Qualys Experten in Deutschland

• Ausgangssituation: Wachsender Bedarf an datenschutzkonformen KI-Lösungen für Mandanten im KRITIS- und Mittelstandsumfeld, die sensible Medieninhalte (Audio, Video, Dokumente) analysieren müssen, ohne Daten an Public-Cloud-LLMs weiterzugeben.

• Aufgabe: Konzeption, Aufbau und sicherer Betrieb einer vollständig self-hosted AI-Infrastruktur inklusive eigenentwickelter Digital-Management-Plattform zur automatisierten Medienanalyse.

• Maßnahme: Architektur und Implementierung einer Multi-Tier-Plattform auf gehärteter Proxmox-Infrastruktur mit Frontend (Nuxt 3, Vue 3, TypeScript, Tailwind 4), Backend (Laravel 13, PHP 8.4, Sanctum), Datenhaltung (PostgreSQL 16, MongoDB 7), Caching/Queuing (Redis 7, Laravel Queue), AI-Worker (Python 3.11, Whisper, DeepFace, Librosa), Scheduling (Laravel Scheduler/Cron) und lokalen LLMs (Gemma, DeepSeek, Qwen, Mistral, LLaMA, Phi) über OpenWebUI mit segmentiertem Netzwerkzugriff, API-Hardening und Audit-Logging nach BSI-Empfehlungen.

• Ergebnis: Vollständig DSGVO-konforme, on-premises betriebene AI-Plattform ohne Datenabfluss an Dritte.

• Aufgabe: Gesamtverantwortung als externer Head of Cyber Security / CISO-as-a-Service für Konzeption, Implementierung und kontinuierliche Verbesserung von ISMS nach ISO 27001, BSI-Grundschutz und NIS2.

• Maßnahme: Aufbau und Steuerung von Cyber Defense Centern (CDC) mit SOC-Operations, Integration von SIEM-Lösungen (Splunk, Graylog), Etablierung eines Risk-Based Vulnerability Managements (Qualys, Nessus, OpenVAS) und Durchführung regelmäßiger Infrastruktur-, Applikations- und physischer Penetrationstests.

• Ergebnis: Audit-Ready ISMS bei mehreren Mandanten und Reduktion kritischer Schwachstellen um 60 % innerhalb von 90 Tagen.

• Aufgabe: Konzeption und Durchführung von NIS2-Assessments und operative Umsetzungsfahrpläne für KRITIS-Betreiber.

• Maßnahme: Entwicklung eines Online-Assessment-Tools zur automatisierten Ermittlung individueller Schwächeprofile, operative Umsetzung von ISMS-Optimierung, Penetrationstests, Awareness-Programmen und GRC-Suite-Implementierung sowie C-Level-Präsentationen.

• Ergebnis: Beschleunigung des Beratungsprozesses um 50 % und erfolgreiche NIS2-Konformitätsvorbereitung mehrerer Mandanten.

• Aufgabe: Incident Commander für Krisenreaktion, Forensik und Business Recovery bei Ransomware-Angriffen und APT-Kampagnen.

• Maßnahme: Koordination mit LKA und BKA, forensische Analysen (OSForensics, Wireshark, Kali Linux), Umsetzung von Disaster-Recovery- und BCM-Strategien, Entwicklung von Reaktionsstrategien bei BTC-Erpressung.

• Ergebnis: 100 % Wiederherstellungsrate innerhalb definierter RTO-Fenster und nachhaltige Post-Incident-Sicherheitsarchitekturen.

• Maßnahme: Planung, Aufbau und Betrieb einer gehärteten Multi-VM-Infrastruktur (Proxmox, 15+ VMs) mit Web- und Mailservern, Graylog, OPNsense-Firewalls, CRM/ERP und LLM-Instanzen, Netzwerksegmentierung, DDoS-Mitigation, automatisiertem Patch-Management und Backup-Strategien.

• Ergebnis: > 99,5 % Verfügbarkeit über 20+ Jahre und null Kompromittierungen.

• Maßnahme: Konzeption koordinierter Phishing-Kampagnen in fünf Härtegraden, abgeleitete E-Learnings und Webinare im PDCA-Zyklus, Aufbau und Leitung von Red- und Blue-Teams.

• Ergebnis: Reduktion der Phishing-Klickrate von 35 % auf unter 5 % innerhalb von drei Kampagnenzyklen.

• Leitung des Teilprojekts Einführung von Vulnerability Response im Rahmen von DORA
• Aufnahme der aktuellen Prozesse im Bereich Compliance, Risiko und Sicherheit
• Erstellen des Fachkonzepts zur Einführung von Applikations-, Infrastruktur- und Cloud-Schwachstellen
• Agile Steuerung des Integrationsdienstleisters, der Fachabteilung sowie der Querschnittsfunktionen im Unternehmen
• Anbindung der V-Scanner Tennable, Qualys und Defender sowie von NVD und CISA/KEV
• Anbindung von GitLab Ultimate für den Import und die Verarbeitung der SBOMs
• Entwicklung von Automationsregeln zum Abgleich der Scanergebnisse mit CIs der CMDB, Zuweisung der Schwachstellen und Behebungsaufgaben, Genehmigungen (Falschpositive, Ausnahmen) und Schließungen
• Berechnung mehrerer Risikoscores und Prioritäten
• Definition von Dashboards und Reportings (Workspaces, Performance Analytics)
• Abstimmung der neuen Prozesse, insbesondere zur Erhöhung der Datenqualität der CMDB (nach CSDM)

Ich implementierte eine Zero-Trust-Architektur fuer robuste, militaertaugliche maritime Container-Mini-Rechenraeume auf Basis von VMware & Tanzu zur Unterstuetzung containerisierter GIS-Workloads fuer Bodentruppen. Der besondere Fokus lag auf der Absicherung der Kommunikation, dem Workload-Schutz und dem Datenzugriff in umkaempften elektronischen Gefechtsumgebungen, die durch Jamming, Abfangen, Signalmanipulation und staendig wechselnde Einsatzbedingungen beeinflusst werden. Ich habe Use Cases so entworfen und architektonisch umgesetzt, dass jedes Element von Workload, Identitaet und System auch in degradierten oder gestoerten Szenarien weiterhin unabhaengig und sicher funktionieren konnte. Parallel dazu definierte ich die Enterprise- und Solution-Security-Architektur mit LeanIX, Bizzdesign und HOPEX als Enterprise-Architecture-, Repository- und Governance-Plattformen, um Architekturinventar, Beziehungen, Nachverfolgbarkeit, Zielbilder und Security Governance in komplexen Umgebungen zu pflegen. Fuer die architektonischen Designs nutzte ich Sparx Enterprise Architect, um formale Architekturperspektiven, Schnittstellen, Vertrauensgrenzen und Systemarchitektur sowohl in IT- als auch OT-Umgebungen zu beschreiben. Das Tool IriusRisk wurde fuer das Threat Modeling der Loesung eingesetzt, um architekturgetriebene Risiken zu identifizieren, Sicherheitsanforderungen abzuleiten und Gegenmassnahmen sowie Designluecken direkt aus den Loesungsmodellen zu erkennen. Das Risiko- und Compliance-Management wurde mit Archer unterstuetzt. Architekturentscheidungen, Kontrollluecken und operative Risiken wurden in gesteuerte Governance- und auditierbare Compliance-Massnahmen ueberfuehrt. Fuer Dokumentation, Zusammenarbeit und visuelles Design nutzte ich Confluence zur Pflege von Architecture Decision Records, Security Blueprints und Workflows. Lucidchart und draw.io verwendete ich zur Erstellung stakeholdergerechter Design-Artefakte. Ich habe ausserdem OT-Sicherheitskonzepte mit Unterstuetzung von Elektro- und Maschinenbauingenieuren in den Bereichen Oel, Fahrzeug-Bordsysteme, Bahn, Kraftwerke, Pharma, Gasturbinen und Nukleartechnik definiert. Ich erstellte die End-to-End-OT-Sicherheitsstrategie, beginnend bei der globalen Policy, weiterentwickelt zu Standards und Verfahren und schliesslich korreliert mit Bell-LaPadula, Purdue Model, SABSA, TOGAF ADM, CENELEC 50701, IEC 62443 und NIST-Standards. Zudem arbeitete ich mit Engineering-Teamleads zusammen, um kritische KBP-Assets zu identifizieren und sie unter Schutzmassnahmen zu stellen, mit denen SCADA-, PLC- und HMI-Assets segmentiert wurden. Ich trieb die Zusammenarbeit zwischen Security-, IT- und OT-Teams voran, um standardisierte Workflows und Use Cases fuer den OT-Security-Loesungskatalog zu erstellen, waehrend Defense-in-Depth- und Zero-Trust-Prinzipien in operative Umgebungen integriert wurden. Entscheidend war die Integration multidisziplinaerer Engineering-, Security- und Operations-Akteure in eine einheitliche Security-Blueprinting-Strategie und die Sicherstellung, dass Architektur, Threat Modeling, Governance und Dokumentation technisch robust und operativ praktikabel waren.

• Durchführung von Cybersecurity-Bereitschaftsprüfungen auf Basis einer eigenen Prüfungsmethodik
• Analyse der externen Angriffsfläche mittels Graydaxe EASM-Plattform
• Reifegradbewertung und Ableitung priorisierter Handlungsempfehlungen

Gesamtverantwortliche Steuerung eines klinischen Digitalisierungsprojekts im regulierten Krankenhausumfeld.

Konzeptionierung und Implementierung eines Patientenaufruf- und Patientenmanagementsystems (PASO) für die Orthopädie eines großen Klinikums.

• Projektmanagement, Projektplanung und Projektsteuerung
• Prozessanalyse und -optimierung sowie Steuerung von Implementierung und Rollout
• Abstimmung mit medizinischen Fachbereichen, IT und externen Dienstleistern
• Sicherstellung der Integration in bestehende IT- und Prozesslandschaften

Projektumfang: 310 Personentage, Teamgröße: 21 Mitarbeiter.

• Wartung einer SaaS-Abrechnungsplattform auf AWS im Site Reliability Engineering (SRE) Team.
• Wesentliche Rolle bei einem AWS-Cloud-Migrationsprojekt: Implementierung von Terraform (IaC), Aufbau von CI/CD-Prozessen und Pipelines, Härtung von Images, Aktualisierung von Tool-Versionen und Entwicklung von Skripten.
• Erstellung von Dokumentation.

AWS-Cloud-Migration:

• Entwurf und Implementierung von CI/CD für die Bereitstellung von AWS-Ressourcen mit GitLab CI, Terraform und GitOps.
• Einrichtung und Konfiguration der DevOps-Toolchain, inklusive Jenkins, Harbor und Vault.
• Bereitstellung der Abrechnungsanwendung, von Microservices und unterstützenden Infrastruktur-Services in Nomad-Clustern.
• Neugestaltung des TLS/mTLS-Zertifikatsmanagements mit Vault und Lambda.

Sicherheit (Infrastruktur-Härtung, Patch-Management & Schwachstellen-Scanning):

• Verwaltung mehrerer AWS-Accounts für Consul/Nomad/Traefik-Cluster (10–20 EC2-Instanzen/Account, ASG) und für die DevOps-Toolchain (Harbor, Jenkins, Vault).
• Erstellung gehärteter AMIs mit Packer basierend auf CIS-Benchmarks für Nomad, Jenkins, Harbor und Vault; Bereitstellung mit Terraform.
• Integration von Trivy über das Harbor-Plugin zum Scannen von Container-Images.
• Implementierung strenger AWS-VPC-Sicherheitsgruppenregeln.
• Entwicklung und Pflege eines Patch-Management-Prozesses für alle Umgebungen mit Qualys und Wiz.
• Bereitstellung des Qualys Cloud Agents auf allen EC2-Instanzen, Verfolgung von CVEs und Testen von Patches in niedrigeren Umgebungen vor dem Rollout.
• Automatisierte Verteilung von Patches über alle AWS-Accounts mit Terraform und GitLab CI und Überprüfung der Patch-Konformität über Qualys-/Wiz-Dashboards.

• Überprüfung der Baseline-Compliance anhand der MAS-Audit-Ergebnisse
• Erstellung eines technischen Architekturkonzepts für 30 Technologien zur Entwicklung von Hardening-Standardartefakten
• Identifizierung und Umsetzung von Automatisierungsmöglichkeiten für gegebene Technologien auf Basis von CIS
• Erstellung der Standard-Baseline-Konfiguration basierend auf internen Sicherheitsrichtlinien
• Verantwortlich für die Erstellung von Architekturartefakten für die Cloud Native Application Protection Platform (CNAPP) auf Basis der Azure-Cloud-Plattform
• Verantwortlich für RFQ und RFP für verschiedene CNAPP-Lösungen (Qualys Total Cloud, CrowdStrike, Azure Security Center)
• Unterstützung der Compliance-Prüfung und -Validierung mittels automatisierter Skripte für eine Stichprobe von IT-Geräten und Instanzen
• Verantwortlich für den gesamten Lifecycle des Schwachstellenmanagements mit Nexpose, Behebung, Reporting und Integration der Ergebnisse in Splunk, HPSM und Tableau
• Unterstützung bei Audits für MAS

• Evaluierung und Bewertung der aktuellen Ist-Zustände
• Vorbereitung und Durchführung von Sicherheitsaudits
• Charakterisierung von Schwachstellen und Risikoanalysen
• Bewertung, Koordination und Überführung der ermittelten Schwachstellen in Soll-Zustände
• Koordination der Interessen der Stakeholder
• Entwicklung und Implementierung einer IT-Sicherheitsstrategie für OT und IoT (kontinuierliche Risikobewertung und Risikomanagement, Sensibilisierung, mehrschichtige Sicherheitslösungen, regelmäßige Sicherheitsaudits, Zugangsbeschränkungen)
• Organisatorische und technische Dokumentationen, Präsentationen und Workshops
• Skills: Qualys, Splunk, Nessus, QRadar, National Vulnerability Database (NVD/NIST), Open Worldwide Application Security Project (OWASP), OT, CERT/CC, BSI-Grundschutzkataloge, ISO 27001, MITRE ATT&CK, Center for Internet Security (CIS), GitHub, Active Directory, PowerShell, Symantec Endpoint Protection, Microsoft Azure und Office365 App Security, ITSM

• Planung, Dokumentation, Installation, Konfiguration für Kundenprojekte
• Fortinet Firewall, FortiAnalyzer, FortiManager
• Cisco FMC (Firewall Management Control)
• WLAN-Survey und Report-Erstellung mit Ekahau-Tool
• Cisco Meraki
• Alcatel Switches
• Cisco Switches, Cisco Nexus Switches
• Projektmanagement mit Kunden, SLA-Verträge

• Infrastruktur für Red Team aufgebaut, um realistische Angriffssimulationen mit Sliver C2 und eigenen Tools durchzuführen
• Komplexe Red-Team-Operationen ausgeführt und KI-/LLM-Sicherheitsforschung für Prompt-Injection-Angriffe integriert
• Umfassende Breach-Assessment-Angriffe und Schwachstellenbewertungen in der Unternehmensinfrastruktur durchgeführt
• Ursachenanalysen und Purple-Team-Übungen durchgeführt und Berichte für die Geschäftsleitung erstellt
• LLM-Red-Team-Initiativen geleitet, um die Sicherheit von KI-Modellen wie GPT-4, Mistral und internen GenAI-Modellen zu verbessern

• Halten und Auswerten von Workshops
• Beratung bei der Auswahl der Dienstleister
• Bewerten und Beraten der technischen Anforderungen für folgende Bereiche: M365/O365 Client Services, Service Desk, Onsite Support
• Bewerten der Dienstleisterpräsentationen
• Bewerten der Kalkulationen

• Operative Geschäftsführung des Unternehmens: Aufbau von Teams und Infrastruktur, Entwicklung von Produkten, Analysen und Umsetzung von IT-Sicherheitsmaßnahmen

• Projekteinsätze im Umfeld der IT-Sicherheit mit Fokus auf der Etablierung von Blue Teaming-Aktivitäten (Defensive Prozesse und Technologien) zur Abwehr von Cyberangriffen

• Durchführung von Red Teaming-Prozessen, darunter Penetrationstests und Sicherheitsanalysen für Unternehmen

• Beratung beim Aufbau von Security Operation Centern und Einführung von SIEM-Systemen sowie Aufbau von Computer Incident Response Teams (CSIRT)

• Auditor für ISO 9001 und ISO 27001, §8a, ISO 27019, §11 1a EnWG, TISAX

• Beratung von Unternehmen der kritischen Infrastrukturen bezüglich Informationssicherheit und Erfüllung des IT-Sicherheitsgesetzes

• Aufbau von SIEM/SOC-Prozessen sowie SOC-Analysten-Arbeit (Splunk, ELK-Stack)

• Integration von Daten in Monitoring-Tools (Prometheus, Grafana)

• Beratung in Fragen von BSI IT-Grundschutz, ISO 9001, ISO 27001, BCM, ITIL und Risikomanagement

• Sicherheitsbewertungen und Penetrationstests von IT- und Netzwerkarchitekturen

• Umstellung von WinXP/Win7 Clients auf Win10/11 mit spezieller Soft- & Hardware (teilweise 20 Jahre alte Systeme mit selbstgeschriebener Software und GBIP- und KUSB-Schnittstellen, 32- und 64-Bit-Systeme)
• Recherche für spezielle Messsystem-Treiber von National Instruments, Keithley, Förster, MPhysik etc.
• Kleine Quellcode-Anpassungen (DLL-Einbindungen) bei der Software mit Unterstützung des Programmierers
• CMDB-Pflege, Use-Case-Erstellung und Dokumentationen
• Registry-Änderungen für Kiosk-Modus, automatische Anmeldungen, NetJoin etc.
• Gruppenrichtlinien-Anpassungen und diverse Admin-Aufgaben im Active Directory
• Azure AD Support (Gruppenerstellung, 2FA/MFA, SaaS, Self Service, Zugriffsberechtigungen, SharePoint)
• Installation und Pflege/Dokumentation von Anti-Virus-Software, Cisco AnyConnect, Qualys und Ivanti Agent
• Ivanti-Ticketsystem/Deployment (Endpoint Manager Software-Deployment, Patches etc.)

• Aufbau und Update virtueller Maschinen für die bahnbetriebliche Infrastruktur.
• Einsatz von VMWare vSphere 6–8, Veeam Backup, Microsoft Active Directory, DNS, NPS, WSUS.
• Nutzung von RedHat Satellite Server, rSyslog Server, Icinga2, Postfix, Tacacs, Ansible und Ansible Automation Platform.
• Betrieb auf HPE Rackservern und HPE Synergy Blade Servern mit Meinberg NTP Server, Brocade FC und Cisco Nexus 9000.