IEC 62443 Experten in Deutschland

• Eine live B2B-Plattform für Geocoding und demografische Daten für Deutschland architektonisch entworfen und bereitgestellt, die Adresssuche mit bevölkerungsstatistischen Daten auf Basis von Volkszählungen über eine Webanwendung und REST-API kombiniert.

Ich implementierte eine Zero-Trust-Architektur fuer robuste, militaertaugliche maritime Container-Mini-Rechenraeume auf Basis von VMware & Tanzu zur Unterstuetzung containerisierter GIS-Workloads fuer Bodentruppen. Der besondere Fokus lag auf der Absicherung der Kommunikation, dem Workload-Schutz und dem Datenzugriff in umkaempften elektronischen Gefechtsumgebungen, die durch Jamming, Abfangen, Signalmanipulation und staendig wechselnde Einsatzbedingungen beeinflusst werden. Ich habe Use Cases so entworfen und architektonisch umgesetzt, dass jedes Element von Workload, Identitaet und System auch in degradierten oder gestoerten Szenarien weiterhin unabhaengig und sicher funktionieren konnte. Parallel dazu definierte ich die Enterprise- und Solution-Security-Architektur mit LeanIX, Bizzdesign und HOPEX als Enterprise-Architecture-, Repository- und Governance-Plattformen, um Architekturinventar, Beziehungen, Nachverfolgbarkeit, Zielbilder und Security Governance in komplexen Umgebungen zu pflegen. Fuer die architektonischen Designs nutzte ich Sparx Enterprise Architect, um formale Architekturperspektiven, Schnittstellen, Vertrauensgrenzen und Systemarchitektur sowohl in IT- als auch OT-Umgebungen zu beschreiben. Das Tool IriusRisk wurde fuer das Threat Modeling der Loesung eingesetzt, um architekturgetriebene Risiken zu identifizieren, Sicherheitsanforderungen abzuleiten und Gegenmassnahmen sowie Designluecken direkt aus den Loesungsmodellen zu erkennen. Das Risiko- und Compliance-Management wurde mit Archer unterstuetzt. Architekturentscheidungen, Kontrollluecken und operative Risiken wurden in gesteuerte Governance- und auditierbare Compliance-Massnahmen ueberfuehrt. Fuer Dokumentation, Zusammenarbeit und visuelles Design nutzte ich Confluence zur Pflege von Architecture Decision Records, Security Blueprints und Workflows. Lucidchart und draw.io verwendete ich zur Erstellung stakeholdergerechter Design-Artefakte. Ich habe ausserdem OT-Sicherheitskonzepte mit Unterstuetzung von Elektro- und Maschinenbauingenieuren in den Bereichen Oel, Fahrzeug-Bordsysteme, Bahn, Kraftwerke, Pharma, Gasturbinen und Nukleartechnik definiert. Ich erstellte die End-to-End-OT-Sicherheitsstrategie, beginnend bei der globalen Policy, weiterentwickelt zu Standards und Verfahren und schliesslich korreliert mit Bell-LaPadula, Purdue Model, SABSA, TOGAF ADM, CENELEC 50701, IEC 62443 und NIST-Standards. Zudem arbeitete ich mit Engineering-Teamleads zusammen, um kritische KBP-Assets zu identifizieren und sie unter Schutzmassnahmen zu stellen, mit denen SCADA-, PLC- und HMI-Assets segmentiert wurden. Ich trieb die Zusammenarbeit zwischen Security-, IT- und OT-Teams voran, um standardisierte Workflows und Use Cases fuer den OT-Security-Loesungskatalog zu erstellen, waehrend Defense-in-Depth- und Zero-Trust-Prinzipien in operative Umgebungen integriert wurden. Entscheidend war die Integration multidisziplinaerer Engineering-, Security- und Operations-Akteure in eine einheitliche Security-Blueprinting-Strategie und die Sicherstellung, dass Architektur, Threat Modeling, Governance und Dokumentation technisch robust und operativ praktikabel waren.

• Unterstützung bei der Implementierung der Anforderungen des § 8a des BSI-Gesetzes für Kritische Infrastrukturen.
• Systematische Vorbereitung und Begleitung von internen und externen Audits, Auflösung von vorherigen Abweichungen (HA, NA, VP)
• Umsetzung der spezifischen Anforderungen des IT-Sicherheitskatalogs
• Entwicklung von Trainings, Erstellung von Run Books und Durchführung von Assessments zur Sicherstellung der operativen Wirksamkeit.

• Entwickeln und Vorantreiben von Lösungen für geschäftliche Herausforderungen mit konkretem Mehrwert für das Unternehmen
• Wertorientierte Vorgehensweise, um die Pilotfalle zu vermeiden! Skalierung statt unzähliger PoCs.
• SIRI (TÜV Süd)-basierte Bewertung Ihres Industrie-4.0-Reifegrads und skalierbare Digitalisierung (MES, IIoT)
• Innovative, datengetriebene 4.0-Architekturen für eine effektive Unternehmens­transformation
• Transformation bestehender ISA-95- & ISA-88-Umgebungen (MES, ERP, Cloud) zu modernen IT/OT-Architekturen (UNS, MQTT) gemäß IEC62443

• Verbesserung des Informationssicherheits-Managementsystems (ISMS) auf Basis der ISO 27001, NIS2, DORA, B3S, TISAX und BSI IT-Grundschutz
• Durchführung umfassender Gap-Analysen zur Ermittlung von Gaps und Ableitung von Maßnahmenplänen nach oben genannten Standards und Regularien; Steuerung und KPIs
• Data Loss Prevention Strategie und Umsetzung mittels MS Purview
• Schwachstellen- und Patch-Management, Sicherheitsmonitoring
• Risikoanalyse und Bedrohungsmodellierung mittels Threat Modeling nach STRIDE
• Entwicklung von Vendor-Risikobewertungen, Implementierung von Risikoklassifizierungen, Durchführung von Lieferanten-Assessments und Implementierung technischer Monitoring-Lösungen (z. B. Security ScoreCard)
• Absicherung von Cloud-Umgebungen (AWS und Azure); Expertise in CSPM/CNAPP (Wiz), Cloud-Migration, sicheren CI/CD-Pipelines, Container-Sicherheit und Best Practices in AWS, Azure und Office 365
• Anwendungssicherheit: Penetrationstests, DevSecOps, OWASP, Pre-Commit Hooks, Schlüssel- und Secret-Management, IDE-Plugins, statische Quellcodeanalyse, Dependency-Checks, Container-Scanning, Schwachstellenmanagement, CIS-Benchmarks und Compliance
• Sicherheitsbewertung und -Härtung gemäß CIS-Benchmarks und Cloud Conformity in AWS, Office 365 und Azure

• PRISMA-Projekt
• Ansible-Automatisierung
• Windows-Third-Level-Support für Windows NT, Windows 2000, Windows 2013, Windows 2016, Windows 2019

• Entwicklung und Umsetzung von IT- und OT-Sicherheitsstrategien
• Durchführung von Risikoanalysen, Schwachstellenmanagement und Sicherheitsüberprüfungen
• Administration von Microsoft-Cloud- und Serverlösungen
• Aufbau und Pflege eines ISMS nach ISO 27001, NIS2, BSI und IEC 62443
• Planung und Steuerung von Sicherheitsprojekten in Industrie- und Produktionsumgebungen
• Sicherstellung der Einhaltung von Vorschriften durch Incident Response, Notfallmanagement und Sensibilisierung
• Zusammenarbeit mit Fachbereichen, der Geschäftsführung und externen Dienstleistern
• Vorbereitung der IT-Infrastruktur für Audits

• Erstellte und verfeinerte technische und compliance-orientierte Datensätze für KI und stellte eine hochwertige, strukturierte Dokumentation sicher.
• Führte Supervised Fine-Tuning (SFT) und RLHF-Aufgaben durch und hielt strikte Vorgaben aus Industrie- und Sicherheitsrichtlinien ein.
• Erstellte detaillierte technische Berichte und Feedback für Audit- und QA-Teams.
• Arbeitete mit funktionsübergreifenden Teams an Dokumentationsstrategien für großangelegte KI-Bereitstellungen zusammen.

• Operative Geschäftsführung des Unternehmens: Aufbau von Teams und Infrastruktur, Entwicklung von Produkten, Analysen und Umsetzung von IT-Sicherheitsmaßnahmen

• Projekteinsätze im Umfeld der IT-Sicherheit mit Fokus auf der Etablierung von Blue Teaming-Aktivitäten (Defensive Prozesse und Technologien) zur Abwehr von Cyberangriffen

• Durchführung von Red Teaming-Prozessen, darunter Penetrationstests und Sicherheitsanalysen für Unternehmen

• Beratung beim Aufbau von Security Operation Centern und Einführung von SIEM-Systemen sowie Aufbau von Computer Incident Response Teams (CSIRT)

• Auditor für ISO 9001 und ISO 27001, §8a, ISO 27019, §11 1a EnWG, TISAX

• Beratung von Unternehmen der kritischen Infrastrukturen bezüglich Informationssicherheit und Erfüllung des IT-Sicherheitsgesetzes

• Aufbau von SIEM/SOC-Prozessen sowie SOC-Analysten-Arbeit (Splunk, ELK-Stack)

• Integration von Daten in Monitoring-Tools (Prometheus, Grafana)

• Beratung in Fragen von BSI IT-Grundschutz, ISO 9001, ISO 27001, BCM, ITIL und Risikomanagement

• Sicherheitsbewertungen und Penetrationstests von IT- und Netzwerkarchitekturen

• Transformation komplexer KI-Anwendungsfälle in die Praxis
• Analyse IT / TK Geschäftsprozesse E2E von der Anforderung bis zur Bestellung (RACI), Modellierung mit IBO Prometheus
• Risikomanagement
• Untersuchung Digitalisierungspotenzial, KI und strategische Lieferantenanalyse gegenüber dem IT-Zielbild
• Optimierung von Angebots- und Kalkulationsgrundlagen im strategischen und operativen (IT)-Einkauf
• Optimierung der Lieferantenstrategie (DSGV und FI)
• Untersuchung von verschiedenen Ansätzen zur Kostenoptimierung und Vereinfachung des Lieferantenmanagements
• Optimierung von Verträgen sowie Lizenzen und Lizenzmanagement (Beispiele: SAP, Microsoft, IBM, Cisco, BMC usw.)
• Desk- und Fieldexpediting mit externen Partnern
• Mögliche Verlagerung (Outsourcing) und Bündelung von Dienstleistungen bei geringerer Lieferantenanzahl
• Pünktliche Übergabe der Gewerke im vereinbarten Zeit- und Budgetrahmen

• Aufbau des Unternehmens mit Fokus auf Connectivity für IIoT und Industrie 4.0, iRPA/Prozessautomatisierung, Advanced Robotics und Smart Systems, Sensors and Services
• Projektleitung und Software-Architektur für IoT-Gateway-Entwicklung (seit 2020) mit Protokollübersetzung, IT/OT-Konvergenz und GRC
• Entwicklung von RPA-Bots zur Automatisierung und Überwachung industrieller Prozesse mit agentischem AI-Ansatz (seit 2020)
• Implementierung von Unsupervised Clustering und Anomalieanalyse für Zeitreihendaten in BigData-Streaming-Pipelines (seit 2021)
• Einführung eines Docker-basierten Release-Trains für OTA-Updates mit DevSecOps und CI/CD (seit 2018)

• Verantwortlich für die Produktvision und Roadmap der KI-gestützten Softwarequalitäts- und Architekturplattform von Axivion (35 Mio. €+ ARR) mit 12 direkten Mitarbeitenden (PMs, Marketing usw.)
• TAM um 40 % erweitert, indem das Produkt als Compliance-Grundlage für KI-gesteuerte, sicherheitskritische Software neu positioniert wurde, was ein ARR-Wachstum von 5 Mio. € erzeugte
• 15 Mio. € F&E-Investitionen beeinflusst durch Portfolioreviews auf C-Ebene, Innovationsprioritäten mit Markt- und Regulierungsanforderungen abgestimmt
• Einstieg in regulierte Branchen ermöglicht, indem die Zertifizierungsbereitschaft um 30 % beschleunigt und dadurch Bindung und Auditergebnisse verbessert wurden

• Erweiterte Qualitätssicherung der Dokumente, Prozesse und notwendigen Nachweise in Vorbereitung auf das KRITIS-Audit 2025.
• Überprüfung und Kommentierung aller relevanten Dokumente.
• Beratung der Ersteller und Dokumenteneigentümer bei Rückfragen und im Erstellungsprozess.
• Unterstützung der Fachbereiche bei IT-Sicherheitsanfragen.
• Verwendete Tools/Frameworks: MS Office, SharePoint, Jira, Confluence, ISO 27001/ff., NIS-2 (EU 2022/2555), B3S (GKV-PV), BSIG/IT-SIG 2.0, BSI-KritisV, BSI C5, BSI IT-Grundschutz (200-2, 200-4), ServiceNow, RCE (EU 2022/2557), SGB, DSGVO.