DAST Experten in Deutschland

• Konzeption und Aufbau einer vollständig abgeschotteten AWS-Offline-Umgebung ohne ausgehenden Internetpfad für den Betrieb einer browserbasierten Fachanwendung
• Entwurf und Implementierung eines Proxy- und Antwortdienstes, der sämtliche externen Aufrufe der Anwendung innerhalb der VPC terminiert und aus lokal vorgehaltenen Inhalten bedient; Ermittlung des tatsächlichen Kommunikationsbedarfs messbasiert über DNS-Query-Logging
• Erstellung von Architekturdesigns und Entscheidungsvorlagen inklusive Variantenvergleich (Application Load Balancer mit Lambda und S3, Reverse Proxy auf EC2, privates API Gateway) mit Bewertung nach Betriebsaufwand, Kosten und Verfügbarkeit
• Übertragung der bislang ausschließlich für Azure vorliegenden Lösungs- und Betriebsdokumentation auf eine AWS-Zielarchitektur inklusive Neuzuordnung sämtlicher Dienste und Betriebsabläufe
• Automatisierter Rollout als Infrastructure as Code (Terraform, CloudFormation) mit CI-Deployment über GitHub Actions sowie Aufbau privater DNS-Zonen und einer eigenen Zertifikatskette für den Betrieb ohne Internetanbindung
• Erstellung der Architektur-, Deployment- und Betriebsdokumentation und Übergabe an den Kunden
• Aufbau einer privaten Cloud-Plattform auf OpenStack beim Provider TelemaxX mit Terraform, inklusive FortiGate-HA-Clustern, FortiManager und Kubernetes
• Einführung von Policy as Code (Open Policy Agent, Conftest) sowie Entwicklung von MCP-Servern (Model Context Protocol) zur Anbindung von KI-Assistenten an Betriebs- und Projektwerkzeuge

Erfolge:

• Fachanwendung erstmals vollständig ohne Internetanbindung betriebsfähig gemacht; die Ursache des Ladefehlers wurde durch systematische Eingrenzung auf fehlende CORS-Header zurückgeführt, nachdem die naheliegende Zertifikatsspur widerlegt war
• Bestehendes Azure-Konzept vollständig auf AWS übertragen und die zuvor manuell erstellte Umgebung durch einen reproduzierbaren, CI-gestützten Rollout abgelöst

Technologie Stack: AWS (VPC, Application Load Balancer, Lambda, S3, Route 53 Private Hosted Zones und Resolver Query Logging, IAM, CloudWatch, EC2, CloudFormation), Infrastructure as Code (Terraform, CloudFormation, Remote State), CI/CD (GitHub Actions mit OIDC, Azure DevOps Pipelines), OpenStack, FortiGate, FortiManager, Kubernetes, Policy as Code (Open Policy Agent, Conftest), Offline- und Air-Gap-Architekturen, PKI & Zertifikate (interne CA, TLS, CRL/OCSP), DNS, Netzwerksegmentierung, Linux, Windows Server, Python, Bash, PowerShell, YAML, JSON, Architekturdesign & Entscheidungsvorlagen, Dokumentation (Confluence, Markdown), Generative & Agentic AI (Model Context Protocol, Agentic AI Coding Tools)

• PRISMA-Projekt
• Ansible-Automatisierung
• Windows Third Level Support für Windows NT, Windows 2000, Windows 2013, Windows 2016, Windows 2019

• Führe Secure Code Reviews durch und gebe Secure-Coding-Beratung für die Anwendungs- und Plattformarchitektur.
• Entwickle Sicherheitsarchitektur für die Infrastruktur sowie Sicherheitsmonitoring-Architektur, Incident-Response-Playbooks und Controls nach dem Security-by-Design-Prinzip.

• Kundenprojekte end-to-end geleitet — von der Grobplanung und Cloud-Strategie bis hin zu Sprint-Planung und Abstimmung mit Stakeholdern
• Sichere Azure Landing Zones mit Infrastructure as Code geplant und umgesetzt
• Governance-Frameworks und Cloud-Sicherheitskontrollen entwickelt, zugeschnitten auf Enterprise-Umgebungen
• Cloud-Readiness-Assessments durchgeführt und Cloud-Migrationsinitiativen von der Bewertung bis zur Übergabe begleitet
• Kundenworkshops und agile Zeremonien moderiert (Sprint Planning, Backlog Refinement, Standups)
• Interne Cloud Competence Centers aufgebaut, um Wissensaustausch und Best Practices über Teams hinweg zu fördern
• Entwicklung eines allgemeinen Cloud Service Portals

Projekt: Digitalisierung von Lagerprozessen | Aufbau einer Data-Analytics-Plattform.

• Entwickelte ein webbasiertes System zur Einsatzplanung, das die tägliche Schichtplanung digitalisierte, indem es Mitarbeitenden-Know-how passenden Lagerbereichen zuordnete. Dadurch wurde die manuelle Abstimmung durch einen strukturierten Workflow ersetzt, der im ganzen Standort genutzt wurde und den Führungskräften Zeit bei der täglichen Planung sparte.
• Entwickelte ein Dashboard für die operative Echtzeitübersicht, das Führungskräften den aktuellen Durchsatz der Aufgaben und die offene Arbeitslast in den Lagerbereichen über den Tag hinweg live anzeigte und so half, Überstunden und Leerlaufkosten zu senken.
• Entwickelte eine Optimierungslösung für das Slotting, um die Effizienz beim Kommissionieren zu verbessern und die Kommissionierzeit pro Bestellung zu senken, in enger Zusammenarbeit mit den Operations-Teams vom Konzept bis zum produktiven Einsatz.

Verwendete Technologien: Python, Django, PostgreSQL, Pandas, NumPy, HTML, Java, JavaScript, Docker, Kubernetes, AWS, Power BI, GitHub Actions CI/CD, GitOps, Claude, OpenAI

• Eine neue Domain-Driven-Design-Architektur für ein Kernsystem entworfen: eine zentrale Komponente reverse-engineered, die Data-Access-Schicht refaktoriert, um Datenbank-Round-Trips zu minimieren (für bessere Skalierbarkeit), und die Verarbeitung auf async migriert.
• Die Plattform in unabhängige .NET-Core-Microservices zerlegt (Database-per-Service) mit RabbitMQ Pub/Sub unter Einsatz des Outbox Pattern + Saga Choreography, hinter einem Ocelot API Gateway (JWT, Rate Limiting, CORS, Health Checks).
• Umsetzung mit .NET Core / Angular / SQL Server / EF Core sowie Docker und Azure DevOps CI/CD; Health Checks und CORS implementiert; technische Designs für Stories im agilen Scrum erstellt.
• Alleiniger ADR-Verantwortlicher; 3 Engineers betreut und Architekturentscheidungen direkt dem Director of Corporate IT präsentiert.

Ich implementierte eine Zero-Trust-Architektur fuer robuste, militaertaugliche maritime Container-Mini-Rechenraeume auf Basis von VMware & Tanzu zur Unterstuetzung containerisierter GIS-Workloads fuer Bodentruppen. Der besondere Fokus lag auf der Absicherung der Kommunikation, dem Workload-Schutz und dem Datenzugriff in umkaempften elektronischen Gefechtsumgebungen, die durch Jamming, Abfangen, Signalmanipulation und staendig wechselnde Einsatzbedingungen beeinflusst werden. Ich habe Use Cases so entworfen und architektonisch umgesetzt, dass jedes Element von Workload, Identitaet und System auch in degradierten oder gestoerten Szenarien weiterhin unabhaengig und sicher funktionieren konnte. Parallel dazu definierte ich die Enterprise- und Solution-Security-Architektur mit LeanIX, Bizzdesign und HOPEX als Enterprise-Architecture-, Repository- und Governance-Plattformen, um Architekturinventar, Beziehungen, Nachverfolgbarkeit, Zielbilder und Security Governance in komplexen Umgebungen zu pflegen. Fuer die architektonischen Designs nutzte ich Sparx Enterprise Architect, um formale Architekturperspektiven, Schnittstellen, Vertrauensgrenzen und Systemarchitektur sowohl in IT- als auch OT-Umgebungen zu beschreiben. Das Tool IriusRisk wurde fuer das Threat Modeling der Loesung eingesetzt, um architekturgetriebene Risiken zu identifizieren, Sicherheitsanforderungen abzuleiten und Gegenmassnahmen sowie Designluecken direkt aus den Loesungsmodellen zu erkennen. Das Risiko- und Compliance-Management wurde mit Archer unterstuetzt. Architekturentscheidungen, Kontrollluecken und operative Risiken wurden in gesteuerte Governance- und auditierbare Compliance-Massnahmen ueberfuehrt. Fuer Dokumentation, Zusammenarbeit und visuelles Design nutzte ich Confluence zur Pflege von Architecture Decision Records, Security Blueprints und Workflows. Lucidchart und draw.io verwendete ich zur Erstellung stakeholdergerechter Design-Artefakte. Ich habe ausserdem OT-Sicherheitskonzepte mit Unterstuetzung von Elektro- und Maschinenbauingenieuren in den Bereichen Oel, Fahrzeug-Bordsysteme, Bahn, Kraftwerke, Pharma, Gasturbinen und Nukleartechnik definiert. Ich erstellte die End-to-End-OT-Sicherheitsstrategie, beginnend bei der globalen Policy, weiterentwickelt zu Standards und Verfahren und schliesslich korreliert mit Bell-LaPadula, Purdue Model, SABSA, TOGAF ADM, CENELEC 50701, IEC 62443 und NIST-Standards. Zudem arbeitete ich mit Engineering-Teamleads zusammen, um kritische KBP-Assets zu identifizieren und sie unter Schutzmassnahmen zu stellen, mit denen SCADA-, PLC- und HMI-Assets segmentiert wurden. Ich trieb die Zusammenarbeit zwischen Security-, IT- und OT-Teams voran, um standardisierte Workflows und Use Cases fuer den OT-Security-Loesungskatalog zu erstellen, waehrend Defense-in-Depth- und Zero-Trust-Prinzipien in operative Umgebungen integriert wurden. Entscheidend war die Integration multidisziplinaerer Engineering-, Security- und Operations-Akteure in eine einheitliche Security-Blueprinting-Strategie und die Sicherstellung, dass Architektur, Threat Modeling, Governance und Dokumentation technisch robust und operativ praktikabel waren.

• Integration von Post-Quantum-Kryptografie-(PQC)-Algorithmen in hochrangige Protokolle.
• Sicherheit von Implementierungen von Post-Quantum-Kryptografie-Algorithmen.
• Umstellung auf Post-Quantum-öffentliche Schlüsselinfrastrukturen.
• Sicherheitsbewertungen von Post-Quantum-Kryptografie-(PQC)-Primitiven.
• Drohnen-Cybersicherheit
• Satelliten-Cybersicherheit
• KI-Sicherheit

• Reguliertes Konzernumfeld einer deutschen Bankengruppe (ca. 8.500 Mitarbeiter, Hybrid Cloud-Strategie).

• Verantwortlich für den Betrieb, die Bereitstellung und die kontinuierliche Absicherung geschäftskritischer Plattformen – darunter eine GenAI-Chat-Anwendung, eine Big-Data/AI-Plattform sowie Data-Science-Arbeitsplätze auf Basis von Azure Virtual Desktops und VMs. Ownership der AzureDevOps Projekte nach ShaiHulud und React2Shell sowie BSI-Warnungen – Security Operations Improvements im gesamten SDLC.

• Deployment-Verantwortung für GenAI-Chat-Anwendung, Big-Data/AI-Plattform (BDAI) sowie Data-Science-Arbeitsplätze (AVD/VM-basiert) in den jeweiligen LZs.

• Deployment & Release Management: End-to-End-Verantwortung für Deployments von Portal- und Service-Applikationen in mehreren Azure Landing Zones, inklusive technischer Freigaben, Approvals nach Deployment-Guidelines der Entwicklungsteams sowie Sicherstellung ITIL-basierter Change- und Release-Prozesse im laufenden Betrieb via ServiceNow.

• Azure Landing Zones & Netzwerkarchitektur: Aufbau, Provisionierung und Betrieb von Azure Landing Zones für 3-Tier-Web-Applikationen mit verbesserter Netzwerksegmentierung, VNet-Peering, Hub-Spoke-Architekturen, Private Endpoints und Firewall-Integration in separaten Subscriptions und Tenants.

• Azure DevOps Governance & Betrieb: Ownership der Azure-DevOps-Organisation inklusive Projekte, Repositories und CI/CD-Pipelines, Umsetzung von Governance-Vorgaben wie Branch-Policies, Approval-Gates, Berechtigungskonzepten und Audit-fähigen Betriebsstrukturen.

• Infrastructure as Code (Terraform): Design, Implementierung und Betrieb einer modularen Terraform-Architektur zur standardisierten Bereitstellung von Cloud-Infrastruktur, inklusive State-Management, Provider-Versionierung, Wiederverwendbarkeit und Policy-as-Code-Ansätzen.

• CI/CD Pipeline Engineering: Konzeption, Betrieb und Optimierung komplexer YAML-basierter CI/CD-Pipelines mit Multi-Stage-Deployments, Template-Standardisierung, Self-Hosted Agents, integriertem Secret-Management und automatisierten Qualitäts- und Sicherheitsprüfungen.

• Git-Migration & Plattformkonsolidierung: Planung und Umsetzung der Migration von Repositories und Pipelines von Azure DevOps zu GitLab CI/CD, inklusive automatisierter Skripte, Inklusive Git-History, Pipeline-Portierung und Konsolidierung der Entwicklungsplattformen.

• Container- & Plattformbetrieb (AKS): Betrieb und sicherheitstechnische Bewertung containerbasierter Workloads auf Azure Kubernetes Service, Zentralisierung der On-Premises Container Registry für ACR. OpenShift (OCP) Security Reviews: Sicherheitsbewertung von Codebaselines, Build-Pipelines und Deployment-Prozessen für On-Premises-OpenShift-Cluster mit kritischen Anwendungen sowie Ableitung konkreter Hardening-Empfehlungen.

• Shift-Left Security & DevSecOps Transformation: Einführung eines unternehmensweiten Shift-Left-Ansatzes zur frühzeitigen Integration von Sicherheit in Entwicklungs- und Deployment-Prozesse, Enablement der Entwickler zur eigenständigen Sicherheitsprüfung und nachhaltige Reduktion von Schwachstellen vor Produktivsetzung (IDE-Integrationen, Pre-Commit Hooks, lokale Scanner).

• Software Supply-Chain Security: Analyse und Mitigation von Supply-Chain-Risiken in NPM- und Yarn-basierten Anwendungen durch Dependency-Audits, Absicherung von CI/CD-Pipelines, Token-Rotation und Einschränkung riskanter Build- und Lifecycle-Mechanismen.

• Frontend- & Framework-Security (React / Next.js): Sicherheitsbewertung und Koordinierung der Behebung kritischer Schwachstellen in allen Plattform-Anwendungen und Web-Frameworks, inklusive Abstimmung und ergänzenden technischen Mitigationsmaßnahmen mit allen Teams nach BSI-Warnung.

• Software Composition Analysis (SCA): Einführung und Betrieb automatisierter Schwachstellen-Scans für Container-Images, Pipelines/Artefakte und Third-Party-Dependencies inklusive SBOM Exports innerhalb der CI/CD-Pipelines.

• SAST / DAST Integration: Konzeption und Pilotierung statischer und dynamischer Anwendungssicherheitstests in enger Zusammenarbeit mit Security-Architektur und Entwicklungsteams zur kontinuierlichen Verbesserung der Code- und Runtime-Security und Etablierung betrieblicher Abnahme-Tests (BATs).

• Artefakt- & Registry-Konsolidierung: Analyse und Konsolidierung aller Paket- und Container-Repositories für Service-Applikationen und AKS-Workloads mit dem Ziel einer zentralisierten, abgesicherten Registry-Strategie inklusive zentralisierter Vulnerability-Scanning und Governance.

• Dependency-Track & SBOM-Strategie: Beratung des Compliance-Boards zur Einführung einer zentralen SBOM- und Vulnerability-Management-Plattform zur konzernweiten Erhöhung der Transparenz über Abhängigkeiten und Beschleunigung der CVE-Reaktionsfähigkeit.

• CI/CD Pipeline Hardening: Sicherheitsanalyse und Bereinigung der bestehenden Pipeline-Landschaft durch Entfernung ungenutzter Pipelines, Verbesserung der Secrets-Hygiene, Umsetzung des Least-Privilege-Prinzips und Isolation von Build-Agent-Umgebungen.

• Azure Web Application Firewall (WAF) Optimierung: Analyse und Optimierung bestehender Azure-WAF-Regelwerke (OWASP Top 10 Core Rule Set, DSR/SDC, Custom Rules) zur Abwehr bekannter Schwachstellen und Exploit-Patterns, inkl. Reduktion von False Positives und Verbesserung der Angriffserkennung.

• Dokumentation & Stakeholder-Kommunikation: Erstellung und Pflege technischer Dokumentationen, Runbooks und Architekturübersichten in Jira und Confluence sowie aktiver Wissenstransfer zwischen Operations, Development, Security und Compliance-Stakeholdern.

• Erfolgreiche Implementierung des Schwachstellenmanagements mit DefectDojo
• Beratung und Umsetzung technischer und prozessualer Aspekte des Schwachstellenmanagements mit DefectDojo
• Beratung bei der Implementierung bezüglich sicherem Softwareentwicklungslebenszyklus
• Skills: GitLab, DefectDojo, Vulnerability Management, SCA, SAST, DAST, Python, Kubernetes, ArgoCD, Docker, AWS, Azure, Whitesource/Mend, Greenbone

• Analyse und Weiterentwicklung der Security-Architektur.
• Konzeption und Entwicklung von Splunk Apps sowie Technical Add-ons (TAs).
• Entwicklung und Implementierung von Security Use Cases im Splunk SIEM.
• Erstellung und Pflege von Incident Response Playbooks in Cortex XSOAR.
• Begleitung technischer Proof-of-Concepts zur Bewertung neuer Detection-Technologien.
• Lifecycle-Management und Betriebsunterstützung für Splunk- und Cribl-Systeme.
• Aufbau und Skalierung von Splunk-Indexern in hybriden Rechenzentrumsumgebungen.
• Wartung, Updateplanung und Optimierung von Cribl Stream & Edge für Log-Ingestion und Daten-Routing.
• Erstellung von Dashboards und Reports zur Visualisierung der Sicherheitslage und Systemverfügbarkeit.
• Technische Analyse zur Bewertung von Netzwerktopologien und Datenflüssen.
• Anbindung neuer Datenquellen über Cribl Stream/Edge sowie Heavy Forwarder in Cloud- und On-Prem-Umgebungen.
• Integration externer Security-Komponenten wie Cortex XSOAR (SOAR) und User Behavior Analytics (UBA).
• Umsetzung komplexer Korrelationsregeln in Splunk Enterprise Security (ES).
• Anbindung externer Ticket-Systeme über Mail-Gateways und REST APIs.
• Automatisiertes Deployment von Use Cases, Dashboards und Detection Rules via Git und Ansible.

• Definierte und setzte eine umfassende Sicherheits-Roadmap um: integrierte Shift-Left-Security, CNAPP und DevSecOps-Prinzipien, um die sichere Produktentwicklung zu optimieren und die Risikoexposition zu reduzieren.
• Etablierte ein robustes Framework für Bedrohungsmodellierung: verankerte Sicherheit in den Designprozessen, ermöglichte so frühzeitige Identifizierung von Schwachstellen und verringerte potenzielle Risiken.
• Entwickelte ein skalierbares Schwachstellenmanagementprogramm: beschleunigte die Erkennung und Behebung neuer Schwachstellen und verkürzte dadurch den Reaktionszyklus erheblich.
• Verbesserte Cloud- und Containersicherheit: setzte fortschrittliche Tools wie Tetragon ein, um tiefere Einblicke zu erhalten und eine Defense-in-Depth-Strategie umzusetzen.
• Automatisierte Sicherheitskontrollen in CI/CD-Pipelines: integrierte Sicherheitsmaßnahmen in den Entwicklungszyklus, um eine kontinuierliche Bereitstellung mit starken Schutzmechanismen sicherzustellen.
• Förderte funktionsübergreifende Zusammenarbeit: kooperierte mit Entwicklern und Infrastrukturteams, um Bedrohungen zu priorisieren und Abhilfemaßnahmen abzustimmen und förderte so eine einheitliche Sicherheitskultur.
• Stellte regulatorische Compliance und Audit-Bereitschaft sicher: arbeitete eng mit dem InfoSec-Team zusammen, um interne Richtlinien einzuhalten und Audits für Standards wie PCI-DSS und SOC 2 erfolgreich zu unterstützen.

• Ein eigenes Tool entwickelt, das mit dem Mistral 7B LLM Sicherheitslücken scannt, validiert und meldet.
• KI-Agenten, Bots und andere LLMs auf Sicherheit getestet, mit Schwerpunkt auf Prompt-Injektion, Modell-Inversion, Daten-Vergiftung, EDR/AV-Bypass- und Umgehungstechniken, Mitgliedschaftsinferenz, Modell-Umgehung, Overfitting auf bösartige Eingaben und kontextuelle Manipulation.
• Git-Repositories in SAST-Lösungen für Sicherheits-Scans eingebunden, Secrets-Scanning, DAST und SCA implementiert und ZAP für DAST in CI/CD-Pipelines genutzt.
• Schulungen zum Sicherheitsbewusstsein durchgeführt, CTF-Challenges und Schulungsmaterialien entwickelt, um das Sicherheitswissen der Entwickler zu verbessern.
• Halbjährliche Red-Teaming-Operationen nach dem MITRE-ATT&CK-Framework geplant und durchgeführt sowie interne und externe Pentests nach dem OWASP-Top-10-Framework für über 70 Anwendungen weltweit geleitet, was zur Entdeckung, Meldung und Behebung von Hunderten von Schwachstellen führte.
• HackerOne-Berichte triagiert.

• KI-gestützte Analyse von Quellcode
• KI-gestützte Bildgenerierung für einen Shirtshop
• KI-gestützte Analyse vernetzter YouTube-Kanäle und kommentierender Nutzer
• KI-gestütztes Prototyping von Software
• Betrieb einer lokalen KI-Umgebung
• 3D-Druck und -Scan: Entwicklung eines Verfahrens zur Reparatur von GfK-Teilen mittels 3D-gedruckter Negativformen

Der Fokus liegt auf praktischen Anwendungen neuer Technologien, der Gründung eines Open-Source-Projekts für einen Yacht-Autopiloten sowie Yacht-Refit und Wohnmobil-Ausbau.