PCI DSS Experten

• Standardisierung und Weiterentwicklung
• Anwendungsmonitoring
• Störungsbearbeitung
• Änderungsmanagement
• Schnittstellen- und Integrationsbetrieb
• Tests, Abnahmen und Betriebsübergaben

• Von Private Equity gehaltene Präzisionsschleifmaschinen für Auto, Militär & Luft- und Raumfahrt – 1200 Mitarbeiter
• Tätigkeit als Interim Group CIO / CISO mit Konsolidierung der globalen IT zurück nach Europa – M&A-Konsolidierung
• Großes Sicherheitsereignis und anschließende Bereinigung gemanagt – Berichterstattung an Aufsichtsbehörden
• Anbieter- & Vertragsmanagement durchgeführt – vollständige Bewertung der Fähigkeiten
• Infrastruktur-Erneuerung und Bewertungen der Sicherheitshygiene begleitet

Als einziges großes integriertes Energieunternehmen in Deutschland deckt EnBW die gesamte Wertschöpfungskette ab – von der Energieerzeugung über die Verteilung bis hin zu den Kunden. Das Unternehmen baut seine erneuerbaren Energiequellen aus, setzt sich für einen sozialverträglichen Kohleausstieg ein und treibt Schlüsseltechnologien wie die Nutzung von grünem Wasserstoff voran. Eine schnelle Energiewende und das Erreichen der Klimaneutralität bis 2035 haben für EnBW Priorität.  Entwicklung und Implementierung einer ganzheitlichen Prozesssicht, die sowohl technische als auch organisatorische Aspekte berücksichtigt  Sicherstellung der E2E-Steuerung aller IAM-bezogenen technischen Services  Etablierung klarer Verantwortlichkeiten und Zuständigkeiten innerhalb der IAM-Landschaft  Zusammenarbeit mit verschiedenen Abteilungen zur Ermittlung und Optimierung einer ganzheitlichen Architektur sowie als Single Point of Contact (SPoC) für die Informationssicherheit  Einführung und Überwachung von Governance-Richtlinien zur Sicherstellung von Compliance und Sicherheit  Kontinuierliche Verbesserung der IAM-Prozesse und -Systeme durch regelmäßige Audits und Bewertungen der Services  Teilnahme an externen Audits zu Prozessen im Rahmen der offiziellen Audits nach ISO-Normen  Weiterentwicklung der Richtlinie zur Festlegung administrativer Vorgaben und Abläufe sowie deren Abstimmung mit den Verwaltungsbereichen  Konzeptionelle Weiterentwicklung des KPI-Systems zur Messung der Prozessqualität

• Ziel/Motivation: PAYONE benötigt dringend eine 360°-Sicht auf seine Kunden. Bisher hat PAYONE keine übergreifende Stammdatenstrategie. Es ist nicht möglich, Kunden über alle relevanten Systeme hinweg zu identifizieren.

Die Organisation soll in die Lage versetzt werden, Kunden über alle relevanten Systeme hinweg zu identifizieren. Ziel ist es, die Grundlage für das Stammdatenmanagement bei PAYONE zu schaffen.

• Herausforderung: Aufgrund von Unternehmenszukäufen ist die Systemlandschaft sehr heterogen. Das Unternehmen ist sehr dynamisch und durch zahlreiche Systemharmonisierungs- und Integrationsprojekte stark ausgelastet. Dadurch führen Ressourcenengpässe und wechselnde Projektprioritäten immer wieder zu einer nahezu unlösbaren Aufgabe.

Aufgrund von BaFin-Feststellungen hat das Projekt eine zentrale Aufgabe und Rolle. Im ersten Schritt steht die Migration aller Kundendaten aus den stammdatenführenden Backend-Systemen mit ihren AML/KYC-Daten nach Salesforce im Fokus. Dadurch soll eines der größten Findings behoben und die entsprechenden ODD/EDD-Prozesse etabliert werden.

Darüber hinaus müssen die Kundendaten in Salesforce harmonisiert werden. Bei früheren Migrationen wurden Kunden teilweise mehrfach angelegt. Am Ende soll daher jeder Kunde nur noch einmal in Salesforce geführt werden. Anhand der entsprechenden Informationen aus den Backend-Systemen soll außerdem erkennbar sein, welche Produkte der Kunde nutzt und über welche Processing-Systeme er seine Dienstleistungen von Payone bezieht.

Projekt: ONE Customer

Budget: 1,5 Mio. €

Team: 10/30 Mitarbeiter (Vollzeit/Teilzeit); 4 Vendoren/Provider

Integration: 8 (Subsystem/Schnittstellen)

Anwendungen: Salesforce; SAP S4/HANA; Eigenentwicklungen

Tools: MS Office; Jira, Confluence, Sharepoint

Methoden: Hands-on; Agile (SAFe); Prince2

Carve-out und Post-Merger-Integration zweier Automotive-Engineering-Unternehmen unter Accursia Capital, 6 Standorte in Deutschland und Spanien, 250+ Mitarbeitende nach dem Carve-out. Berichtslinie direkt an den Investor, IT-Gesamtverantwortung für beide Gesellschaften.

• ERP-Konsolidierung auf eine Instanz (Ablösung SAP-Legacy)
• TISAX-Zertifizierung
• M365-, Identity- und Rechenzentrums-Migration
• Ablösung der End-of-Life-Infrastruktur
• Wöchentliches Investor-Reporting

Ergebnisse:

• Kritisches Infrastrukturrisiko beseitigt, Backup und Plattform stabilisiert
• Eine IT-Organisation für beide Gesellschaften aufgebaut
• Investor-Reporting wöchentlich etabliert

• Vervollständigung der Logquellen-Anbindung an Microsoft Sentinel inklusive Integration von GCP-Workloads – zentrale Konsolidierung aller sicherheitsrelevanten Ereignisse aus Azure- und GCP-Umgebungen für vollständige End-to-End-Telemetrie und lückenlose Compliance-Nachweise
• Entwicklung von Custom Rules und Use Cases auf Basis der GFG Use-Case Library und der MITRE ATT&CK Matrix, um unternehmensspezifische Bedrohungen und GFG-relevante Szenarien mit präzisen, gemappten Erkennungsregeln abzudecken
• Tuning der Erkennungsregeln zur Minimierung von Fehlalarmen, Optimierung der Erkennungsschwellen und Modellierung von Ausnahmen – das SOC arbeitet mit relevanten, priorisierten Alerts bei reduzierter Mean-Time-to-Detect/Respond
• Aufbau von SOAR-Funktionalitäten in Sentinel durch Entwicklung von Playbooks zur Automatisierung wiederkehrender Response-Abläufe wie Containment, Nutzer- und Host-Isolierung sowie Ticketing – kürzere Reaktionszeiten und 24/7-Skalierbarkeit
• Konzeption und Aufbau einer Log-Transformationslösung zur Normalisierung und Anreicherung eingehender Rohlogs (GeoIP, CMDB, Threat Intelligence) und Überführung in ein einheitliches Schema für performante KQL-Abfragen, Use-Case-Logik und Korrelationen
• Verwaltung der Azure Security über Azure Policies zur präskriptiven Durchsetzung von Sicherheits- und Compliance-Standards, Verhinderung von Drift sowie kontinuierlicher Remediation von Abweichungen
• Betrieb des Defender XDR Portals zur Verknüpfung von Endpunkt-, Identitäts-, E-Mail- und SaaS-Signalen mit Sentinel-Findings, ganzheitlicher Triagierung von Vorfällen und Orchestrierung von Maßnahmen direkt aus XDR

Technologien: Microsoft Sentinel, Microsoft Defender XDR, Azure Policy, KQL, GCP, MITRE ATT&CK

Als Council Member bei GLG (Gerson Lehrman Group), dem weltweit führenden Expertennetzwerk, biete ich Organisationen, Investmentgesellschaften und Beratungshäusern fachliche Expertengespräche auf Abruf – überall dort, wo spezialisiertes Wissen in Informationssicherheit, IT-Governance und regulatorischer Compliance gefragt ist.

Meine Einschätzungen basieren auf langjähriger Praxiserfahrung in stark regulierten Branchen: vom Aufbau und der Implementierung von Informationssicherheitsmanagementsystemen (ISMS nach ISO 27001) über IT-Risiko- und Schwachstellenmanagement und Business Continuity (ISO 22301) bis hin zur praktischen Umsetzung europäischer Regulatorik wie DORA, NIS2, BAIT und dem Cyber Resilience Act (CRA).

Die Zusammenarbeit erfolgt projekt- und gesprächsbasiert. So gebe ich Entscheiderinnen und Entscheidern eine anwendungsnahe, aus der Praxis gewonnene Perspektive auf Cyber-Risiken, Security Governance und operative Resilienz – genau dann, wenn sie gebraucht wird.

Unterstützung für Transformationsprojekte:

• Fachkundige CTO- und Unternehmensarchitektur-Beratung für mehrere kurzfristige Transformationsprojekte, um messbare Verbesserungen bei Projektergebnissen und der technischen Geschäftsausrichtung sicherzustellen.
• Unterstützung strategischer IT-Initiativen für vielfältige Kunden bei der digitalen Transformation und Optimierung der Technologieabläufe, um Geschäftswert und operative Effizienz zu steigern.

• Ein 35-köpfiges Engineering-Team (Core Engineering, QA und SRE) innerhalb von 12 Monaten aufgebaut und skaliert und dadurch die Blockchain-Entwicklung von Midnight auf Paritys Substrate-Framework beschleunigt.
• Die strategische Ausrichtung definiert und die Technologieentwicklung als wichtiges Mitglied des Führungsteams an den Geschäftszielen ausgerichtet.
• Softwareentwicklungsprozesse optimiert und agile Methoden eingeführt, wodurch die operative Effizienz und Codesicherheit verbessert wurden.
• Projekte in einem schnelllebigen Startup-Umfeld durch effektives Projektmanagement und Ressourcenallokation umgesetzt.

• Leitung der Discovery-Phase und des POC für die Migration von Shopware zu Shopify Plus in den EMEA-Märkten, einschließlich Bewertung der Plattformtauglichkeit, der technischen Architektur sowie der Multi-Brand- und Multi-Country-Funktionen anhand der Geschäftsanforderungen.
• Entwicklung einer Referenzarchitektur für die Shopify-Plus-Implementierung mit Headless-Frontend-Patterns (Vue.js, Nuxt.js), CMS-Integration (Magnolia) und Azure-Middleware (APIM, Functions, Logic Apps, Service Bus) für 11 EMEA-Märkte.
• Definition der Migrationsstrategie durch Analyse des Datenmappings, des Cutover-Ansatzes und von Deployment-Patterns ohne Ausfallzeit mit Varnish-Caching, GitOps-Pipelines und CI/CD-Orchestrierung über sechs Anbieter-Teams hinweg.
• Entwicklung eines Multi-Tenant-Governance-Modells für Shopify Plus mit zentraler Administration, lokaler Anpassung der Storefronts und Compliance-Kontrollen (GDPR, Datenresidenz).
• Entwicklung eines Prototyps für KI-gestützte Suchoptimierung (LLM.txt, JSON-LD), um die Auffindbarkeit von Produkten in Google-AI-Ergebnissen zu verbessern und Chancen für die Performance nach dem Launch aufzuzeigen.
• Definition der EMEA-Expansions-Roadmap für 15+ Märkte durch strategische Workshops mit dem C-Level, einschließlich Identifikation des schrittweisen Rollouts, marktspezifischer Konfigurationen und des Ressourcenbedarfs.
• Tech Stack: React, Nuxt.js, Vue.js, Magnolia CMS, Shopware, Shopify Plus, Azure (APIM, Functions, Logic Apps, Service Bus, Front Door), Varnish, SAP, MS Dynamics, Docker, Kubernetes, GitHub Actions, PostgreSQL, Kafka

CRM- und Umsatzplattform zur Verwaltung von Abrechnungs- und Abonnement-Workflows.

• Skalierte die Zahlungsinfrastruktur über Datenprodukte, den Ausbau von Lastschriftzahlungen und die automatisierte Missbrauchsprävention. Dadurch wurden $416K jährliche operative Einsparungen ($8K/Woche) erzielt, indem redundante Gateway-Aufrufe eliminiert wurden.
• Verantwortete Backlog und Sprint-Umsetzung für autonome Pipelines zur Erkennung von Checkout-Missbrauch und entwickelte Echtzeit-Risikoleitplanken sowie Geschwindigkeitsheuristiken, die Card-Testing-Angriffe blockierten.
• Entwickelte User Stories und Datenabgleichsmechanismen für einen Enterprise-Abrechnungsmigrator. Dadurch wurden unterbrechungsfreie Übergänge von Abonnementstatus erreicht und $60K Infrastrukturkosten eingespart.
• Erweiterte die europäischen Lastschriftfunktionen (SEPA), steuerte squadübergreifende API-Abhängigkeiten und automatisierte die Fehlerbehandlung von Webhooks, um Reibungsverluste im Checkout zu vermeiden.

• Befristete Vertretung eines abwesenden Non-Financial-Risk-Beauftragten.
• Operativer Aufgabenbereich: Aufnahme und Nachverfolgung von Vorfällen, Tests interner Kontrollen und Berichterstattung der ersten Verteidigungslinie für die belgische Einheit.

• Führende Product-Owner-Rolle für die BFSG-Pilotstrecke „Suchen und Buchen“ über Web und App, mit Fokus auf digitale Barrierefreiheit, UX, Conversion und regulatorische Umsetzung.
• Erstellung und Priorisierung des Product Backlogs; Ableitung von User Stories und Akzeptanzkriterien aus gesetzlichen Standards (BFSG, WCAG 2.1)
• Entwicklung einer Produktvision, die digitale Barrierefreiheit, nutzerzentrierte UX und Conversion-Optimierung der Buchungsstrecke verbindet
• Cross-Stream Release Management und Qualitätssicherung über den gesamten Web- und App-Bereich inklusive Go/No-Go-Entscheidungen, Rollout und User Acceptance Tests
• Abstimmung und Priorisierung mit Legal, Compliance, externer BFSG-Beratung, UX, Development, Marketing und Management
• Durchführung von User Research sowie Usability- und Accessibility-Tests (u. a. Screenreader, Tastaturnavigation) und Prototyping mit UX/UI
• Definition von KPIs zur Erfolgsmessung von Accessibility, Conversion und Nutzerführung
• BFSG-Pilotstrecke „Suchen und Buchen“ erfolgreich ausgeliefert: erste barrierefreie Features ausgerollt und Grundlage für eine langfristig BFSG-konforme Buchungsstrecke geschaffen
• Nachhaltige Prozessintegration durch enge Zusammenarbeit mit Beratungspartnern und internen Teams etabliert

In meiner Rolle als Senior Cloud DevOps Architect bei BP, einem Öl- und Gasunternehmen, hatte ich die Aufgabe, die Plattform für das Laden von Elektrofahrzeugen der EV Division von On-Premises und Azure in die AWS-Cloud zu migrieren, was zu einer hybriden Multi-Cloud-, Multi-Tenant-SaaS-Lösung führte.

Der Einsatz von Kubernetes für die Anwendungsebene bedeutete die Bereitstellung von Kubernetes-Clusters, die von EKS und AKS verwaltet wurden, mit Fokus auf die Integration in eine Multi-Tenant-Umgebung. Diese Integration wurde durch den Einsatz von Kubernetes-Namespace und Zugriffskontrollen erreicht, um Datenisolation und Datenschutz sicherzustellen.

Auf der Datenbankebene entschieden wir uns für eine RDS-Instanz mit PostgreSQL zur Unterstützung der Backend-Infrastruktur unserer Anwendungen. Die Mandanten teilten sich dieselbe RDS-Instanz, hatten aber jeweils ein eigenes Schema.

Um nahezu in Echtzeit Daten von physischen Ladestationen (CPOs) als IoT-Geräte über das OCPI-Protokoll aufzunehmen, stießen wir bei der Batch-Verarbeitung auf erhebliche Verzögerungen. Daher entwickelten wir eine Streaming-Datenpipeline in Echtzeit mit Apache Kafka und setzten dabei auf eine eventgetriebene Architektur.

Ich leitete die Zusammenarbeit über mehrere interne Teams, externe Anbieter, Cloud-Provider und Partner vor Ort hinweg, um über fünf Systeme in eine einheitliche Lösung zu integrieren.

Erfolge:

• Erfolgreich hybride Multi-Cloud-Lösungen entworfen und umgesetzt, die mehrere Cloud-Plattformen (AWS, Azure) mit On-Premises-Infrastruktur unter Einsatz von Site-to-Site-VPNs, Firewalls und Load Balancing integrierten.
• Die Migration der On-Premises-Infrastruktur zu einer Multi-Cloud-, Multi-Tenant-Infrastruktur geleitet, was zu 30 % schnelleren Verarbeitungszeiten führte.
• Workloads aus VMware- und Hyper-V-Umgebungen auf cloudbasierte VMs migriert und dabei Cloud-native Services genutzt, um Leistung, Kosteneffizienz und Skalierbarkeit zu optimieren.
• Eine Multi-Tenant-Kubernetes-Plattform entworfen, die das Kubernetes-Ökosystem nutzt, mit Karpenter für die dynamische Bereitstellung von EC2-Nodes, KEDA für eventgesteuertes Pod-Autoscaling (z. B. Kafka-Message-Lag) und Rancher für das zentrale Monitoring mehrerer Cluster (EKS, AKS oder On-Prem K8s), als Ersatz für den Microsoft-zentrierten Azure-Arc-Management-Service.
• Python-basierte FastAPI-Microservices als Teil des EV-Core-Backends auf der AWS-EKS-Anwendungsebene entworfen und umgesetzt, die Datenaufnahme- und Kundenanalyse-Pipelines antreiben.
• Asynchrone, eventgetriebene APIs (Python-FastAPI) für die Echtzeit-Integration mit CPOs entwickelt, mit Unterstützung für OCPI 2.3 und OICP-Protokolle.
• Eine sichere, produktionsreife Azure-Databricks-Plattform mit Terraform entworfen und umgesetzt und dabei Skalierbarkeit und Kosteneffizienz sichergestellt.
• On-Premises-ERP auf eine hybride Dynamics-365-Architektur migriert, mit ERP lokal gehostet und CRM in Azure betrieben, integriert über Azure Arc.
• CI/CD-Pipelines für Databricks-Notebooks und Jobs mit GitHub Actions und Databricks CLI automatisiert, wodurch die Bereitstellungszeit reduziert wurde. Die Bereitstellungszeit für Infrastruktur durch Automatisierung der Cloud-Ressourcenbereitstellung mit GitOps um 70 % reduziert.
• Die Einhaltung interner Audit- und Data-Governance-Standards (GDPR) durch OAuth2/OIDC-basierte Authentifizierung und fein abgestufte rollenbasierte Zugriffskontrollen sichergestellt.
• Ein Zero-Trust-Sicherheitsmodell entwickelt, das Least-Privilege-Zugriffe und Mikrosegmentierung durchsetzt und die Sicherheitslage sowie die Compliance mit GDPR und NIST verbessert.
• Interaktive Analytics-Dashboards in Amazon QuickSight erstellt, die Daten aus S3 und Redshift integrieren, um Echtzeit-Business-Insights und Visualisierungen mit eingebettetem Zugriff für Multi-Tenant-Nutzer bereitzustellen.
• Cloud-Sicherheitsbewertungen und eine Sicherheitsintegration über den gesamten Lebenszyklus während M&A geleitet, einschließlich AWS, Azure, IAM (Entra ID) und Datenschutz, und dabei die Sicherheitslage mit NIST, ISO 27001 und GDPR über hybride und cloud-native Umgebungen hinweg ausgerichtet.
• Die Cloud-Kosten für eine Dev-Umgebung eines Kunden um 64 % gesenkt, indem automatisierte Start-/Stopp-Zeitpläne für EC2- und RDS-Instanzen über AWS CDK mit EventBridge Scheduler oder AWS Systems Manager implementiert wurden.

Tech-Stack:

• Infrastructure as Code: Terraform, AWS CDK, Ansible.
• Container: Kubernetes auf EKS, AKS, Docker.
• Streaming-Datenverarbeitung: Kafka zu Confluent Cloud, nach AWS MSK.
• Frontend: TypeScript, React, NextJS, Hooks, Styled Components.
• Backend: Python mit FastAPI, außerdem Node.js mit NestJS.
• Datenbank: Aurora auf PostgreSQL mit TypeORM, RDS auf SQL Server, vollständiges Setup und Administration von Azure Databricks, ETL-Pipelines.
• CI/CD und GitOps: GitHub Actions, Azure DevOps, ArgoCD.
• Monitoring und Observability: Prometheus und Grafana.
• Virtualisierung: Hyper-V, VMware Cloud on AWS, Azure Migrate.
• ERP-Systeme: Odoo, Microsoft Dynamics 365 Business Central auf Azure, integriert mit Azure Arc.
• Netzwerke: Site-to-Site-VPNs, AWS Direct Connect, Azure ExpressRoute, Firewalls (AWS Network Firewall, Azure Firewall).
• Sicherheit: IAM, NIST Framework, Zero-Trust-Sicherheit, AWS WAF, AWS Shield, GuardDuty.