Penetration Testing Experten in Berlin

• Ein maßgeschneidertes Tool mit dem Mistral-7B-LLM entwickelt, um Sicherheitslücken zu scannen, zu prüfen und zu melden.
• KI-Agenten, Bots und andere LLMs auf Sicherheit getestet, mit Schwerpunkt auf Prompt Injection, Modellinversion, Datenvergiftung, EDR-/AV-Umgehungs- und Tarntechniken, Membership Inference, Modellumgehung, Overfitting auf bösartige Eingaben und kontextuelle Manipulation.
• Repositories in SAST-Lösungen für Sicherheitsscans eingebunden, Secret Scanning und DAST implementiert, SCA eingesetzt und ZAP für DAST in CI/CD-Pipelines genutzt.
• An Security-Awareness-Schulungen mitgewirkt sowie CTF-Herausforderungen und Schulungsmaterialien entwickelt, um das Sicherheitswissen von Entwicklern zu verbessern.
• Halbjährliche Red-Team-Einsätze auf Grundlage des MITRE-ATT&CK-Frameworks geplant und durchgeführt sowie interne und externe Penetrationstests nach dem OWASP-Top-10-Framework für weltweit 70+ Anwendungen geleitet. Dabei wurden Hunderte von Sicherheitslücken erkannt, gemeldet und behoben.
• HackerOne-Berichte geprüft und bearbeitet.

• Durchführung von Cybersecurity-Bereitschaftsprüfungen auf Basis einer eigenen Prüfungsmethodik
• Analyse der externen Angriffsfläche mittels Graydaxe EASM-Plattform
• Reifegradbewertung und Ableitung priorisierter Handlungsempfehlungen

• Verantwortlichkeiten:
• Zusammenarbeit mit dem Product Owner zur Definition funktionaler und technischer Anforderungen
• Quartalsweise Roadmap-Definition mit Executives und Product Owner
• Bugs beheben und neue Features in Go und Typescript entwickeln
• Full-Stack-Engineering-Team führen und mentorieren
• Systemdesign in einer Microservice-Umgebung
• Anwendungssicherheit gewährleisten
• Engineering-Effizienz und Qualität der Ergebnisse verbessern
• Automatisierung mit agentic-AI-Workflows unterstützen
• Erfolge:
• Sicherheits- und Datenschutzbewusstsein im Team verbessert durch Workshops zu Best Practices, Sicherheitsmaßnahmen und Angriffstypen
• Eine neue Echtzeit-Chat-Anwendung konzipiert, entworfen und erfolgreich ausgeliefert, um die Beziehung und Zusammenarbeit zwischen Partnern und Unternehmen in Go und Typescript zu verbessern
• Meetingstunden für Engineers reduziert, indem ich den Workflow zur Projektvorbereitung in Zusammenarbeit mit dem Produktteam umstrukturiert habe

Im Cyber Defense Center (CDC/CERT) der gematik (KRITIS): Sicherheitsüberwachung, Incident Response und Serviceüberwachung der Telematikinfrastruktur (TI)

• Schwachstellenmanagement mit Nexpose für gematik und die Telematikinfrastruktur
• Schwachstellenbewertung: Bewertung und Nachverfolgung von Schwachstellen über Jira
• Sicherheitsüberwachung und Triage von Sicherheitsereignissen mit Splunk
• First Responder und Incident Handling: Erstbewertung, Triage und Eskalation
• Serviceüberwachung: Überwachung kritischer TI-Services
• Dokumentation von Runbooks, Playbooks und Knowledge-Base-Artikeln in Confluence

• Projekte für Netze des Bundes (NdB).
• CR-Management, EoL Änderungsverlangen, Konzeptionen und Dokumentation nach ITSCM.
• Aufbauplanung von Rechenzentren.
• Projektmanagement und Teilprojektleitung Engineering.
• SW Entwicklung für virtuelle Serverlandschaften nach BSI.

• Definierte und setzte eine umfassende Sicherheits-Roadmap um: integrierte Shift-Left-Security, CNAPP und DevSecOps-Prinzipien, um die sichere Produktentwicklung zu optimieren und die Risikoexposition zu reduzieren.
• Etablierte ein robustes Framework für Bedrohungsmodellierung: verankerte Sicherheit in den Designprozessen, ermöglichte so frühzeitige Identifizierung von Schwachstellen und verringerte potenzielle Risiken.
• Entwickelte ein skalierbares Schwachstellenmanagementprogramm: beschleunigte die Erkennung und Behebung neuer Schwachstellen und verkürzte dadurch den Reaktionszyklus erheblich.
• Verbesserte Cloud- und Containersicherheit: setzte fortschrittliche Tools wie Tetragon ein, um tiefere Einblicke zu erhalten und eine Defense-in-Depth-Strategie umzusetzen.
• Automatisierte Sicherheitskontrollen in CI/CD-Pipelines: integrierte Sicherheitsmaßnahmen in den Entwicklungszyklus, um eine kontinuierliche Bereitstellung mit starken Schutzmechanismen sicherzustellen.
• Förderte funktionsübergreifende Zusammenarbeit: kooperierte mit Entwicklern und Infrastrukturteams, um Bedrohungen zu priorisieren und Abhilfemaßnahmen abzustimmen und förderte so eine einheitliche Sicherheitskultur.
• Stellte regulatorische Compliance und Audit-Bereitschaft sicher: arbeitete eng mit dem InfoSec-Team zusammen, um interne Richtlinien einzuhalten und Audits für Standards wie PCI-DSS und SOC 2 erfolgreich zu unterstützen.

Ich habe die Automatisierung von Cold-Outreach-Workflows realisiert.

• Entwickelt eine Queue-Architektur zur Unterstützung der parallelen Ausführung großer Mengen von Hintergrundaufgaben.
• Integriert mehrere E-Mail-Versandanbieter.
• Implementiert einen LLM-basierten Prozess zur Datenanreicherung.

Technologien: TypeScript, React, Node.js, Next.js, Drizzle ORM, PostgreSQL, Next-Auth, JWT, Docker, Kubernetes, AWS, CloudFlare, Traefik, Groq, Jest, Figma

• ISMS und Sicherheitskonzept E-Akte Fabasoft nach BSI 200-1/2 u.a.
• Strukturanalyse (A.1), Modellierung (A.3) sowie Grundschutzchecks (A.4)
• Vorbereitung OWASP-Penetrationstest, Incident-Response-Plan, Risikoanalyse
• DevOps Bitbucket, ARC42, IAM Keycloak/AD, Mandantenkonzept, DMS, SOC
• Notfallvorsorgekonzept BSI 200-4, Betriebs- und Servicekonzept (BSK), ITSM

• Infrastruktur für Red Team aufgebaut, um realistische Angriffssimulationen mit Sliver C2 und eigenen Tools durchzuführen
• Komplexe Red-Team-Operationen ausgeführt und KI-/LLM-Sicherheitsforschung für Prompt-Injection-Angriffe integriert
• Umfassende Breach-Assessment-Angriffe und Schwachstellenbewertungen in der Unternehmensinfrastruktur durchgeführt
• Ursachenanalysen und Purple-Team-Übungen durchgeführt und Berichte für die Geschäftsleitung erstellt
• LLM-Red-Team-Initiativen geleitet, um die Sicherheit von KI-Modellen wie GPT-4, Mistral und internen GenAI-Modellen zu verbessern

• Operative Geschäftsführung des Unternehmens: Aufbau von Teams und Infrastruktur, Entwicklung von Produkten, Analysen und Umsetzung von IT-Sicherheitsmaßnahmen

• Projekteinsätze im Umfeld der IT-Sicherheit mit Fokus auf der Etablierung von Blue Teaming-Aktivitäten (Defensive Prozesse und Technologien) zur Abwehr von Cyberangriffen

• Durchführung von Red Teaming-Prozessen, darunter Penetrationstests und Sicherheitsanalysen für Unternehmen

• Beratung beim Aufbau von Security Operation Centern und Einführung von SIEM-Systemen sowie Aufbau von Computer Incident Response Teams (CSIRT)

• Auditor für ISO 9001 und ISO 27001, §8a, ISO 27019, §11 1a EnWG, TISAX

• Beratung von Unternehmen der kritischen Infrastrukturen bezüglich Informationssicherheit und Erfüllung des IT-Sicherheitsgesetzes

• Aufbau von SIEM/SOC-Prozessen sowie SOC-Analysten-Arbeit (Splunk, ELK-Stack)

• Integration von Daten in Monitoring-Tools (Prometheus, Grafana)

• Beratung in Fragen von BSI IT-Grundschutz, ISO 9001, ISO 27001, BCM, ITIL und Risikomanagement

• Sicherheitsbewertungen und Penetrationstests von IT- und Netzwerkarchitekturen

Ich habe ein Team von drei Personen geführt und die Kennzahlen in der Geschäftsentwicklung gesteigert, Kandidaten in die Bewerber-Pipeline gebracht und die durchschnittliche Besetzungsdauer für Vakanzen verkürzt. Ich habe den gesamten technischen Recruiting-Prozess von der Kandidatensuche bis zu den Reviews nach der Probezeit geleitet und dabei sowohl die Zufriedenheit der Kandidaten als auch der Kunden erhöht.

Ich habe technische Kandidaten für viele spezialisierte Rollen in Unternehmen in ganz Europa rekrutiert, darunter Datenexperten, Entwickler, DevOps, IT-Systemadministratoren und Vertriebsingenieure.

Ich habe die gefundenen Kandidaten sowohl auf ihre technischen Fähigkeiten als auch auf ihre kulturelle Passung vorab geprüft, wodurch die Zeit reduziert wurde, die Personalverantwortliche mit dem Aussortieren ungeeigneter Kandidaten verbringen.

Ich habe Kandidaten interviewt, um ihr rollenbezogenes Fachwissen und ihre potenzielle Passung für die Unternehmen der Kunden zu ermitteln.

Ich habe Kandidaten Coaching und Interviewvorbereitung angeboten.

Ich habe nach der Platzierung Feedback-Gespräche mit den Kandidaten geführt, um sicherzustellen, dass sowohl die Kunden als auch die Kandidaten zufrieden sind und die Kandidaten in ihren neuen Rollen bleiben.

Ich habe mit verschiedenen ATS-Systemen gearbeitet, je nach den Ressourcen und Bedürfnissen der Kunden, darunter Personio, Lever und Team Tailor.

Ich habe für VITA mit der Open-Source-Software Odoo ein CRM-/ATS-System aufgebaut, was zu erheblichen Zeit- und Effizienzgewinnen geführt hat.

• Leitung des Teams für Telekom-Sicherheitstests & SOC-Deployments bei Tier-1-Anbietern; kritische Schwachstellen um 30 % reduziert.
• Durchführung von 5G/O-RAN-Fuzzing, Penetrationstests und Schwachstellenrecherchen (Basebands, RAN, Core).
• Entwicklung von Testumgebungen für Protokoll-Fuzzing (AFL++, LibAFL) auf 5G-Stacks.
• Durchführung von Kundenworkshops zur sicheren Telekommunikation mit KI-unterstützten Abläufen.
• Forschung zu KI-gesteuertem SOC und Penetrationstests (LLMs für Log-Triage, Anomalieerkennung, adversariales Monitoring).

• Vorbereitung eines Mineralöl-Unternehmens auf die KRITIS-Auditierung
• KRITIS-Beratung
• Erstellung der notwendigen Richtlinien, Prozesse und Vorgaben gemäß KRITIS-Anforderungen
• Verwendete Tools und Methodiken: ISO/IEC 27001, BSI IT-Grundschutz, KRITIS-V

• Einsatz als IT-Projektleiter und Scrum Master
• Beratung im IT-Security-Bereich