IT-Sicherheitsberater in Deutschland

Erstellung von Konzepten für die M365 Implementierung insb. Tenants, EntraID, EntraConnect und ExchangeOnline unter Berücksichtigung der BAS Standards (verbindliche Baseline- Sicherheitsvorgaben) im Projekt "Konzept M365" mit dem Ziel der Übertragung der Konzepte auf die M365 Umgebungen der Bitmarck und anschließender Übergabe an den Kunden.

• Erstellung einer Ist-Analyse der bestehenden M365 Umgebungen sowie der OnPremise Umgebungen und der BAS Standards.
• Erstellung von Konzepten für die Themen Tenants, EntraID, EntraConnect und ExchangeOnline unter Berücksichtigung der BAS Standards
• Konzeptionierung und Implementierung einer automatisierten Lösung zur Erstellung von standardisierten M365 Tenants basierend auf Microsoft M365 DSC (Desired State Configuration)
• Übertragung der Konzepte in die M365 Umgebungen
• Erstellung einer ausführlichen technischen Dokumentation

• Beriet das Executive Team bei Strategie, Architektur und Entwicklung eines KI-gestützten Product Security Operations Center (PSOC); eines Cybersecurity-Betriebssystems für softwaredefinierte cyber-physische vernetzte Systeme.
• Gab strategische Unterstützung bei Produktvision, regulatorischer Ausrichtung und Marktpositionierung und unterstützte Funktionen in den Bereichen Threat Intelligence, Schwachstellenmanagement, Compliance-Automatisierung und autonome Produktsicherheit.

• Ausgangssituation: Wachsender Bedarf an datenschutzkonformen KI-Lösungen für Mandanten im KRITIS- und Mittelstandsumfeld, die sensible Medieninhalte (Audio, Video, Dokumente) analysieren müssen, ohne Daten an Public-Cloud-LLMs weiterzugeben.

• Aufgabe: Konzeption, Aufbau und sicherer Betrieb einer vollständig self-hosted AI-Infrastruktur inklusive eigenentwickelter Digital-Management-Plattform zur automatisierten Medienanalyse.

• Maßnahme: Architektur und Implementierung einer Multi-Tier-Plattform auf gehärteter Proxmox-Infrastruktur mit Frontend (Nuxt 3, Vue 3, TypeScript, Tailwind 4), Backend (Laravel 13, PHP 8.4, Sanctum), Datenhaltung (PostgreSQL 16, MongoDB 7), Caching/Queuing (Redis 7, Laravel Queue), AI-Worker (Python 3.11, Whisper, DeepFace, Librosa), Scheduling (Laravel Scheduler/Cron) und lokalen LLMs (Gemma, DeepSeek, Qwen, Mistral, LLaMA, Phi) über OpenWebUI mit segmentiertem Netzwerkzugriff, API-Hardening und Audit-Logging nach BSI-Empfehlungen.

• Ergebnis: Vollständig DSGVO-konforme, on-premises betriebene AI-Plattform ohne Datenabfluss an Dritte.

• Aufgabe: Gesamtverantwortung als externer Head of Cyber Security / CISO-as-a-Service für Konzeption, Implementierung und kontinuierliche Verbesserung von ISMS nach ISO 27001, BSI-Grundschutz und NIS2.

• Maßnahme: Aufbau und Steuerung von Cyber Defense Centern (CDC) mit SOC-Operations, Integration von SIEM-Lösungen (Splunk, Graylog), Etablierung eines Risk-Based Vulnerability Managements (Qualys, Nessus, OpenVAS) und Durchführung regelmäßiger Infrastruktur-, Applikations- und physischer Penetrationstests.

• Ergebnis: Audit-Ready ISMS bei mehreren Mandanten und Reduktion kritischer Schwachstellen um 60 % innerhalb von 90 Tagen.

• Aufgabe: Konzeption und Durchführung von NIS2-Assessments und operative Umsetzungsfahrpläne für KRITIS-Betreiber.

• Maßnahme: Entwicklung eines Online-Assessment-Tools zur automatisierten Ermittlung individueller Schwächeprofile, operative Umsetzung von ISMS-Optimierung, Penetrationstests, Awareness-Programmen und GRC-Suite-Implementierung sowie C-Level-Präsentationen.

• Ergebnis: Beschleunigung des Beratungsprozesses um 50 % und erfolgreiche NIS2-Konformitätsvorbereitung mehrerer Mandanten.

• Aufgabe: Incident Commander für Krisenreaktion, Forensik und Business Recovery bei Ransomware-Angriffen und APT-Kampagnen.

• Maßnahme: Koordination mit LKA und BKA, forensische Analysen (OSForensics, Wireshark, Kali Linux), Umsetzung von Disaster-Recovery- und BCM-Strategien, Entwicklung von Reaktionsstrategien bei BTC-Erpressung.

• Ergebnis: 100 % Wiederherstellungsrate innerhalb definierter RTO-Fenster und nachhaltige Post-Incident-Sicherheitsarchitekturen.

• Maßnahme: Planung, Aufbau und Betrieb einer gehärteten Multi-VM-Infrastruktur (Proxmox, 15+ VMs) mit Web- und Mailservern, Graylog, OPNsense-Firewalls, CRM/ERP und LLM-Instanzen, Netzwerksegmentierung, DDoS-Mitigation, automatisiertem Patch-Management und Backup-Strategien.

• Ergebnis: > 99,5 % Verfügbarkeit über 20+ Jahre und null Kompromittierungen.

• Maßnahme: Konzeption koordinierter Phishing-Kampagnen in fünf Härtegraden, abgeleitete E-Learnings und Webinare im PDCA-Zyklus, Aufbau und Leitung von Red- und Blue-Teams.

• Ergebnis: Reduktion der Phishing-Klickrate von 35 % auf unter 5 % innerhalb von drei Kampagnenzyklen.

• Unterstützung bei dem Aufbau und der Weiterentwicklung des Informationssicherheitsmanagementsystems
• Zusammenarbeit mit externen Berater*innen im Zertifizierungsteam für die Unterstützungsstruktur
• Mitwirkung an Projektplanung, Identifizierung und Umsetzung der notwendigen Maßnahmen nach BSI IT-Grundschutz
• Fachliche Unterstützung der Fachexpert*innen im Haus bei der Erstellung der für die Zertifizierungen notwendigen Dokumente
• Durchführung der Arbeiten nach BSI 200-2

Unterstützung der Internen Revision:

Durchführung einer Prüfung des Datenschutzbeauftragten und des Datenschutzmanagements:

• Vorbereitung eines Prüfungsprogramms anhand der Prüfungsfeldkonzeption
• Anforderung notwendiger Prüfungsdokumentation
• Durchführung der Aufbauprüfungshandlungen anhand des Prüfungsprogramms mit folgenden Schwerpunkten:
• Prüfung der relevanten PPS-Prozesse
• Prüfung des Datenschutzleitbilds, Datenschutzrichtlinie und Datenschutzmanagementkonzept
• Durchführung von Prüfungsgesprächen mit dem Datenschutzbeauftragten
• Erstellung der Prüfungsdokumentation
• Einarbeitung eines Junior-Prüfers in die Methodik einer Internen Revision
• Abstimmung der Prüfungsdokumentation mit der Revisionsleitung

• Erstellung einer vollständigen zweisprachigen (DE/EN) Sicherheits- und Notfalldokumentation: Business-Continuity-Plan / Disaster-Recovery-Plan, Incident-Response-Plan v2.0 mit vier fallspezifischen Playbooks (PICERL), Zugriffskontrollrichtlinie, Vulnerability-Management-Policy, Business-Resilience-Programm, Risk-Governance-Plan
• Konsolidierung zu einem integrierten Notfallhandbuch (12 Kapitel) mit Sofort-Checklisten für sechs Notfallszenarien, priorisierter Maßnahmentabelle und formaler Freigabestruktur
• Aufarbeitung eines Penetrationstest-Berichts (Greenbone) mit vollständiger Behebung aller Findings und formaler Risikoakzeptanz eines Restrisikos mit dokumentierter kompensierender Kontrolle
• Prüfung und Dokumentation der NIS2- und HinSchG-Anwendbarkeit einschließlich rechtlicher Begründung der Nicht-Betroffenheit

• CIO bei einem Hersteller und R&D-Unternehmen im Bereich Ernährung (familiengeführt)

IT-Team gestärkt, IT-Service wiederhergestellt, komplexe SAP-Landschaft überprüft und verschlankt, IT-Sicherheits-Setup überprüft, Labor-IT überprüft

• Aufbau von Azure-Kubernetes-Clustern (AKS) mit Network Policies, Security Groups und RBAC
• Terraform-basierte Infrastructure-as-Code für sichere, reproduzierbare Bereitstellungen in der BMW-Azure-Cloud
• Härtung der CI/CD-Pipelines mit Jenkins, SonarQube, Fortify SSC und Contrast AST
• Integration von SAP BTP/Kyma und ServiceNow GRC

• IST-Aufnahme der aktuellen Netzwerkinfrastruktur und deren Dokumentation inklusive Vor-Ort-Begehung
• Eigenverantwortliche Planung von neuen Verteiler- und Hauptverteilerräumen in den einzelnen Bezirksämtern (eingesetzte Komponenten, Schranklayout, Anbindung) unter Berücksichtigung des BSI IT-Grundschutzes und Vorgaben von InfoSic
• Planung der neuen Kupfer- und LWL-Verkabelung inklusive Patchpanel
• Abstimmung mit TGA (Technische Gebäudeausrüstung) zur Einhaltung entsprechender Vorgaben in den Räumlichkeiten
• Erarbeitung von Ausführungsplänen und Grobkonzepten für den Rollout der neuen Infrastruktur
• Zusätzliche Unterstützung nach dem Produktionsstart der Komponenten (Hypercare-Phase)
• Regelmäßiger Austausch mit der Projektleitung und den Verantwortlichen auf Kundenseite

• Führe Secure Code Reviews durch und gebe Secure-Coding-Beratung für die Anwendungs- und Plattformarchitektur.
• Entwickle Sicherheitsarchitektur für die Infrastruktur sowie Sicherheitsmonitoring-Architektur, Incident-Response-Playbooks und Controls nach dem Security-by-Design-Prinzip.

• Innovations-/Pilotprojekt eGesundheit Deutschland
• SaaS-Unternehmen aus dem Bereich Medien, NRW
• Sicherer Software Entwicklungszyklus, NRW
• BSI IT-Grundschutz Gutachten mehrerer Klinik

• Operatives Management einer hybriden Firewall-Infrastruktur von Palo Alto Networks innerhalb einer IoT Umgebung
• Zonierung von Netzwerken mithilfe von VLANs
• Analyse, Optimierung und Absicherung des Regelwerkes
• Implementierung weiterer Firewalls in die Infrastruktur
• IP-Adressmanagement
• Security-Operations der IoT NRD-Lösung von Nozomi Networks
• Security-Operations der Honeypot-Infrastruktur von secXtreme
• Dienstleistersteuerung zur Sicherstellung und Umsetzung von erforderlichen Network-Maßnahmen
• Kommunikation mit Kunden und Dienstleistern in einem internationalen Umfeld
• Angewandte Technologien: Palo Alto Networks, Panorama, Palo Alto AWS-cloud-Firewall, Nozomi Networks, Honeybox

• Komplette Überarbeitung ISMS nach ISO27001
• Durchführung einer umfassenden GAP-Analyse
• Reduktion der ISMS-Dokumentation um 30% durch Konsolidierung und Prozessoptimierung
• Einführung eines vollständigen PDCA-Zyklus zur kontinuierlichen Verbesserung
• Etablierung des ISMS im Unternehmen
• Einführung der erforderlichen Prozesse
• Management und Durchführung von internen und externen Audits
• Aufbau und Implementierung eines unternehmensweiten Risikomanagements
• Einführung eines ISMS-Tools inkl. Prozessdesign und Schulung
• KRITIS Compliance: Vorbereitung und Durchführung der Nachweiserbringung, Kontakt mit den Aufsichtsbehörden, Planung, Dokumentation und Einführung eines Systems zur Angriffserkennung (SIEM), Teilprojektleitung Einführung BCMS/ITSCM
• NIS-2 Umsetzung: GAP-Analyse, Durchführung von Risiko-Analysen, Geschäftsführer- und Mitarbeiterschulung
• Leitung eines Cybersecurity Teams mit 3 Mitarbeitenden
• Durchführung diverser interner und externer Auditierungen, Providersteuerung, Einführung der kontinuierlichen Verbesserung
• Projektberatung: enge Abstimmung mit der Business- und Systemowner, Einführung eines Onlineshops, einer mobilen App und eines Kundenportals
• Überarbeitung der Security-Architektur mit Reduzierung der administrativen Aufwände um 20%
• Einführung von ITIL-Prozessen (z. B. Changemanagement)
• Überarbeitung der Serviceverträge bei internen und externen Dienstleistern
• Erarbeitung einer Security-Awareness-Strategie, Durchführung von Social-Engineering-Angriffen, Einführung und Monitoring von Phishing-Simulationen, Erstellung diverser Sensibilisierungsmaterialien, Vorträge
• Verantwortung für ein Budget von einer Million Euro

• Konzeption und globale Einführung von Sensitivity Labels (Vertraulichkeitskennzeichnungen) zur automatisierten Klassifizierung und Verschlüsselung geschäftskritischer Daten.
• Definition und Rollout von Data Loss Prevention (DLP)-Richtlinien zum Schutz von IP und personenbezogenen Daten über Endgeräte, Exchange, SharePoint, Teams und Non-Microsoft-Clouds hinweg.
• Einrichtung von Insider-Risk-Management-Richtlinien zur Erkennung und Eindämmung von exzessiven Datenabflüssen und riskantem Nutzerverhalten.
• Umsetzung von DSGVO- und Aufbewahrungsanforderungen durch automatisierte Retention Policies und strukturiertes Records Management.
• Technische Begleitung von Rechtsabteilungen bei internen und externen Untersuchungen mittels eDiscovery (Standard/Premium) und Content Search.
• Kontinuierliche Optimierung des Sicherheits- und Compliance-Niveaus durch Auswertung des Microsoft Compliance Managers und Schließen von Lücken (Regelwerke wie ISO 27001, NIS-2)