NIS2 Experten in Deutschland

• Branche: Maschinenbau, Fahrzeugbau
• Regulierungen: Data Act
• Projektschwerpunkt: Datengovernance, rechtskonforme Maschinendatennutzung, Datenplattformen
• Beauftragt durch: CFO, Plattform Product Owner

Erfolge/Ergebnisse (Frühphase):

• Compliance-Begleitung des Aufbaus einer int. vereinheitlichten Datennutzungsplattform auf Basis Databricks.
• Schaffung der Voraussetzung für die rechtskonforme und effektive Maschinendatennutzung, u.a.:
• Technisch: Gap-Analyse und Schließen von Lücken in der Segmentierung und Pflege der erhobenen Maschinendaten.
• Technisch: Berücksichtigung von Datenausleitungen aus der Plattform an Nutzer und Dritte.
• Organisatorisch: Entwurf und Abschluss der erforderlichen Datennutzungsverträge.

• Integration stark regulierter Länder wie China und Südkorea in einen konzernweit genutzten M365-Tenant.

• Technischer Ansprechpartner zur Integration besonderer Anforderungen für den Vorstand und deutsche Tochtergesellschaften, die Compliance-Anforderungen der BaFin unterliegen.

• Teilprojektleitung.

• Abstimmung der Anforderungen im Rahmen der Gesamtarchitektur.

• Konzeption der Nutzung von DLP-Funktionalitäten aus Microsoft Purview.

• Konzeption spezieller Zugangsbeschränkungen per Entra Id Conditional Access.

• Unterstützung der Konzeption für die Provisionierung von Teams-Teams und SharePoint Sites mit erhöhten Compliance-Ansprüchen.

• Technische Unterstützung zur Umsetzung der Informationsklassifizierung mit Sensitivity Labels für SharePoint Online und Teams.

• Technische Unterstützung des Teilprojekts zur Einführung von CoPilot für M365.

• Skills: M365, Purview, DLP, Entra Id, Sensitivity Labels, CoPilot, Teams, SharePoint Online.

• Webinar zu Blackout - Brownout - Stromausfall - wie erkenne ich es und was kann ich tun?

Branche: Verlagswesen, Medien Projektsteuerung für Konzeption einer RAG-basierten Archiv-Erschließung: souveräne On-Prem- oder Hybrid-Compute-Architektur für LLM- und Embedding-Betrieb, Pipeline für Transkription und automatische Verschlagwortung, semantische Suche über Audio-/Video-Bestände. Use-Case-Bewertung und Make-or-Buy gemeinsam mit Redaktion, Archiv und Justiziariat unter Berücksichtigung von Urheberrecht, Rundfunkstaatsvertrag und KI-VO. Differentiator: praktische LLM-Infrastruktur-Erfahrung aus zwei eigenen produktiven Plattformen kombiniert mit C-Level- Programmsteuerung in regulierten Branchen.

• Verantwortlich für die Bereiche Infrastruktur, Operations, Netzwerk und VoIP, Security, Quality Assurance sowie Asset Management und Business Continuity
• Planung und Umsetzung aller Erfordernisse zu NIS 2.0
• Verantwortlich für die Applikationsentwicklung
• Unternehmensweite Einführung von SAP S/4Hana und federführende Entwicklung neuer Geschäftsprozesse, inkl. Cut-over-Planung
• Digitale Transformation und kulturelle Transformation hin zu einer „Macher-Mentalität“
• Neuausrichtung der Infrastruktur (Hybrid)
• Neustrukturierung der Organisation mit partiellem Outsourcing
• Führung von vier direkten Reports mit insgesamt 25 internen und externen Mitarbeitern
• Budgetverantwortung bis 25 Mio. €

• Reguliertes Konzernumfeld einer deutschen Bankengruppe (ca. 8.500 Mitarbeiter, Hybrid Cloud-Strategie).

• Verantwortlich für den Betrieb, die Bereitstellung und die kontinuierliche Absicherung geschäftskritischer Plattformen – darunter eine GenAI-Chat-Anwendung, eine Big-Data/AI-Plattform sowie Data-Science-Arbeitsplätze auf Basis von Azure Virtual Desktops und VMs. Ownership der AzureDevOps Projekte nach ShaiHulud und React2Shell sowie BSI-Warnungen – Security Operations Improvements im gesamten SDLC.

• Deployment-Verantwortung für GenAI-Chat-Anwendung, Big-Data/AI-Plattform (BDAI) sowie Data-Science-Arbeitsplätze (AVD/VM-basiert) in den jeweiligen LZs.

• Deployment & Release Management: End-to-End-Verantwortung für Deployments von Portal- und Service-Applikationen in mehreren Azure Landing Zones, inklusive technischer Freigaben, Approvals nach Deployment-Guidelines der Entwicklungsteams sowie Sicherstellung ITIL-basierter Change- und Release-Prozesse im laufenden Betrieb via ServiceNow.

• Azure Landing Zones & Netzwerkarchitektur: Aufbau, Provisionierung und Betrieb von Azure Landing Zones für 3-Tier-Web-Applikationen mit verbesserter Netzwerksegmentierung, VNet-Peering, Hub-Spoke-Architekturen, Private Endpoints und Firewall-Integration in separaten Subscriptions und Tenants.

• Azure DevOps Governance & Betrieb: Ownership der Azure-DevOps-Organisation inklusive Projekte, Repositories und CI/CD-Pipelines, Umsetzung von Governance-Vorgaben wie Branch-Policies, Approval-Gates, Berechtigungskonzepten und Audit-fähigen Betriebsstrukturen.

• Infrastructure as Code (Terraform): Design, Implementierung und Betrieb einer modularen Terraform-Architektur zur standardisierten Bereitstellung von Cloud-Infrastruktur, inklusive State-Management, Provider-Versionierung, Wiederverwendbarkeit und Policy-as-Code-Ansätzen.

• CI/CD Pipeline Engineering: Konzeption, Betrieb und Optimierung komplexer YAML-basierter CI/CD-Pipelines mit Multi-Stage-Deployments, Template-Standardisierung, Self-Hosted Agents, integriertem Secret-Management und automatisierten Qualitäts- und Sicherheitsprüfungen.

• Git-Migration & Plattformkonsolidierung: Planung und Umsetzung der Migration von Repositories und Pipelines von Azure DevOps zu GitLab CI/CD, inklusive automatisierter Skripte, Inklusive Git-History, Pipeline-Portierung und Konsolidierung der Entwicklungsplattformen.

• Container- & Plattformbetrieb (AKS): Betrieb und sicherheitstechnische Bewertung containerbasierter Workloads auf Azure Kubernetes Service, Zentralisierung der On-Premises Container Registry für ACR. OpenShift (OCP) Security Reviews: Sicherheitsbewertung von Codebaselines, Build-Pipelines und Deployment-Prozessen für On-Premises-OpenShift-Cluster mit kritischen Anwendungen sowie Ableitung konkreter Hardening-Empfehlungen.

• Shift-Left Security & DevSecOps Transformation: Einführung eines unternehmensweiten Shift-Left-Ansatzes zur frühzeitigen Integration von Sicherheit in Entwicklungs- und Deployment-Prozesse, Enablement der Entwickler zur eigenständigen Sicherheitsprüfung und nachhaltige Reduktion von Schwachstellen vor Produktivsetzung (IDE-Integrationen, Pre-Commit Hooks, lokale Scanner).

• Software Supply-Chain Security: Analyse und Mitigation von Supply-Chain-Risiken in NPM- und Yarn-basierten Anwendungen durch Dependency-Audits, Absicherung von CI/CD-Pipelines, Token-Rotation und Einschränkung riskanter Build- und Lifecycle-Mechanismen.

• Frontend- & Framework-Security (React / Next.js): Sicherheitsbewertung und Koordinierung der Behebung kritischer Schwachstellen in allen Plattform-Anwendungen und Web-Frameworks, inklusive Abstimmung und ergänzenden technischen Mitigationsmaßnahmen mit allen Teams nach BSI-Warnung.

• Software Composition Analysis (SCA): Einführung und Betrieb automatisierter Schwachstellen-Scans für Container-Images, Pipelines/Artefakte und Third-Party-Dependencies inklusive SBOM Exports innerhalb der CI/CD-Pipelines.

• SAST / DAST Integration: Konzeption und Pilotierung statischer und dynamischer Anwendungssicherheitstests in enger Zusammenarbeit mit Security-Architektur und Entwicklungsteams zur kontinuierlichen Verbesserung der Code- und Runtime-Security und Etablierung betrieblicher Abnahme-Tests (BATs).

• Artefakt- & Registry-Konsolidierung: Analyse und Konsolidierung aller Paket- und Container-Repositories für Service-Applikationen und AKS-Workloads mit dem Ziel einer zentralisierten, abgesicherten Registry-Strategie inklusive zentralisierter Vulnerability-Scanning und Governance.

• Dependency-Track & SBOM-Strategie: Beratung des Compliance-Boards zur Einführung einer zentralen SBOM- und Vulnerability-Management-Plattform zur konzernweiten Erhöhung der Transparenz über Abhängigkeiten und Beschleunigung der CVE-Reaktionsfähigkeit.

• CI/CD Pipeline Hardening: Sicherheitsanalyse und Bereinigung der bestehenden Pipeline-Landschaft durch Entfernung ungenutzter Pipelines, Verbesserung der Secrets-Hygiene, Umsetzung des Least-Privilege-Prinzips und Isolation von Build-Agent-Umgebungen.

• Azure Web Application Firewall (WAF) Optimierung: Analyse und Optimierung bestehender Azure-WAF-Regelwerke (OWASP Top 10 Core Rule Set, DSR/SDC, Custom Rules) zur Abwehr bekannter Schwachstellen und Exploit-Patterns, inkl. Reduktion von False Positives und Verbesserung der Angriffserkennung.

• Dokumentation & Stakeholder-Kommunikation: Erstellung und Pflege technischer Dokumentationen, Runbooks und Architekturübersichten in Jira und Confluence sowie aktiver Wissenstransfer zwischen Operations, Development, Security und Compliance-Stakeholdern.

Einheitliches ITSM-Framework

• Definition eines konzernweiten ITSM-Zielbildes
• Einführung einer einheitlichen Service-Struktur über alle Fachbereiche

SLA- und OLA-Management

• Aufbau eines standardisierten SLA-Frameworks
• Definition von Serviceklassen (Business Critical, Standard, Low Priority)
• Einführung von OLAs zwischen internen Teams
• Aufbau eines aussagekräftigen SLA-Reportings
• Definition von KPI- und Service-Dashboards für Fachbereiche

Service Portfolio Management

• Definition von Servicebeschreibungen
• Ggf. Vorbereitung einer möglichen Kosten- und Leistungsverrechnung

Ticketing & Prozesse

• Incident Management
• Einheitliche Ticketkategorien
• Standardisierte Priorisierung
• Eskalationsmatrix
• Automatisierungen
• Self-Service-Optimierung

Request Fulfillment

• Servicekatalog über alle Fachbereiche
• Genehmigungsworkflows

Problem Management

• Einführung von Root-Cause-Analysen
• Known-Error-Datenbank
• Problem-Review-Prozess

Vollständiges Asset-Management-Konzept

• Hardware-Lifecycle-Management
• Software-Lifecycle-Management
• Leasing-Lifecycle
• Mobile-Device-Lifecycle
• Monitor-Lifecycle
• Telefon-Lifecycle

Prozesse

• Beschaffung
• Wareneingang
• Inventarisierung
• Zuweisung
• Rückgabe
• Entsorgung
• Leasing-Rückführung Ziel: Single Source of Truth für alle Assets

CMDB-Design

• Definition aller Configuration Items:
• Workplace
• Notebooks
• Monitore
• Mobiltelefone
• Drucker

Infrastruktur

• Server
• Firewalls
• Switches
• WLAN
• Storage
• Backup-Systeme

Cloud

• Azure-Ressourcen
• Microsoft 365
• SaaS-Dienste

Beziehungen

• User ↔ Asset
• Asset ↔ Service
• Service ↔ Infrastruktur
• Standort ↔ Asset
• Ziel: Vollständige Service-Abhängigkeiten sichtbar machen

Software Asset & Lizenz Management

• Lizenzmanagement-Konzept
• Lizenzbilanzierung
• Compliance-Reporting
• Microsoft-Lizenzmanagement
• Adobe-Lizenzmanagement
• SaaS-Management
• Vertragsmanagement
• Renewal-Management

Schnittstellen & Automatisierung Bestehende Systeme

• Workday
• Joiner
• Mover
• Leaver

TESMA

• Leasingdaten
• Vertragsdaten

Matrix42

• Asset-Synchronisation
• Benutzersynchronisation

Active Directory / Entra ID

• User Management

Microsoft 365

• Lizenzzuweisung
• Gruppenmanagement

Dormakaba

• Zutrittsprozesse

• Lifecycle Services

Monitoring-Plattformen

• PRTG
• Palo Alto
• Cisco

Reporting & KPI Framework

• Definition eines Management-Dashboards
• KPIs
• Ticketvolumen
• SLA-Erfüllung
• MTTR
• Erstlösungsquote
• Asset Accuracy
• Lizenz-Compliance
• Change Success Rate
• Service Availability
• Automatisierungsgrad

Netzwerk-Redesign-Begleitung

• Governance
• Begleitung des Netzwerk-Redesigns aus ITSM-Sicht
• Definition betroffener Services
• Change-Management-Struktur
• Kommunikationskonzept

CMDB-Integration

• Aufnahme aller Netzwerkkomponenten
• Service Mapping
• Abhängigkeitsanalyse

Validierung von Dokumentation und Knowledgebase-Artikeln

• Netzwerkdokumentation
• Betriebsdokumentation
• Standard Changes

Monitoring & Event Management

• Zielbild
• Zentrales Monitoring-Konzept
• Event-Management-Prozess
• Alarmierungsstrategie
• Eskalationsmodell

Systeme

• Cisco

• Palo Alto

• Fortinet

• Rubrik

• Veeam

• Matrix42

• Azure

• Microsoft 365 Automatisierung

• Ticketgenerierung aus Monitoring

• Eskalationen

• Standardmaßnahmen

Audit, Compliance & Informationssicherheit

• ISO-27001-Beratung
• TISAX-Beratung
• NIS2-Vorbereitung - Beratung
• Auditfähige Prozesse
• Dokumentationsstruktur
• Nachweisführung in Matrix42

Roadmap

• 12-Monats-Roadmap
• Priorisierung aller Maßnahmen
• Quick Wins
• Mittelfristige Projekte
• Langfristiges Zielbild
• Dokumentation

• Beriet das Executive Team bei Strategie, Architektur und Entwicklung eines KI-gestützten Product Security Operations Center (PSOC); eines Cybersecurity-Betriebssystems für softwaredefinierte cyber-physische vernetzte Systeme.
• Gab strategische Unterstützung bei Produktvision, regulatorischer Ausrichtung und Marktpositionierung und unterstützte Funktionen in den Bereichen Threat Intelligence, Schwachstellenmanagement, Compliance-Automatisierung und autonome Produktsicherheit.

• Ausgangssituation: Wachsender Bedarf an datenschutzkonformen KI-Lösungen für Mandanten im KRITIS- und Mittelstandsumfeld, die sensible Medieninhalte (Audio, Video, Dokumente) analysieren müssen, ohne Daten an Public-Cloud-LLMs weiterzugeben.

• Aufgabe: Konzeption, Aufbau und sicherer Betrieb einer vollständig self-hosted AI-Infrastruktur inklusive eigenentwickelter Digital-Management-Plattform zur automatisierten Medienanalyse.

• Maßnahme: Architektur und Implementierung einer Multi-Tier-Plattform auf gehärteter Proxmox-Infrastruktur mit Frontend (Nuxt 3, Vue 3, TypeScript, Tailwind 4), Backend (Laravel 13, PHP 8.4, Sanctum), Datenhaltung (PostgreSQL 16, MongoDB 7), Caching/Queuing (Redis 7, Laravel Queue), AI-Worker (Python 3.11, Whisper, DeepFace, Librosa), Scheduling (Laravel Scheduler/Cron) und lokalen LLMs (Gemma, DeepSeek, Qwen, Mistral, LLaMA, Phi) über OpenWebUI mit segmentiertem Netzwerkzugriff, API-Hardening und Audit-Logging nach BSI-Empfehlungen.

• Ergebnis: Vollständig DSGVO-konforme, on-premises betriebene AI-Plattform ohne Datenabfluss an Dritte.

• Aufgabe: Gesamtverantwortung als externer Head of Cyber Security / CISO-as-a-Service für Konzeption, Implementierung und kontinuierliche Verbesserung von ISMS nach ISO 27001, BSI-Grundschutz und NIS2.

• Maßnahme: Aufbau und Steuerung von Cyber Defense Centern (CDC) mit SOC-Operations, Integration von SIEM-Lösungen (Splunk, Graylog), Etablierung eines Risk-Based Vulnerability Managements (Qualys, Nessus, OpenVAS) und Durchführung regelmäßiger Infrastruktur-, Applikations- und physischer Penetrationstests.

• Ergebnis: Audit-Ready ISMS bei mehreren Mandanten und Reduktion kritischer Schwachstellen um 60 % innerhalb von 90 Tagen.

• Aufgabe: Konzeption und Durchführung von NIS2-Assessments und operative Umsetzungsfahrpläne für KRITIS-Betreiber.

• Maßnahme: Entwicklung eines Online-Assessment-Tools zur automatisierten Ermittlung individueller Schwächeprofile, operative Umsetzung von ISMS-Optimierung, Penetrationstests, Awareness-Programmen und GRC-Suite-Implementierung sowie C-Level-Präsentationen.

• Ergebnis: Beschleunigung des Beratungsprozesses um 50 % und erfolgreiche NIS2-Konformitätsvorbereitung mehrerer Mandanten.

• Aufgabe: Incident Commander für Krisenreaktion, Forensik und Business Recovery bei Ransomware-Angriffen und APT-Kampagnen.

• Maßnahme: Koordination mit LKA und BKA, forensische Analysen (OSForensics, Wireshark, Kali Linux), Umsetzung von Disaster-Recovery- und BCM-Strategien, Entwicklung von Reaktionsstrategien bei BTC-Erpressung.

• Ergebnis: 100 % Wiederherstellungsrate innerhalb definierter RTO-Fenster und nachhaltige Post-Incident-Sicherheitsarchitekturen.

• Maßnahme: Planung, Aufbau und Betrieb einer gehärteten Multi-VM-Infrastruktur (Proxmox, 15+ VMs) mit Web- und Mailservern, Graylog, OPNsense-Firewalls, CRM/ERP und LLM-Instanzen, Netzwerksegmentierung, DDoS-Mitigation, automatisiertem Patch-Management und Backup-Strategien.

• Ergebnis: > 99,5 % Verfügbarkeit über 20+ Jahre und null Kompromittierungen.

• Maßnahme: Konzeption koordinierter Phishing-Kampagnen in fünf Härtegraden, abgeleitete E-Learnings und Webinare im PDCA-Zyklus, Aufbau und Leitung von Red- und Blue-Teams.

• Ergebnis: Reduktion der Phishing-Klickrate von 35 % auf unter 5 % innerhalb von drei Kampagnenzyklen.

• Unterstützung bei dem Aufbau und der Weiterentwicklung des Informationssicherheitsmanagementsystems
• Zusammenarbeit mit externen Berater*innen im Zertifizierungsteam für die Unterstützungsstruktur
• Mitwirkung an Projektplanung, Identifizierung und Umsetzung der notwendigen Maßnahmen nach BSI IT-Grundschutz
• Fachliche Unterstützung der Fachexpert*innen im Haus bei der Erstellung der für die Zertifizierungen notwendigen Dokumente
• Durchführung der Arbeiten nach BSI 200-2

• Konzeption und Umsetzung modularer KI-Assistenten für Vertriebs- und Geschäftsprozesse im Microsoft-Ökosystem (Agentic AI, Copilot-Erweiterungen)
• Frontend-Architektur und -Entwicklung mit React + TypeScript für eingebettete Chat- und Assistant-Oberflächen (Streaming-UI, Hooks, React Query, OpenAPI-Clients)
• Agenten-Entwicklung auf Enterprise-Ebene: wiederverwendbare Skill-/Agenten-Bibliothek, MCP-Server, Review- und Compliance-Gates
• LLM-Integration in die User Experience: Anthropic (Claude), OpenAI, Tool-Use, RAG-Pipelines, Prompt-Engineering, Guardrails
• Architektur- und Code-Review-Beratung sowie Mentoring im KI-Entwicklungsteam
• Anbindung an Microsoft Graph, Power Platform und Azure-Dienste
• Technologien: React, TypeScript, Anthropic Claude, OpenAI, MCP, RAG, Microsoft Graph, Power Platform, Azure

Unterstützung der Internen Revision:

Durchführung einer Prüfung des Datenschutzbeauftragten und des Datenschutzmanagements:

• Vorbereitung eines Prüfungsprogramms anhand der Prüfungsfeldkonzeption
• Anforderung notwendiger Prüfungsdokumentation
• Durchführung der Aufbauprüfungshandlungen anhand des Prüfungsprogramms mit folgenden Schwerpunkten:
• Prüfung der relevanten PPS-Prozesse
• Prüfung des Datenschutzleitbilds, Datenschutzrichtlinie und Datenschutzmanagementkonzept
• Durchführung von Prüfungsgesprächen mit dem Datenschutzbeauftragten
• Erstellung der Prüfungsdokumentation
• Einarbeitung eines Junior-Prüfers in die Methodik einer Internen Revision
• Abstimmung der Prüfungsdokumentation mit der Revisionsleitung

• Erstellung einer vollständigen zweisprachigen (DE/EN) Sicherheits- und Notfalldokumentation: Business-Continuity-Plan / Disaster-Recovery-Plan, Incident-Response-Plan v2.0 mit vier fallspezifischen Playbooks (PICERL), Zugriffskontrollrichtlinie, Vulnerability-Management-Policy, Business-Resilience-Programm, Risk-Governance-Plan
• Konsolidierung zu einem integrierten Notfallhandbuch (12 Kapitel) mit Sofort-Checklisten für sechs Notfallszenarien, priorisierter Maßnahmentabelle und formaler Freigabestruktur
• Aufarbeitung eines Penetrationstest-Berichts (Greenbone) mit vollständiger Behebung aller Findings und formaler Risikoakzeptanz eines Restrisikos mit dokumentierter kompensierender Kontrolle
• Prüfung und Dokumentation der NIS2- und HinSchG-Anwendbarkeit einschließlich rechtlicher Begründung der Nicht-Betroffenheit

Technologien: n8n, Notion, OpenAI API, Claude, MS AI Foundry, MS CoPilot Studio, MS CoPilot, LLM, Node.js, Vercel, LangGraph, PostgreSQL, pgEdge, pgvector, Docker, LangChain, Ollama, Open WebUI

• Kontinuierliche Bewertung und Priorisierung eigener Automatisierungsbedarfe
• ~20 KI-Agenten im aktiven Einsatz: Recherche, Content-Pipelines, Dokumentenverarbeitung
• 5 n8n-Workflows für automatisierte Daten- und Prozesssteuerung
• Architektur nach denselben Prinzipien wie in Kundenprojekten: State Management, event-driven Orchestrierung, API-Integration
• Kontinuierlicher Betrieb und Weiterentwicklung