Burp Suite Experten in Deutschland

Enrique G.

Datensicherheit

Hamburg

Letzte Position:

Security Architect bei Capgemini

Ich implementierte eine Zero-Trust-Architektur fuer robuste, militaertaugliche maritime Container-Mini-Rechenraeume auf Basis von VMware & Tanzu zur Unterstuetzung containerisierter GIS-Workloads fuer Bodentruppen. Der besondere Fokus lag auf der Absicherung der Kommunikation, dem Workload-Schutz und dem Datenzugriff in umkaempften elektronischen Gefechtsumgebungen, die durch Jamming, Abfangen, Signalmanipulation und staendig wechselnde Einsatzbedingungen beeinflusst werden. Ich habe Use Cases so entworfen und architektonisch umgesetzt, dass jedes Element von Workload, Identitaet und System auch in degradierten oder gestoerten Szenarien weiterhin unabhaengig und sicher funktionieren konnte. Parallel dazu definierte ich die Enterprise- und Solution-Security-Architektur mit LeanIX, Bizzdesign und HOPEX als Enterprise-Architecture-, Repository- und Governance-Plattformen, um Architekturinventar, Beziehungen, Nachverfolgbarkeit, Zielbilder und Security Governance in komplexen Umgebungen zu pflegen. Fuer die architektonischen Designs nutzte ich Sparx Enterprise Architect, um formale Architekturperspektiven, Schnittstellen, Vertrauensgrenzen und Systemarchitektur sowohl in IT- als auch OT-Umgebungen zu beschreiben. Das Tool IriusRisk wurde fuer das Threat Modeling der Loesung eingesetzt, um architekturgetriebene Risiken zu identifizieren, Sicherheitsanforderungen abzuleiten und Gegenmassnahmen sowie Designluecken direkt aus den Loesungsmodellen zu erkennen. Das Risiko- und Compliance-Management wurde mit Archer unterstuetzt. Architekturentscheidungen, Kontrollluecken und operative Risiken wurden in gesteuerte Governance- und auditierbare Compliance-Massnahmen ueberfuehrt. Fuer Dokumentation, Zusammenarbeit und visuelles Design nutzte ich Confluence zur Pflege von Architecture Decision Records, Security Blueprints und Workflows. Lucidchart und draw.io verwendete ich zur Erstellung stakeholdergerechter Design-Artefakte. Ich habe ausserdem OT-Sicherheitskonzepte mit Unterstuetzung von Elektro- und Maschinenbauingenieuren in den Bereichen Oel, Fahrzeug-Bordsysteme, Bahn, Kraftwerke, Pharma, Gasturbinen und Nukleartechnik definiert. Ich erstellte die End-to-End-OT-Sicherheitsstrategie, beginnend bei der globalen Policy, weiterentwickelt zu Standards und Verfahren und schliesslich korreliert mit Bell-LaPadula, Purdue Model, SABSA, TOGAF ADM, CENELEC 50701, IEC 62443 und NIST-Standards. Zudem arbeitete ich mit Engineering-Teamleads zusammen, um kritische KBP-Assets zu identifizieren und sie unter Schutzmassnahmen zu stellen, mit denen SCADA-, PLC- und HMI-Assets segmentiert wurden. Ich trieb die Zusammenarbeit zwischen Security-, IT- und OT-Teams voran, um standardisierte Workflows und Use Cases fuer den OT-Security-Loesungskatalog zu erstellen, waehrend Defense-in-Depth- und Zero-Trust-Prinzipien in operative Umgebungen integriert wurden. Entscheidend war die Integration multidisziplinaerer Engineering-, Security- und Operations-Akteure in eine einheitliche Security-Blueprinting-Strategie und die Sicherstellung, dass Architektur, Threat Modeling, Governance und Dokumentation technisch robust und operativ praktikabel waren.

Halil O.

Principal Cloud- und DevSecOps-Architekt (AWS / Azure / Terraform / Kubernetes / CI-CD)

Bonn

Letzte Position:

Senior Cloud Operations- und DevSecOps-Ingenieur (Azure / Terraform / CI-CD) bei KfW Bankengruppe

Reguliertes Konzernumfeld einer deutschen Bankengruppe (ca. 8.500 Mitarbeiter, Hybrid Cloud-Strategie).
Verantwortlich für den Betrieb, die Bereitstellung und die kontinuierliche Absicherung geschäftskritischer Plattformen – darunter eine GenAI-Chat-Anwendung, eine Big-Data/AI-Plattform sowie Data-Science-Arbeitsplätze auf Basis von Azure Virtual Desktops und VMs. Ownership der AzureDevOps Projekte nach ShaiHulud und React2Shell sowie BSI-Warnungen – Security Operations Improvements im gesamten SDLC.
Deployment-Verantwortung für GenAI-Chat-Anwendung, Big-Data/AI-Plattform (BDAI) sowie Data-Science-Arbeitsplätze (AVD/VM-basiert) in den jeweiligen LZs.
Deployment & Release Management: End-to-End-Verantwortung für Deployments von Portal- und Service-Applikationen in mehreren Azure Landing Zones, inklusive technischer Freigaben, Approvals nach Deployment-Guidelines der Entwicklungsteams sowie Sicherstellung ITIL-basierter Change- und Release-Prozesse im laufenden Betrieb via ServiceNow.
Azure Landing Zones & Netzwerkarchitektur: Aufbau, Provisionierung und Betrieb von Azure Landing Zones für 3-Tier-Web-Applikationen mit verbesserter Netzwerksegmentierung, VNet-Peering, Hub-Spoke-Architekturen, Private Endpoints und Firewall-Integration in separaten Subscriptions und Tenants.
Azure DevOps Governance & Betrieb: Ownership der Azure-DevOps-Organisation inklusive Projekte, Repositories und CI/CD-Pipelines, Umsetzung von Governance-Vorgaben wie Branch-Policies, Approval-Gates, Berechtigungskonzepten und Audit-fähigen Betriebsstrukturen.
Infrastructure as Code (Terraform): Design, Implementierung und Betrieb einer modularen Terraform-Architektur zur standardisierten Bereitstellung von Cloud-Infrastruktur, inklusive State-Management, Provider-Versionierung, Wiederverwendbarkeit und Policy-as-Code-Ansätzen.
CI/CD Pipeline Engineering: Konzeption, Betrieb und Optimierung komplexer YAML-basierter CI/CD-Pipelines mit Multi-Stage-Deployments, Template-Standardisierung, Self-Hosted Agents, integriertem Secret-Management und automatisierten Qualitäts- und Sicherheitsprüfungen.
Git-Migration & Plattformkonsolidierung: Planung und Umsetzung der Migration von Repositories und Pipelines von Azure DevOps zu GitLab CI/CD, inklusive automatisierter Skripte, Inklusive Git-History, Pipeline-Portierung und Konsolidierung der Entwicklungsplattformen.
Container- & Plattformbetrieb (AKS): Betrieb und sicherheitstechnische Bewertung containerbasierter Workloads auf Azure Kubernetes Service, Zentralisierung der On-Premises Container Registry für ACR. OpenShift (OCP) Security Reviews: Sicherheitsbewertung von Codebaselines, Build-Pipelines und Deployment-Prozessen für On-Premises-OpenShift-Cluster mit kritischen Anwendungen sowie Ableitung konkreter Hardening-Empfehlungen.
Shift-Left Security & DevSecOps Transformation: Einführung eines unternehmensweiten Shift-Left-Ansatzes zur frühzeitigen Integration von Sicherheit in Entwicklungs- und Deployment-Prozesse, Enablement der Entwickler zur eigenständigen Sicherheitsprüfung und nachhaltige Reduktion von Schwachstellen vor Produktivsetzung (IDE-Integrationen, Pre-Commit Hooks, lokale Scanner).
Software Supply-Chain Security: Analyse und Mitigation von Supply-Chain-Risiken in NPM- und Yarn-basierten Anwendungen durch Dependency-Audits, Absicherung von CI/CD-Pipelines, Token-Rotation und Einschränkung riskanter Build- und Lifecycle-Mechanismen.
Frontend- & Framework-Security (React / Next.js): Sicherheitsbewertung und Koordinierung der Behebung kritischer Schwachstellen in allen Plattform-Anwendungen und Web-Frameworks, inklusive Abstimmung und ergänzenden technischen Mitigationsmaßnahmen mit allen Teams nach BSI-Warnung.
Software Composition Analysis (SCA): Einführung und Betrieb automatisierter Schwachstellen-Scans für Container-Images, Pipelines/Artefakte und Third-Party-Dependencies inklusive SBOM Exports innerhalb der CI/CD-Pipelines.
SAST / DAST Integration: Konzeption und Pilotierung statischer und dynamischer Anwendungssicherheitstests in enger Zusammenarbeit mit Security-Architektur und Entwicklungsteams zur kontinuierlichen Verbesserung der Code- und Runtime-Security und Etablierung betrieblicher Abnahme-Tests (BATs).
Artefakt- & Registry-Konsolidierung: Analyse und Konsolidierung aller Paket- und Container-Repositories für Service-Applikationen und AKS-Workloads mit dem Ziel einer zentralisierten, abgesicherten Registry-Strategie inklusive zentralisierter Vulnerability-Scanning und Governance.
Dependency-Track & SBOM-Strategie: Beratung des Compliance-Boards zur Einführung einer zentralen SBOM- und Vulnerability-Management-Plattform zur konzernweiten Erhöhung der Transparenz über Abhängigkeiten und Beschleunigung der CVE-Reaktionsfähigkeit.
CI/CD Pipeline Hardening: Sicherheitsanalyse und Bereinigung der bestehenden Pipeline-Landschaft durch Entfernung ungenutzter Pipelines, Verbesserung der Secrets-Hygiene, Umsetzung des Least-Privilege-Prinzips und Isolation von Build-Agent-Umgebungen.
Azure Web Application Firewall (WAF) Optimierung: Analyse und Optimierung bestehender Azure-WAF-Regelwerke (OWASP Top 10 Core Rule Set, DSR/SDC, Custom Rules) zur Abwehr bekannter Schwachstellen und Exploit-Patterns, inkl. Reduktion von False Positives und Verbesserung der Angriffserkennung.
Dokumentation & Stakeholder-Kommunikation: Erstellung und Pflege technischer Dokumentationen, Runbooks und Architekturübersichten in Jira und Confluence sowie aktiver Wissenstransfer zwischen Operations, Development, Security und Compliance-Stakeholdern.

Kennedy A.

Cybersecurity-Trainee

Essen

Letzte Position:

Cybersecurity-Trainee bei CYBERDEFENDERS

Über 25 praxisorientierte Labs abgeschlossen, mit Fokus auf digitale Forensik, Incident Response und fortgeschrittene Threat-Hunting-Techniken.
Top-Badges in Malware-Analyse, Enterprise-Log-Analyse und Threat Intelligence erworben.
Spezialisierte Fähigkeiten im Erstellen forensischer Berichte und in Methoden der Beweissammlung zur Unterstützung von Vorfalluntersuchungen entwickelt.

Nils K.

Schwachstellenmanagement und sicherer SDLC

Lübeck

Letzte Position:

Schwachstellenmanagement und sicherer SDLC bei DB InfraGO AG

Erfolgreiche Implementierung des Schwachstellenmanagements mit DefectDojo
Beratung und Umsetzung technischer und prozessualer Aspekte des Schwachstellenmanagements mit DefectDojo
Beratung bei der Implementierung bezüglich sicherem Softwareentwicklungslebenszyklus
Skills: GitLab, DefectDojo, Vulnerability Management, SCA, SAST, DAST, Python, Kubernetes, ArgoCD, Docker, AWS, Azure, Whitesource/Mend, Greenbone

Eugen B.

Testmanager

Frankfurt am Main

Letzte Position:

Testmanager bei Research Industrial Systems Engineering (RISE) Forschungs-, Entwicklungs- und Großprojektberatung GmbH

Erstellung von Testkonzepten
Anforderungsmanagement
Release Planung & Begleitung
DDS-Leiten
Reporting (Testreport, AFO TestMatrix)
UAT/BAT Koordination
Onboarding von neuen Teammitgliedern
Teamplanung / Kapazitätsplanung
Unterstützung bei Dokumentation
Methoden/Werkzeuge/Technologien: Black Box, White Box, Explorativer Test, E2E Test, Regressionstest, L&P Test, Akzeptanztest und Schnittstellentests, Integrations- und Systemtests, Netzwerk, JIRA mit Plug-in Zephyrscale, Confluence, RISE Portal, Ethernet, IPv4, IPv6, Linux, VM, Postman, SQL, SQL-Developer, Bruno, Wireshark, Cloud, Burp Suite, Notepad++

Jeet P.

Globaler SAP-Programmmanager

Letzte Position:

Globaler SAP-Programmmanager bei Aldi Süd

Pionierarbeit bei der ersten Enterprise-KI-SAP-Integration bei ALDI SÜD, Einführung KI-gesteuerter Automatisierung in einem der größten SAP S/4HANA-Programme im Einzelhandel, wodurch 50 % der manuellen Pre-Cycle-Validierungen entfallen sind und ein reproduzierbares Automatisierungs-Framework in 11 Ländern geschaffen wurde
Verantwortlich für das gesamte SAP-Projekt-Lifecycle-Management für Implementierungen in SAP S/4HANA und Manhattan Systems, Unterstützung von über 7.300 ALDI SÜD-Filialen in Europa und Australien
Hauptansprechpartner für C-Level-Stakeholder in 11 Ländern für strategische SAP-Transformationsprogramme
Orchestrierung von Automatisierungs-, Performance- und Volumentests für kritische Releases mit 99,9 % SLA-Einhaltung während der umsatzstärksten Phasen
Führung funktionsübergreifender internationaler Teams mit über 15 Spezialisten, Lieferung von Projekten 20 % schneller als Branchendurchschnitt
Standardisierung von SAP-Prozessen in 11 Ländern als Teil einer der größten SAP-Einführungen im Einzelhandel
Direkte Verwaltung eines Budgets von 2 Mio. € mit einer Budgettreue von 98 % über 12 gleichzeitige Projekte
Reduzierung der SAP S/4HANA-Migrationskosten um 18 % durch strategische Vertragsnachverhandlungen und Optimierung

Maryam M.

KI-Red-Team-Ingenieur

Hamburg

Letzte Position:

KI-Red-Team-Ingenieur bei Applause

Durchführung von Sicherheitsbewertungen und Penetrationstests an Microsoft-KI-Modellen für Text-, Bild- und Videoerzeugung.
Durchführung von Prompt-Injection-Angriffen über verschiedene Eingabevektoren, darunter speziell gestalteter Text, steganografische Bilder und manipulierte visuelle Elemente (z. B. unterschiedliche Transparenz und eingebettete Inhalte).

Bernhard B.

Senior Sicherheitsarchitekt

Wiesbaden

Letzte Position:

Senior Sicherheitsarchitekt bei Intermediate Beratung

Beratung in einem laufenden Projekt im Bereich IT-Sicherheitsarchitektur
Dokumentation des bisherigen Verlaufs und Planung des weiteren Vorgehens
Anwendung und Umsetzung des BSI IT-Grundschutzes
Aufbau und Pflege von Sicherheitsmanagementsystemen
Anwendung der ISO 27001 Normenreihe
Integration von ITIL-Prozessen in Sicherheitsarchitekturen
Zusammenarbeit mit öffentlichen Auftraggebern, Aufsichtsbehörden sowie internen und externen Dienstleistern

Mevlüt Y.

Projekt

München

Letzte Position:

Projekt bei Physische Adversarial-Angriffe mittels holografischer Ventilatorprojektionen

Planung und Durchführung von Black-Box-Adversarial-Tests an Verkehrszeichenerkennungs-Pipelines; Erstellung eines Bedrohungsmodells und einer Angriffsflächenanalyse für sicherheitskritische Szenarien
Aufbau eines programmierbaren Hardware-Prototyps mit einem holografischen POV-Lüfter und einem reproduzierbaren Test-Setup, um Echtzeitsversuche durchzuführen und Beweise für die Schwachstellenanalyse zu sammeln
Quantifizierung von Fehlklassifizierungen in Abhängigkeit von Beleuchtung, Entfernung und Winkel mit bis zu 90% ungezielter Fehlklassifizierung; Bereitstellung von Reproduktionsschritten, Proofs-of-Concept, priorisierten Gegenmaßnahmen sowie Dokumentation von Einschränkungen und Restrisiken

Seyed Farhad M.

Senior Produkt-Sicherheitsingenieur

Letzte Position:

Senior Produkt-Sicherheitsingenieur bei Delivery Hero

Ein eigenes Tool entwickelt, das mit dem Mistral 7B LLM Sicherheitslücken scannt, validiert und meldet.
KI-Agenten, Bots und andere LLMs auf Sicherheit getestet, mit Schwerpunkt auf Prompt-Injektion, Modell-Inversion, Daten-Vergiftung, EDR/AV-Bypass- und Umgehungstechniken, Mitgliedschaftsinferenz, Modell-Umgehung, Overfitting auf bösartige Eingaben und kontextuelle Manipulation.
Git-Repositories in SAST-Lösungen für Sicherheits-Scans eingebunden, Secrets-Scanning, DAST und SCA implementiert und ZAP für DAST in CI/CD-Pipelines genutzt.
Schulungen zum Sicherheitsbewusstsein durchgeführt, CTF-Challenges und Schulungsmaterialien entwickelt, um das Sicherheitswissen der Entwickler zu verbessern.
Halbjährliche Red-Teaming-Operationen nach dem MITRE-ATT&CK-Framework geplant und durchgeführt sowie interne und externe Pentests nach dem OWASP-Top-10-Framework für über 70 Anwendungen weltweit geleitet, was zur Entdeckung, Meldung und Behebung von Hunderten von Schwachstellen führte.
HackerOne-Berichte triagiert.

Mohamad A.

Systemingenieur für Netzwerksicherheit

Bochum

Letzte Position:

Systemingenieur für Netzwerksicherheit bei Bechtle AG

SD-WAN Lösung von Aruba – Schweizer Energieunternehmen (330 Standorte): Design und Implementierung einer SD-WAN Branch-Lösung mit Aruba 9004 Gateways, verschlüsseltem Overlay, Policy-Based Routing, WAN Load Balancing und zentralem Management über Aruba Central.
LAN/WLAN & Security – Schulen Deutschland (9 Standorte): Aufbau von Aruba Switches & AP-505, FortiGate 80F Firewalls; Einrichtung Checkmk Monitoring, Incident- und Change-Management sowie sichere Administrationszugänge (BeyondTrust).
Multi-Site Security – Energie-Abrechnungsunternehmen (20 Standorte): Aufbau einer Fortinet-Komplettlösung (FortiGate HA-Cluster, FortiSwitch PoE, FortiAP), IPSec Remote-Access VPN über FortiClient, zentrales Management via FortiCloud, IntraID Authentication, Betrieb und Incident-Management.
Datacenter-Umzug – Deutscher Kunde: Migration von Datacenter-Switches (Mellanox), Firewall-Cluster und OfficeConnect-Switches in ein neues Datacenter; Absicherung der Konfigurationen, Implementierung von HA-Designs, Testing, Monitoring sowie koordinierte Change- und Incident-Prozesse. Aufbau zwei neue Switche 6300 M VSX clustered.
Rechenzentrums-Security – Universitätsklinikum: Implementierung eines hochverfügbaren FortiGate 400F Firewall-Clusters für drei Rechenzentren; Security-Policy Design, Betriebssupport und Change-/Incident-Management.
Enterprise Campus & Network Access Control – Industrieunternehmen Deutschland: Einführung von Aruba ClearPass NAC, Aufbau einer VSX-basierten Switching-Architektur, sichere WLAN-Zugänge mit MPSK und Integration in bestehende Netzwerke.
EU-Kunde (Deutschland & Polen) – Sophos Firewalls: Betrieb, Incident- und Change-Management Sophos-Firewall inkl. IPSec-VPN; Troubleshooting und kontinuierliche Optimierung der Sicherheitskonfigurationen.
Netzwerkmodernisierung – Apothekenkunde Deutschland: Design und Rollout von Core- und Access-Switching (Mellanox, Aruba Instant On), Migration von Sophos auf Fortinet Firewalls, Netzwerksegmentierung und Security-Absicherung.

Evgenii T.

IT-Cybersicherheitsingenieur

Freising

Letzte Position:

IT-Cybersicherheitsingenieur bei EuroTechStudy

Vishnu K.

Red-Team-Ingenieur (Management-Ebene VI)

Letzte Position:

Red-Team-Ingenieur (Management-Ebene VI) bei Schwarz Group (Lidl, Kaufland, Stackit)

Infrastruktur für Red Team aufgebaut, um realistische Angriffssimulationen mit Sliver C2 und eigenen Tools durchzuführen
Komplexe Red-Team-Operationen ausgeführt und KI-/LLM-Sicherheitsforschung für Prompt-Injection-Angriffe integriert
Umfassende Breach-Assessment-Angriffe und Schwachstellenbewertungen in der Unternehmensinfrastruktur durchgeführt
Ursachenanalysen und Purple-Team-Übungen durchgeführt und Berichte für die Geschäftsleitung erstellt
LLM-Red-Team-Initiativen geleitet, um die Sicherheit von KI-Modellen wie GPT-4, Mistral und internen GenAI-Modellen zu verbessern

Jörg H.

Geschäftsführer; Datenschutzbeauftragter; Informationssicherheitsbeauftragter

Letzte Position:

Geschäftsführer; Datenschutzbeauftragter; Informationssicherheitsbeauftragter bei Datenschutz24 (Marke der Sovestro GmbH)

Ausarbeitung von Betriebsvereinbarungen mit Bezug zum Datenschutz
Mediator zwischen wirtschaftlichen Interessen und Betroffenenrechten im betrieblichen Kontext
Prozessanalyse und Bewertung hinsichtlich datenschutzrechtlicher und datensicherheitsrelevanter Implikationen nach DSGVO, BDSG, BSI-Grundschutz
Begleitung von Informationssicherheitsaudits nach ISO 27001
Implementierung von Change-Management Prozessen
Analyse der IT-Infrastruktur und Ableitung von Handlungsempfehlungen
Sachverständiger Begleiter bei gerichtlichen Verfahren sowie Kommunikation mit den Aufsichtsbehörden
Ausarbeitung von Datenschutzfolgeabschätzungen (DSFA) sowie Verfahrens- und Verarbeitungsdokumentation (VVZ)
Schulungen zum Thema betrieblicher Datenschutz und Informationssicherheit
Kooperation mit Anwaltskanzleien bei gerichtlichen Verfahren

Alexander N.