Ich habe Zertifikate. ISC2 Certified in Cybersecurity. CSI Linux Certified Investigator. Information Security Officer nach ISO 27001 und BSI IT-Grundschutz. Einige haben mir geholfen, Konzepte zu ordnen. Andere haben mir vor allem geholfen, eine Stelle zu bekommen.
Keines davon ist eine Arbeitsprobe. Auf dem Zertifikat steht nicht, wie ich in einer unbekannten Umgebung Evidenz trenne, Unsicherheit benenne oder eine falsche Hypothese aufgebe.
Ein Zertifikat ordnet Wissen
Für Grundlagen, gemeinsame Begriffe und einen strukturierten Lernweg kann eine Zertifizierung nützlich sein. Sie beantwortet nur eine engere Frage als viele Stellenanzeigen unterstellen. Jemand hat einen definierten Stoff zu einem bestimmten Zeitpunkt erfolgreich bearbeitet.
Die Interviewstudie von Maxam und Davis zeigt dieselbe Grenze. Sechs der elf befragten Threat Hunter vertrauten Zertifizierungen nicht als ausreichendem Maß für Expertise. Das ist eine kleine qualitative Stichprobe, keine allgemeine Quote für die Branche.
Eine Arbeitsprobe zeigt Entscheidungen
Für eine Threat-Hunting-Rolle würde ich zusätzlich eine kleine, zeitlich begrenzte Arbeitsprobe verwenden. Ein vorbereiteter Datensatz enthält normale Aktivität, eine relevante Abweichung und bewusst unvollständigen Kontext. Die Aufgabe ist nicht, in kurzer Zeit einen spektakulären Angriff zu finden.
Interessant ist der Weg. Welche Frage stellt die Person zuerst? Welche Evidenz trennt sie von Vermutungen? Welche Daten fehlen? Wann verwirft sie eine Spur? Und hinterlässt sie eine Analyse, die ein zweiter Mensch prüfen kann?
Damit wird Expertise nicht vollständig objektiv. Die Beobachtung liegt aber näher an der späteren Arbeit als eine weitere Liste von Abkürzungen.
Freizeit ist kein fairer Ersatzindikator
Einige Befragte der Studie nannten Beschäftigung mit dem Thema außerhalb der Arbeitszeit als Hinweis auf Motivation. Als Recruiting-Metrik halte ich das für problematisch. Verfügbare Freizeit hängt auch von Sorgearbeit, Gesundheit, Geld und Lebensphase ab.
Ein Team, das Kompetenz nur dort erkennt, wo Menschen unbezahlte Stunden investieren, misst deshalb nicht nur Neugier. Es misst Privilegien und lädt Überlastung in sein Entwicklungsmodell ein.
Motivation lässt sich im Arbeitskontext besser beobachten. Nimmt jemand Feedback auf? Dokumentiert die Person ihre Entscheidungen? Verfolgt sie eine offene Frage und teilt das Ergebnis mit dem Team?
Begleitete Arbeit entwickelt Können
Die Studie nennt ein Apprentice-Modell. Erfahrene Hunter begleiten Jüngere in Missionen, beobachten ihre Entscheidungen und geben Rückmeldung am realen Fall. Ich kenne aus der eigenen Arbeit denselben Unterschied zwischen einem Kurs und einer gemeinsam geprüften Untersuchung.
Eine Arbeitsprobe hilft bei der Auswahl. Begleitete Praxis, Review und Nachbesprechung bauen die Fähigkeit danach weiter auf. Zertifikate können diesen Weg ergänzen. Sie sollten ihn nicht ersetzen.
Kurz gesagt
Ein Zertifikat belegt einen Lernschritt. Eine Arbeitsprobe zeigt Entscheidungen unter unvollständigem Kontext. Begleitete Praxis zeigt, ob aus Feedback besseres Handeln wird. Für Expertise brauche ich alle drei Aussagen getrennt.
Gregor Lyttek ist Security Architect & AI Strategist und Threat Hunter im Versicherungsumfeld.