GRC Experten in Deutschland

• Strategische Planung, fachliche Ausarbeitung und operative Steuerung der Migration eines E-Mail-Gateways in einem sicherheitskritischen Behördenumfeld.
• Erstellung der fachlichen Leistungsbeschreibung sowie Entwicklung technischer Konzepte und Migrationsansätze unter Berücksichtigung von BSI-Anforderungen.
• Technisches Anforderungsmanagement mit Fachbereichen, Informationssicherheit und Betrieb.
• Koordination externer Dienstleister, Integratoren und Umsetzungspartner; Pflege von Projektplänen, Meilensteinen, Ressourcen, Risiken und Abhängigkeiten.
• Regelmäßiges Reporting an Projektleitung, Programmumfeld und interne Stakeholder.

• Branche: Maschinenbau, Fahrzeugbau
• Regulierungen: Data Act
• Projektschwerpunkt: Datengovernance, rechtskonforme Maschinendatennutzung, Datenplattformen
• Beauftragt durch: CFO, Plattform Product Owner

Erfolge/Ergebnisse (Frühphase):

• Compliance-Begleitung des Aufbaus einer int. vereinheitlichten Datennutzungsplattform auf Basis Databricks.
• Schaffung der Voraussetzung für die rechtskonforme und effektive Maschinendatennutzung, u.a.:
• Technisch: Gap-Analyse und Schließen von Lücken in der Segmentierung und Pflege der erhobenen Maschinendaten.
• Technisch: Berücksichtigung von Datenausleitungen aus der Plattform an Nutzer und Dritte.
• Organisatorisch: Entwurf und Abschluss der erforderlichen Datennutzungsverträge.

• WiNOWiG-Erweiterungen (Digitalisierung & Organisation)
• Projektmanagement zu dem Projekt WiNOWiG (Ordnungswidrigkeiten)
• Optimierung der Prozesse sowie Steuerung

WESENTLICHE PROJEKTE

Seit 05/2023 | Bank | Senior Cyber-Sicherheitsberater (extern)

• Beratung und Anleitung der Systemverantwortlichen bei der Erstellung und Weiterentwicklung von IT-Sicherheitskonzepten
• Koordination und Nachverfolgung der Behebung von Findings aus Prüfungen und Audits
• Beratung bei der Umsetzung regulatorischer Anforderungen an die Informationssicherheit

10/2023 – 02/2024 | Fintech | Projektmanager (extern)

• Projektmanagement zur Schließung verschiedener Audit-Gaps im Bereich Informationssicherheit
• Konzeptioneller Aufbau und Implementierung eines Informationssicherheitsmanagementsystems auf Basis der ISO/IEC 27001
• Erstellung und Weiterentwicklung von ISMS-Dokumenten und -Prozessen

Zur Erzielung von Einsparungen und Optimierung der Compliance wurden Apps in Abgleich mit den Zuordnungen des Identity Managements neu strukturiert, Einschränkungen definiert und vor allem Kosten aus einer Übernutzung reduziert. Die Kommunikation mit den Stakeholdern, Validierung der Berechtigungen mit Anwendern und technische Umsetzung in den Modulen SAP FI/CO und Sourcing & Procurement ergab umfangreichen Mehrwert für die Gruppe. Hinzu kommt entsprechende Dokumentation für die Wirtschaftsprüfung.

• Transition Strategische Geschäftsentwicklung: Produkt vor Kunde in <4 Monaten statt 10
• Transition Strategische Geschäftsentwicklung: Reduktion der Entwicklungskosten zum Plan: 40% (-250 TEUR)
• Executive Mentor & Coach für CEO & CPO: CEO zu beschäftigt, um sich zu verbessern – Portfolio, Unternehmensstruktur und Strategie
• Executive Mentor & Coach für CEO & CPO: PO→CPO-Transition für die Übernahme der Produktgesamtverantwortung Lohnpulse
• Interim CIO: GU-Dienstleister-Scouting / Onboarding / Handover zu CPO
• Interim CIO: Transition MVP→betreibbares Produkt durch CPO

Branche: Finanzen/Versicherungen

• Sparringspartnerin des Datenschutzteams
• Übernahme von Aufgaben aus dem Datenschutz-Backlog
• Aktualisierung der Datenschutzprozesse
• Aktualisierung der TOM
• Überarbeitung von Musterdokumenten (u. a. AV-Vertrag, Datenschutzrichtlinien)
• Durchführung von Audits (Berechtigungskonzept, SW-Entwicklung)
• Übernahme von Aufgaben aus dem Tagesgeschäft
• Bearbeitung von Datenschutzmeldungen
• Durchführung von SWA und DSFA
• Prüfung von AV-Verträgen
• Konzeption und Durchführung von Schulungen
• Standard-Datenschutzmodell
• KI und Datenschutz

Ergebnis: Datenschutzteam kompetent unterstützt, Datenschutz-Backlog abgearbeitet, Schulungen erfolgreich durchgeführt

Strategische Beratung beim Aufbau und der Härtung von ISMS-Strukturen (ISO 27001 / BSI IT-Grundschutz) sowie Einarbeitung, Gap-Analysen und Vorbereitung der IT-Organisation auf DORA-Anforderungen (IKT-Drittparteienrisiko) und NIS2-Compliance. Auditierung von Compliance-Vorgaben im regulierten Umfeld.

• Leitung der gruppenweiten, internationalen und funktionsübergreifenden IT-Governance-&-IAM-Abteilung in der zentralen IT-Division eines großen deutsch-französischen Privatbankkonzerns. Disziplinarische Führung von rund 30 Mitarbeitenden an fünf Standorten (Frankfurt, Paris, Tunis, Saarbrücken, Düsseldorf). Vorsitzender in IT-Komitees und zentrale Rolle in der direkten Kommunikation mit der Geschäftsführung, dem Aufsichtsrat, externen Stakeholdern und Aufsichtsbehörden.
• Definition und Implementierung eines modernen IT-Strategieprozesses sowie der zugehörigen IT-Governance-Strukturen für die IT-Abteilung mit über 600 Mitarbeitenden (bestätigt durch die deutsche Bundesanstalt für Finanzdienstleistungsaufsicht und die ACPR) und erfolgreichem Ablauf.
• Aufbau eines zukunftsorientierten Prozessrahmens für IT und der notwendigen Governance-Strukturen (Process Squads) zur kontinuierlichen Verbesserung der IT-Prozesse im Hinblick auf neue regulatorische Anforderungen (einschließlich DORA, EU AI Act usw.).
• Einführung strenger Prozesse zum Abbau eines historischen Rückstands an Prüfungsfeststellungen (> 100 IT-Feststellungen, 40 überfällige Feststellungen in 2022) von internen und externen Prüfern (WP, ACPR, BaFin). Erfolgreiche Reduzierung der überfälligen Feststellungen auf 0 Ende 2025.
• Unterstützung von mehr als 20 IT-Prüfungen pro Jahr und Aufbau von Prozessen zur regulatorischen Überwachung. Einführung von ServiceNow zur Revolutionierung der Prozesse für regulatorische Änderungen und IT-Compliance mit erweiterten KI-Funktionen.
• Neuausrichtung der IT-Kontrollprozesse in Verbindung mit der neu gegründeten ICT-Risiko-Funktion nach DORA und dem Drei-Linien-Modell mit der TopEase GRC-Lösung.
• Reduzierung der Anwendungslandschaft durch systematische Analyse der Funktionen gemeinsam mit Anwendungs- und Fachverantwortlichen, Identifikation von Doppelungen und Umsetzung einer One-Tool-Strategie im gesamten Konzern. Erfolgreiche Reduzierung eines Drittels der Anwendungen in der CMDB.
• Onboarding aller Konzernanwendungen in die konzernweite IAM-Lösung von One Identity sowie Betrieb und Weiterentwicklung der Lösung in Verbindung mit Segregation of Duties (SoD), rollenbasierter Zugriffskontrolle (RBAC) usw.

• Durchführung verschiedener Endkundenprojekte im Bereich Server- und Netzwerk-Infrastruktur in Time, Quality und Budget.
• Projekt 1: Firewall-Erneuerung, Ablösung einer ASA-Firewall durch eine Fortinet-Firewall bei einem Autozulieferer.
• Projekt 2: Umzug der File-Services von dedizierten Servern an 5 Außenstandorten in ein zentrales Managed File Service inkl. DHCP, Directory- und Print-Services sowie Decommissioning der alten Domain Controller.
• Projekt 3: Erneuerung der Netzwerk-Infrastruktur in der Zentrale und an Außenstandorten eines Logistikunternehmens sowie Überführung der LAN-, WLAN- und Firewall-Umgebungen in einen Managed Network Service.
• Projekt 4: Network Renewal, Erneuerung der Core- und Access-Switches in der Zentrale eines Medizintechnikunternehmens und Überführung in einen Managed Network Service.
• Projekt 5: Firewall-Erneuerung, Ablösung einer ASA-Firewall durch eine Fortinet-Firewall bei einer Stadt.
• Umgebung: ASA- und Fortinet-Firewalls, Cisco-Netzwerkkomponenten, ITSM Heat/Ivanti, Confluence.

• Ausgangssituation: Wachsender Bedarf an datenschutzkonformen KI-Lösungen für Mandanten im KRITIS- und Mittelstandsumfeld, die sensible Medieninhalte (Audio, Video, Dokumente) analysieren müssen, ohne Daten an Public-Cloud-LLMs weiterzugeben.

• Aufgabe: Konzeption, Aufbau und sicherer Betrieb einer vollständig self-hosted AI-Infrastruktur inklusive eigenentwickelter Digital-Management-Plattform zur automatisierten Medienanalyse.

• Maßnahme: Architektur und Implementierung einer Multi-Tier-Plattform auf gehärteter Proxmox-Infrastruktur mit Frontend (Nuxt 3, Vue 3, TypeScript, Tailwind 4), Backend (Laravel 13, PHP 8.4, Sanctum), Datenhaltung (PostgreSQL 16, MongoDB 7), Caching/Queuing (Redis 7, Laravel Queue), AI-Worker (Python 3.11, Whisper, DeepFace, Librosa), Scheduling (Laravel Scheduler/Cron) und lokalen LLMs (Gemma, DeepSeek, Qwen, Mistral, LLaMA, Phi) über OpenWebUI mit segmentiertem Netzwerkzugriff, API-Hardening und Audit-Logging nach BSI-Empfehlungen.

• Ergebnis: Vollständig DSGVO-konforme, on-premises betriebene AI-Plattform ohne Datenabfluss an Dritte.

• Aufgabe: Gesamtverantwortung als externer Head of Cyber Security / CISO-as-a-Service für Konzeption, Implementierung und kontinuierliche Verbesserung von ISMS nach ISO 27001, BSI-Grundschutz und NIS2.

• Maßnahme: Aufbau und Steuerung von Cyber Defense Centern (CDC) mit SOC-Operations, Integration von SIEM-Lösungen (Splunk, Graylog), Etablierung eines Risk-Based Vulnerability Managements (Qualys, Nessus, OpenVAS) und Durchführung regelmäßiger Infrastruktur-, Applikations- und physischer Penetrationstests.

• Ergebnis: Audit-Ready ISMS bei mehreren Mandanten und Reduktion kritischer Schwachstellen um 60 % innerhalb von 90 Tagen.

• Aufgabe: Konzeption und Durchführung von NIS2-Assessments und operative Umsetzungsfahrpläne für KRITIS-Betreiber.

• Maßnahme: Entwicklung eines Online-Assessment-Tools zur automatisierten Ermittlung individueller Schwächeprofile, operative Umsetzung von ISMS-Optimierung, Penetrationstests, Awareness-Programmen und GRC-Suite-Implementierung sowie C-Level-Präsentationen.

• Ergebnis: Beschleunigung des Beratungsprozesses um 50 % und erfolgreiche NIS2-Konformitätsvorbereitung mehrerer Mandanten.

• Aufgabe: Incident Commander für Krisenreaktion, Forensik und Business Recovery bei Ransomware-Angriffen und APT-Kampagnen.

• Maßnahme: Koordination mit LKA und BKA, forensische Analysen (OSForensics, Wireshark, Kali Linux), Umsetzung von Disaster-Recovery- und BCM-Strategien, Entwicklung von Reaktionsstrategien bei BTC-Erpressung.

• Ergebnis: 100 % Wiederherstellungsrate innerhalb definierter RTO-Fenster und nachhaltige Post-Incident-Sicherheitsarchitekturen.

• Maßnahme: Planung, Aufbau und Betrieb einer gehärteten Multi-VM-Infrastruktur (Proxmox, 15+ VMs) mit Web- und Mailservern, Graylog, OPNsense-Firewalls, CRM/ERP und LLM-Instanzen, Netzwerksegmentierung, DDoS-Mitigation, automatisiertem Patch-Management und Backup-Strategien.

• Ergebnis: > 99,5 % Verfügbarkeit über 20+ Jahre und null Kompromittierungen.

• Maßnahme: Konzeption koordinierter Phishing-Kampagnen in fünf Härtegraden, abgeleitete E-Learnings und Webinare im PDCA-Zyklus, Aufbau und Leitung von Red- und Blue-Teams.

• Ergebnis: Reduktion der Phishing-Klickrate von 35 % auf unter 5 % innerhalb von drei Kampagnenzyklen.

Unterstützung der Internen Revision:

Durchführung einer Prüfung des Datenschutzbeauftragten und des Datenschutzmanagements:

• Vorbereitung eines Prüfungsprogramms anhand der Prüfungsfeldkonzeption
• Anforderung notwendiger Prüfungsdokumentation
• Durchführung der Aufbauprüfungshandlungen anhand des Prüfungsprogramms mit folgenden Schwerpunkten:
• Prüfung der relevanten PPS-Prozesse
• Prüfung des Datenschutzleitbilds, Datenschutzrichtlinie und Datenschutzmanagementkonzept
• Durchführung von Prüfungsgesprächen mit dem Datenschutzbeauftragten
• Erstellung der Prüfungsdokumentation
• Einarbeitung eines Junior-Prüfers in die Methodik einer Internen Revision
• Abstimmung der Prüfungsdokumentation mit der Revisionsleitung

• Erfassung und Analyse der Bedürfnisse der Stakeholder, um präzise Anforderungen zu definieren und sicherzustellen, dass die neue Website die Erwartungen der Nutzer erfüllt.
• Übernahme der Rolle des Product Owners, um das Entwicklungsteam zu leiten, Prioritäten zu setzen und den Fortschritt der Implementierung zu überwachen.
• Koordination der Implementierung von Optimizely als neues CMS, einschließlich der Anpassung und Integration aller erforderlichen Funktionen, um einen nahtlosen Benutzerfluss zu gewährleisten.
• Sicherstellung der erfolgreichen Integration von Funktionen innerhalb des Condor-Lebenszyklus, wie Flugbuchung, Check-in und andere relevante Dienstleistungen, um ein umfassendes Nutzererlebnis zu schaffen.
• Aktive Kommunikation mit Stakeholdern, um Feedback zu sammeln und Anpassungen während des Entwicklungsprozesses vorzunehmen, um die Nutzererfahrung kontinuierlich zu optimieren.
• Planung und Durchführung von Tests, um die Qualität der implementierten Funktionen zu gewährleisten und sicherzustellen, dass alle Anforderungen erfüllt sind.
• Eingesetzte Methoden: Agile Methoden, SCRUM, SAFe
• Eingesetzte Tools: Optimizely, Jira, Confluence
• Ergebnis: Erhebliche Verbesserung der Benutzererfahrung, optimierte Buchungs- und Check-in-Prozesse und gestärkte digitale Präsenz von Condor auf dem Markt.

(parallel zur Freelance-Tätigkeit)

• Aufbau und Leitung von ESG, Interner Revision und Risikomanagement für ein börsennotiertes Unternehmen
• Aufbau und Leitung eines CSRD-/EU-Taxonomie-Projekts inkl. Nachhaltigkeitsbericht
• Analyse und Implementierung aller relevanten ESG-Produkt-Compliance-Regelungen einschl. Einführung einer ESG-Software
• Einführung von Enterprise Risk Management und internem Revisionssystem