Penetration Testing Experten in Berlin

• Verantwortlichkeiten:
• Zusammenarbeit mit dem Product Owner zur Definition funktionaler und technischer Anforderungen
• Quartalsweise Roadmap-Definition mit Executives und Product Owner
• Bugs beheben und neue Features in Go und Typescript entwickeln
• Full-Stack-Engineering-Team führen und mentorieren
• Systemdesign in einer Microservice-Umgebung
• Anwendungssicherheit gewährleisten
• Engineering-Effizienz und Qualität der Ergebnisse verbessern
• Automatisierung mit agentic-AI-Workflows unterstützen
• Erfolge:
• Sicherheits- und Datenschutzbewusstsein im Team verbessert durch Workshops zu Best Practices, Sicherheitsmaßnahmen und Angriffstypen
• Eine neue Echtzeit-Chat-Anwendung konzipiert, entworfen und erfolgreich ausgeliefert, um die Beziehung und Zusammenarbeit zwischen Partnern und Unternehmen in Go und Typescript zu verbessern
• Meetingstunden für Engineers reduziert, indem ich den Workflow zur Projektvorbereitung in Zusammenarbeit mit dem Produktteam umstrukturiert habe

• Implementierung einer Full-Stack Anwendung mit Angular als Frontend-Framework und Java als Backend-Sprache
• Einsatz der Swagger OpenAPI Spezifikation für die REST-Kommunikation zwischen Frontend- und Backend-Anwendung
• Ansteuerung eines Kartendruckers über das Nexus Card SDK Framework
• Design und Implementierung einer Kartenverwaltungssoftware mit Weboberfläche und JavaFX-Modul für das Druckermonitoring
• Einsatz von Cucumber-Tests für die Testautomatisierung und Erstellung von Test-Artefakten zum Testen außerhalb der Entwicklungsumgebung
• Einsatz von Wireshark für Netzwerkuntersuchungen zur Analyse der API eines Drittproduktes und zur Kontrolle der REST-API der selbst entwickelten Software

• Durchführung von Cybersecurity-Bereitschaftsprüfungen auf Basis einer eigenen Prüfungsmethodik
• Analyse der externen Angriffsfläche mittels Graydaxe EASM-Plattform
• Reifegradbewertung und Ableitung priorisierter Handlungsempfehlungen

• Projekte für Netze des Bundes (NdB).
• CR-Management, EoL Änderungsverlangen, Konzeptionen und Dokumentation nach ITSCM.
• Aufbauplanung von Rechenzentren.
• Projektmanagement und Teilprojektleitung Engineering.
• SW Entwicklung für virtuelle Serverlandschaften nach BSI.

• Definierte und setzte eine umfassende Sicherheits-Roadmap um: integrierte Shift-Left-Security, CNAPP und DevSecOps-Prinzipien, um die sichere Produktentwicklung zu optimieren und die Risikoexposition zu reduzieren.
• Etablierte ein robustes Framework für Bedrohungsmodellierung: verankerte Sicherheit in den Designprozessen, ermöglichte so frühzeitige Identifizierung von Schwachstellen und verringerte potenzielle Risiken.
• Entwickelte ein skalierbares Schwachstellenmanagementprogramm: beschleunigte die Erkennung und Behebung neuer Schwachstellen und verkürzte dadurch den Reaktionszyklus erheblich.
• Verbesserte Cloud- und Containersicherheit: setzte fortschrittliche Tools wie Tetragon ein, um tiefere Einblicke zu erhalten und eine Defense-in-Depth-Strategie umzusetzen.
• Automatisierte Sicherheitskontrollen in CI/CD-Pipelines: integrierte Sicherheitsmaßnahmen in den Entwicklungszyklus, um eine kontinuierliche Bereitstellung mit starken Schutzmechanismen sicherzustellen.
• Förderte funktionsübergreifende Zusammenarbeit: kooperierte mit Entwicklern und Infrastrukturteams, um Bedrohungen zu priorisieren und Abhilfemaßnahmen abzustimmen und förderte so eine einheitliche Sicherheitskultur.
• Stellte regulatorische Compliance und Audit-Bereitschaft sicher: arbeitete eng mit dem InfoSec-Team zusammen, um interne Richtlinien einzuhalten und Audits für Standards wie PCI-DSS und SOC 2 erfolgreich zu unterstützen.

• Ein eigenes Tool entwickelt, das mit dem Mistral 7B LLM Sicherheitslücken scannt, validiert und meldet.
• KI-Agenten, Bots und andere LLMs auf Sicherheit getestet, mit Schwerpunkt auf Prompt-Injektion, Modell-Inversion, Daten-Vergiftung, EDR/AV-Bypass- und Umgehungstechniken, Mitgliedschaftsinferenz, Modell-Umgehung, Overfitting auf bösartige Eingaben und kontextuelle Manipulation.
• Git-Repositories in SAST-Lösungen für Sicherheits-Scans eingebunden, Secrets-Scanning, DAST und SCA implementiert und ZAP für DAST in CI/CD-Pipelines genutzt.
• Schulungen zum Sicherheitsbewusstsein durchgeführt, CTF-Challenges und Schulungsmaterialien entwickelt, um das Sicherheitswissen der Entwickler zu verbessern.
• Halbjährliche Red-Teaming-Operationen nach dem MITRE-ATT&CK-Framework geplant und durchgeführt sowie interne und externe Pentests nach dem OWASP-Top-10-Framework für über 70 Anwendungen weltweit geleitet, was zur Entdeckung, Meldung und Behebung von Hunderten von Schwachstellen führte.
• HackerOne-Berichte triagiert.

• ISMS und Sicherheitskonzept E-Akte Fabasoft nach BSI 200-1/2 u.a.
• Strukturanalyse (A.1), Modellierung (A.3) sowie Grundschutzchecks (A.4)
• Vorbereitung OWASP-Penetrationstest, Incident-Response-Plan, Risikoanalyse
• DevOps Bitbucket, ARC42, IAM Keycloak/AD, Mandantenkonzept, DMS, SOC
• Notfallvorsorgekonzept BSI 200-4, Betriebs- und Servicekonzept (BSK), ITSM

Ich habe die Automatisierung von Cold-Outreach-Workflows realisiert.

• Entwickelt eine Queue-Architektur zur Unterstützung der parallelen Ausführung großer Mengen von Hintergrundaufgaben.
• Integriert mehrere E-Mail-Versandanbieter.
• Implementiert einen LLM-basierten Prozess zur Datenanreicherung.

Technologien: TypeScript, React, Node.js, Next.js, Drizzle ORM, PostgreSQL, Next-Auth, JWT, Docker, Kubernetes, AWS, CloudFlare, Traefik, Groq, Jest, Figma

• Infrastruktur für Red Team aufgebaut, um realistische Angriffssimulationen mit Sliver C2 und eigenen Tools durchzuführen
• Komplexe Red-Team-Operationen ausgeführt und KI-/LLM-Sicherheitsforschung für Prompt-Injection-Angriffe integriert
• Umfassende Breach-Assessment-Angriffe und Schwachstellenbewertungen in der Unternehmensinfrastruktur durchgeführt
• Ursachenanalysen und Purple-Team-Übungen durchgeführt und Berichte für die Geschäftsleitung erstellt
• LLM-Red-Team-Initiativen geleitet, um die Sicherheit von KI-Modellen wie GPT-4, Mistral und internen GenAI-Modellen zu verbessern

• Operative Geschäftsführung des Unternehmens: Aufbau von Teams und Infrastruktur, Entwicklung von Produkten, Analysen und Umsetzung von IT-Sicherheitsmaßnahmen

• Projekteinsätze im Umfeld der IT-Sicherheit mit Fokus auf der Etablierung von Blue Teaming-Aktivitäten (Defensive Prozesse und Technologien) zur Abwehr von Cyberangriffen

• Durchführung von Red Teaming-Prozessen, darunter Penetrationstests und Sicherheitsanalysen für Unternehmen

• Beratung beim Aufbau von Security Operation Centern und Einführung von SIEM-Systemen sowie Aufbau von Computer Incident Response Teams (CSIRT)

• Auditor für ISO 9001 und ISO 27001, §8a, ISO 27019, §11 1a EnWG, TISAX

• Beratung von Unternehmen der kritischen Infrastrukturen bezüglich Informationssicherheit und Erfüllung des IT-Sicherheitsgesetzes

• Aufbau von SIEM/SOC-Prozessen sowie SOC-Analysten-Arbeit (Splunk, ELK-Stack)

• Integration von Daten in Monitoring-Tools (Prometheus, Grafana)

• Beratung in Fragen von BSI IT-Grundschutz, ISO 9001, ISO 27001, BCM, ITIL und Risikomanagement

• Sicherheitsbewertungen und Penetrationstests von IT- und Netzwerkarchitekturen

• Leitung des Teams für Telekom-Sicherheitstests & SOC-Deployments bei Tier-1-Anbietern; kritische Schwachstellen um 30 % reduziert.
• Durchführung von 5G/O-RAN-Fuzzing, Penetrationstests und Schwachstellenrecherchen (Basebands, RAN, Core).
• Entwicklung von Testumgebungen für Protokoll-Fuzzing (AFL++, LibAFL) auf 5G-Stacks.
• Durchführung von Kundenworkshops zur sicheren Telekommunikation mit KI-unterstützten Abläufen.
• Forschung zu KI-gesteuertem SOC und Penetrationstests (LLMs für Log-Triage, Anomalieerkennung, adversariales Monitoring).

Ich habe ein Team von drei Personen geführt und die Kennzahlen in der Geschäftsentwicklung gesteigert, Kandidaten in die Bewerber-Pipeline gebracht und die durchschnittliche Besetzungsdauer für Vakanzen verkürzt. Ich habe den gesamten technischen Recruiting-Prozess von der Kandidatensuche bis zu den Reviews nach der Probezeit geleitet und dabei sowohl die Zufriedenheit der Kandidaten als auch der Kunden erhöht.

Ich habe technische Kandidaten für viele spezialisierte Rollen in Unternehmen in ganz Europa rekrutiert, darunter Datenexperten, Entwickler, DevOps, IT-Systemadministratoren und Vertriebsingenieure.

Ich habe die gefundenen Kandidaten sowohl auf ihre technischen Fähigkeiten als auch auf ihre kulturelle Passung vorab geprüft, wodurch die Zeit reduziert wurde, die Personalverantwortliche mit dem Aussortieren ungeeigneter Kandidaten verbringen.

Ich habe Kandidaten interviewt, um ihr rollenbezogenes Fachwissen und ihre potenzielle Passung für die Unternehmen der Kunden zu ermitteln.

Ich habe Kandidaten Coaching und Interviewvorbereitung angeboten.

Ich habe nach der Platzierung Feedback-Gespräche mit den Kandidaten geführt, um sicherzustellen, dass sowohl die Kunden als auch die Kandidaten zufrieden sind und die Kandidaten in ihren neuen Rollen bleiben.

Ich habe mit verschiedenen ATS-Systemen gearbeitet, je nach den Ressourcen und Bedürfnissen der Kunden, darunter Personio, Lever und Team Tailor.

Ich habe für VITA mit der Open-Source-Software Odoo ein CRM-/ATS-System aufgebaut, was zu erheblichen Zeit- und Effizienzgewinnen geführt hat.

• Vorbereitung eines Mineralöl-Unternehmens auf die KRITIS-Auditierung
• KRITIS-Beratung
• Erstellung der notwendigen Richtlinien, Prozesse und Vorgaben gemäß KRITIS-Anforderungen
• Verwendete Tools und Methodiken: ISO/IEC 27001, BSI IT-Grundschutz, KRITIS-V

• Einsatz als IT-Projektleiter und Scrum Master
• Beratung im IT-Security-Bereich