Threat Hunter besetzen: Profil & Strategie für CISO/SOC
6
Morten Laufer
Gründer
Threat Hunting ist proaktive Suche nach Angreifern, die bestehende Detection umgangen haben — das verlangt Hypothesenbildung, Telemetrie-Tiefe und Angreiferdenken, nicht Alarmbearbeitung wie im SOC Tier 1. Der Kandidatenpool ist entsprechend klein. Nova Search ist eine gründergeführte Tech-Personalberatung mit Cybersecurity als Kernnische und über 1.500 vorqualifizierten Security-Profilen.
Threat Hunting ist proaktiv: Tier-3-Analysten suchen aktiv nach Bedrohungen wie den 22 in Deutschland aktiven APT-Gruppen.
Cybersecurity ist ein Engpassberuf: bundesweit sind 149.000 Stellen für IT-Expert:innen unbesetzt, IT-Positionen bleiben im Schnitt 7,7 Monate vakant.
Nova Search besetzt Threat-Hunting- und SOC-Rollen aus über 1.500 Security-Profilen — Shortlist in 5 Werktagen.
KI Dieser Artikel wurde mit Hilfe von KI erstellt.
Was bedeutet Threat Hunting im modernen SOC?
In vielen Unternehmen arbeitet die IT-Sicherheit überwiegend reaktiv: SIEM-Systeme schlagen Alarm, sobald ein bekannter Schadcode oder ein regelbasierter Schwellenwert überschritten wird. Doch moderne Cyberangriffe laufen längst unter dem Radar klassischer Signaturerkennung ab. Hier kommt Threat Hunting ins Spiel. Während das Security Operations Center (SOC) als zentrales Nervensystem der IT-Infrastruktur eingehende Warnmeldungen bewertet und abarbeitet, geht der Threat Hunter aktiv auf die Suche nach noch unentdeckten Bedrohungen. Es handelt sich um ein hypothesengeleitetes, proaktives Aufspüren von Anomalien, die sich bereits tief im Netzwerk festgesetzt haben.
Klar abzugrenzen ist diese Rolle von Aufgaben aus dem Bereich Governance, Risk & Compliance. Ein GRC Manager definiert Richtlinien, prüft Vorgaben nach Normen wie ISO 27001 oder NIS2 und bewertet organisatorische Risiken. Threat Hunter hingegen arbeiten rein operativ an der technischen Frontlinie. Sie analysieren Netzwerkströme, Logs und Endpunkte auf verdeckte Bewegungen von Angreifern, um schwere Sicherheitsvorfälle zu verhindern, bevor der Schaden entsteht.
Abgrenzung der Rollen im Security Operations Center
SOC Analyst (Tier 1 & Tier 2): Triagiert automatisierte Alarme, analysiert bekannte Malware-Muster und arbeitet standardisierte Incident-Response-Tickets ab.
Threat Hunter (Tier 3): Entwickelt eigene Hypothesen über unentdeckte Angriffswege, führt TTP-Analysen (Tactics, Techniques, Procedures) durch und spürt verdeckte Angreifer auf.
GRC Spezialist:in: Steuert Regelwerke, Auditierungen und Compliance-Vorgaben auf strategischer und organisatorischer Ebene.
Bedrohungsakteure und das Profil: Warum das kein Einsteigerprogramm ist
Im Cyber-Recruiting taucht immer wieder die Frage auf, ob Threat Hunting ein Einsteigerprogramm für juniorige IT-Talente sein kann. Die eindeutige Antwort lautet: Nein. Threat Hunting erfordert fundierte praktische Erfahrung aus dem SOC-Betrieb, tiefe Kenntnisse der Systemarchitektur und ein exzellentes Verständnis fortschrittlicher Angriffstechniken. Wer nach verdeckten Spuren sucht, muss wie ein Angreifer denken und die feinen Abweichungen im normalen Systemverhalten sofort erkennen können.
Die Gegner, mit denen es Threat Hunter zu tun haben, sind keine einfachen Script Kiddies oder automatisierte Botnetze. Im Fokus stehen hochentwickelte Bedrohungsakteure, sogenannte Advanced Persistent Threats (APTs). Laut dem BSI-Lagebericht zur IT-Sicherheit hat das BSI im Berichtszeitraum 22 aktive APT-Gruppen erfasst, die gezielt Behörden, kritische Infrastrukturen und Unternehmen angreifen. Diese staatlich gestützten oder hochprofessionellen kriminellen Gruppen nutzen maßgeschneiderte Exploits, verbleiben oft monatelang unbemerkt in den Systemen und bewegen sich seitwärts (Lateral Movement), ohne dass klassische Virenscanner anschlagen.
Schlüsselqualifikationen für erfahrene Threat Hunter
Mehrjährige Erfahrung im SOC-Umfeld auf Tier-2- oder Tier-3-Niveau sowie tiefes Verständnis von MITRE ATT&CK Frameworks.
Fundierte Kenntnisse in Reverse Engineering, Speicherforensik (Memory Analysis) und Log-Analyse über SIEM- und EDR-Systeme.
Fähigkeit zur Entwicklung eigener Erkennungsregeln (z. B. YARA, Sigma) und Automatisierungsskripte (Python, PowerShell).
Analytisches Denkvermögen zur Formulierung präziser Bedrohungshypothesen auf Basis von Threat Intelligence Data.
Der Engpassberuf: Rekrutierung im hart umkämpften Cybersecurity-Markt
Qualifizierte Cybersecurity-Fachkräfte zu finden, gehört aktuell zu den größten Herausforderungen für Führungskräfte in der DACH-Region. IT-Sicherheit zählt in Deutschland zu den ausgeprägtesten Engpassberufen überhaupt. Der Digitalverband Bitkom meldet bundesweit 149.000 unbesetzte Stellen für IT-Expert:innen (nach 137.000 im Vorjahr), wobei vakante IT-Positionen im Durchschnitt 7,7 Monate unbesetzt bleiben.
Speziell in der Informationssicherheit ist die Lage akut. Laut der ISC2 Cybersecurity Workforce Study geben 62 Prozent der deutschen Cybersicherheitsfachleute an, dass ihre Organisation von Personalengpässen im Bereich Cybersicherheit betroffen ist. Klassische Stellenanzeigen oder passive Sourcing-Kanal-Methoden führen bei Tier-3-Rollen wie dem Threat Hunter nahezu nie zum Erfolg. Hochspezialisierte Expert:innen sind meist fest angestellt, nicht aktiv auf Jobsuche und reagieren nur auf hochgradig relevante, fachlich fundierte Ansprachen auf Augenhöhe.
Warum herkömmliches Recruiting bei Tier-3-Cybersecurity-Rollen scheitert
Fehlendes Fachwissen externer Personalberater: Generische Recruiter erkennen den Unterschied zwischen einem SOC Analysten und einem echten Threat Hunter oft nicht.
Lange Vakanzzeiten: Monatelange Leerstände im SOC erhöhen das Cyber-Risiko für das gesamte Unternehmen dramatisch.
Hohe Ablehnungsquote bei passiven Kandidaten: Top-Talente filtern belanglose InMail-Anfragen ohne konkreten Bezug zu Tech-Stack und Kultur sofort aus.
Fehlende Marktreichweite im Cybersecurity Recruiting: Ohne vorgeprüfte Netzwerke dauert die Erstansprache Wochen statt Tage.
Vom Fund zur Lösung: Incident Response Plan und schnelle Besetzung
Wenn ein Threat Hunter eine unentdeckte Bedrohung oder eine verdeckte Anomalie im Netzwerk freilegt, greift umgehend der Incident Response Plan des Unternehmens. Dieser definiert strukturierte Schritte zur Eindämmung (Containment), Eradizierung und Wiederherstellung der betroffenen Systeme. Das Zusammenspiel aus proaktiver Suche und schneller Reaktion entscheidet darüber, ob ein Vorfall eine reine Notiz im Logbuch bleibt oder sich zu einer existenzbedrohenden Krise auswächst.
Wenn in deinem Security Operations Center genau diese Tier-3-Schlüsselrolle fehlt, entstehen gefährliche blinde Flecken. Hier kommt Nova Search ins Spiel. Als spezialisierte Tech-Personalberatung für die DACH-Region verstehen wir die feinen Nuancen zwischen SOC, Incident Response, Pentesting und Threat Hunting. Unter der fachlichen Leitung von Strahinja Karanovic, der bereits mehr als 25 komplexe Security-Positionen erfolgreich besetzt hat, greifen wir auf eine Datenbank von über 1.500 vorqualifizierten Cybersecurity-Profilen zurück.
Über unseren Service Festanstellung (Permanent Recruitment) sowie flexibel einsetzbare Freelancer & Vertragsbesetzungen eliminieren wir das zeitintensive Lebenslauf-Rauschen. Wir führen ein zweistufiges Screening durch, das aus einer technischen Tiefenprüfung und einem Culture-Interview besteht. So liegen die ersten qualifizierten Profile auf deinem Tisch in 5 Arbeitstagen – 5 Tage statt 5 Monate. Und mit unserer 90-Tage-Garantie tragen wir das Risiko bei der Festanstellung. Wie nachhaltig diese spezialisierte Ansprache funktioniert, zeigt auch unsere avodaq Case Study, in der eine anspruchsvolle Führungsposition trotz scharfem Fachkräftemangel punktgenau besetzt wurde.
Dein Weg zur schnellen Besetzung von Threat-Hunter-Vakanzen
Anforderungsprofil schärfen: Klare Abgrenzung von Tier-1/2-SOC und Vorbereitung der Suchstrategie.
Zweistufiges Experten-Screening: Technische Tiefenprüfung und Passung zum Tech-Stack.
Erste Shortlist in 5 Werktagen: Geprüfte Kandidat:innen ohne unnötigen administrativen Aufwand.
90-Tage-Garantie: Vollständige Absicherung deiner Einstellungsentscheidung.
Weiterlesen
Sources
FAQ
Was bedeutet Threat Hunting?
Threat Hunting ist die proaktive Suche nach Cyberbedrohungen, die traditionelle Sicherheitssysteme (wie Firewalls oder Antivirus) umgangen haben. Im Gegensatz zur reaktiven Bearbeitung von Alarmen suchen Threat Hunter gezielt nach Indikatoren für versteckte Angreifer im Netzwerk.
Ist Threat Hunter ein Einsteigerprogramm?
Nein, Threat Hunter sind hochspezialisierte Tier-3-Analysten innerhalb eines Security Operations Centers (SOC). Sie benötigen tiefgehendes Wissen in Forensik, Netzwerkarchitektur und Threat Intelligence, das in Einstiegsrollen (Tier 1) noch nicht vorausgesetzt wird.
Was ist ein Beispiel für einen Bedrohungsakteur?
Bedrohungsakteure (Threat Actors) sind Gruppen oder Individuen, die Cyberangriffe durchführen. Ein prominentes Beispiel sind staatlich unterstützte APT-Gruppen (Advanced Persistent Threats): allein in Deutschland waren im letzten Berichtszeitraum 22 verschiedene APT-Gruppen aktiv.
Was ist ein Beispiel für einen SOC?
Ein SOC (Security Operations Center) kann intern betrieben oder als Managed Service eingekauft werden. Die Analysten überwachen rund um die Uhr die IT-Infrastruktur. Ein Threat Hunter bildet darin meist die höchste Eskalationsstufe für komplexe Vorfälle.
Was ist ein Beispiel für GRC?
GRC steht für Governance, Risk & Compliance. Ein typisches Beispiel ist die Umsetzung der NIS2-Richtlinie oder der DORA-Verordnung in der Finanzbranche. GRC-Teams schaffen die regulatorischen Rahmenbedingungen, während das SOC operativ die Sicherheit gewährleistet.
Was ist ein Engpassberuf?
Ein Engpassberuf liegt vor, wenn die Nachfrage nach Fachkräften das Angebot auf dem Arbeitsmarkt drastisch übersteigt. Cybersecurity ist ein klares Beispiel: In Deutschland sind 149.000 Stellen für IT-Expert:innen unbesetzt, und offene IT-Positionen bleiben im Schnitt 7,7 Monate vakant.
Was ist ein Incident Response Plan?
Ein Incident Response Plan ist ein strukturierter Handlungsleitfaden, der definiert, was passiert, wenn ein Threat Hunter einen Sicherheitsvorfall bestätigt. Er regelt die sofortige Eindämmung, Analyse, Behebung und die anschließende Wiederherstellung der kompromittierten Systeme.
