DORA seit Januar 2025, das im Finanzsektor strengere Incident-Reporting-Fristen einführt (2h Early-Warning, 72h Incident-Notification an BaFin). Drittens die aktuelle Bedrohungslage: Ransomware bleibt für KRITIS-Unternehmen und Mittelstand eine der größten Gefahren.
Die Folge: Viele deutsche Unternehmen bauen ihre SOC-Kapazitäten aus – teils intern, teils über Managed-SOC-Dienstleister, was die Nachfrage nach SOC-Analysten auf beiden Seiten erhöht. Diese Nachfrage übersetzt sich direkt in Gehälter: Das Year-over-Year-Wachstum der SOC-Gehälter liegt 2024 → 2026 deutlich über dem allgemeinen IT-Wachstum, bei Detection-Engineer-Profilen noch stärker. Ein externer Wechsel hebt das Gehalt stärker als eine interne Gehaltsrunde – realistische Sprünge: 52k → 65k (Tier 1 → Tier 2), 65k → 85k (Tier 2 → Tier 3).
Für dich als SOC-Analyst bedeutet das konkret: Schichtmodelle sind weiterhin Standard (3-Schicht-Rotation bei 24/7-SOCs), bringen aber nennenswerte Zulagen. Ein Tier-2-Analyst mit 65k Grundgehalt erreicht inkl. Schichtzulagen und Bonus realistisch eine spürbar höhere Gesamtvergütung. Besonders gefragt sind drei Profile: Microsoft-Sentinel-Spezialisten mit KQL-Tiefe, Splunk-Core-Certified-Analysten in Banking und Detection Engineers mit Sigma-Rule-Entwicklungserfahrung. Der strukturelle Engpass: Security-Personal ist in Deutschland knapp, und SOC-Rollen konkurrieren dabei mit besser bezahlten Spezialisierungen um dieselben Kandidaten – das verlängert Besetzungszeiten spürbar.
Gehaltshebel
Welche Faktoren bestimmen das Gehalt ein SOC-Analyst?
Tier-Niveau: Tier 1 zu Tier 3 ist ein deutlicher Sprung
Das SOC-3-Tier-Modell ist der stärkste Gehaltshebel. Tier 1 (Alert-Triage) liegt bei rund 52.000€ inkl. Schichtzulagen. Tier 2 (Incident Response) liegt bei 65.000€ mit weniger Schichtlast. Tier 3 (Threat Hunting, Malware-Analyse) erreicht 85.000€ in meist Tagdienst-Modellen. SOC Leads ohne Schichtpflicht erreichen mehr. Sprung von Tier 1 zu Tier 3: deutlich mehr Grundgehalt, plus Wegfall der Schichtbelastung – das ist der wirkungsvollste Karriere-Invest.
SIEM-Plattform: Sentinel und Splunk als Gehalts-Premium
Microsoft-Sentinel- und Splunk-Enterprise-Security-Kenntnisse sind 2026 die gefragtesten SIEM-Profile. Sentinel durch Microsoft-365-Marktdominanz in DE-Mittelstand, Splunk durch Banking-Präsenz. Sentinel-Spezialisten mit AZ-500 + SC-200 verdienen mehr als Standard-SOC-Analysten, Splunk-Core-Certified-Admins ebenso. QRadar (IBM) und Elastic Security ergeben je nach Marktfokus ein Premium. Chronicle (Google) explodiert 2026 in der Nachfrage – frühe Expertise wird zum CV-Booster.
Branche: Banking und Big Tech als Gehaltsführer
Ein Senior SOC-Analyst bei Deutsche Bank oder Allianz verdient mehr als in der DAX-Industrie und deutlich mehr als im Mittelstand oder bei KRITIS-Betreibern. Banking-Treiber: DORA-Incident-Reporting mit BaFin-Fristen, 24/7-SOC-Aufbauten in Frankfurt. Big Tech (Microsoft MSTIC, AWS Security Response, Google Chronicle) zahlt mit rund 92k nochmals mehr als Banking, dafür höhere Anforderungen an Detection Engineering und Automatisierung. Beratung (KPMG, Accenture) liegt mit 70k im Mittelfeld, kompensiert durch Karrieregeschwindigkeit.
Schichtzulagen: Gehalts-Extra oft übersehen
Schichtzulagen sind die am häufigsten übersehene Gehaltskomponente bei SOC-Analysten. Zulagen nach Tarifvertrag (etwa TVöD) für Spät-, Nacht-, Samstags-, Sonntags- und Feiertagsdienste. Bei einem 3-Schicht-Modell mit 5 Nachtschichten und 3 Wochenend-Schichten pro Monat summiert sich das auf einen spürbaren Teil des Grundgehalts. Wichtig: Explizit im Vertrag festhalten, nicht als 'mitverdient' hinnehmen.
Zertifizierungen: GCIH und GCFA als Tier-Gatekeeper
CompTIA Security+ ist 2026 Markt-Einstieg, GCIH (GIAC Certified Incident Handler) der Standard für den Tier-2-Sprung und GCFA (Certified Forensic Analyst) der Gatekeeper für Tier 3. GCIH bringt einen spürbaren Gehaltseffekt, GCFA zusätzlich einen weiteren. Microsoft-Stack: AZ-500 + SC-200 sind Pflicht für Sentinel-SOCs und bringen bei Microsoft-Partnern ein Gehaltsplus. CySA+ (CompTIA Cybersecurity Analyst) als günstigere Alternative zu GCIH gewinnt 2026 an Relevanz im Mittelstand.
Karrierepfad
Vom Einstieg zum Top-Verdiener.
Stufe 1: Tier 1 SOC-Analyst
45.000 – 58.000 € + Schichtzulagen
1–3 Jahre
Einstieg nach Studium oder Quereinstieg aus IT-Support/Administration. 24/7-Schichtbetrieb, SIEM-Alert-Triage nach Standard-Playbooks, Erstbewertung von Phishing-Meldungen, Eskalation an Tier 2. Erste Zertifizierung: CompTIA Security+ oder BSI-Grundschutz-Praktiker.
Stufe 2: Tier 2 SOC-Analyst / Incident Responder
58.000 – 75.000 €
3–5 Jahre
Deep-Dive-Investigations, MITRE-ATT&CK-Mapping, SOAR-Playbook-Entwicklung, Incident-Lead bei Medium-Severity-Cases. Wechsel von 24/7-Schicht zu Rufbereitschafts-Modellen möglich. GCIH in Vorbereitung, erste Detection-Engineering-Aufgaben.
Stufe 3: Tier 3 SOC-Analyst / Threat Hunter
75.000 – 95.000 €
5–8 Jahre
Threat Hunting mit proaktiven Queries, Malware-Analyse (Sandbox, statisch + dynamisch), Detection Engineering (Sigma, KQL, SPL). Meist Tagdienst-Modelle. GCFA + GCFE zertifiziert, Teilnahme an Incident-Response-Retainern, Mentoring Tier-1/2-Kollegen.
Stufe 4: Senior Detection Engineer / SOC Lead
90.000 – 115.000 €
8–11 Jahre
Detection-Engineering-Lead, Sigma-Regel-Kuration für 80+ Detections, SOAR-Architektur-Entscheidungen, Team-Koordination 4–8 Analysten. CISSP oder CISM in Vorbereitung, Shift-Scheduling und Capacity Planning, CISO-Reporting.
Stufe 5: Head of SOC / SOC Manager
110.000 – 145.000 € + Bonus
11+ Jahre
Head of SOC, Team 15–50 Analysten, Budget-Verantwortung 2–8 Mio. €/Jahr, Follow-the-Sun-Modelle koordinieren, Vorstands-Reporting mit Incident-Statistiken, Retainer-Management mit IR-Dienstleistern, M&A-SOC-Integration.
Verhandlungstipp
SOC-spezifische Verhandlungstaktik in drei konkreten Szenarien: (1) Szenario 'Tier 1 zu Tier 2' (3–4 Jahre Erfahrung): Deinen Gehaltssprung rechtfertigst du mit quantifizierten SOC-Outcomes. Beispiel: 'Ich habe in den letzten 18 Monaten 2.400 Tickets bearbeitet, 34 echte Incidents eigenständig gecontained, ein SOAR-Playbook für Phishing-Containment entwickelt, das die MTTR von 48 auf 7 Minuten senkte, und drei Sigma-Regeln für unsere Splunk-Umgebung kuratiert.' Solche Zahlen öffnen Türen bei Banken oder DAX-SOCs. Fordere zusätzlich: GCIH-Prüfungs-Übernahme (ca. 1.900€ plus Vorbereitungskurs 4.500€, Gesamtwert 6.400€), ein Zertifizierungsbudget, Teilnahme an SANS-Summits (z.B. DFIR Summit Prag, Wert 3.500€ inkl. Reise), klare Schichtzulagen-Regelung im Vertrag (nicht mündlich) und einen gesicherten Pfad aus der 24/7-Schicht in Rufbereitschaft binnen 6 Monaten. (2) Szenario 'Tier 2 zu Tier 3' (5–7 Jahre): Der Sprung hängt an Threat-Hunting-Erfahrung plus GCFA oder vergleichbarem Nachweis. Quantifiziere Business Impact: Wie viele proaktive Hunt-Cases hast du erfolgreich gefahren (z.B. 12 Hunts, davon 3 mit echten TTPs-Findings)? Welche Detections hast du entwickelt (z.B. 18 Sigma-Regeln, davon 5 in MITRE-ATT&CK T1055 Process Injection)? Welche Incidents hast du als Lead gemanaged (z.B. 2 Ransomware-Intrusionen ohne Datenabfluss)? Diese Zahlen rechtfertigen ein Gehalt über dem Erstangebot plus Zielbonus. Verhandle zusätzlich: Wegfall der 24/7-Schicht (Tagdienst mit Rufbereitschaft), Home-Office-Anteil 50–70%, Research-Time 10–15% für eigene Threat-Hunting-Hypothesen, SANS-Training-Budget (GCFA 8.000€, GCFE 8.000€), Teilnahme an FIRST-Konferenz (TI-Community-Netzwerk). Banking-Wechsel-Hebel: Wer von MSSP zu Banking-Internal-SOC wechselt (Deutsche Bank, Commerzbank, Allianz), verhandelt strukturell mehr wegen DORA-Relevanz. (3) Szenario 'Tier 3 zu Detection Engineer / SOC Lead' (8–10 Jahre): Hier zählt nachweisbare Detection-Engineering-Ownership. Ein dokumentierter Detection-Content-Katalog (50+ kuratiert, in Produktiv), ein automatisierter Onboarding-Prozess für neue Log-Quellen oder ein SOAR-Orchestration-Framework sind je einen Aufschlag wert. Verhandle zum Grundgehalt: garantierter Bonus (nicht performance-abhängig), On-Call-Pauschale außerhalb Rufbereitschaft, Konferenz-Budget für Black Hat EU / SANS / FIRST, Aktienoptionen bei Tech-Scale-ups mit SOC-Produkt (RSUs über 4 Jahre). Konkrete Verhandlungs-Skripte: Beim Counter-Offer nie mit 'ich arbeite Nachtschichten' argumentieren, sondern mit 'Die 18 Sigma-Regeln, die ich im letzten Jahr in unseren Produktiv-Splunk gebracht habe, detektieren aktuell 34% unserer True-Positive-Incidents. Für vergleichbare Detection-Engineering-Ownership in einem DAX-SOC liegt der Marktpreis höher, plus Bonus. Unter 95k macht der Wechsel keinen Sinn.' Nutze gezielt Wettbewerbs-Angebote: Sobald du ein schriftliches Angebot von Arctic Wolf, Orange Cyberdefense oder T-Systems CERT hast, legt dein aktueller Arbeitgeber oft nach. Anti-Pattern: Nenne nie dein aktuelles Gehalt zuerst. Stattdessen: 'Ich prüfe aktuell Positionen für Tier-3- oder Detection-Engineer-Rollen. Wie ist euer Paket strukturiert?'
Weiterbildung
Zertifizierungs-Roadmap: Diese Weiterbildungen zahlen sich aus.
Jede Zertifizierung wirkt direkt auf dein Gehalt. Die folgende Übersicht zeigt Kosten, Dauer und Schwierigkeitsgrad.
CompTIA Security+
Der Markt-Einstieg für SOC-Analysten 2026. Deckt Security-Grundlagen ab (Network Security, Threats & Vulnerabilities, Identity Management, Cryptography). Praktisch Standard für Tier-1-Bewerbungen, oft explizit in Stellenausschreibungen genannt. Gute Vorbereitung auf SSCP oder CySA+.
CySA+ – CompTIA Cybersecurity Analyst
Die nächste Stufe nach Security+ mit SOC-Fokus: Threat & Vulnerability Management, Security Operations, Incident Response, Compliance. Günstige Alternative zu GCIH für Tier-1-zu-Tier-2-Sprung. Im deutschen Mittelstand zunehmend akzeptiert, bei Banken und MSSPs wird GCIH bevorzugt.
GCIH – GIAC Certified Incident Handler
Die SOC-Standardzertifizierung für den Tier-2-Sprung. Deckt Incident Response nach NIST SP 800-61 ab: Detection, Containment, Eradication, Recovery. SANS-Kurse sind Premium-Preis (4.500–6.000€), liefern aber Community-Netzwerk und Hands-on-Labs. Bei Banking und DAX-Konzernen faktisch Pflicht ab Tier 2.
GCFA – GIAC Certified Forensic Analyst
Die Advanced-Zertifizierung für Tier-3-Threat-Hunter. Deckt Advanced Incident Response, Memory Forensics, Timeline-Analyse und Living-off-the-Land-Detektion ab. Perfekt kombiniert mit FOR572 (Network Forensics) oder FOR578 (Cyber Threat Intelligence). Türöffner zu Banking-Threat-Hunting-Rollen.
AZ-500 + SC-200 (Microsoft Sentinel Stack)
Die Microsoft-Sentinel-Doppelkombi: AZ-500 (Azure Security Engineer) als Fundament, SC-200 (Security Operations Analyst) als SOC-Fokus. Unschlagbares Preis-Leistungs-Verhältnis für SOC-Analysten in Microsoft-365-getriebenen Umgebungen (Standard im Mittelstand). Bei Microsoft-Partnern (M&M, Arineo, Campana&Schott) faktisch Voraussetzung.
Splunk Core Certified User / Power User
Die Splunk-Zertifizierungspipeline ist Standard in Banking-SOCs (Deutsche Bank, Commerzbank, DZ Bank nutzen Splunk Enterprise Security). Die Kombination Core Certified User + Power User + Enterprise Security Certified Admin bringt im Banking-Kontext strukturell ein Premium. Splunk-Alumni-Netzwerk als Zusatzvorteil.
BSI IT-Grundschutz-Praktiker
Pflichtnachweis für KRITIS-SOCs, BSI CERT-Bund und Bundeswehr CIR. Bei Banken und öffentlichen Auftraggebern erwarteter Methodik-Nachweis. Kombiniert mit CISSP oder CISM ideal für den Sprung in KRITIS-SOC-Lead-Rollen.
CISSP – Certified Information Systems Security Professional
Der Governance-Nachweis für den Sprung von Tier 3 in SOC-Lead- oder Head-of-SOC-Rollen. 8 Domains, Pflicht ab Senior-Level bei Banken und DAX-Konzernen. Amortisiert sich vor allem bei Führungsrollen. Ideal kombiniert mit GCFA für Führungskarriere im SOC-Umfeld.
Projekt-Realität
Typische Projekte — Volumen, Dauer, Technologie.
Die Art und Größe deiner Projekte entscheidet maßgeblich über dein Gehalt. Hier typische Projektszenarien mit Volumen, Dauer und Schlüsseltechnologien.
SIEM/SOAR-Aufbau Banking-Holding (DORA-Scope)
4,2 Mio € Projektvolumen Volumen
16 Monate Dauer
Splunk Enterprise SecuritySplunk SOAR (ehemals Phantom)CrowdStrike FalconMISP (Threat Intelligence)ServiceNow ITSM
Vollständiger Neuaufbau eines DORA-konformen SOCs für eine Banking-Holding mit 14.000 MA und 8 Tochterbanken. Als SOC-Engineer im Aufbauteam: Onboarding von 280 Log-Quellen (AD, Azure, Firewalls, Proxies, Banking-Core-Systeme), Entwicklung von 145 Detection-Regeln gemappt auf MITRE ATT&CK, SOAR-Playbooks für Top-20-Incident-Typen (Phishing, Ransomware, Credential-Abuse, Insider-Threat), Integration zwischen SIEM, SOAR und BaFin-Meldesystem für automatische DORA-Incident-Notification (2h-Fristen). Besonderheit: Kombiniert mit TLPT-Red-Team-Tests zur Detection-Verifikation. CV-Wert: Premium-Referenz für Senior-Detection-Engineer-Rollen.
Microsoft Sentinel Migration DAX-40 Industrie
2,4 Mio € Budget Volumen
11 Monate Dauer
Microsoft SentinelMicrosoft Defender for EndpointMicrosoft Defender for IdentityAzure Logic Apps (Playbooks)KQL (Kusto Query Language)
Migration von Legacy-SIEM (ArcSight) zu Microsoft Sentinel für einen DAX-40-Industriekonzern mit 52.000 MA und 45 Werken weltweit. Als Tier-2-/Tier-3-Analyst: Portierung von 220 Detection-Regeln aus CEF-Syntax in KQL, Aufbau einer Workbook-Sammlung für Management-Reporting, Automatisierung von 40 Alert-Typen via Logic-Apps-Playbooks, Integration mit Defender for Endpoint für Auto-Remediation. Besonderheit: Multi-Tenant-Setup für 45 Werke mit zentraler Sentinel-Workspace-Konsolidierung. Ideal für Analysten mit 4–7 Jahren Erfahrung und Microsoft-Stack-Kenntnissen. CV-Wert: stärkt den Wechsel in Sentinel-Spezialist-Rollen.
Incident-Response-Engagement Ransomware KRITIS
1,8 Mio € Krisenbudget Volumen
4 Wochen Krisenmodus + 8 Wochen Hardening Dauer
CrowdStrike Falcon CompleteMicrosoft SentinelMandiant Threat IntelligenceVelociraptor (Forensik)KAPE (Kroll Artifact Parser)
Incident-Response-Einsatz als externer Tier-3-Analyst nach LockBit-Ransomware-Angriff bei einem KRITIS-Stadtwerk (Energie-/Wasser-Versorger) mit 2.800 MA. Phase 1 (Woche 1): Forensische Triage via Velociraptor, Identifikation des Initial-Access-Vektors (kompromittierter RDP-Zugang), Containment über Network-Isolation von 420 Endgeräten. Phase 2 (Woche 2–3): Timeline-Rekonstruktion via KAPE, Extraktion von Indicators of Compromise (IoCs), Eradication der Persistence-Mechanismen (Scheduled Tasks, Run Keys, WMI Event Subscriptions). Phase 3 (Woche 4): BSI-Meldung mit forensischem Abschlussbericht, Restore aus Offline-Backups, Empfehlungs-Katalog für Hardening. Ergebnis: Wiederinbetriebnahme nach 19 Tagen ohne Lösegeld-Zahlung. Ideal für Threat Hunter mit GCFA und 5+ Jahren IR-Erfahrung. CV-Wert: Top-Referenz für Incident-Response-Retainer-Rollen bei Mandiant oder KPMG Cyber.
Threat-Hunting-Programm-Aufbau Versicherungskonzern
680.000 € Programm-Budget Volumen
9 Monate Dauer
Splunk Enterprise SecurityJupyter NotebooksSigma-RulesetMITRE ATT&CK NavigatorATT&CK FlowOpenCTI
Aufbau eines proaktiven Threat-Hunting-Programms für einen Versicherungskonzern mit 18.000 MA. Als Tier-3-Lead: Entwicklung eines Hunt-Hypothesen-Katalogs mit 60 Hypothesen basierend auf MITRE ATT&CK und Branchenspezifischen TTPs (Kerberoasting, Living-off-the-Land-Binaries, Cloud-Credential-Theft), Programmierung von Jupyter-Notebooks zur automatisierten Daten-Exploration, Integration mit OpenCTI für CTI-Kontextualisierung. Ergebnis nach 9 Monaten: 14 True-Positive-Findings bisher unentdeckter Persistent-Access, 42 neue Sigma-Regeln in Produktiv-SIEM überführt, MTTD (Mean Time to Detect) um 58% gesenkt. Karriere-Booster für Tier-3-Analysten mit Ambitionen Richtung Detection Engineering oder Head of SOC.
24/7-MSSP-SOC-Onboarding für Mittelstand-Portfolio
3,2 Mio € Setup + 1,8 Mio €/Jahr Betrieb Volumen
14 Monate Rollout Dauer
Microsoft Sentinel (Multi-Tenant)Azure LighthouseSentinel Content HubDefender for CloudAzure Logic Apps
Onboarding von 28 Mittelstands-Kunden in einen MSSP-Multi-Tenant-Sentinel-SOC. Als Tier-2-SOC-Analyst und Detection Engineer: Standardisiertes Onboarding-Framework entwickelt (Log-Sources, Data-Connectors, Analytics-Rules), Kunden-spezifische Detections in Azure-Lighthouse-Architektur deployed, 3-Schicht-Dienstplan mit 12 Analysten koordiniert, SLA-Reporting (P1 MTTR <30 Minuten, P2 <4 Stunden, P3 <24 Stunden). Besonderheit: Kombiniert mit NIS2-Beratungsangebot für Kunden – SOC als Compliance-Baustein. Typischer Aufstiegspfad für Tier-2-Analysten bei Arctic Wolf, Orange Cyberdefense oder T-Systems CERT. CV-Wert: stärkt den Wechsel in Detection-Engineering-Rollen oder ein Banking-Internal-SOC.
Selbstständig
Freelancer-Tagessätze für SOC-Analyst.
Alternative zur Festanstellung: Als selbstständige Fachkraft kannst du deutlich mehr verdienen — tragen aber auch mehr Risiko.
Junior
400–550 €/Tag (Tier 1/2 Interim) €
/ Tag netto
Senior
600–850 €/Tag (Tier 3 / Threat Hunter) €
/ Tag netto
Lead / Experte
900–1.300 €/Tag (Detection Engineer / SOC Lead Interim) €
/ Tag netto
Typische Auslastung: 160–180 verrechenbare Tage/Jahr (ca. 72–80% Auslastung). SOC-Freelancing ist stark projektgetrieben (SIEM-Migration, Threat-Hunting-Aufbau, Detection-Engineering-Sprints).
Vorteile
- Hohe Nachfrage bei SIEM-Migrations- und Detection-Engineering-Projekten
- Keine Schichtarbeit nötig – Freelance-Mandate sind typischerweise Tagdienst mit Projektfokus
- Projektauswahl-Freiheit: Banking, Mittelstand, MSSPs, KRITIS – alle bauen 2026 SOCs aus
- Steuerliche Optimierung über UG/GmbH, besonders bei 130k+ Umsatz
- Lukrative Incident-Response-Retainer-Mandate: 1.500–2.200 €/Tag während Krisenphasen
- Internationale Mandate möglich (EU-weit), Remote-First üblich außer bei Banking-On-Premises-Engagements
Nachteile
- NDA-Komplexität: Incident-Response-Engagements erfordern strikte Verschwiegenheit
- Security-Clearance-Pflichten bei KRITIS- und Öffentlichem-Dienst-Mandaten (Ü2/Ü3, 6–18 Monate)
- Starke Konkurrenz zu spezialisierten Beratungen (KPMG Cyber, Accenture, HiSolutions)
- Keine bezahlte Krankheit/Urlaub (min. 15k€/Jahr Puffer einplanen)
- On-Call-Druck bei Incident-Response-Retainern: 24/7-Bereitschaft mit wenig Vorlauf
- Scheinselbstständigkeits-Risiko bei Dauer-SOC-Mandaten (>18 Monate)
Remote-Anteil
Remote-Work im Tech-Bereich: Was ist realistisch?
Remote-First, Hybrid oder Office-First? Der Remote-Anteil hängt stark vom Arbeitgebertyp ab — Software-Rollen sind deutlich remote-freundlicher als Infrastruktur-Rollen.
| Arbeitgebertyp | Remote-Anteil | Typisches Modell |
|---|---|---|
| Big Tech (Microsoft MSTIC, AWS Security, Google Chronicle) | 70–90% | 1–2 Präsenz-Tage/Woche |
| Bank / Versicherung (Internal SOC) | 20–50% | 3–4 Präsenz-Tage/Woche im 24/7-SOC üblich |
| MSSP / Managed Security Provider | 50–75% | 1–2 Präsenz-Tage/Woche |
| DAX-Konzern | 30–60% | 2–3 Präsenz-Tage/Woche |
| Öffentlicher Dienst (BSI CERT-Bund, Bundeswehr CIR) | 10–30% | 4–5 Präsenz-Tage/Woche |
Gehalts-Impact: Vollständig remote arbeitende SOC-Analysten akzeptieren oft etwas weniger Grundgehalt als Hybrid-Modelle. Aber Schichtzulagen gelten weiter, weil Schichten auch remote sind. Bei Big Tech ist Remote Standard und bietet tendenziell ein Premium. Banking-Internal-SOCs zahlen Präsenz-Zulagen, besonders in Frankfurt. Bei BSI und Bundeswehr sind Gehälter tarifvertraglich fix.
Karrierepfad-Alternativen
Fach- oder Führungskarriere?
Ab Senior-Level trennen sich die Wege. Beide Pfade führen zu ähnlichen Gehältern — aber mit unterschiedlichen Anforderungen und Aufgaben.
Fachkarriere
Senior Detection Engineer / Principal Threat Hunter / Incident Response Specialist
Deepdive in technische SOC-Spezialisierung: Du wirst zum Go-To-Experten für Sigma-Regel-Kuration, MITRE-ATT&CK-Mapping, Advanced Threat Hunting oder Incident Response. Keine Personalführung, dafür CVE-Research-Beiträge, Konferenz-Vorträge (SANS, FIRST, Hack.lu), Open-Source-Contributions (z.B. Sigma-Ruleset, MITRE ATT&CK Navigator). In Deutschland primär bei Banking-SOCs (DB, CB, DZ Bank), Big Tech (Microsoft MSTIC, Google Chronicle) und spezialisierten MSSPs.
Typische Anforderungen:
- GCFA + GCFE oder äquivalente Forensik-Tiefe, CISSP als Governance-Grundlage
- Minimum 20 Sigma-Regeln oder Detection-Inhalte in öffentlichem Produktiv-Einsatz (GitHub, Corelight, SigmaHQ)
- Konferenz-Vorträge auf mindestens 2 Top-Security-Konferenzen (SANS, FIRST, BSides, Hack.lu)
- Publikationen in Fachmedien oder Blog mit 10k+ monatlichen Lesern
- Netzwerk in Threat-Intelligence-Communities (MISP, OpenCTI, Trust Groups)
Führungskarriere
Head of SOC / SOC Manager / Director Cyber Defense
Personal-, Budget- und SLA-Verantwortung: Du führst ein SOC-Team von 15–50 Analysten (Head of) oder eine Gesamt-Cyber-Defense-Organisation (Director). Budget-Verantwortung 2–8 Mio. €/Jahr, Verantwortlich für SLAs (MTTD, MTTR, Detection Coverage), Shift-Scheduling, Tool-Procurement. Reporting-Linie typisch an CISO. Bei MSSPs: P&L-Verantwortung für Multi-Tenant-SOC-Portfolios.
Typische Anforderungen:
- Mindestens 3 Jahre disziplinarische Führung (8+ Security-Personen)
- Nachgewiesenes Budget-Management (>2 Mio. € SOC-Ausgaben/Jahr)
- CISSP oder CISM, bevorzugt ergänzt durch Führungs-Qualifikation (TÜV-Führungskräfte-Programm)
- Verantwortung für SOC-KPI-Reporting an CISO/Vorstand
- Experience mit Follow-the-Sun-Koordination oder multi-site-SOC-Setup
- Track-Record in SIEM-Tool-Evaluation und Vendor-Management
Was Kandidaten sagen
Echte Stimmen. Anonymisiert.
7 Quotes von Kandidaten die ADVERGY in Tech vermittelt hat — Stand 2025/2026.
„Cloud-Repatriation war bei meinem alten Arbeitgeber ein Tabu — alles musste in AWS bleiben. Über ADVERGY bin ich bei einem Mittelständler gelandet der gerade aktiv on-prem zurückbaut. Plötzlich war meine k8s-Bare-Metal-Erfahrung gefragt statt belächelt.“
„Ich war Senior-Entwickler auf dem Sprung zum Tech-Lead, aber intern blockiert. Christian hat mir drei Stellen gezeigt bei denen das Lead-Mandat von Tag eins kommuniziert war. Bei der zweiten habe ich zugesagt — 22k mehr und endlich Verantwortung für ein Team von acht Leuten.“
„Platform-Engineering wurde mein Karriere-Booster. ADVERGY hat das Profil für mich gebaut: aus Site-Reliability-Erfahrung plus interner Tooling-Arbeit wurde plötzlich ein Senior-Platform-Engineer-Lebenslauf. Drei Wochen später kamen Angebote die ich vorher nicht im Radar hatte.“
„Mein größter Fehler in alten Bewerbungsrunden: Ich habe Bullet-Points statt Impact geschrieben. ADVERGY hat mir gezeigt wie man Latenz-Reduktion in Geschäfts-Sprache übersetzt: Statt P99 von 800ms auf 200ms wurde 35 Prozent weniger Customer-Bounce. Plötzlich kamen Lead-Angebote.“
„Ich hatte ein Inhouse-Angebot mit 15k Gehaltserhöhung als Gegenangebot. ADVERGY hat mir geraten anzunehmen — aber nur als kurzfristige Brücke, weil die Firmen-Kultur strukturell limitiert war. Sechs Monate später dann der echte Wechsel mit 28k Plus statt 15k.“
„Frontend-Markt war 2024 schwierig — viele Bewerbungen, wenig Resonanz. Hannes hat das Problem identifiziert: Mein Profil war zu generisch React-Entwickler. Mit Fokus auf Design-System-Architektur wurde ich plötzlich für Senior-Stellen relevant statt Mid-Level.“
Offene Positionen
Aktuelle SOC-Analyst-Stellen.
Echte offene SOC-Analyst-Mandate, die ADVERGY aktuell besetzt — viele davon remote. Der Klick führt direkt zur vollständigen Stelle & Bewerbung bei ADVERGY.
Keine passende Stelle dabei? Profil im Talent-Pool hinterlegen — wir melden uns, sobald eine passende (oft remote) SOC-Analyst-Rolle frei wird.
Typische Verläufe
Modellfälle: So kann ein Gehaltssprung beim Wechsel aussehen.
Typischer Verlauf
52.000 €→72.000 €
Tier-1-SOC-Analyst (m, 28), 3 Jahre Erfahrung bei einem MSSP in Köln. Wechsel als Tier-2-SOC-Analyst zu einer Top-10-Bank in Frankfurt mit DORA-SOC-Ausbau-Mandat. Entscheidend waren GCIH plus ein dokumentiertes SOAR-Playbook für Phishing-Containment, das die MTTR von 48 auf 7 Minuten senkte. Neues Paket: 72.000€ Grundgehalt, 15% Zielbonus, Tarifvertrag, 30 Urlaubstage, Rufbereitschaft statt 24/7-Schicht, Schichtzulagen 12% (ca. 8.600€/Jahr), BAV-Zuschuss 6%. Gesamtvergütung Jahr 1 ca. 92.000€. Gehaltssprung Base +38%, gesamt +45%.
Typischer Verlauf
68.000 €→92.000 €
Tier-2-SOC-Analystin (w, 33), 6 Jahre Erfahrung, zuletzt bei DAX-30-Industrie-SOC. Wechsel zu Microsoft Detection and Response Team DACH als Detection Engineer. Neues Paket: 92.000€ Grundgehalt + RSU-Aktien (28.000€/Jahr über 4 Jahre Vesting) + 15% Zielbonus, 30 Urlaubstage, 100% Remote, Workation 30 Tage/Jahr, Weiterbildungsbudget 8.000€. Gesamtvergütung Jahr 1: ca. 125.000€ inkl. RSU-Vesting. Ausschlaggebend: AZ-500 + SC-200 + GCFA plus Portfolio mit 18 Sigma-Regeln in Produktiv-Splunk, GitHub-Contributions zu SigmaHQ.
Typischer Verlauf
92.000 €→125.000 €
Senior-Detection-Engineer / Tier-3-Analyst (m, 41), 11 Jahre Erfahrung. Spezialisierung: Threat Hunting, Detection Engineering bei Banking-Umgebungen. Wechsel von einer Top-5-Versicherung zu Head of SOC bei einer Banking-Holding (Top-10 DE) in Frankfurt. Neues Paket: 125.000€ Grundgehalt + 20% Zielbonus + Firmenwagen E-Klasse + 12.000€ Weiterbildungsbudget + 35 Urlaubstage + 60% Remote. Ausschlaggebend: CISSP + GCFA + zwei dokumentierte Ransomware-IR-Cases ohne Lösegeld-Zahlung + Team-Führungs-Erfahrung mit 6 Analysten. Gesamtvergütung Jahr 1: ca. 165.000€.
Verwandte Rollen
Ähnliche Tech-Berufsbilder.
Diese Tech-Profile passen thematisch zu SOC-Analyst — vergleiche Gehälter und Karrierewege.
Gehaltsvergleiche
SOC-Analyst im Gehaltsvergleich
Wie schlägt sich SOC-Analyst gegen verwandte IT-Rollen? Direkte Gehalts- und Karriere-Vergleiche.
Ratgeber
Passende Ratgeber für SOC-Analyst
FAQ
Häufig gestellte Fragen zum SOC-Analyst Gehalt.
Tier 1 vs. Tier 2 vs. Tier 3 – welche SOC-Stufe soll ich anstreben?
Das SOC-3-Tier-Modell ist der stärkste Karriere-Hebel. Tier 1 (Alert-Triage, 1–3 Jahre): Einstieg nach Studium oder Quereinstieg, 45–58k€ inkl. Schichtzulagen, 24/7-Schicht-Standard. Gute Startposition, aber körperlich belastend. Tier 2 (Incident Response, 3–5 Jahre): 58–75k€, Wechsel in Rufbereitschaft möglich, GCIH als Qualifikation. Hier beginnt der echte Karriere-Take-off. Tier 3 (Threat Hunting, Malware-Analyse, 5–8 Jahre): 75–95k€, meist Tagdienst, GCFA + GCFE zertifiziert, proaktive Detection-Arbeit. Idealer Zielpunkt für die meisten SOC-Analysten. Detection Engineer / SOC Lead (8+ Jahre): 90–115k€ mit Führungs- oder Ownership-Verantwortung. Der Sprung von Tier 1 zu Tier 3 bedeutet spürbar mehr Grundgehalt plus Wegfall der Schichtbelastung – das ist der wirkungsvollste Karriere-Invest im SOC.
Wie viel Schichtzulage bekommt ein SOC-Analyst wirklich?
Schichtzulagen sind die am häufigsten übersehene Gehaltskomponente. Zulagen nach TV-EF oder TVöD 2026 gibt es für Spätdienst, Nachtdienst, Samstag, Sonntag und Feiertage. Bei einem 3-Schicht-Modell mit 5 Nachtschichten und 3 Wochenend-Schichten pro Monat summiert sich das auf einen spürbaren Anteil des Grundgehalts. Konkretes Beispiel: Bei 60.000€ Grundgehalt kommen die Zulagen hinzu – das ist mehr als eine typische Gehaltserhöhung. Banken zahlen meist nach TV-EF (Tarifvertrag-Energie/Finanzwirtschaft) mit sehr klaren Zulagen-Regelungen. DAX-Konzerne nach TV-Stahl oder Metall-IG. MSSPs meist nach eigenen Betriebsvereinbarungen, bei Arctic Wolf und Orange Cyberdefense sind die Zulagen auf Markt-Niveau. Big Tech arbeitet im Follow-the-Sun-Modell, daher selten klassische Zulagen – kompensiert durch höhere Grundgehälter. Wichtig: Explizit im Vertrag festhalten, nicht als 'mitverdient' hinnehmen.
GCIH vs. CySA+ vs. Microsoft SC-200 – welche SOC-Zertifizierung lohnt sich?
Es kommt auf die Ziel-Umgebung an. GCIH (SANS, ca. 6.400€ inkl. Kurs): Banking- und DAX-Standard ab Tier 2. Premium-Preis, aber unschlagbare Community-Kontakte und Hands-on-Labs. CySA+ (CompTIA, ca. 1.200€): Günstigere Alternative mit ähnlicher SOC-Fokussierung. Im Mittelstand und bei kleineren MSSPs zunehmend akzeptiert. Microsoft SC-200 + AZ-500 (ca. 900€ zusammen): Unschlagbares Preis-Leistungs-Verhältnis für Sentinel-SOCs (Microsoft-365-Standard im Mittelstand). Splunk Core Certified User + Power User (ca. 1.000€): Standard in Banking-SOCs (Deutsche Bank, Commerzbank nutzen Splunk Enterprise Security). Pragmatische Empfehlung: Start mit CompTIA Security+ (Markt-Einstieg, 800€). Je nach Zielumgebung dann GCIH (Banking), Microsoft SC-200+AZ-500 (Mittelstand-Sentinel) oder Splunk-Pipeline (Banking-Splunk).
Wie realistisch ist SOC-Freelancing?
Bedingt realistisch, stärker projektgetrieben als Festanstellung. Tagessätze 2026, grobe Orientierung: Tier-1-/Tier-2-Interim 400–550 €/Tag, Tier-3-Threat-Hunter 600–850 €/Tag, Detection Engineer 900–1.300 €/Tag, Incident-Response-Retainer-Mandate während Krise 1.500–2.200 €/Tag. Aufs Jahr gerechnet liegt der Umsatz spürbar über einem vergleichbaren Festgehalt; Urlaub, Krankheit und Altersvorsorge trägst du allerdings selbst. Typische Mandate: SIEM-Migrationen (Splunk zu Sentinel), Threat-Hunting-Programm-Aufbau, Detection-Engineering-Sprints, Incident-Response-Einsätze nach Ransomware. Risiken: NDA-Komplexität, Clearance-Pflicht bei KRITIS (6–18 Monate), 24/7-Bereitschaft bei IR-Retainern, Scheinselbstständigkeit bei Dauer-SOC-Mandaten. Ideal für den Sprung: Tier 3 mit GCFA, 7+ Jahre Erfahrung, 2–3 Stammkunden aus der Festanstellung. Nicht empfehlenswert für Tier-1-/Tier-2-Analysten mit weniger als 5 Jahren Erfahrung.
SOC-Analyst Gehalt netto – was bleibt übrig?
Bei einem Bruttojahresgehalt von 65.000€ (Median) bleibt einem ledigen Tier-2-SOC-Analysten in Steuerklasse 1 ca. 40.000–41.500€ netto pro Jahr (ca. 3.350–3.460€/Monat). In Steuerklasse 3 (verheiratet) sind es ca. 44.500–46.000€ netto. Plus Schichtzulagen: Bei 3-Schicht-Modell kommen zusätzlich Schichtzulagen dazu (Schichtzulagen sind teils steuerfrei nach §3b EStG). Bei 105.000€ Brutto (Top-Wert, Tier 3 / SOC Lead) liegt der Netto-Betrag bei 58.000–60.000€ (Steuerklasse 1). Hinzu kommen oft: Weiterbildungsbudget, BAV bei Banken/DAX, On-Call-Pauschale bei Rufbereitschaft, Firmenlaptop mit Home-Office-Ausstattung. In Summe liegt das effektive Nettoeinkommen bei vielen Tier-2-/Tier-3-Analysten spürbar über dem reinen Gehaltsnetto.
Was verdient ein SOC-Analyst mit 5 Jahren Erfahrung?
Mit 5 Jahren SOC-Erfahrung bist du meist an der Schwelle Tier 2 zu Tier 3. Realistische Bandbreite 2026: Bei einem MSSP ohne Zertifizierungen 58–68.000€ als Tier 2. Bei einem DAX-Industriekonzern mit GCIH 68–78.000€. Bei einer Bank oder Versicherung mit GCIH + erster Detection-Engineering-Erfahrung 75–88.000€. Bei Big Tech (Microsoft MSTIC, Google Chronicle) als Detection Engineer 85–100.000€. Spezialisierungs-Aufschläge: Microsoft-Sentinel-Expertise mit AZ-500 + SC-200, Splunk-Core-Certified-Admin, Threat-Hunting-Portfolio mit 10+ Sigma-Regeln in Produktiv-Einsatz. Tipp: Mit 5 Jahren ist der ideale Zeitpunkt für den Banking-Wechsel (DORA-SOC-Aufbau sucht genau diese Seniority) oder den Sprung zu Microsoft-365-Detection-Engineering. Der wichtigste Karriere-Entscheid in diesem Zeitraum: Bleibe ich in Schichtarbeit (mehr Gehalt durch Zulagen) oder wechsle ich in Tagdienst-Rollen (Detection Engineering, Threat Hunting, SOC Lead)? Die meisten langfristig erfolgreichen SOC-Profile wählen ab Jahr 5 den Tagdienst-Pfad.
Kostenloser Gehaltscheck
Persönliche Gehaltseinschätzung — kostenlos & unverbindlich.
Unsere IT-Berater melden sich mit deinem exakten Marktwert als SOC-Analyst, einem anonymen Peer-Vergleich und einer ehrlichen Einschätzung zum Wechselpotenzial.
- Individuelle Gehaltsspanne für SOC-Analyst
- Anonymer Peer-Vergleich (Perzentile)
- Wechselpotenzial & Top-Arbeitgeber
Deine Daten bleiben bei der ADVERGY GmbH
Danke für deine Anfrage!
Unsere IT-Recruiting-Experten melden sich bei dir mit deinem exakten Marktwert, Peer-Vergleich und Wechselpotenzial.
Vertraulich · Keine Weitergabe
Transparenz
Quellen & Methodik.
Die Gehaltszahlen stammen aus amtlicher Statistik, abgeglichen mit der Vermittlungspraxis der ADVERGY GmbH. Mehr zu unserer Methodik
- Bundesagentur für Arbeit – Entgeltatlas – Medianentgelte der einschlägigen Berufsgruppe nach Anforderungsniveau und Region – Primärquelle der Gehaltszahlen (Bundesagentur für Arbeit – Entgeltatlas)
- Statistisches Bundesamt – Verdienststrukturerhebung – Verdienste nach Wirtschaftszweig und Betriebsgröße (Statistisches Bundesamt – Verdienststrukturerhebung)
- ADVERGY Vermittlungspraxis – Qualitativer Marktabgleich aus der Vermittlungspraxis (SOC- und Incident-Response) – keine statistische Datenbasis