SBOM Experten in Deutschland
aus über 15.000 Lebensläufen – mit der Power von KI.Beauftragen Sie Experten, die Software Bills of Materials erstellen und prüfen, Abhängigkeitsbäume abbilden und die Auslieferung für CycloneDX oder SPDX für sichere Releases unterstützen. Erhalten Sie schnelles, präzises Matching mit geprüften, verfügbaren Freelancern.
Lerne FRATCH Experten in Deutschland kennen, die kürzlich SBOM eingesetzt haben
Halil Oeztoprak
Letzte Position:
Senior Cloud Operations- und DevSecOps-Ingenieur (Azure / Terraform / CI-CD) bei KfW Bankengruppe
Reguliertes Konzernumfeld einer deutschen Bankengruppe (ca. 8.500 Mitarbeiter, Hybrid Cloud-Strategie).
Verantwortlich für den Betrieb, die Bereitstellung und die kontinuierliche Absicherung geschäftskritischer Plattformen – darunter eine GenAI-Chat-Anwendung, eine Big-Data/AI-Plattform sowie Data-Science-Arbeitsplätze auf Basis von Azure Virtual Desktops und VMs. Ownership der AzureDevOps Projekte nach ShaiHulud und React2Shell sowie BSI-Warnungen – Security Operations Improvements im gesamten SDLC.
Deployment-Verantwortung für GenAI-Chat-Anwendung, Big-Data/AI-Plattform (BDAI) sowie Data-Science-Arbeitsplätze (AVD/VM-basiert) in den jeweiligen LZs.
Deployment & Release Management: End-to-End-Verantwortung für Deployments von Portal- und Service-Applikationen in mehreren Azure Landing Zones, inklusive technischer Freigaben, Approvals nach Deployment-Guidelines der Entwicklungsteams sowie Sicherstellung ITIL-basierter Change- und Release-Prozesse im laufenden Betrieb via ServiceNow.
Azure Landing Zones & Netzwerkarchitektur: Aufbau, Provisionierung und Betrieb von Azure Landing Zones für 3-Tier-Web-Applikationen mit verbesserter Netzwerksegmentierung, VNet-Peering, Hub-Spoke-Architekturen, Private Endpoints und Firewall-Integration in separaten Subscriptions und Tenants.
Azure DevOps Governance & Betrieb: Ownership der Azure-DevOps-Organisation inklusive Projekte, Repositories und CI/CD-Pipelines, Umsetzung von Governance-Vorgaben wie Branch-Policies, Approval-Gates, Berechtigungskonzepten und Audit-fähigen Betriebsstrukturen.
Infrastructure as Code (Terraform): Design, Implementierung und Betrieb einer modularen Terraform-Architektur zur standardisierten Bereitstellung von Cloud-Infrastruktur, inklusive State-Management, Provider-Versionierung, Wiederverwendbarkeit und Policy-as-Code-Ansätzen.
CI/CD Pipeline Engineering: Konzeption, Betrieb und Optimierung komplexer YAML-basierter CI/CD-Pipelines mit Multi-Stage-Deployments, Template-Standardisierung, Self-Hosted Agents, integriertem Secret-Management und automatisierten Qualitäts- und Sicherheitsprüfungen.
Git-Migration & Plattformkonsolidierung: Planung und Umsetzung der Migration von Repositories und Pipelines von Azure DevOps zu GitLab CI/CD, inklusive automatisierter Skripte, Inklusive Git-History, Pipeline-Portierung und Konsolidierung der Entwicklungsplattformen.
Container- & Plattformbetrieb (AKS): Betrieb und sicherheitstechnische Bewertung containerbasierter Workloads auf Azure Kubernetes Service, Zentralisierung der On-Premises Container Registry für ACR. OpenShift (OCP) Security Reviews: Sicherheitsbewertung von Codebaselines, Build-Pipelines und Deployment-Prozessen für On-Premises-OpenShift-Cluster mit kritischen Anwendungen sowie Ableitung konkreter Hardening-Empfehlungen.
Shift-Left Security & DevSecOps Transformation: Einführung eines unternehmensweiten Shift-Left-Ansatzes zur frühzeitigen Integration von Sicherheit in Entwicklungs- und Deployment-Prozesse, Enablement der Entwickler zur eigenständigen Sicherheitsprüfung und nachhaltige Reduktion von Schwachstellen vor Produktivsetzung (IDE-Integrationen, Pre-Commit Hooks, lokale Scanner).
Software Supply-Chain Security: Analyse und Mitigation von Supply-Chain-Risiken in NPM- und Yarn-basierten Anwendungen durch Dependency-Audits, Absicherung von CI/CD-Pipelines, Token-Rotation und Einschränkung riskanter Build- und Lifecycle-Mechanismen.
Frontend- & Framework-Security (React / Next.js): Sicherheitsbewertung und Koordinierung der Behebung kritischer Schwachstellen in allen Plattform-Anwendungen und Web-Frameworks, inklusive Abstimmung und ergänzenden technischen Mitigationsmaßnahmen mit allen Teams nach BSI-Warnung.
Software Composition Analysis (SCA): Einführung und Betrieb automatisierter Schwachstellen-Scans für Container-Images, Pipelines/Artefakte und Third-Party-Dependencies inklusive SBOM Exports innerhalb der CI/CD-Pipelines.
SAST / DAST Integration: Konzeption und Pilotierung statischer und dynamischer Anwendungssicherheitstests in enger Zusammenarbeit mit Security-Architektur und Entwicklungsteams zur kontinuierlichen Verbesserung der Code- und Runtime-Security und Etablierung betrieblicher Abnahme-Tests (BATs).
Artefakt- & Registry-Konsolidierung: Analyse und Konsolidierung aller Paket- und Container-Repositories für Service-Applikationen und AKS-Workloads mit dem Ziel einer zentralisierten, abgesicherten Registry-Strategie inklusive zentralisierter Vulnerability-Scanning und Governance.
Dependency-Track & SBOM-Strategie: Beratung des Compliance-Boards zur Einführung einer zentralen SBOM- und Vulnerability-Management-Plattform zur konzernweiten Erhöhung der Transparenz über Abhängigkeiten und Beschleunigung der CVE-Reaktionsfähigkeit.
CI/CD Pipeline Hardening: Sicherheitsanalyse und Bereinigung der bestehenden Pipeline-Landschaft durch Entfernung ungenutzter Pipelines, Verbesserung der Secrets-Hygiene, Umsetzung des Least-Privilege-Prinzips und Isolation von Build-Agent-Umgebungen.
Azure Web Application Firewall (WAF) Optimierung: Analyse und Optimierung bestehender Azure-WAF-Regelwerke (OWASP Top 10 Core Rule Set, DSR/SDC, Custom Rules) zur Abwehr bekannter Schwachstellen und Exploit-Patterns, inkl. Reduktion von False Positives und Verbesserung der Angriffserkennung.
Dokumentation & Stakeholder-Kommunikation: Erstellung und Pflege technischer Dokumentationen, Runbooks und Architekturübersichten in Jira und Confluence sowie aktiver Wissenstransfer zwischen Operations, Development, Security und Compliance-Stakeholdern.
Arndt Maas
Letzte Position:
Projektleiter für ServiceNow Vulnerability Response bei Union Investment Services & IT GmbH
- Leitung des Teilprojekts Einführung von Vulnerability Response im Rahmen von DORA
- Aufnahme der aktuellen Prozesse im Bereich Compliance, Risiko und Sicherheit
- Erstellen des Fachkonzepts zur Einführung von Applikations-, Infrastruktur- und Cloud-Schwachstellen
- Agile Steuerung des Integrationsdienstleisters, der Fachabteilung sowie der Querschnittsfunktionen im Unternehmen
- Anbindung der V-Scanner Tennable, Qualys und Defender sowie von NVD und CISA/KEV
- Anbindung von GitLab Ultimate für den Import und die Verarbeitung der SBOMs
- Entwicklung von Automationsregeln zum Abgleich der Scanergebnisse mit CIs der CMDB, Zuweisung der Schwachstellen und Behebungsaufgaben, Genehmigungen (Falschpositive, Ausnahmen) und Schließungen
- Berechnung mehrerer Risikoscores und Prioritäten
- Definition von Dashboards und Reportings (Workspaces, Performance Analytics)
- Abstimmung der neuen Prozesse, insbesondere zur Erhöhung der Datenqualität der CMDB (nach CSDM)
Andreas Winters
Letzte Position:
Enterprise Architect bei Eigenentwicklung / IP der CAMCO Engineering UG
UEF 3.0 · Semantic Government Overlay (SGO) · Autonome Systeme (UAS / Dual-Use)
- Konzipiert: Semantic Government Overlay (SGO) – KI-geführte Verwaltung ohne Ablösung bestehender Fachverfahren. Lesender semantischer Layer über Registern und Fachverfahren auf Basis des Föderalen Informationsmanagements (FIM). Die Entscheidungshoheit verbleibt beim Sachbearbeiter (Architekturprinzip).
- Entwickelt: Referenzarchitektur mit quellenbelegten, abgeleiteten Aussagen (ausführbare Ontologien OWL/RDF/SHACL). Technisch garantierte Zweckbindung und Kein-Schreibpfad-Prinzip in Fachdaten – auditierbar, ohne zentralen Datenpool.
- Verankert: Regulatorik als Designprinzip: EU AI Act (Hochrisiko-Pflichten für Behörden-KI, Grundrechte-Folgenabschätzung nach Art. 27), DSGVO, NIS2 und verwaltungsrechtliche Automatisierungsgrenzen (§ 35a VwVfG, § 31a SGB X) als technische Kontrollpunkte in der Architektur.
- Erstellt: Methodisches Werkzeug für Pilotträger: Datenpipeline-Assessment (Phase 0), Compliance-Blueprint und Management Summary als entscheidungsreifes Paket für die öffentliche Verwaltung.
- Spezifiziert: UEF 3.0 als Nachfolge-Architektur zu TOGAF – Decision Paper kanonische Ontologie, Sechs-Schichten-Architektur, Read/Actuate-Grenze, Federation-Registry, Terminologie-Konkordanz und Release-Delta als geschlossener Spezifikationsstand.
- Architektiert: KI-natives Missions-OS für autonome UAS und Bodenrobotik als taktische Schicht über einem separat zugelassenen Autopiloten. Run-Time Assurance nach ASTM F3269-21 (Simplex-Muster): Der verifizierte Sicherheits-Controller behält die Autorität, die KI-Funktion liefert Vorschläge.
- Ausgelegt: Drei-Tier-Architektur – Tier 0 Autopilot mit 650-Hz-Flugregelung auf RTOS, Tier 1 KI-OS mit semantischem Weltmodell und Multi-Agenten-Cluster, Tier 2 Schwarm- und Boden-Mesh. Zenoh als primäre Fabric, MAVLink als einziger authentifizierter Kommandopfad (Single-Writer). Ergebnis: graceful degradation – Verlust der Mission, nicht des Fluggeräts.
- Abgesichert: Zwei-Gate-Kette auf der Read/Actuate-Grenze – Governance-Gate (Darf-Frage: AI-Act-Risikoklasse je Aktuierung, erzwungene menschliche Aufsicht nach Art. 14, unveränderliches Log) vor RTA-Safety-Monitor (Richtig-Frage: Flugenveloppe, Geofence, Energiereserve) mit Revert auf den Baseline-Controller.
- Verankert: Dual-Use-Architektur mit Common Core und Build-Time-Fork statt Runtime-Umschalter. Drei getrennte Rechtsstufen: Zivilvariante – UAS unter der EASA-Grundverordnung (EU) 2018/1139 mit der nach Art. 2 Abs. 2 AI Act eingeschränkten Anwendbarkeit, Bodenrobotik unter der Maschinenverordnung 2023/1230 mit voller Hochrisiko-Pflichtenkette, Cyber Resilience Act für beide; unbewaffnete Trägervariante als Rüstungsgut unter AWG/AWV und Dual-Use-VO 2021/821 (BAFA-Genehmigung); bewaffnete Variante unter KrWaffKontrG. Jede Ausprägung lebt unter genau einem dominanten Rechtsregime. Nachweisfundament: AI-BOM, SBOM und lückenlose Data-Lineage.
- Analysiert: Systemanalyse und Neuausrichtung gewachsener Engineering-Systemlandschaften. Vorgehenskonzept Konsolidierung ohne Migration – semantischer Layer über den Bestandsquellen statt Datenumzug. Ergebnis: entscheidungsreifes Vorgehenskonzept inklusive Bewertungsmodell für die Zielarchitektur.
Dimitri Wolinski
Letzte Position:
Softwarearchitekt bei Umweltdienstleistungsunternehmen (Kooperation mit Sitegeist Media Solutions GmbH)
Konzeption und Umsetzung eines modular aufgebauten Kundenportals auf Basis von Laravel.
Schwerpunkte waren die Definition einer wartbaren Systemarchitektur unter weitgehender Anwendung von Domain-Driven-Design-Prinzipien (im Rahmen der Laravel-Architektur), die Einführung automatisierter Qualitätssicherungsprozesse (Teststrategie, CI-Integration) sowie die Vorbereitung eines auditierbaren Betriebs (Logging, Nachvollziehbarkeit von Änderungen) in einer AWS-basierten Infrastruktur unter Berücksichtigung von IT-Sicherheitsstandards nach NIST und Prozessanforderungen nach ISO 9001.
Leistungen:
- Analyse und Strukturierung fachlicher Anforderungen in enger Abstimmung mit den Stakeholdern
- Dokumentation der Systemarchitektur und Infrastruktur inkl. Change- und Release-Management
- Konzeption und Umsetzung einer Schnittstelle zur Integration von SAP-Systemen
- Planung und Implementierung automatisierter Tests zur Qualitätssicherung
- Umsetzung von Security- und Compliance-Anforderungen, u. a. SBOM-Generierung, Software-Lizenzmanagement und QS-Prozesse
- Technische Beratung und Unterstützung des internen IT-Teams
- Einführung und Etablierung KI-gestützter Entwicklungsprozesse (Spec-Driven Development) inkl. KI-lesbarer Spezifikationen, Integration von KI-Anweisungen in die Entwicklungsumgebung sowie Schulung der Entwickler im produktiven Einsatz
Techniken und Tools: SAP, Docker, ddev, PHP 8.4, Laravel, Filament, C4 Model, Architecture Decision Records (ADR), Mermaid, PlantUML, Spec-Driven Development, Claude, GitHub Copilot, Codex
Jens Rehsack
Letzte Position:
Technischer Product Owner bei App-Entwicklung
Entwicklung einer mobilen App zur Verlangsamung des Demenzfortschritts
Koordinierung der Software-Entwicklung (TPO – technischer Product Owner)
agiles Requirements-Management (agiles Requirements-Engineering)
Priorisierung von Aufgaben in Rücksprache mit den Stakeholdern
Stakeholder-Management
Dokumentation und Management der Softwarearchitektur
Durchführung von PoC für Technologieentscheidungen
Documentation as Code
docToolchain, arc42, req42, aim42, tpo42, C4-Modell, Archimate
ADR, Architecture Decision Records
Docker
Pre-Commit, Conventional Commits, Semantic Versioning
Liberating Structures, Agile Principles, Holokratie, Soziokratie 3.0
Mobile Frameworks
KI-Entwicklungsoberflächen, LLM
Cordova, Unity
Google Gemini, OpenAI, Character.AI
Prompt-Entwicklung
Manuel Engelhardt
Letzte Position:
Externer fachlicher Leiter für CI/CD, Architektur & technische Governance bei Versicherung
- Fachliche Leitung der CI/CD-Modernisierung im System „Konzern Archiv 4.0“
- Architektur- und Steuerungsverantwortung gemäß Leistungsbeschreibung
- Aufbau moderner Erstellungs- und Bereitstellungsprozesse
- CI/CD-Schulung und Befähigung des internen Entwicklerteams
- Integration moderner DevOps-, Sicherheits- und Compliance-Standards
- Sicherstellung technischer Governance inklusive Zusammenarbeit mit Revision & BaFin
- Eigenverantwortliche Durchführung der Modernisierungsmaßnahmen
- Begleitung des Teams bei der Einführung neuer Technologien und Methoden
Hichem Blagui
Letzte Position:
IT-Sicherheitsberater & Data Engineer / Freiberufler bei datadefend GmbH
- Analyse und Weiterentwicklung der Security-Architektur.
- Konzeption und Entwicklung von Splunk Apps sowie Technical Add-ons (TAs).
- Entwicklung und Implementierung von Security Use Cases im Splunk SIEM.
- Erstellung und Pflege von Incident Response Playbooks in Cortex XSOAR.
- Begleitung technischer Proof-of-Concepts zur Bewertung neuer Detection-Technologien.
- Lifecycle-Management und Betriebsunterstützung für Splunk- und Cribl-Systeme.
- Aufbau und Skalierung von Splunk-Indexern in hybriden Rechenzentrumsumgebungen.
- Wartung, Updateplanung und Optimierung von Cribl Stream & Edge für Log-Ingestion und Daten-Routing.
- Erstellung von Dashboards und Reports zur Visualisierung der Sicherheitslage und Systemverfügbarkeit.
- Technische Analyse zur Bewertung von Netzwerktopologien und Datenflüssen.
- Anbindung neuer Datenquellen über Cribl Stream/Edge sowie Heavy Forwarder in Cloud- und On-Prem-Umgebungen.
- Integration externer Security-Komponenten wie Cortex XSOAR (SOAR) und User Behavior Analytics (UBA).
- Umsetzung komplexer Korrelationsregeln in Splunk Enterprise Security (ES).
- Anbindung externer Ticket-Systeme über Mail-Gateways und REST APIs.
- Automatisiertes Deployment von Use Cases, Dashboards und Detection Rules via Git und Ansible.
Werner Keil
Letzte Position:
Testkoordinator, Designer und Ingenieur bei IBM
- Testen des SekIDP und verwandter Komponenten
- Testdesign, -durchführung und -automation, Microservices, GitHub Enterprise, Eclipse, Katalon Test Platform, API-Tests, Confluence 8, JIRA/Xray, Draw.io, Swagger/OpenAPI, Postman, Docker, Kubernetes, Podman, PuTTY, E-Health, Telematik, Gematik-Standards, ePA, E-Rezept, sektoraler IDP, Verschlüsselung, XaDES, PaDES, DICOM, HL7, FHIR, IHE, ICD, SSO, SAML/Shibboleth, OAuth, Smartcards, JWT, Zwei-Faktor-Authentifizierung auf Android und iOS, Wireshark, BrowserStack, Cypress, gRPC, REST, SOAP, WS-Security, Linux-Shell, PowerShell, SSH/SSL, Java, Kotlin, Cordova, Gradle, Groovy, Python, TypeScript
Pierre Gronau
Letzte Position:
Ansible-Automatisierung, Windows Third-Level-Support bei DB InfraGO AG
- PRISMA-Projekt
- Ansible-Automatisierung
- Windows-Third-Level-Support für Windows NT, Windows 2000, Windows 2013, Windows 2016, Windows 2019
Jürgen Hertweck
Letzte Position:
Entwicklung von iOS-Apps (KI-basiert) bei Refreco GmbH
- Realisierung von Apps in Swift für iOS
- AI-gestützte SW-Entwicklung mittels Vibe Coding mit Claude Code
- Web-Applikationen durch Vibe Programming
- Einsatz von Swift, Xcode 15, Claude Code, Proxmox, GitLab, Visual Studio Code, Cursor, Doors, ClearCase
- Nutzung von MS Project, OpenShift, Docker, Project Server, PageMaker, CRM, MS-SQL Server
- SW-Technik: UML, BPMN 2.0, ERD, Client-/Server-Technik
Jochen Hinrichsen
Letzte Position:
DevSecOps-Experte bei DB InfraGO
- Zentrales Build und Bereitstellung für 20+ Anwendungen, 100+ Pipelines/Tag, 700+ GitLab-Projekte
- Build-Pipelines für Go, Java und JavaScript
- Provisionierung von 100+ Komponenten
- Qualitätssicherung über GitLab Code Quality und SonarQube
- Prüfung auf Abhängigkeiten, Lizenzierung und Schwachstellen
- Release-Bildung über Jira und ServiceNow
- SBOM, Lieferkettensicherheit, Distroless-Images
- PoC GitLab Runner: Nomad vs. Kubernetes
- Technologien: Artifactory, buildah, GitLab Premium, Go, Gradle, Jenkins, Mend, Podman
Marc Haid
Letzte Position:
Senior Architekt, Coach und Entwickler
Behebung von Problemen in der Programmlogik
Abdeckung der Anpassungen durch Komponententests
Analyse und Dokumentation der Datenstruktur der verschiedenen Applikationen
Analyse und Dokumentation der Parameter zur Konfiguration der Applikationen
Analyse und Dokumentation der notwendigen Maßnahmen zur Sicherstellung des Betriebs der Applikationen
Analyse und Konzeption der Trennung der einzelnen Datenbankstrukturen
Analyse und Aufwandschätzung für geplante Erweiterungen
Analyse, Wartung und Dokumentation einer heterogenen Legacy-Systemlandschaft für einen Print-Medien-Dienstleister
Technik: C#, VB.NET, C, Python, Microsoft SQL Server, Visual Studio 2010, JetBrains Rider, Visual Studio Code, arc42, Draw.io, Jira, GitLab
Kun Pang
Letzte Position:
Werkstudent - Open-Source-Compliance & Tooling bei SAP SE
- Interne Tools mit React, Node.js und Python entwickelt, um FOSS-Lizenzanalysen und Compliance-Workflows zu automatisieren
- Außerdem als IP-Analyst für IP-Scans und SBOM-Verwaltung gearbeitet
- Zum Open-Source-CI/CD-Projekt Piper (Golang) von SAP beigetragen und Entwicklungsteams dabei unterstützt, IP-Scan-Schritte in ihre Pipelines zu integrieren
Nils Klawitter
Letzte Position:
Schwachstellenmanagement und sicherer SDLC bei DB InfraGO AG
- Erfolgreiche Implementierung des Schwachstellenmanagements mit DefectDojo
- Beratung und Umsetzung technischer und prozessualer Aspekte des Schwachstellenmanagements mit DefectDojo
- Beratung bei der Implementierung bezüglich sicherem Softwareentwicklungslebenszyklus
- Kenntnisse: Gitlab, DefectDojo, Schwachstellenmanagement, SCA, SAST, DAST, Python, Kubernetes, ArgoCD, Docker, AWS, Azure, Whitesource/Mend, Greenbone
Christian Gebhardt
Letzte Position:
Stellvertretender Chief Information Security Officer bei Gothaer Solutions GmbH
- Stellvertretende fachliche Leitung des 10-köpfigen Teams Informationssicherheitsmanagement in stark reguliertem Umfeld (DORA, VAIT, BAIT)
- Direkte Berichtslinien an den IT-Vorstand der Gothaer Gruppe und die Geschäftsführung der Gothaer Solutions
- Ständiger Teilnehmer des Konzernrisikokomitees und des Compliance-Komitees
- Steuerung und Koordination der Informationssicherheitsprozesse im Unternehmen sowie gegenüber IT-Dienstleistern
- Leitung von Arbeitsgruppen zur Behandlung von Informationssicherheitsvorfällen
- Mitwirkung am IT-Notfall- und Geschäftskontinuitätsmanagement
Entdecke mehr als 15.000 Top-Freelancer
Statistiken von Experten, die SBOM einsetzen
Aggregiert aus den beruflichen Profilen passender Freelancer.
Berufserfahrung
21 Jahre
Positionsdauer
1,8 Jahre
Positionen pro Freelancer
23
Häufigste Fachbereiche
Informationstechnologie (IT), Produktentwicklung, Projektmanagement
Häufigste Branchen
Informationstechnologie (IT), Bank- und Finanzwesen, Transport und Logistik
Fokus der Zertifizierungen
Informationstechnologie (IT), Qualitätssicherung, Revision
Bachelor-Abschluss oder höher
75%
Master-Abschluss oder höher
42%
Zertifizierungen pro Freelancer
6
Häufigste Sprachen
Deutsch, Englisch, Französisch
Sprechen zwei oder mehr Sprachen
93%
Basierend auf unserem Profilpool, Stand 30 Aug 2026.
Tagessatzverteilung
Das Diagramm zeigt, wie sich die Tagessätze der Freelancer in dieser Technologie in Deutschland verteilen, basierend auf aktuellen Verträgen auf unserer Plattform. Jeder Balken deckt eine Tagessatzspanne ab – seine Höhe zeigt, wie viele Freelancer innerhalb dieser Spanne abrechnen.
Durchschnittssätze von Experten in Deutschland, die SBOM einsetzen
Die Tagessätze basieren auf aktuellen Verträgen und enthalten keinen FRATCH-Aufschlag.
Der durchschnittliche Tagessatz ist der Mittelwert aller Tagessätze aus aktuellen Verträgen vergleichbarer Freelancer auf unserer Plattform.
Der Median-Tagessatz ist der mittlere Wert aller Tagessätze – die Hälfte der vergleichbaren Freelancer verlangt weniger, die andere Hälfte mehr. Anders als der Durchschnitt wird er von Ausreißern kaum beeinflusst.
Berechnet auf Basis der Tagessätze unserer Freelancer, Stand 30 Aug 2026. Die tatsächlichen Tagessätze können je nach Dienstalter, Erfahrung, Fachkenntnissen, Projektkomplexität und Auftragsdauer variieren.
Über die Technologie
Was SBOM bedeutet
Ein SBOM, also ein Software Bill of Materials, ist eine strukturierte Liste von Softwarekomponenten, Abhängigkeiten und Lieferanten. Er hilft Teams zu sehen, was in einer Anwendung, einem Paket, einem Image oder einem Firmware-Build steckt. Gute Spezialisten machen aus diesem Verzeichnis etwas, das Teams in der Release-, Sicherheits- und Beschaffungsarbeit nutzen können.
Wo es eingesetzt wird
- Nachverfolgung von Open-Source-Abhängigkeiten
- Dokumentation von Produkt-Releases
- Reaktion auf Schwachstellen und Triage
- Sicherheitsprüfungen von Lieferanten und Kunden
- Software für Embedded, Cloud und Container
Häufige Formate
Die Arbeit dreht sich oft um CycloneDX und SPDX sowie um die Tools, die sie erzeugen, prüfen und weiterverwenden. Experten müssen auch Paketmanager, Build-Pipelines und Signatur- oder Provenance-Daten verstehen. Die besten Profis wissen, wie man die Ausgabe maschinenlesbar und für Sicherheits- wie auch Entwicklungsteams nützlich hält.
Warum Unternehmen Hilfe holen
Unternehmen holen sich freiberufliche SBOM-Spezialisten, wenn sie saubere Verzeichnisse für einen Produktstart, eine Kundenanfrage oder eine Audit-Antwort brauchen. Sie springen auch ein, wenn Abhängigkeitsdaten unvollständig sind, Builds uneinheitlich laufen oder Teams in ganz Deutschland einen gemeinsamen Standard für Softwaretransparenz brauchen. Klare Dokumentation ist dabei genauso wichtig wie die Tools.
Was starke Experten tun
- Direkte und transitive Abhängigkeiten nachverfolgen
- Sicht auf Quellcode, Build und Laufzeit zusammenführen
- Datenfelder, Benennung und Versionsregeln festlegen
- Sicherheits-, Produkt- und Beschaffungsanforderungen abstimmen
- Wiederholbarkeit in CI- und Release-Abläufen verbessern
Wie gute Lieferung aussieht
Ein starker Spezialist exportiert nicht nur eine Datei. Er sorgt dafür, dass das SBOM zum Produkt, zum Build-Prozess und zur Zielgruppe passt, die es liest. Das kann bedeuten, bei Richtlinien zu helfen, Prüfungen in CI einzubinden oder Lücken in den Daten zu erklären, damit Teams sicher handeln können.
Häufig gestellte Fragen
Schnelle Antworten auf die Fragen, die rund um SBOM am häufigsten aufkommen.
SBOM wird genutzt, um zu zeigen, welche Komponenten, Versionen und Lieferanten in einem Softwareprodukt enthalten sind. Unternehmen nutzen es für Sicherheitsprüfungen, Release-Nachweise sowie Anfragen von Kunden oder Partnern. Es ist besonders nützlich, wenn die Software viele Open-Source-Bibliotheken enthält oder an regulierte Käufer ausgeliefert wird.
Ein Software Bill of Materials ist das Ziel; CycloneDX und SPDX sind zwei gängige Formate, um es darzustellen. CycloneDX wird oft für sicherheitsorientierte Abläufe gewählt, während SPDX auch häufig für Lizenz- und Supply-Chain-Daten genutzt wird. Ein guter Spezialist weiß, wann welches Format zum Projekt passt.
Ein starker SBOM-Spezialist kennt meist Abhängigkeitsanalysen, Build-Pipelines, Paketmanager und Schwachstellendaten. Viele arbeiten auch mit Container-Images, Signierung, Provenance und Richtlinien. Klare Texte sind ebenfalls wichtig, weil die Ausgabe für Sicherheits-, Produkt- und Beschaffungsteams verständlich sein muss.
Ein Projekt mit Software Bill of Materials kann einfach sein, wenn der Stack stabil ist und der Build gut dokumentiert ist. Es wird schwieriger, wenn es viele Services, erzeugte Artefakte oder mehrere Release-Pipelines gibt. Für komplexe Produkte wollen Unternehmen meist jemanden, der bereits mit unübersichtlichen Abhängigkeitsbäumen und Release-Sonderfällen gearbeitet hat.
Holen Sie einen SBOM-Freelancer dazu, wenn interne Teams Hilfe brauchen, um einen wiederholbaren Prozess aufzubauen, Komponentendaten zu bereinigen oder schnell eine Kundenanfrage zu beantworten. Es hilft auch, wenn ein Launch von Lieferkettentransparenz abhängt und das interne Team ausgelastet ist. Kurze, fokussierte Unterstützung kann den Release freimachen, ohne die ganze Organisation umzustellen.
Ja. SBOM-Arbeit ist oft remote, weil es dabei vor allem um Quellcode, Build-Systeme und Dokumentation geht und nicht um einen physischen Standort. Für deutsche Teams ist die Zusammenarbeit aus der Ferne üblich, aber Workshops vor Ort können helfen, wenn mehrere Gruppen sich auf Benennungsregeln oder Release-Schritte einigen müssen.
Suchen Sie nach jemandem, der erklären kann, woher die Daten kommen und wo sie unvollständig sein können. Ein guter Software Bill of Materials-Spezialist spricht über die Sicht auf Quellcode, Build und Laufzeit und erstellt nicht nur eine Datei. Fragen Sie nach Beispielen dafür, wie mit doppelten Paketen, verschachtelten Abhängigkeiten oder unklaren Versionsdaten umgegangen wurde.
Ein sorgfältiger SBOM-Profi fragt, welche Produkte, Formate und Release-Phasen im Umfang sind. Außerdem sollte er fragen, wer die Ausgabe nutzt, ob Lizenzdaten wichtig sind und wie das Team Lücken gemeldet haben möchte. So wird Nacharbeit vermieden und die Lieferung bleibt auf die echte Nutzung ausgerichtet.
Der durchschnittliche Stundensatz von Freelancern in Deutschland, die SBOM in ihren letzten Projekten eingesetzt haben, liegt bei 108 €, was einem Tagessatz von etwa 865 € bei einem 8-Stunden-Tag entspricht.
Von den Freelancern in Deutschland, die SBOM in ihren letzten Projekten eingesetzt haben, haben 75% mindestens einen Bachelor-Abschluss und 42% mindestens einen Master-Abschluss.
Freelancer in Deutschland, die SBOM in ihren letzten Projekten eingesetzt haben, haben im Durchschnitt 21 Jahre Berufserfahrung; ein einzelnes Projekt dauert typischerweise etwa 1,8 Jahre.
Die häufigsten Sprachen unter Freelancern in Deutschland, die SBOM in ihren letzten Projekten eingesetzt haben, sind Deutsch (100%), Englisch (93%) und Französisch (20%).
Die häufigsten Industrien unter Freelancern in Deutschland, die SBOM in ihren letzten Projekten eingesetzt haben, sind Informationstechnologie (IT) (100%), Bank- und Finanzwesen (67%) und Transport und Logistik (67%).
Die häufigsten Bereiche unter Freelancern in Deutschland, die SBOM in ihren letzten Projekten eingesetzt haben, sind Informationstechnologie (IT) (100%), Produktentwicklung (93%) und Projektmanagement (80%).
Hauptstandorte der FRATCH Experten, die kürzlich SBOM eingesetzt haben
Unsere Freelancer und Interim-Experten sind in der gesamten DACH-Region zuhause — verfügbar vor Ort in den wichtigsten Wirtschaftszentren oder komplett remote. Wähle einen Standort und entdecke passende Spezialisten, lokale Markteinblicke und aktuelle Verfügbarkeiten.
Berlin Hamburg München Köln Frankfurt Stuttgart Düsseldorf Leipzig Dortmund Essen Bremen Dresden Hannover Nürnberg Kostenlose Demo vereinbaren
Kontaktiere uns und das FRATCH-Team meldet sich innerhalb von 4 Stunden bei dir.
Möchtest du lieber direkt mit uns in Kontakt treten?
Wir haben immer Zeit für einen Anruf oder eine E-Mail!
Philipp Thomaschewski
FRATCH CEO
