Ein AI Security Engineer schützt KI-Systeme vor Angriffen, die es bei klassischer Software nicht gibt: Prompt Injection, Data Poisoning, Modell-Diebstahl und manipulierte Lieferketten bei Modellen und Daten. Wenn du die Rolle besetzen willst, muss dein Stellenprofil drei Dinge klar sagen: welche KI-Systeme abgesichert werden, wie viel ML-Verständnis du erwartest und welche regulatorischen Pflichten die Rolle technisch umsetzt. Hier findest du Aufgaben, Anforderungen, Gehaltsbänder für Deutschland und eine Vorlage, die du direkt übernehmen kannst.
Kurz gesagt
- Hybrid-Rolle: Ein AI Security Engineer verbindet Application Security mit echtem Verständnis von ML-Pipelines. Wer nur eine Seite beherrscht, scheitert in dieser Rolle meist.
- Kernaufgaben: Threat Modeling für KI-Systeme, Adversarial Testing und Red Teaming, Guardrails für LLM-Anwendungen und Agenten, Absicherung der Modell- und Daten-Lieferkette.
- Regulatorik: Der EU AI Act verlangt für Hochrisiko-KI Genauigkeit, Robustheit und Cybersicherheit. Die technische Umsetzung landet meist bei dieser Rolle.
- Gehalt: Senior-Profile liegen in Deutschland laut aktuellen Benchmarks bei 90.000 bis 135.000 € im Jahr, Principal-Rollen in München bei bis zu 165.000 €.
- Besetzung: Der Markt ist eng. Ein präzises Stellenprofil ist der erste Hebel, eine gründliche Prüfung im Auswahlprozess der zweite.
Inhaltsverzeichnis
- Was ein AI Security Engineer wirklich tut
- Aufgaben im Stellenprofil
- Abgrenzung zu benachbarten Rollen
- Anforderungen: Muss und Kann
- Was der EU AI Act für die Rolle bedeutet
- Gehalt: Womit du rechnen solltest
- Vorlage: Stellenprofil zum Anpassen
- Typische Fehler bei der Besetzung
- Unsere Sicht: Worauf es bei dieser Rolle ankommt
- AI Security Engineer mit Polydigital finden
- Häufige Fragen
- Quellen
Was ein AI Security Engineer wirklich tut
Klassische IT-Security schützt Netzwerke, Identitäten und Anwendungen. Ein AI Security Engineer schützt zusätzlich das, was ein KI-System ausmacht: Trainingsdaten, Modelle, Prompts, Vektordatenbanken, Agenten mit Werkzeugzugriff und die Ausgaben, die ein Modell an nachgelagerte Systeme weitergibt.
Der Unterschied liegt im Verhalten der Systeme. Software tut, was der Code sagt. Ein LLM reagiert probabilistisch auf Eingaben, die ein Angreifer gezielt formulieren kann. Deshalb beschreibt der Security-Anbieter Snyk die Rolle als Mischung aus Builder und Defender: Die Person baut sichere KI-Architekturen mit und greift sie gleichzeitig selbst an, bevor es jemand anderes tut.
Den Rahmen für die typischen Bedrohungen liefert die OWASP Top 10 für LLM-Anwendungen 2025. Dort stehen unter anderem:
- Prompt Injection
- Offenlegung sensibler Informationen
- Schwachstellen in der Lieferkette
- Data and Model Poisoning
- unsichere Verarbeitung von Modellausgaben
- übermäßige Handlungsfreiheit von Agenten (Excessive Agency)
- Leaks von System-Prompts
- Schwächen in Vektoren und Embeddings
Gerade die Agenten-Themen gewinnen an Gewicht. Das BSI beschreibt in seinem Lagebericht strukturelle Schwachstellen großer Sprachmodelle in Agentensystemen. Sobald ein Modell E-Mails liest, Tickets anlegt oder Buchungen in einem ERP auslöst, wird aus einem Chatbot-Risiko ein Prozessrisiko.
Aufgaben im Stellenprofil
Formuliere die Aufgaben so konkret, dass ein erfahrener Kandidat sofort erkennt, ob die Rolle zu ihm passt. Diese Aufgabenblöcke tauchen in fast jedem guten Profil auf:
- Threat Modeling für KI-Systeme: Bedrohungsanalysen für LLM-Anwendungen, RAG-Architekturen und Agenten, etwa auf Basis von MITRE ATLAS. Ergebnis sind priorisierte Risiken und konkrete Gegenmaßnahmen.
- Adversarial Testing und Red Teaming: Systematische Angriffe auf eigene Modelle und Anwendungen, von Jailbreaks über verkettete Prompt-Injection-Angriffe bis zu Extraction-Versuchen.
- Guardrails und Laufzeitschutz: Eingabe- und Ausgabefilter, Berechtigungskonzepte für Agenten, Rate Limits, Logging und Monitoring im Betrieb.
- Sichere ML-Lieferkette: Herkunft und Integrität von Modellen, Datensätzen und Bibliotheken prüfen, Model Registries absichern, Abhängigkeiten scannen.
- Security über den gesamten Lebenszyklus: Mitwirkung von Design über Training und Fine-Tuning bis zum produktiven Betrieb, eng verzahnt mit MLOps.
- Compliance technisch umsetzen: Anforderungen aus EU AI Act, NIST AI RMF und internen KI-Richtlinien in prüfbare technische Kontrollen übersetzen.
- Enablement: Entwicklungsteams schulen, Secure-by-Design-Muster für KI bereitstellen, Fachbereiche bei der Bewertung neuer KI-Tools beraten.
Wichtig für dein Profil: Gewichte die Blöcke. Ein Unternehmen, das Copilots und eingekaufte KI-Tools einsetzt, braucht vor allem Bewertung, Guardrails und Governance. Ein Unternehmen, das eigene Modelle trainiert, braucht deutlich mehr Tiefe in Data Poisoning und Lieferkette. Wenn ungeklärte KI-Nutzung im Haus ohnehin ein Thema ist, lohnt ein Blick auf unseren Ansatz zur Shadow AI Governance.
Abgrenzung zu benachbarten Rollen
Viele Stellenprofile scheitern daran, dass sie drei Rollen in eine packen. Diese Übersicht hilft dir beim Zuschnitt:
| Rolle | Schwerpunkt | Typische Frage |
|---|---|---|
| IT Security Engineer | Netzwerke, Identitäten, Anwendungen, Infrastruktur | Ist unsere Umgebung gegen bekannte Angriffe gehärtet? |
| AI Security Engineer | Modelle, Daten, Prompts, Agenten, ML-Pipelines | Kann jemand unser KI-System manipulieren oder ausnutzen? |
| MLOps Engineer | Betrieb, Deployment, Monitoring von Modellen | Läuft das Modell stabil, reproduzierbar und skalierbar? |
| AI Governance Officer | Richtlinien, Risikoklassen, Dokumentation, Aufsicht | Erfüllen wir unsere regulatorischen und internen Pflichten? |
| CISO | Gesamtverantwortung Informationssicherheit | Wie steuern wir das Sicherheitsrisiko des Unternehmens? |
Der AI Security Engineer arbeitet an der Schnittstelle: technisch tief wie ein Security Engineer, mit ML-Verständnis wie ein MLOps Engineer, und als Umsetzer dessen, was Governance festlegt. Wie diese Rollen im Risikomanagement zusammenspielen, zeigen wir im Beitrag zum Model Risk Management bei KI.
Anforderungen: Muss und Kann
Einen geradlinigen Ausbildungsweg für diese Rolle gibt es nicht. Die besten Profile kommen aus der Application Security und haben sich in ML eingearbeitet, oder sie kommen aus Data Science und Machine Learning und haben eine echte Angreiferperspektive entwickelt. Die Fachseite AISec Engineer nennt diese Haltung ein Adversarial Mindset.
Muss-Anforderungen
- Mehrjährige Erfahrung in Application Security, Penetration Testing oder Security Engineering
- Fundiertes Verständnis von ML-Pipelines: Training, Fine-Tuning, Inferenz, Embeddings, RAG
- Praktische Erfahrung mit Angriffen auf LLM-Anwendungen, nicht nur theoretisches Wissen
- Sichere Programmierung, in der Regel in Python, plus Erfahrung mit Cloud-Plattformen
- Kenntnis der OWASP Top 10 für LLM-Anwendungen und eines Threat-Modeling-Ansatzes
- Fähigkeit, Risiken für Fachbereiche und Management verständlich zu erklären
Kann-Anforderungen
- Erfahrung mit MITRE ATLAS und dem NIST AI RMF Generative AI Profile
- Kenntnisse im EU AI Act, in der DSGVO oder in Branchenregulierung
- Erfahrung mit Agenten-Frameworks und Tool-Berechtigungen
- Beiträge zu Research, CTF-Wettbewerben oder Bug-Bounty-Programmen mit KI-Bezug
- Sicherheitszertifizierungen aus dem klassischen Security-Umfeld
Ein Punkt, den viele Profile unterschätzen: Ein Doktortitel ist nicht nötig. Laut der Skills-Roadmap von AISec Engineer zählt ein tiefes Verständnis dafür, wie Verlustfunktionen und Training-Loops funktionieren, weil man nur so Bedrohungen wie Data Poisoning bewerten kann. Genau das prüfst du besser im Interview als über Abschlüsse.
Was der EU AI Act für die Rolle bedeutet
Die KI-Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt gestaffelt. Für Hochrisiko-KI verlangt Art. 15 KI-VO ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit über den gesamten Lebenszyklus. Der Artikel nennt ausdrücklich Schutzmaßnahmen gegen Angriffe wie Datenvergiftung, Modellvergiftung und manipulierte Eingaben, also genau das Arbeitsfeld eines AI Security Engineers.
Zum Zeitplan: Laut dem AI Act Explorer gelten die Pflichten aus Art. 15 für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027 und nach Anhang I ab dem 2. August 2028. Prüfe die für dein System geltende Frist mit deiner Rechtsabteilung oder einer auf KI-Recht spezialisierten Kanzlei, bevor du Projektpläne daran ausrichtest. Der Aufbau der nötigen Kontrollen dauert erfahrungsgemäß länger als die Zeit bis zur Frist.
Für dein Stellenprofil heißt das: Schreib hinein, ob die Rolle Hochrisiko-Systeme verantwortet und ob sie Nachweise für Audits liefern muss. Das verändert das Profil deutlich, von reinem Testing hin zu Dokumentation und Zusammenarbeit mit Governance. Was zusätzlich zur menschlichen Aufsicht gefordert ist, erklären wir im Beitrag zu Human Oversight nach Art. 14 EU AI Act.
Gehalt: Womit du rechnen solltest
AI Security Engineers verdienen deutlich mehr als klassische Security Engineers. Laut den Gehaltsbenchmarks von PayMetric Labs vom August 2026 liegen Senior-Positionen in Deutschland bei 90.000 bis 135.000 € im Jahr, Principal-Rollen in München in Spitzenfällen bei bis zu 165.000 €. Klassische IT Security Engineers liegen im Median bei rund 55.200 €.
Ein konkretes Beispiel aus dem Markt: PAIR Finance hat eine Senior AI Security Engineer Stelle in Berlin mit 72.000 bis 87.000 € im Jahr ausgeschrieben. Die Spanne zeigt, wie stark Unternehmensgröße, Standort und Tiefe der Rolle den Rahmen verschieben.
Diese Faktoren bestimmen, wo dein Angebot liegen muss:
- Tiefe der ML-Arbeit: Eigene Modelle sichern ist teurer als eingekaufte Tools bewerten.
- Regulatorische Verantwortung: Hochrisiko-KI und Audit-Nachweise heben das Band.
- Standort: München und Frankfurt liegen in der Regel über dem Bundesschnitt.
- Führungsanteil: Lead-Rollen mit Teamverantwortung bewegen sich Richtung Principal-Niveau.
Eine ausführliche Einordnung mit Hebeln und Perspektiven findest du in unserem Beitrag zum Gehalt von AI Security Engineers in Deutschland.
Vorlage: Stellenprofil zum Anpassen
Diese Vorlage kannst du übernehmen und auf deinen Kontext zuschneiden. Ersetze die Platzhalter in eckigen Klammern.
AI Security Engineer (m/w/d), [Standort / hybrid / remote]
Dein Auftrag Du verantwortest die Sicherheit unserer KI-Systeme, von [LLM-Anwendungen / RAG-Plattform / Agenten / eigenen Modellen]. Du arbeitest eng mit [Data & AI Team, MLOps, CISO-Office, AI Governance] zusammen und berichtest an [Rolle].
Deine Aufgaben
- Du führst Threat Modeling für neue und bestehende KI-Anwendungen durch.
- Du testest unsere Systeme adversariell und baust ein wiederholbares Red-Teaming-Programm auf.
- Du entwickelst Guardrails, Berechtigungskonzepte für Agenten und Monitoring für den Betrieb.
- Du sicherst die Lieferkette von Modellen, Daten und Bibliotheken ab.
- Du übersetzt Anforderungen aus EU AI Act und interner KI-Richtlinie in technische Kontrollen und Nachweise.
- Du befähigst Entwicklungsteams mit Mustern und Schulungen für sichere KI-Entwicklung.
Das bringst du mit
- Jahre Erfahrung in Application Security oder Security Engineering
- Praktische Erfahrung mit Angriffen auf und Schutz von LLM-Anwendungen
- Solides Verständnis von ML-Pipelines, Training und Inferenz
- Sicheres Python und Erfahrung mit [Azure / AWS / GCP]
- Kenntnis der OWASP Top 10 für LLM-Anwendungen
- Klare Kommunikation auf Deutsch und Englisch
Von Vorteil
- Erfahrung mit MITRE ATLAS oder NIST AI RMF
- Research-, CTF- oder Bug-Bounty-Erfahrung mit KI-Bezug
- Kenntnisse der KI-Verordnung und [Branchenregulierung]
Was wir bieten [Gehaltsband], [Research-Zeit], [Zugang zu GPU- und Testumgebungen], [Weiterbildungsbudget], [Arbeitsmodell].
Ein Tipp zum letzten Block: Spezialisten in diesem Feld achten weniger auf Obstkörbe als auf echte Arbeitsbedingungen. Zeit für Research, Zugang zu Testinfrastruktur und ein Team, das Security ernst nimmt, überzeugen mehr als jede Floskel.
Typische Fehler bei der Besetzung
Der Wettbewerb um Security-Talente ist hart. Laut einer Marktanalyse fehlen in Deutschland bis Ende 2026 rund 106.000 IT-Sicherheitsfachkräfte. Für die KI-Spezialisierung ist der Pool noch kleiner. Diese Fehler kosten dich Monate:
- Die eierlegende Wollmilchsau: Security Engineer, Data Scientist, Governance-Experte und CISO in einer Person. Solche Profile gibt es kaum, und die wenigen lesen Anzeigen mit 25 Muss-Kriterien nicht zu Ende.
- Buzzwords statt Kontext: "Erfahrung mit KI" sagt nichts. Nenne die Systeme, die Architektur und die größten Risiken, die du heute siehst.
- Kein Gehaltsband: Wer im Markt suchen lässt, ohne das Band zu kennen, verliert Kandidaten in der letzten Runde.
- Prüfung nur über Lebensläufe: Zertifikate sagen wenig über die Fähigkeit, ein LLM-System tatsächlich anzugreifen. Ein praktischer Fall im Interview zeigt mehr.
- Rolle ohne Mandat: Ein AI Security Engineer ohne Befugnis, ein Release zu stoppen, wird schnell zum Feigenblatt.
Wenn du die Rolle in ein größeres Regelwerk einbettest, hilft dir unser Leitfaden zur KI-Richtlinie im Unternehmen.
Unsere Sicht: Worauf es bei dieser Rolle ankommt
Wir sehen in Gesprächen mit IT-Leitungen und CISOs immer wieder dasselbe Muster: Das Stellenprofil wird aus zwei bestehenden Anzeigen zusammengesetzt, eine aus der Security, eine aus Data Science. Heraus kommt ein Profil, auf das niemand passt, und die Suche zieht sich.
Unser Rat: Beginne mit der Frage, welches KI-Risiko dich heute am meisten beschäftigt. Daraus folgt der Zuschnitt, und daraus folgen die drei bis fünf Kriterien, die wirklich entscheiden. Alles andere ist Kann.
Im Auswahlprozess achten wir bei jeder Rolle darauf, dass ein Talent zwischen Fachwissen und Technologie zu Hause ist, KI souverän einsetzt, ihre Ergebnisse beurteilt und für das Resultat einsteht. Beim AI Security Engineer ist das mehr als ein Anspruch, es ist die Stellenbeschreibung selbst. Deshalb interviewen wir jedes Talent persönlich, und in der Endauswahl durchläuft jedes Talent eine EFPA-zertifizierte Eignungsdiagnostik, die ein zertifizierter Berater bei uns auswertet. So bekommst du wenige Profile, die gründlich geprüft sind, statt einer langen Liste von Lebensläufen mit den richtigen Schlagworten.
— Ingmar
AI Security Engineer mit Polydigital finden
Du willst die Rolle in Festanstellung, als Interim-Mandat oder fractional besetzen? Wir helfen dir beim Zuschnitt des Stellenprofils, sprechen passende Spezialisten direkt an und stellen dir wenige, gründlich geprüfte Profile vor.
→ Data- und AI-Experten finden → Security-Experten und CISO finden
Häufige Fragen
Was ist der Unterschied zwischen IT Security Engineer und AI Security Engineer?
Ein IT Security Engineer schützt Infrastruktur, Netzwerke, Identitäten und Anwendungen. Ein AI Security Engineer schützt zusätzlich Modelle, Trainingsdaten, Prompts und Agenten vor KI-spezifischen Angriffen wie Prompt Injection oder Data Poisoning. Dafür braucht er ein echtes Verständnis von ML-Pipelines, das in der klassischen Security selten verlangt wird.
Wie viel verdient ein AI Security Engineer in Deutschland?
Senior-Profile liegen laut aktuellen Benchmarks bei 90.000 bis 135.000 € im Jahr, Principal-Rollen in München bei bis zu 165.000 €. Einzelne Ausschreibungen in Berlin liegen auch darunter, etwa bei 72.000 bis 87.000 €. Entscheidend sind Tiefe der ML-Arbeit, regulatorische Verantwortung, Standort und Führungsanteil.
Braucht ein AI Security Engineer einen Doktortitel?
Nein. Wichtiger ist, wie Modelle trainiert werden und wo sie angreifbar sind, verbunden mit praktischer Erfahrung im Testen von KI-Systemen. Das prüfst du am besten mit einem realistischen Fall im Interview.
Ab wann braucht ein Unternehmen diese Rolle?
Spätestens wenn KI-Systeme auf interne Daten zugreifen, Aktionen in Geschäftsprozessen auslösen oder als Hochrisiko-KI unter den EU AI Act fallen. Unternehmen, die nur einzelne eingekaufte Tools nutzen, starten oft mit einer fractional oder interim besetzten Rolle und bauen die Funktion dann schrittweise aus.
Quellen
- Snyk: The AI Security Engineer
- OWASP Top 10 for LLM Applications 2025
- BSI Lagebericht: Vulnerabilities of LLMs
- AISec Engineer: What is an AI Security Engineer?
- AISec Engineer: AI Security Engineer Skills Roadmap
- NIST AI RMF: Generative Artificial Intelligence Profile
- Verordnung (EU) 2024/1689 auf EUR-Lex
- Art. 15 KI-VO: Genauigkeit, Robustheit und Cybersicherheit
- AI Act Explorer: Article 15
- PayMetric Labs: AI Engineer Salary in Germany 2026
- PAIR Finance: Senior AI Security Engineer (f/w/d)
- ad-hoc-news: IT-Sicherheit, 106.000 Fachkräfte fehlen bis Ende 2026