DSGVO-Experten in Köln

• Reguliertes Konzernumfeld einer deutschen Bankengruppe (ca. 8.500 Mitarbeiter, Hybrid Cloud-Strategie).

• Verantwortlich für den Betrieb, die Bereitstellung und die kontinuierliche Absicherung geschäftskritischer Plattformen – darunter eine GenAI-Chat-Anwendung, eine Big-Data/AI-Plattform sowie Data-Science-Arbeitsplätze auf Basis von Azure Virtual Desktops und VMs. Ownership der AzureDevOps Projekte nach ShaiHulud und React2Shell sowie BSI-Warnungen – Security Operations Improvements im gesamten SDLC.

• Deployment-Verantwortung für GenAI-Chat-Anwendung, Big-Data/AI-Plattform (BDAI) sowie Data-Science-Arbeitsplätze (AVD/VM-basiert) in den jeweiligen LZs.

• Deployment & Release Management: End-to-End-Verantwortung für Deployments von Portal- und Service-Applikationen in mehreren Azure Landing Zones, inklusive technischer Freigaben, Approvals nach Deployment-Guidelines der Entwicklungsteams sowie Sicherstellung ITIL-basierter Change- und Release-Prozesse im laufenden Betrieb via ServiceNow.

• Azure Landing Zones & Netzwerkarchitektur: Aufbau, Provisionierung und Betrieb von Azure Landing Zones für 3-Tier-Web-Applikationen mit verbesserter Netzwerksegmentierung, VNet-Peering, Hub-Spoke-Architekturen, Private Endpoints und Firewall-Integration in separaten Subscriptions und Tenants.

• Azure DevOps Governance & Betrieb: Ownership der Azure-DevOps-Organisation inklusive Projekte, Repositories und CI/CD-Pipelines, Umsetzung von Governance-Vorgaben wie Branch-Policies, Approval-Gates, Berechtigungskonzepten und Audit-fähigen Betriebsstrukturen.

• Infrastructure as Code (Terraform): Design, Implementierung und Betrieb einer modularen Terraform-Architektur zur standardisierten Bereitstellung von Cloud-Infrastruktur, inklusive State-Management, Provider-Versionierung, Wiederverwendbarkeit und Policy-as-Code-Ansätzen.

• CI/CD Pipeline Engineering: Konzeption, Betrieb und Optimierung komplexer YAML-basierter CI/CD-Pipelines mit Multi-Stage-Deployments, Template-Standardisierung, Self-Hosted Agents, integriertem Secret-Management und automatisierten Qualitäts- und Sicherheitsprüfungen.

• Git-Migration & Plattformkonsolidierung: Planung und Umsetzung der Migration von Repositories und Pipelines von Azure DevOps zu GitLab CI/CD, inklusive automatisierter Skripte, Inklusive Git-History, Pipeline-Portierung und Konsolidierung der Entwicklungsplattformen.

• Container- & Plattformbetrieb (AKS): Betrieb und sicherheitstechnische Bewertung containerbasierter Workloads auf Azure Kubernetes Service, Zentralisierung der On-Premises Container Registry für ACR. OpenShift (OCP) Security Reviews: Sicherheitsbewertung von Codebaselines, Build-Pipelines und Deployment-Prozessen für On-Premises-OpenShift-Cluster mit kritischen Anwendungen sowie Ableitung konkreter Hardening-Empfehlungen.

• Shift-Left Security & DevSecOps Transformation: Einführung eines unternehmensweiten Shift-Left-Ansatzes zur frühzeitigen Integration von Sicherheit in Entwicklungs- und Deployment-Prozesse, Enablement der Entwickler zur eigenständigen Sicherheitsprüfung und nachhaltige Reduktion von Schwachstellen vor Produktivsetzung (IDE-Integrationen, Pre-Commit Hooks, lokale Scanner).

• Software Supply-Chain Security: Analyse und Mitigation von Supply-Chain-Risiken in NPM- und Yarn-basierten Anwendungen durch Dependency-Audits, Absicherung von CI/CD-Pipelines, Token-Rotation und Einschränkung riskanter Build- und Lifecycle-Mechanismen.

• Frontend- & Framework-Security (React / Next.js): Sicherheitsbewertung und Koordinierung der Behebung kritischer Schwachstellen in allen Plattform-Anwendungen und Web-Frameworks, inklusive Abstimmung und ergänzenden technischen Mitigationsmaßnahmen mit allen Teams nach BSI-Warnung.

• Software Composition Analysis (SCA): Einführung und Betrieb automatisierter Schwachstellen-Scans für Container-Images, Pipelines/Artefakte und Third-Party-Dependencies inklusive SBOM Exports innerhalb der CI/CD-Pipelines.

• SAST / DAST Integration: Konzeption und Pilotierung statischer und dynamischer Anwendungssicherheitstests in enger Zusammenarbeit mit Security-Architektur und Entwicklungsteams zur kontinuierlichen Verbesserung der Code- und Runtime-Security und Etablierung betrieblicher Abnahme-Tests (BATs).

• Artefakt- & Registry-Konsolidierung: Analyse und Konsolidierung aller Paket- und Container-Repositories für Service-Applikationen und AKS-Workloads mit dem Ziel einer zentralisierten, abgesicherten Registry-Strategie inklusive zentralisierter Vulnerability-Scanning und Governance.

• Dependency-Track & SBOM-Strategie: Beratung des Compliance-Boards zur Einführung einer zentralen SBOM- und Vulnerability-Management-Plattform zur konzernweiten Erhöhung der Transparenz über Abhängigkeiten und Beschleunigung der CVE-Reaktionsfähigkeit.

• CI/CD Pipeline Hardening: Sicherheitsanalyse und Bereinigung der bestehenden Pipeline-Landschaft durch Entfernung ungenutzter Pipelines, Verbesserung der Secrets-Hygiene, Umsetzung des Least-Privilege-Prinzips und Isolation von Build-Agent-Umgebungen.

• Azure Web Application Firewall (WAF) Optimierung: Analyse und Optimierung bestehender Azure-WAF-Regelwerke (OWASP Top 10 Core Rule Set, DSR/SDC, Custom Rules) zur Abwehr bekannter Schwachstellen und Exploit-Patterns, inkl. Reduktion von False Positives und Verbesserung der Angriffserkennung.

• Dokumentation & Stakeholder-Kommunikation: Erstellung und Pflege technischer Dokumentationen, Runbooks und Architekturübersichten in Jira und Confluence sowie aktiver Wissenstransfer zwischen Operations, Development, Security und Compliance-Stakeholdern.

Das Projekt ATLAS der Helaba verfolgt das Ziel, zentrale Systeme zu modernisieren und zukunftssicher zu gestalten. Im Rahmen des Teilprojekts wird das bestehende Legacy-System für den internationalen Zahlungsverkehr abgelöst und durch eine moderne, webbasierte Applikation ersetzt.

• Analyse fachlicher und technischer Anforderungen
• Analyse und Optimierung von fachlichen Prozessen
• Prozessmodellierung
• Vorbereitung und Moderation von Workshops
• Definition Projektscope und Priorisierung der Anforderungen
• Geschäftsprozessmanagement (Analyse, Modellierung und Optimierung)
• Spezifikation von User Stories
• Konzeption Fach- und Berechtigungskonzept
• Test und Abnahme
• Design von MockUps in Figma
• Erstellung des UI/UX Style-Guides für Webapplikationen Vorgehensweise: Scrum (agil) Technologien: Jira, Confluence, MS Teams, Conceptboard, Java, Vaadin, Figma

• Ganzheitliche Produktverantwortung aus Businesssicht: Anforderungsanalyse, UX-Konzeption, Produktstrategie und Go-to-Market umgesetzt ohne eigenes Dev-Team durch konsequent KI-gestützte Entwicklung (Claude Code / Anthropic)
• Technische Differenzierung: KRITIS-taugliches Air-Gapped-Deployment (Windows/NSIS), GDT-Schnittstelle für die PVS-Anbindung, DATEV-LODAS-Export für Lohnbuchhaltung
• Steuerung Pilotbetrieb mit externem Erstkunden (Arztpraxis Dormagen): strukturierte Anforderungsaufnahme, Testbegleitung, Fehleranalyse und Release-Steuerung
• Entwicklung Rollout- und Vertriebsstrategie für den Markteintritt im Segment niedergelassene Ärzte und kleine MVZ
• Entwicklungsprinzip Mensch-in-der-Schleife: Business-Entscheidung → KI-Implementierung → manueller Review → Abnahme → Release – jeder Sprint dokumentiert in Jira (TIME-Projekt), jede Änderung durch Co-Authored-Commits nachvollziehbar
• Produktergebnis: Tauri/Rust-Desktop mit GDT-Watcher, Multi-Tier-Modell (Starter/Professional/Enterprise), Cloud-Mirror auf Hetzner/Traefik, vollständiges ISMS-Framework nach ISO 27001 und BSI-Grundschutz als Produktgrundlage
• Direkte Methodenvalidierung für die Testmanager-Rolle: praktische Erfahrung mit Qualitätssicherung KI-generierter Produkte aus Anwenderperspektive, Review-Gate-Disziplin, Release-Freigabe unter DSGVO und EU AI Act

Branche: digitale Souveränität, öffentlicher Dienst

Inhalte:

• Projektsteuerung (Teams: Beratung, Entwicklung, Test, Deployment/Betrieb)

Produkte und Standards:

• Jira, Confluence, Asana, Miro, Mural
• Open Source, Keycloak, Open Xchange, ownCloud

• Übernahm strategische und operative Verantwortung für IT-Infrastrukturen, um Innovation zu beschleunigen und prüfungssichere Ergebnisse zu liefern.
• Diente als zentrale Schnittstelle zwischen Management, Fachbereichen und Engineering, beteiligte sich aktiv an Entwicklung, Cloud-Architektur und CI/CD, um kritische Engpässe zu beheben.
• Entwickelte und implementierte ein KI-Governance-Programm zur Risikosteuerung und Einhaltung des EU AI Act, wodurch die Freigabezeiten für KI-Anwendungsfälle von 8 auf 3 Wochen verkürzt wurden.
• Ließ sichere KI-Systeme (RAG-basierte Wissensplattformen) produktiv einsetzen und erzielte so eine 35%ige Senkung des Standard-Support-Ticket-Volumens.
• Etablierte robuste Sicherheitsstandards und Governance-Frameworks für APIs (OAuth2/OIDC, mTLS) und Cloud-Plattformen (AWS/GCP), um Compliance und Systemintegrität zu gewährleisten.
• Absicherte die Cloud-Infrastruktur durch Zero-Trust-Prinzipien und einen umfassenden Observability-Stack (Logging/Alerting) und erreichte in einer 24/7-Bereitschaft eine Verfügbarkeit von 99,9%.

• Aufbau und erfolgreiche Marktetablierung einer qualitativen Online-Marktforschungs-Softwareplattform (Software-as-a-Service) als Boutique-Anbieter und Entwicklung zum Top-5-Anbieter in der D-A-CH-Region
• Product Ownership und Projektmanagement für die SaaS-Software-Plattform in über 20 Ländern und seit 2017 für die mobile iOS- und Android-App
• Erarbeitung und Realisierung der Produktvision und Roadmap, Produkt- und Interface-Design, Product Backlog-Management und Priorisierung sowie Einbezug von Kundenanforderungen und Stakeholdern
• Beratung von Unternehmenskunden zum strukturierten User-Feedback und Projektleitung von User-Experience-Studien (In-home Use Tests, Tagebuchstudien, User Acceptance Testing)
• Mitarbeit in digitalen Produktentwicklungsprojekten im Konzernumfeld (Apps & IoT-Applikationen) und Moderation von Workshops mit D-Level-Stakeholdern in Deutsch und Englisch
• Verantwortlich für Akquise und Account-Betreuung von Unternehmenskunden im deutschsprachigen Raum und im europäischen Ausland
• Aufbau sowie fachliche und disziplinarische Führung des Professional Services Teams und fachliche Vertiefung Datenschutz und DSGVO

• PRISMA-Projekt
• Ansible-Automatisierung
• Windows-Third-Level-Support für Windows NT, Windows 2000, Windows 2013, Windows 2016, Windows 2019

• CFO des Unternehmens
• Beratung im Bereich Prozesse und Prozessmanagement
• Beratung im Bereich Informationssicherheit ISO 27001
• Beratung Scrum / Agiles Management
• Projektleitung bei IT-Projekten besonders Arztpraxen
• Digitalisierungsprojekte
• Schulungen Datenschutz/Datensicherheit

• Entwurf und Leitung der Entwicklung eines automatisierten Kurzvideo-Generierungssystems.
• Aufbau eines skalierbaren AWS-Backends mit Step Functions, Lambda, S3, ECS Fargate und DynamoDB.
• Entwicklung der Videoerstellung mit OpenCV und FFMPEG; Gewährleistung wartbarer Python-Codequalität.
• Betreuung und Coaching eines Python-Entwicklers und Schulung des Kunden in AI-Workflows.
• Reduzierung der End-to-End-Produktionszeit von Stunden auf Minuten.
• Erstellung einer modularen, erweiterbaren Architektur zur Unterstützung künftiger AI-Modelle.

• Durchführung von OT-Sicherheitsbewertungen in europäischen Fertigungsanlagen
• Analyse und Verbesserung von IT-Sicherheitsprozessen und Infrastruktur
• Überarbeitung der SOC-Prozesse in Zusammenarbeit mit dem internen SOC-Team
• Durchführung von OT-Zwischenfallschulungen und Tabletop-Übungen
• Moderation von Workshops auf C-Level, um die europäische OT-Sicherheitsstrategie abzustimmen
• Bewertung von regulatorischen Änderungen im Zusammenhang mit NIS2 und deren Relevanz für den Kunden

• Beratung zu regulatorischen Anforderungen in den Bereichen IT-Governance, IT-Security, KAIT, KAMaRisk & KAGB, ITIL, COBIT
• Erstellung von Notfallhandbüchern und BCM-Konzepten nach Vorgabe der KAIT auf Basis des BSI-Grundschutzstandards 200-4
• Vorbereitung der Unterlagen für die PwC-Prüfung
• Neugestaltung des Berechtigungsmanagements und Risikomanagements nach KAIT
• Administration, Benutzerverwaltung und Einrichtung von RE-VC
• Dienstleistersteuerung
• Aufbau einer Ablagestruktur und Namenskonvention
• Change-Management inklusive Kommunikationsplan

• Eigenständige Erarbeitung von Richtlinien, Vorgaben und Konzepten zum IKT-Risikomanagement und Informationssicherheit
• Beratung der Fachbereiche zu Fragen des IKT-Risikomanagements und der Informationssicherheit
• Weiterentwicklung des IKT-Risikomanagementrahmens, der die Identifikation, Bewertung und Steuerung von IKT-Risiken regelt
• Evaluierung des Managementsystems für Informationssicherheit (ISMS) inklusive Anpassung an neue Herausforderungen
• Durchführung von Risikoanalysen, um potenzielle IKT-Risiken sowie Risiken für die Informationssicherheit des Metzler-Konzerns zu identifizieren und zu bewerten
• Beratung bei der Definition und Implementierung von Maßnahmen zur Risikominimierung und Verbesserung der Resilienz der IKT-Systeme
• Beratung bei der Sicherstellung der Compliance mit relevanten internen und externen regulatorischen Anforderungen (MaRisk, DORA, BAIT, BSI IT-Grundschutz, ISMS, ISO 27001, ISO 42001, ISO 27005, BCM ISO 22301)
• Beratung bei bereichsinternen und übergreifenden Projekten (SAP DORA Compliance, Target2, §8a-BSI-Gesetz)

• Entwickelte automatisierte ETL-Pipelines mit AWS Glue und Athena zur Sicherstellung konsistenter Datenqualität und Governance-Anforderungen
• Implementierte Maßnahmen zur Validierung, Anonymisierung und Verschlüsselung von Daten im Einklang mit DSGVO
• Optimierte Cloud-Kosten durch Einführung von FinOps-Verfahren und erhöhte die Transparenz für Fachbereiche
• Überwachte Performance, führte Ursachenanalysen durch und stellte die Einhaltung von SLAs sicher
• Unterstützte Daten- und Lösungsarchitekten beim Aufbau tragfähiger Datenmodelle für ML- und Analytics-Szenarien