Habe einen B.Sc in Informatik an einer no Name FH mit ganz guten Noten angeschlossen und mich für eine Stelle bei KPMG "Cyber Security" beworben.

• Kann jmd vom Alltag berichten?
• Welche Fragen kommen im Vorstellungsgespräch?

Habe keine relevanten Praktika etc. in diesem Bereich, bin jedoch sehr interessiert.

• Ist die Thematik auch im Berufsalltag interessant?
• Wie ist die Lernkurve?
• Wie mögliche Exits, wenn Familienplanung ansteht?

grüße

antworten

Hast du denn überhaupt schon praktische Erfahrungen gesammelt?

Kenne den Bereich nicht direkt, aber bin bei KPMG im IT Consulting.
Du Leute da wirken sehr zufrieden, Projekte gibt es ausreichend.
Lernkurve kann ich nicht beurteilen, genau so wenig die Exit Möglichkeiten, aber stressig wirkt der Job von den Kollegen nicht.

antworten

Als ob Consulting bei den BIG4 stressfrei wäre..

Consulting bei Big4 heißt reisen und hohe Arbeitszeiten..

WiWi Gast schrieb am 14.05.2019:

Hast du denn überhaupt schon praktische Erfahrungen gesammelt?

Kenne den Bereich nicht direkt, aber bin bei KPMG im IT Consulting.
Du Leute da wirken sehr zufrieden, Projekte gibt es ausreichend.
Lernkurve kann ich nicht beurteilen, genau so wenig die Exit Möglichkeiten, aber stressig wirkt der Job von den Kollegen nicht.

antworten

TE hier: Wie sehen die Arbeitszeiten aus?
Stimmt es, dass 50-60h normal sind?

WiWi Gast schrieb am 14.05.2019:

Hast du denn überhaupt schon praktische Erfahrungen gesammelt?

Kenne den Bereich nicht direkt, aber bin bei KPMG im IT Consulting.
Du Leute da wirken sehr zufrieden, Projekte gibt es ausreichend.
Lernkurve kann ich nicht beurteilen, genau so wenig die Exit Möglichkeiten, aber stressig wirkt der Job von den Kollegen nicht.

antworten

Ich habe bei KPMG im Cyber Security Consulting gearbeitet.

Falls der Threadersteller sich hier noch rumtreibt kann ich gerne etwas dazu schreiben. Ohne Lebenszeichen mache ich mir die Mühe allerdings nicht. Hab' hier im Forum schon viel zu oft erlebt, dass Threadersteller nie wieder auftauchen nachdem man sich hier 'nen Wolf getippt hat.

antworten

TE hier:
Ist immernoch aktuell :)

WiWi Gast schrieb am 16.05.2019:

Ich habe bei KPMG im Cyber Security Consulting gearbeitet.

Falls der Threadersteller sich hier noch rumtreibt kann ich gerne etwas dazu schreiben. Ohne Lebenszeichen mache ich mir die Mühe allerdings nicht. Hab' hier im Forum schon viel zu oft erlebt, dass Threadersteller nie wieder auftauchen nachdem man sich hier 'nen Wolf getippt hat.

antworten

Hier wieder der ehemalige KPMGler.
Dann will ich mal versuchen deine Fragen zu beantworten.

Kann jmd vom Alltag berichten?

Im Alltag bist du in der Regel auf Projekten eingesetzt, es sei denn es ist gerade Auftragsflaute oder man kann dich nirgendwo unterbringen. Du wirst daher meistens beim Kunden vor Ort sein. Hier greift die berühmte 5-4-3 Regel. 5 Tage für den Kunden tätig, 4 Tage vor Ort, 3 Nächte im Hotel. Freitags ist man entweder im Home Office oder (was gerne gesehen wird) in der Niederlassung, um nicht den Kontakt zu den Kollegen zu verlieren. Je nach Standort ist der Umgang untereinander im Office unterschiedlich. In Frankfurt geht es etwas förmlicher zu. In Köln und Essen sind die Kollegen deutlich lockerer drauf. Sind halt zum größten Teil Informatiker u. Wirtschaftsinformatiker.

Was genau du beim Kunden vor Ort tust hängt sehr stark vom Projekt ab. Manche Projekte haben selbst im Cyber Security eine enorme Flughöhe. Das heißt, dass man eher weniger tief in die Technik einsteigt und sich stattdessen mit Prozessgestaltung und Richtlinien beschäftigt. Es gibt allerdings auch sehr technische Projekte wie z.B. Penetration Testing, Systemhärtung, Aufbau eines Vulnerability Management, Einbindung von SIEM Systemen usw.

Welche Fragen kommen im Vorstellungsgespräch?

Die fachlichen Fragen sind einigermaßen oberflächlich. Normalerweise sitzen dir im Gespräch ein Partner oder Senior Manager und Jemand mit mehr Praxisnähe wie z.B. ein Assistant Manager oder Junior Manager gegenüber. Da wird nicht wirklich tief eingestiegen. Case Studies gab es nie und auch keine Brain Teaser. Denke nicht, dass sich das geändert hat. Es wird aber eventuell eine Situation aus dem Cyber Security Alltag skizziert und du sollst beschreiben wie du vorgehen würdest. Ansonsten wird auch ein bisschen der Personal Fit abgeklopft. Man versucht sich ein Bild von dir zu machen und ob du ins Team passen könntest.

Habe keine relevanten Praktika etc. in diesem Bereich, bin jedoch sehr interessiert.

Hatte ich auch nicht. Ist bei uns Informatikern auch ziemlich unwichtig.

Ist die Thematik auch im Berufsalltag interessant?

Das hängt (s.o.) sehr stark vom Projekt ab. Ich würde sagen ich hatte gut 60% interessante Themen und 40% Themen die man halt abarbeitet. Das gute am Projektgeschäft ist allerdings, dass man nie endlos an einem Thema festhängt. Ein neues Projekt kommt immer.

Wie ist die Lernkurve?

Das kommt natürlich auf deine Vorkenntnisse an und den Bereich auf den du dich spezialisieren willst. Generell solltest du dich allerdings darauf einstellen, dass du gerade in den ersten 12 - 24 Monaten viel Neues lernen wirst. Das bezieht sich nicht nur auf fachliche Themen sondern vor allem auch auf den Umgang mit (schwierigen) Kunden, Kollegen, deinem persönlichen Zeitmanagement und ganz allgemeinen Problemen / Gegebenheiten der Arbeitswelt. Das Studium bereitet einen darauf nicht wirklich vor. Das macht aber auch nichts. Niemand erwartet Weltwunder von einem Berufsanfänger. Du wirst da schon im richtigen Tempo rangeführt.

Wie mögliche Exits, wenn Familienplanung ansteht?

Hier gibt es keine Pauschalantwort. Die Big4 haben immer noch einen sehr guten Ruf bei vielen Unternehmen. Den Namen KPMG im Lebenslauf zu haben ist immer noch einiges Wert. Wenn man einige Jahre in der Beratung gearbeitet hat zeugt das meistens auch von Belastbarkeit und einer gewissen Garantie Ergebnisse in engen Zeitfenstern erzeugen zu können. Je nach Spezialisierung und Themenfeld in dem du eingesetzt wirst gibt es unterschiedliche Möglichkeiten des Exits. Darüber solltest du dir aber gerade zum Einstieg die wenigsten Gedanken machen. Ich kann dir nur so viel sagen, mein Exit hat sich finanziell sehr gelohnt und ich arbeite deutlich weniger Stunden.

Stimmt es, dass 50-60h normal sind?

Nein, das stimmt für Cyber Security in der Regel nicht. Rechne mal eher mit 40 - 50 Stunden inkl. Reisezeit. Wenn es zur Crunch Zeiten auf Projekten kommt knackt man auch schon Mal die 60 Stunden, aber das ist eher selten der Fall. Man hört immer wieder, dass Leute bei den Big4 dazu genötigt würden weniger Stunden aufzuschreiben als Sie tatsächlich gearbeitet haben. Diese Gerüchte habe ich vor allem auf internen Schulungen von anderen Bereichen gehört. Im Cyber Security Consulting ist mir das nicht untergekommen. Es gibt einen Betriebsrat der die Einhaltung des Arbeitszeitgesetzes überwacht. Deine Zeit muss im SAP System erfasst werden und wenn die gesetzlichen Grenzen überschritten werden muss das genehmigt und begründet werden.

antworten

TE hier: Vielen Dank für die ausführliche Antwort. Hat mir sehr geholfen!
Falls Sie mich nach einer Gehaltsvorstellung fragen, sind 50k all-in zu hoch gegriffen?

Sind die Projekte teils um FFM herum, oder ist das Flugzeug das Hauptverkehrsmittel?

Grüße

antworten

WiWi Gast schrieb am 16.05.2019:

TE hier: Vielen Dank für die ausführliche Antwort. Hat mir sehr geholfen!
Falls Sie mich nach einer Gehaltsvorstellung fragen, sind 50k all-in zu hoch gegriffen?

Sind die Projekte teils um FFM herum, oder ist das Flugzeug das Hauptverkehrsmittel?

Grüße

Als ich noch dort gearbeitet habe gab es den Großteil der Projekte in Süddeutschland. Wenn du im Frankfurter Office anfängst kann es daher sein, dass die Kunden auch mit dem Auto oder Zug erreichbar sind. Generell soll immer das günstigste Verkehrsmittel genutzt werden.

Gehaltsmäßig kannst du es ruhig mal mit 50k all/in versuchen, solltest dir aber bewusst sein dass das Fixgehalt vermutlich eher bei 43-44k liegen wird. Es gibt interne Gehaltsbänder und man hat da meist nur wenig Spielraum. Wegen 1-2k Jahresgehalt lohnt es sich imho auch nicht mit harten Bandagen zu verhandeln, zumal als Berufsanfänger.

antworten

Hier mal jemand anderes:

• Wie läuft das den im allgemeinen ab in Bezug auf die Spezialisierung?
• Wenn ich mich z.B. als Junior-Consultant für Cyber-Sec bewerbe. Habe ich dann eine Wahl worin ich mich spezialisieren möchte?
• Und wie tief geht das Pentesting? Lässt man dort nur Stumpf ein paar Programme drüberhuschen, oder wird richtig tiefgehend und individuell getestet?

Ich bin an einem Einstieg in dem Bereich interessiert, habe aber keine Lust dann die ganze Zeit nur irgendwelche Schaubilder zu basteln.

antworten

Hier noch mal der ehemalige KPMGler.

• Wie läuft das den im allgemeinen ab in Bezug auf die Spezialisierung?
• Wenn ich mich z.B. als Junior-Consultant für Cyber-Sec bewerbe. Habe ich dann eine Wahl worin ich mich spezialisieren möchte?

Ich fasse die beiden Frage mal zusammen, da Sie auf die gleiche Antwort hinaus laufen. Die Spezialisierung hast du nur bedingt in der Hand. Gerade am Anfang wirst du recht willkürlich auf Projekte gestaffed. Du kannst ja im Grunde auch noch nichts und man will erstmal schauen, dass du was zu tun hast und dich einarbeitest. Wenn du Glück hast landest du in kurzer Zeit auf mehreren Projekten mit unterschiedlichen Themen und kannst dir einen Überblick verschaffen. Wenn du Pech hast landest du nach dem ersten Projekt immer wieder auf Projekten mit dem gleichen Thema, weil du ja jetzt "Experte" bist.

Steuern kann man das ein wenig über die Mitarbeitergespräche, die mindestens einmal im Jahr stattfinden. Hinzu kommt, dass die Manager im Bereich Cyber Security relativ zugängliche Menschen sind. Wenn du dich in Richtung XY spezialisieren willst, werden die dir in der Regel helfen. Sei es in Form von Schulungen oder beim Thema Staffing auf Projekte.

Letztendlich muss aber auch KPMG nehmen was an Projekten da ist. Und wenn gerade kein Projekt in deinem gewünschten Themenfeld ansteht oder es bereits voll gestaffed ist, dann hast du leider das nachsehen.

• Und wie tief geht das Pentesting? Lässt man dort nur Stumpf ein paar Programme drüberhuschen, oder wird richtig tiefgehend und individuell getestet?

Das kommt darauf an was der Kunde möchte. Wir haben Pentests gemacht die relativ oberflächlich waren, wir haben aber auch Pentests durchgeführt bei denen außer dem Geschäftsführer Niemand wusste dass wir kommen und man sehen wollte wie weit wir eindringen können.

Du musst es allerdings auch aus Kundensicht betrachten. Wer will schon, dass seine Produktivsysteme von irgendwelchen Nerds lahmgelegt werden, nur um zu beweisen dass es geht? In der Regel setzt der Kunde dir die Grenzen und beim Ausnutzen von Exploits wird es dann meistens recht haarig. Wenn du beim Pentesten für Umsatzausfall sorgst, ist dir der Geschäftsführer schneller mit dem nackten Arsch ins Gesicht gesprungen als du gucken kannst.

Ich bin an einem Einstieg in dem Bereich interessiert, habe aber keine Lust dann die ganze Zeit nur irgendwelche Schaubilder zu basteln.

Die verschiedenen Niederlassungen haben teils verschiedene Schwerpunkte. Ich bin schon eine Weile raus, aber zu meiner Zeit war Essen der Standort für die Pentester.

Ich will aber auch nicht verschweigen, dass einige Kollegen als Kündigungsgrund angegeben haben, dass man nicht tief genug in die Materie einsteigen durfte ("Schaubilder basteln"). Das hängt stark von den Projekten ab die gerade verfügbar sind und auf die du gestaffed wirst. Ich hatte da mehr Glück als mancher Kollege.

antworten

Ich will mal auch den KPMGler fragen :)

Du bist nicht mehr dort. Was waren deine Beweggründe? Reizt dich das Thema nicht mehr, oder findest du, dass es bessere Unternehmen gibt, wo man bezüglich Cyber Security einsteigen sollte?

Was war denn deiner Meinung nach die beste Spezialisierung im Bereich Cyber Security, was du quasi so von den Kunden als Rückmeldung bekommen hast? SIEM? PenTest?

Achja, welche Monitoring Tools sind denn quasi die beliebtesten, am meisten verbreitet bei den Kunden? Ich nehme an ELK oder Splunk?

Vielen Dank!

antworten

Du bist nicht mehr dort. Was waren deine Beweggründe? Reizt dich das Thema nicht mehr, oder findest du, dass es bessere Unternehmen gibt, wo man bezüglich Cyber Security einsteigen sollte?

Mir hing' ehrlich gesagt das viele Reisen zum Hals heraus. Vier Tage die Woche in einem Hotel zu sitzen, selbst wenn man nette Kollegen hat mit denen man etwas unternehmen kann, schlug mir irgendwann aufs Gemüt. Das Reisen ansich ist meist auch relativ stressig, vor allem wenn die gewählten Verkehrsmittel (Hallo Deutsche Bahn) nicht nach Plan fahren oder unvorhergesehene Umstände eintreten (Sommer, Winter, Hallo Deutsche Bahn).

Hinzu kommt, dass mich gestört hat wie die Tagessätze an die Consultants, in Form ihres Gehaltes, durchgereicht wurden. Aufgrund meiner Vorkenntnisse (KPMG war nicht mein erster Job) konnte man mich für relativ hohe Tagessätze beim Kunden anbieten. Angekommen ist davon bei mir leider zu wenig. Im Grunde muss man schon Manager sein, wenn man bei den Big4 oder auch Accenture und co. gut verdienen möchte. Manager zu sein, ist bei den Big4 allerdings auch immer mit Akquise Tätigkeiten verbunden. Darauf hatte ich keine Lust. Daher bin ich gewechselt.

Das Feld finde ich nach wie vor sehr spannend. Es gibt sicherlich andere Unternehmen in diesem Bereich. Accenture (s.o.) sei da z.B. genannt. Allerdings habe ich auch Freunde die bei Accenture arbeiten. Nach dem was die so berichten ist man bei Accenture, mehr noch als bei den Big4, nur ein Zahnrad im Getriebe und das lassen sie dich auch spüren. Da ich selbst ein Vorstellungsgespräch dort hatte, kann ich zumindest auch bestätigen, dass die Bezahlung nicht viel besser ist.

Was war denn deiner Meinung nach die beste Spezialisierung im Bereich Cyber Security, was du quasi so von den Kunden als Rückmeldung bekommen hast? SIEM? PenTest?

Die "beste" Spezialisierung? Im Bezug auf was? Das ist mir ehrlich gesagt etwas zu vage.

Wenn du meinst was derzeit gut nachgefragt wird: Vulnerability Management, KI, Cyber Abwehr Zentren in Form von 24/7 Betreuung, SIEM, ISO Zertifizierungen. Pentests haben in der Regel keine guten Tagessätze, sind für uns als Umsetzende allerdings spannender als manch andere Themen. Was auch immer wieder bei uns gelandet ist, sind Themen wie Benutzer Rezertifizierung oder allgemeine Security Audits.

Achja, welche Monitoring Tools sind denn quasi die beliebtesten, am meisten verbreitet bei den Kunden? Ich nehme an ELK oder Splunk?

Da hab' ich ehrlich gesagt alles mögliche gesehen. Splunk war dabei, McAffee SIEM etc. Im Bereich Vulnerability Monitoring / Management die üblichen Verdächtigen Nexpose (Rapid 7), Qualys und Nessus (Tenable).

antworten