Im Regal steht ein ausgemusterter Mini-PC mit Proxmox, im Netz läuft OPNsense statt der Fritzbox, das IoT-Zeug hängt in einem eigenen VLAN und der Pi-hole schluckt seit zwei Jahren zuverlässig Werbung. Irgendwann kommt bei fast jedem, der so etwas betreibt, dieselbe Frage auf: Ist das eigentlich etwas wert, beruflich?
Kurze Antwort: ja, aber nicht aus dem Grund, den die meisten vermuten.
Deine Stückliste interessiert niemanden
Im Gespräch zählt nicht, welche Hardware du hast. Ob der Hypervisor auf einem gebrauchten ThinkCentre oder auf einem ausrangierten Rack-Server läuft, ändert an deiner Qualifikation genau nichts. Was zählt, sind Entscheidungen, die du erklären kannst.
Warum liegt das IoT-Netz in einem eigenen VLAN, und was genau darf es noch erreichen? Warum OPNsense und nicht pfSense, und was hat dich diese Wahl an Nachteilen gekostet? Wo hat dein Setup schon einmal versagt, und woran hast du es gemerkt?
Wer darauf ruhig und konkret antwortet, wirkt kompetenter als jemand, der drei Zertifikate aufzählt. Und wer es nicht kann, hat nur nachgebaut, was in einem Video zu sehen war. Der Unterschied fällt in ungefähr zwei Minuten auf.
Drei Dinge aus dem Homelab, die im Job sofort weiterhelfen
Logs lesen, ohne zu ertrinken. Wenn du einmal ein Wazuh oder eine ELK-Instanz aufgesetzt hast, kennst du das Gefühl: Am ersten Tag sind alle Meldungen spannend, am dritten willst du die Hälfte davon nie wieder sehen. Genau dieser Lernschritt, das Trennen von Rauschen und Relevanz, ist die Kernkompetenz im Security Operations Center. Im Job sind es dann nicht fünf Hosts, sondern fünftausend, die Denkweise bleibt dieselbe.
Sauber dokumentieren. Ein aktuelles Netzdiagramm, eine Liste der offenen Ports mit Begründung, ein kurzes Änderungsprotokoll. Klingt nach Fleißarbeit, wirkt im Bewerbungsgespräch aber stärker als jede Zertifikatsnummer, weil es zeigt, dass du in einem Team arbeiten kannst. In der IT-Sicherheit geht ein guter Teil der Arbeitszeit in Berichte, nicht in Werkzeuge.
Wiederherstellen können. Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung. Wer im eigenen Lab schon einmal eine VM aus dem Backup hochgezogen und dabei gemerkt hat, dass die halbe Konfiguration fehlt, versteht sofort, worum es geht, wenn im Job über Wiederanlaufzeiten gesprochen wird.
Was dein Homelab nicht abdeckt
Zur Ehrlichkeit gehört die andere Seite. Ein paar Dinge lernst du zu Hause nicht:
- Arbeiten unter Ticketlaufzeiten, mit Priorisierung und festen Eskalationsstufen.
- Den Umgang mit Menschen, die gerade etwas kaputtgemacht haben und Angst vor den Konsequenzen haben.
- Beweissicherung, Datenschutz und Aufbewahrungsfristen. Wer Logs falsch behandelt, macht einen Vorfall rechtlich unbrauchbar.
- Die Erfahrung, dass die technisch beste Lösung an einem Budget scheitert.
Und ein Punkt, der regelmäßig untergeht: Getestet wird ausschließlich im eigenen Labor oder auf Plattformen, die es ausdrücklich erlauben, etwa TryHackMe oder Hack The Box. Scans und Tests fremder Systeme ohne ausdrückliche Erlaubnis können in Deutschland rechtliche Konsequenzen haben, bis hin zu Straftatbeständen wie dem Ausspähen von Daten nach § 202a StGB. Gute Absichten ändern daran nichts. Wer das im Gespräch nebenbei erwähnt, sammelt Punkte, weil es Verantwortungsbewusstsein zeigt.
Der formale Teil, den niemand mag
So unfair es ist: Der Weg zum ersten Gespräch führt in vielen Unternehmen über eine Vorauswahl, und die liest Zertifikate. Am breitesten anerkannt ist für den Einstieg CompTIA Security+, aktuell in der Version SY0-701. Die Nachfolgeversion SY0-801 wird für Ende 2026 erwartet, die alte Version bleibt danach üblicherweise noch etwa ein halbes Jahr prüfbar, und die Zertifizierung gilt drei Jahre. Dazu passen AZ-900 für die Cloud-Grundlagen und, je nach Richtung, eine Zertifizierung rund um ISO 27001.
Bezahlen musst du das nicht zwingend selbst. Über den Bildungsgutschein nach § 81 SGB III übernimmt die Agentur für Arbeit bei AZAV-zertifizierten Trägern und bei Vorliegen der persönlichen Voraussetzungen bis zu 100 Prozent der Kosten einer Weiterbildung, wer in einem Arbeitsverhältnis steckt, geht über § 82 SGB III und den Arbeitgeber. Ein Beispiel für ein solches Vollzeitprogramm, von den Grundlagen über Security+ bis zu einem zweimonatigen Praktikum, kommt vom Berliner Anbieter Cybersteps, AZAV-zertifiziert und Mitglied im Bitkom. Wer den Anbieter dahinter einordnen will, findet die Hintergründe auf dieser Seite.
Warum sich der Aufwand gerade jetzt lohnt, zeigt ein Blick auf ein paar Zahlen. Laut Bitkom sind in Deutschland rund 109.000 IT-Stellen unbesetzt, eine davon bleibt im Schnitt 7,7 Monate frei, und 27 Prozent der neu besetzten IT-Stellen gingen an Quereinsteigerinnen und Quereinsteiger. Und das BSI zählt inzwischen im Schnitt 119 neue Schwachstellen pro Tag, rund ein Viertel mehr als im Jahr davor.
Fazit
Dein Homelab ist kein Nachweis. Es ist der beste Übungsplatz, den du bekommen kannst, und der einzige Ort, an dem du etwas kaputt machen darfst. Wer die Entscheidungen dahinter erklären kann, sauber dokumentiert und den formalen Teil nachzieht, hat gegenüber einem frisch zertifizierten Bewerber ohne Praxis einen Vorsprung, den man im Gespräch sofort hört.
Also: Netzdiagramm aktualisieren, Änderungsprotokoll anlegen, einmal einen Restore durchspielen. Danach ist die Frage, ob sich das beruflich lohnt, deutlich leichter zu beantworten.
