SBOM-Experten in Deutschland

• Aufbau eines Cyber-Resilience-Frameworks für KI-beschleunigte Bedrohungen im Programm Frontier AI Threat Endurance (FATE): Capability Assessments, Reifegradbewertungen und Gap-Analysen zu Cyber Security, operativer Resilienz, Incident Response, Recovery und Governance, daraus abgeleitete Zielkonzepte und Verbesserungsmaßnahmen
• Begleitung der Maßnahmenverantwortlichen von der Konkretisierung bis zur Umsetzung: Umsetzungs-Roadmaps, Entscheidungsvorlagen, Management-Präsentationen und Governance-Reporting sowie audit- und aufsichtsfeste Dokumentation; Steuerung der Stakeholder aus IT, Information Security, Risk Management, Operational Resilience, Business Continuity und den Fachbereichen

Als Council Member bei GLG (Gerson Lehrman Group), dem weltweit führenden Expertennetzwerk, biete ich Organisationen, Investmentgesellschaften und Beratungshäusern fachliche Expertengespräche auf Abruf – überall dort, wo spezialisiertes Wissen in Informationssicherheit, IT-Governance und regulatorischer Compliance gefragt ist.

Meine Einschätzungen basieren auf langjähriger Praxiserfahrung in stark regulierten Branchen: vom Aufbau und der Implementierung von Informationssicherheitsmanagementsystemen (ISMS nach ISO 27001) über IT-Risiko- und Schwachstellenmanagement und Business Continuity (ISO 22301) bis hin zur praktischen Umsetzung europäischer Regulatorik wie DORA, NIS2, BAIT und dem Cyber Resilience Act (CRA).

Die Zusammenarbeit erfolgt projekt- und gesprächsbasiert. So gebe ich Entscheiderinnen und Entscheidern eine anwendungsnahe, aus der Praxis gewonnene Perspektive auf Cyber-Risiken, Security Governance und operative Resilienz – genau dann, wenn sie gebraucht wird.

• Fachliche Führung über Hardware-, Firmware- und Software-Teams; Wirkungskreis Hardware-/Firmware-Team (4 Personen) und Führungskreis (5 Personen)
• Eine über 15 Jahre gewachsene Produktfamilie architektonisch konsolidieren, dokumentieren und auf CRA-Konformität ausrichten — vom Bare-Metal-IO-Modul bis zur Cloud-Schnittstelle.
• Das wichtigste Kundenprodukt binnen zwei Monaten mit der wesentlichen Anforderungs- und Architekturdokumentation versorgt — für eine über 15 Jahre gewachsene Firmware-Landschaft. Sie trägt heute die Modernisierungsstrategie des Kunden.
• Binnen drei Monaten eine monatliche Berichtslinie an Aufsichtsrat und Vorstand etabliert: seit 12/2025 neun Termine. Der Bericht selbst ist versioniert und wird aus der CI-Pipeline gebaut; er stützt sich auf automatisiert erhobene Aktivitäts- und Release-Daten statt auf Einschätzung.
• Container-basierte CI/CD-Infrastruktur von Grund auf gebaut: Cross-Compile, Host-Tests und Dokumentationsbau in einer durchgängigen Pipeline.
• Deklarative QA-Barrieren für DevOps- und Entwicklungsartefakte eingeführt — von Beginn an mit lefthook statt über pre-commit, ausgeführt in einem dedizierten Container-Image.

Verwendete Technologien: arc42, req42, tpo42, docToolchain, PlantUML, ArchiMate, C4-Modell, ADR, C, C++ (GTest), CMake, Bare Metal (ARM Cortex-M3/M7), OCI-Container, Jenkins, lefthook, Prometheus, Grafana, SBOM, CRA, OPC, SCADA, SPS-Anbindung, IPv6-Migration, Zero Trust, Soziokratie 3.0, Cynefin

Gronic Ident & Sign

Kern-Technologien: Android, Jetpack Compose, Retrofit, Regula Document Reader, Adobe Sign

Android App auf dedizierten Geräten für Identifizierungen und elektronische Signaturen am PoS

UEF 3.0 · Semantic Government Overlay (SGO) · Autonome Systeme (UAS / Dual-Use)

• Konzipiert: Semantic Government Overlay (SGO) – KI-geführte Verwaltung ohne Ablösung bestehender Fachverfahren. Lesender semantischer Layer über Registern und Fachverfahren auf Basis des Föderalen Informationsmanagements (FIM). Die Entscheidungshoheit verbleibt beim Sachbearbeiter (Architekturprinzip).
• Entwickelt: Referenzarchitektur mit quellenbelegten, abgeleiteten Aussagen (ausführbare Ontologien OWL/RDF/SHACL). Technisch garantierte Zweckbindung und Kein-Schreibpfad-Prinzip in Fachdaten – auditierbar, ohne zentralen Datenpool.
• Verankert: Regulatorik als Designprinzip: EU AI Act (Hochrisiko-Pflichten für Behörden-KI, Grundrechte-Folgenabschätzung nach Art. 27), DSGVO, NIS2 und verwaltungsrechtliche Automatisierungsgrenzen (§ 35a VwVfG, § 31a SGB X) als technische Kontrollpunkte in der Architektur.
• Erstellt: Methodisches Werkzeug für Pilotträger: Datenpipeline-Assessment (Phase 0), Compliance-Blueprint und Management Summary als entscheidungsreifes Paket für die öffentliche Verwaltung.
• Spezifiziert: UEF 3.0 als Nachfolge-Architektur zu TOGAF – Decision Paper kanonische Ontologie, Sechs-Schichten-Architektur, Read/Actuate-Grenze, Federation-Registry, Terminologie-Konkordanz und Release-Delta als geschlossener Spezifikationsstand.
• Architektiert: KI-natives Missions-OS für autonome UAS und Bodenrobotik als taktische Schicht über einem separat zugelassenen Autopiloten. Run-Time Assurance nach ASTM F3269-21 (Simplex-Muster): Der verifizierte Sicherheits-Controller behält die Autorität, die KI-Funktion liefert Vorschläge.
• Ausgelegt: Drei-Tier-Architektur – Tier 0 Autopilot mit 650-Hz-Flugregelung auf RTOS, Tier 1 KI-OS mit semantischem Weltmodell und Multi-Agenten-Cluster, Tier 2 Schwarm- und Boden-Mesh. Zenoh als primäre Fabric, MAVLink als einziger authentifizierter Kommandopfad (Single-Writer). Ergebnis: graceful degradation – Verlust der Mission, nicht des Fluggeräts.
• Abgesichert: Zwei-Gate-Kette auf der Read/Actuate-Grenze – Governance-Gate (Darf-Frage: AI-Act-Risikoklasse je Aktuierung, erzwungene menschliche Aufsicht nach Art. 14, unveränderliches Log) vor RTA-Safety-Monitor (Richtig-Frage: Flugenveloppe, Geofence, Energiereserve) mit Revert auf den Baseline-Controller.
• Verankert: Dual-Use-Architektur mit Common Core und Build-Time-Fork statt Runtime-Umschalter. Drei getrennte Rechtsstufen: Zivilvariante – UAS unter der EASA-Grundverordnung (EU) 2018/1139 mit der nach Art. 2 Abs. 2 AI Act eingeschränkten Anwendbarkeit, Bodenrobotik unter der Maschinenverordnung 2023/1230 mit voller Hochrisiko-Pflichtenkette, Cyber Resilience Act für beide; unbewaffnete Trägervariante als Rüstungsgut unter AWG/AWV und Dual-Use-VO 2021/821 (BAFA-Genehmigung); bewaffnete Variante unter KrWaffKontrG. Jede Ausprägung lebt unter genau einem dominanten Rechtsregime. Nachweisfundament: AI-BOM, SBOM und lückenlose Data-Lineage.
• Analysiert: Systemanalyse und Neuausrichtung gewachsener Engineering-Systemlandschaften. Vorgehenskonzept Konsolidierung ohne Migration – semantischer Layer über den Bestandsquellen statt Datenumzug. Ergebnis: entscheidungsreifes Vorgehenskonzept inklusive Bewertungsmodell für die Zielarchitektur.

• Fachliche Leitung der CI/CD-Modernisierung im System „Konzern Archiv 4.0“
• Architektur- und Steuerungsverantwortung gemäß Leistungsbeschreibung
• Aufbau moderner Erstellungs- und Bereitstellungsprozesse
• CI/CD-Schulung und Befähigung des internen Entwicklerteams
• Integration moderner DevOps-, Sicherheits- und Compliance-Standards
• Sicherstellung technischer Governance inklusive Zusammenarbeit mit Revision & BaFin
• Eigenverantwortliche Durchführung der Modernisierungsmaßnahmen
• Begleitung des Teams bei der Einführung neuer Technologien und Methoden

• PRISMA-Projekt
• Ansible-Automatisierung
• Windows Third Level Support für Windows NT, Windows 2000, Windows 2013, Windows 2016, Windows 2019

Durchführung einer unabhängigen technischen Bewertung einer KI-gestützten Softwareplattform, wobei KI-Risikoaudit, Cybersicherheitsanalyse und Prüfung der Softwarearchitektur kombiniert wurden. Prüfung von Anwendungskomponenten, APIs, Datenflüssen, LLM-Integrationen, Retrieval-Augmented Generation, Multi-Agenten-Orchestrierung, Authentifizierung, Mandantentrennung, Abhängigkeitsschwachstellen, KI-Governance und Kontrollen des Modelllebenszyklus. Erstellung eines technischen Auditberichts mit strukturiertem Risikoregister, Quellcodebelegen, regulatorischen Referenzen, Korrekturmaßnahmen, Inventar der KI-Systeme, Risikoklassifizierung, Maßnahmenplan und Key Risk Indicators.

Technologien: TypeScript, JavaScript, React, Next.js, Node.js, REST APIs, MongoDB, Redis, AWS serverless services, OAuth 2.0 / OpenID Connect, LLM APIs, RAG, vector search, multi-agent orchestration, Model Context Protocol, C4 architecture modelling, threat modelling, NIST AI RMF, ISO/IEC 42001, ISO/IEC 23894, OWASP guidance, MITRE ATLAS

• Behebung von Problemen in der Programmlogik

• Abdeckung der Anpassungen durch Komponententests

• Analyse und Dokumentation der Datenstruktur der verschiedenen Applikationen

• Analyse und Dokumentation der Parameter zur Konfiguration der Applikationen

• Analyse und Dokumentation der notwendigen Maßnahmen zur Sicherstellung des Betriebs der Applikationen

• Analyse und Konzeption der Trennung der einzelnen Datenbankstrukturen

• Analyse und Aufwandschätzung für geplante Erweiterungen

• Analyse, Wartung und Dokumentation einer heterogenen Legacy-Systemlandschaft für einen Print-Medien-Dienstleister

• Technik: C#, VB.NET, C, Python, Microsoft SQL Server, Visual Studio 2010, JetBrains Rider, Visual Studio Code, arc42, Draw.io, Jira, GitLab

• Reguliertes Konzernumfeld einer deutschen Bankengruppe (ca. 8.500 Mitarbeiter, Hybrid Cloud-Strategie).

• Verantwortlich für den Betrieb, die Bereitstellung und die kontinuierliche Absicherung geschäftskritischer Plattformen – darunter eine GenAI-Chat-Anwendung, eine Big-Data/AI-Plattform sowie Data-Science-Arbeitsplätze auf Basis von Azure Virtual Desktops und VMs. Ownership der AzureDevOps Projekte nach ShaiHulud und React2Shell sowie BSI-Warnungen – Security Operations Improvements im gesamten SDLC.

• Deployment-Verantwortung für GenAI-Chat-Anwendung, Big-Data/AI-Plattform (BDAI) sowie Data-Science-Arbeitsplätze (AVD/VM-basiert) in den jeweiligen LZs.

• Deployment & Release Management: End-to-End-Verantwortung für Deployments von Portal- und Service-Applikationen in mehreren Azure Landing Zones, inklusive technischer Freigaben, Approvals nach Deployment-Guidelines der Entwicklungsteams sowie Sicherstellung ITIL-basierter Change- und Release-Prozesse im laufenden Betrieb via ServiceNow.

• Azure Landing Zones & Netzwerkarchitektur: Aufbau, Provisionierung und Betrieb von Azure Landing Zones für 3-Tier-Web-Applikationen mit verbesserter Netzwerksegmentierung, VNet-Peering, Hub-Spoke-Architekturen, Private Endpoints und Firewall-Integration in separaten Subscriptions und Tenants.

• Azure DevOps Governance & Betrieb: Ownership der Azure-DevOps-Organisation inklusive Projekte, Repositories und CI/CD-Pipelines, Umsetzung von Governance-Vorgaben wie Branch-Policies, Approval-Gates, Berechtigungskonzepten und Audit-fähigen Betriebsstrukturen.

• Infrastructure as Code (Terraform): Design, Implementierung und Betrieb einer modularen Terraform-Architektur zur standardisierten Bereitstellung von Cloud-Infrastruktur, inklusive State-Management, Provider-Versionierung, Wiederverwendbarkeit und Policy-as-Code-Ansätzen.

• CI/CD Pipeline Engineering: Konzeption, Betrieb und Optimierung komplexer YAML-basierter CI/CD-Pipelines mit Multi-Stage-Deployments, Template-Standardisierung, Self-Hosted Agents, integriertem Secret-Management und automatisierten Qualitäts- und Sicherheitsprüfungen.

• Git-Migration & Plattformkonsolidierung: Planung und Umsetzung der Migration von Repositories und Pipelines von Azure DevOps zu GitLab CI/CD, inklusive automatisierter Skripte, Inklusive Git-History, Pipeline-Portierung und Konsolidierung der Entwicklungsplattformen.

• Container- & Plattformbetrieb (AKS): Betrieb und sicherheitstechnische Bewertung containerbasierter Workloads auf Azure Kubernetes Service, Zentralisierung der On-Premises Container Registry für ACR. OpenShift (OCP) Security Reviews: Sicherheitsbewertung von Codebaselines, Build-Pipelines und Deployment-Prozessen für On-Premises-OpenShift-Cluster mit kritischen Anwendungen sowie Ableitung konkreter Hardening-Empfehlungen.

• Shift-Left Security & DevSecOps Transformation: Einführung eines unternehmensweiten Shift-Left-Ansatzes zur frühzeitigen Integration von Sicherheit in Entwicklungs- und Deployment-Prozesse, Enablement der Entwickler zur eigenständigen Sicherheitsprüfung und nachhaltige Reduktion von Schwachstellen vor Produktivsetzung (IDE-Integrationen, Pre-Commit Hooks, lokale Scanner).

• Software Supply-Chain Security: Analyse und Mitigation von Supply-Chain-Risiken in NPM- und Yarn-basierten Anwendungen durch Dependency-Audits, Absicherung von CI/CD-Pipelines, Token-Rotation und Einschränkung riskanter Build- und Lifecycle-Mechanismen.

• Frontend- & Framework-Security (React / Next.js): Sicherheitsbewertung und Koordinierung der Behebung kritischer Schwachstellen in allen Plattform-Anwendungen und Web-Frameworks, inklusive Abstimmung und ergänzenden technischen Mitigationsmaßnahmen mit allen Teams nach BSI-Warnung.

• Software Composition Analysis (SCA): Einführung und Betrieb automatisierter Schwachstellen-Scans für Container-Images, Pipelines/Artefakte und Third-Party-Dependencies inklusive SBOM Exports innerhalb der CI/CD-Pipelines.

• SAST / DAST Integration: Konzeption und Pilotierung statischer und dynamischer Anwendungssicherheitstests in enger Zusammenarbeit mit Security-Architektur und Entwicklungsteams zur kontinuierlichen Verbesserung der Code- und Runtime-Security und Etablierung betrieblicher Abnahme-Tests (BATs).

• Artefakt- & Registry-Konsolidierung: Analyse und Konsolidierung aller Paket- und Container-Repositories für Service-Applikationen und AKS-Workloads mit dem Ziel einer zentralisierten, abgesicherten Registry-Strategie inklusive zentralisierter Vulnerability-Scanning und Governance.

• Dependency-Track & SBOM-Strategie: Beratung des Compliance-Boards zur Einführung einer zentralen SBOM- und Vulnerability-Management-Plattform zur konzernweiten Erhöhung der Transparenz über Abhängigkeiten und Beschleunigung der CVE-Reaktionsfähigkeit.

• CI/CD Pipeline Hardening: Sicherheitsanalyse und Bereinigung der bestehenden Pipeline-Landschaft durch Entfernung ungenutzter Pipelines, Verbesserung der Secrets-Hygiene, Umsetzung des Least-Privilege-Prinzips und Isolation von Build-Agent-Umgebungen.

• Azure Web Application Firewall (WAF) Optimierung: Analyse und Optimierung bestehender Azure-WAF-Regelwerke (OWASP Top 10 Core Rule Set, DSR/SDC, Custom Rules) zur Abwehr bekannter Schwachstellen und Exploit-Patterns, inkl. Reduktion von False Positives und Verbesserung der Angriffserkennung.

• Dokumentation & Stakeholder-Kommunikation: Erstellung und Pflege technischer Dokumentationen, Runbooks und Architekturübersichten in Jira und Confluence sowie aktiver Wissenstransfer zwischen Operations, Development, Security und Compliance-Stakeholdern.

• Leitung des Teilprojekts Einführung von Vulnerability Response im Rahmen von DORA
• Aufnahme der aktuellen Prozesse im Bereich Compliance, Risiko und Sicherheit
• Erstellen des Fachkonzepts zur Einführung von Applikations-, Infrastruktur- und Cloud-Schwachstellen
• Agile Steuerung des Integrationsdienstleisters, der Fachabteilung sowie der Querschnittsfunktionen im Unternehmen
• Anbindung der V-Scanner Tennable, Qualys und Defender sowie von NVD und CISA/KEV
• Anbindung von GitLab Ultimate für den Import und die Verarbeitung der SBOMs
• Entwicklung von Automationsregeln zum Abgleich der Scanergebnisse mit CIs der CMDB, Zuweisung der Schwachstellen und Behebungsaufgaben, Genehmigungen (Falschpositive, Ausnahmen) und Schließungen
• Berechnung mehrerer Risikoscores und Prioritäten
• Definition von Dashboards und Reportings (Workspaces, Performance Analytics)
• Abstimmung der neuen Prozesse, insbesondere zur Erhöhung der Datenqualität der CMDB (nach CSDM)

• Erfolgreiche Implementierung des Schwachstellenmanagements mit DefectDojo
• Beratung und Umsetzung technischer und prozessualer Aspekte des Schwachstellenmanagements mit DefectDojo
• Beratung bei der Implementierung bezüglich sicherem Softwareentwicklungslebenszyklus
• Skills: GitLab, DefectDojo, Vulnerability Management, SCA, SAST, DAST, Python, Kubernetes, ArgoCD, Docker, AWS, Azure, Whitesource/Mend, Greenbone

• Analyse und Weiterentwicklung der Security-Architektur.
• Konzeption und Entwicklung von Splunk Apps sowie Technical Add-ons (TAs).
• Entwicklung und Implementierung von Security Use Cases im Splunk SIEM.
• Erstellung und Pflege von Incident Response Playbooks in Cortex XSOAR.
• Begleitung technischer Proof-of-Concepts zur Bewertung neuer Detection-Technologien.
• Lifecycle-Management und Betriebsunterstützung für Splunk- und Cribl-Systeme.
• Aufbau und Skalierung von Splunk-Indexern in hybriden Rechenzentrumsumgebungen.
• Wartung, Updateplanung und Optimierung von Cribl Stream & Edge für Log-Ingestion und Daten-Routing.
• Erstellung von Dashboards und Reports zur Visualisierung der Sicherheitslage und Systemverfügbarkeit.
• Technische Analyse zur Bewertung von Netzwerktopologien und Datenflüssen.
• Anbindung neuer Datenquellen über Cribl Stream/Edge sowie Heavy Forwarder in Cloud- und On-Prem-Umgebungen.
• Integration externer Security-Komponenten wie Cortex XSOAR (SOAR) und User Behavior Analytics (UBA).
• Umsetzung komplexer Korrelationsregeln in Splunk Enterprise Security (ES).
• Anbindung externer Ticket-Systeme über Mail-Gateways und REST APIs.
• Automatisiertes Deployment von Use Cases, Dashboards und Detection Rules via Git und Ansible.

• Testen des SekIDP und verwandter Komponenten
• Testdesign, -durchführung und -automation, Microservices, GitHub Enterprise, Eclipse, Katalon Test Platform, API-Tests, Confluence 8, JIRA/Xray, Draw.io, Swagger/OpenAPI, Postman, Docker, Kubernetes, Podman, PuTTY, E-Health, Telematik, Gematik-Standards, ePA, E-Rezept, sektoraler IDP, Verschlüsselung, XaDES, PaDES, DICOM, HL7, FHIR, IHE, ICD, SSO, SAML/Shibboleth, OAuth, Smartcards, JWT, Zwei-Faktor-Authentifizierung auf Android und iOS, Wireshark, BrowserStack, Cypress, gRPC, REST, SOAP, WS-Security, Linux-Shell, PowerShell, SSH/SSL, Java, Kotlin, Cordova, Gradle, Groovy, Python, TypeScript