Trivy Experten in Deutschland

• Reguliertes Konzernumfeld einer deutschen Bankengruppe (ca. 8.500 Mitarbeiter, Hybrid Cloud-Strategie).

• Verantwortlich für den Betrieb, die Bereitstellung und die kontinuierliche Absicherung geschäftskritischer Plattformen – darunter eine GenAI-Chat-Anwendung, eine Big-Data/AI-Plattform sowie Data-Science-Arbeitsplätze auf Basis von Azure Virtual Desktops und VMs. Ownership der AzureDevOps Projekte nach ShaiHulud und React2Shell sowie BSI-Warnungen – Security Operations Improvements im gesamten SDLC.

• Deployment-Verantwortung für GenAI-Chat-Anwendung, Big-Data/AI-Plattform (BDAI) sowie Data-Science-Arbeitsplätze (AVD/VM-basiert) in den jeweiligen LZs.

• Deployment & Release Management: End-to-End-Verantwortung für Deployments von Portal- und Service-Applikationen in mehreren Azure Landing Zones, inklusive technischer Freigaben, Approvals nach Deployment-Guidelines der Entwicklungsteams sowie Sicherstellung ITIL-basierter Change- und Release-Prozesse im laufenden Betrieb via ServiceNow.

• Azure Landing Zones & Netzwerkarchitektur: Aufbau, Provisionierung und Betrieb von Azure Landing Zones für 3-Tier-Web-Applikationen mit verbesserter Netzwerksegmentierung, VNet-Peering, Hub-Spoke-Architekturen, Private Endpoints und Firewall-Integration in separaten Subscriptions und Tenants.

• Azure DevOps Governance & Betrieb: Ownership der Azure-DevOps-Organisation inklusive Projekte, Repositories und CI/CD-Pipelines, Umsetzung von Governance-Vorgaben wie Branch-Policies, Approval-Gates, Berechtigungskonzepten und Audit-fähigen Betriebsstrukturen.

• Infrastructure as Code (Terraform): Design, Implementierung und Betrieb einer modularen Terraform-Architektur zur standardisierten Bereitstellung von Cloud-Infrastruktur, inklusive State-Management, Provider-Versionierung, Wiederverwendbarkeit und Policy-as-Code-Ansätzen.

• CI/CD Pipeline Engineering: Konzeption, Betrieb und Optimierung komplexer YAML-basierter CI/CD-Pipelines mit Multi-Stage-Deployments, Template-Standardisierung, Self-Hosted Agents, integriertem Secret-Management und automatisierten Qualitäts- und Sicherheitsprüfungen.

• Git-Migration & Plattformkonsolidierung: Planung und Umsetzung der Migration von Repositories und Pipelines von Azure DevOps zu GitLab CI/CD, inklusive automatisierter Skripte, Inklusive Git-History, Pipeline-Portierung und Konsolidierung der Entwicklungsplattformen.

• Container- & Plattformbetrieb (AKS): Betrieb und sicherheitstechnische Bewertung containerbasierter Workloads auf Azure Kubernetes Service, Zentralisierung der On-Premises Container Registry für ACR. OpenShift (OCP) Security Reviews: Sicherheitsbewertung von Codebaselines, Build-Pipelines und Deployment-Prozessen für On-Premises-OpenShift-Cluster mit kritischen Anwendungen sowie Ableitung konkreter Hardening-Empfehlungen.

• Shift-Left Security & DevSecOps Transformation: Einführung eines unternehmensweiten Shift-Left-Ansatzes zur frühzeitigen Integration von Sicherheit in Entwicklungs- und Deployment-Prozesse, Enablement der Entwickler zur eigenständigen Sicherheitsprüfung und nachhaltige Reduktion von Schwachstellen vor Produktivsetzung (IDE-Integrationen, Pre-Commit Hooks, lokale Scanner).

• Software Supply-Chain Security: Analyse und Mitigation von Supply-Chain-Risiken in NPM- und Yarn-basierten Anwendungen durch Dependency-Audits, Absicherung von CI/CD-Pipelines, Token-Rotation und Einschränkung riskanter Build- und Lifecycle-Mechanismen.

• Frontend- & Framework-Security (React / Next.js): Sicherheitsbewertung und Koordinierung der Behebung kritischer Schwachstellen in allen Plattform-Anwendungen und Web-Frameworks, inklusive Abstimmung und ergänzenden technischen Mitigationsmaßnahmen mit allen Teams nach BSI-Warnung.

• Software Composition Analysis (SCA): Einführung und Betrieb automatisierter Schwachstellen-Scans für Container-Images, Pipelines/Artefakte und Third-Party-Dependencies inklusive SBOM Exports innerhalb der CI/CD-Pipelines.

• SAST / DAST Integration: Konzeption und Pilotierung statischer und dynamischer Anwendungssicherheitstests in enger Zusammenarbeit mit Security-Architektur und Entwicklungsteams zur kontinuierlichen Verbesserung der Code- und Runtime-Security und Etablierung betrieblicher Abnahme-Tests (BATs).

• Artefakt- & Registry-Konsolidierung: Analyse und Konsolidierung aller Paket- und Container-Repositories für Service-Applikationen und AKS-Workloads mit dem Ziel einer zentralisierten, abgesicherten Registry-Strategie inklusive zentralisierter Vulnerability-Scanning und Governance.

• Dependency-Track & SBOM-Strategie: Beratung des Compliance-Boards zur Einführung einer zentralen SBOM- und Vulnerability-Management-Plattform zur konzernweiten Erhöhung der Transparenz über Abhängigkeiten und Beschleunigung der CVE-Reaktionsfähigkeit.

• CI/CD Pipeline Hardening: Sicherheitsanalyse und Bereinigung der bestehenden Pipeline-Landschaft durch Entfernung ungenutzter Pipelines, Verbesserung der Secrets-Hygiene, Umsetzung des Least-Privilege-Prinzips und Isolation von Build-Agent-Umgebungen.

• Azure Web Application Firewall (WAF) Optimierung: Analyse und Optimierung bestehender Azure-WAF-Regelwerke (OWASP Top 10 Core Rule Set, DSR/SDC, Custom Rules) zur Abwehr bekannter Schwachstellen und Exploit-Patterns, inkl. Reduktion von False Positives und Verbesserung der Angriffserkennung.

• Dokumentation & Stakeholder-Kommunikation: Erstellung und Pflege technischer Dokumentationen, Runbooks und Architekturübersichten in Jira und Confluence sowie aktiver Wissenstransfer zwischen Operations, Development, Security und Compliance-Stakeholdern.

• Fehleranalyse und -bereinigung inkl. Performance-Optimierung der eigenentwickelten Plattform API
• Change- und Incidentmanagement im Tagesbetrieb
• Verantwortlich für Einhaltung Security- und Compliancevorgaben
• Dienstleistersteuerung für Software-Entwicklung und -Wartung
• Planung und Durchführung Migration Legacy Services auf Cloud Native Plattform

Rolle im Projekt: Projektmitarbeiter Umsetzungsteam

Eingesetzte Skills: Anforderungsanalyse, IT-Service- und Anwendungsmanagement, IT-Betrieb, Fehleranalyse und Performance-Optimierung, Software-Wartung und Lifecyclemanagement

Projektumgebung: Cloud Native Platform (Kubernetes, Crossplane, AWS, ArgoCD, Grafana)

• Aufbau eines operativen Vertragsinformationssystems. Dieses wird vorrangig als Order-Management-System genutzt - zur Überführung bestehender Verträge als auch für die Erstellung und Bereitstellung neuer Vertragsbündel.

• Den Sales-Agents ist es dabei möglich, neue Services zu beauftragen, bestehende zu modifizieren und Service-Arten/Typen zu migrieren sowie Preisinformationen für den Kunden bereitzustellen.

• Damit wird insbesondere die Vermarktung neuer Service-Leistungen als auch Ablösung alter Leistungen bei Bestandskunden unterstützt.

• Ferner werden innerhalb des Systems Bestandsdaten importiert, verarbeitet (ETL) und über Services für die weitere Nutzung im Portal-Frontend bereitgestellt.

• Analyse der fachlichen und technischen Use Cases (Workflows, beteiligte Prozesse/Systeme, Kommunikationswege, Security-Anforderungen)

• Weiterentwicklung / Erstellung der Frontend-Komponenten (React/JavaScript)

• Entwurf und Implementierung der Business-Logik

• Erstellung der fachlichen und technischen Komponentendokumentation

• Testdurchführung / Testautomatisierung (Cypress, Testcoverage)

• Teamgröße: 8 Personen

• Technologien: React, JavaScript, Rest (JSon), Yaml, Markdown, MariaDB (SQL), Docker, Swagger, Cypress

• Tools: Webstorm, ReactDeveloperTools, VisualStudioCode, Word, DBeaver, Git/GitLab

• Arbeitsverwaltung: Gitlab

• Plattform: Linux

• Build-Management: Gitlab

Ich implementierte eine Zero-Trust-Architektur fuer robuste, militaertaugliche maritime Container-Mini-Rechenraeume auf Basis von VMware & Tanzu zur Unterstuetzung containerisierter GIS-Workloads fuer Bodentruppen. Der besondere Fokus lag auf der Absicherung der Kommunikation, dem Workload-Schutz und dem Datenzugriff in umkaempften elektronischen Gefechtsumgebungen, die durch Jamming, Abfangen, Signalmanipulation und staendig wechselnde Einsatzbedingungen beeinflusst werden. Ich habe Use Cases so entworfen und architektonisch umgesetzt, dass jedes Element von Workload, Identitaet und System auch in degradierten oder gestoerten Szenarien weiterhin unabhaengig und sicher funktionieren konnte. Parallel dazu definierte ich die Enterprise- und Solution-Security-Architektur mit LeanIX, Bizzdesign und HOPEX als Enterprise-Architecture-, Repository- und Governance-Plattformen, um Architekturinventar, Beziehungen, Nachverfolgbarkeit, Zielbilder und Security Governance in komplexen Umgebungen zu pflegen. Fuer die architektonischen Designs nutzte ich Sparx Enterprise Architect, um formale Architekturperspektiven, Schnittstellen, Vertrauensgrenzen und Systemarchitektur sowohl in IT- als auch OT-Umgebungen zu beschreiben. Das Tool IriusRisk wurde fuer das Threat Modeling der Loesung eingesetzt, um architekturgetriebene Risiken zu identifizieren, Sicherheitsanforderungen abzuleiten und Gegenmassnahmen sowie Designluecken direkt aus den Loesungsmodellen zu erkennen. Das Risiko- und Compliance-Management wurde mit Archer unterstuetzt. Architekturentscheidungen, Kontrollluecken und operative Risiken wurden in gesteuerte Governance- und auditierbare Compliance-Massnahmen ueberfuehrt. Fuer Dokumentation, Zusammenarbeit und visuelles Design nutzte ich Confluence zur Pflege von Architecture Decision Records, Security Blueprints und Workflows. Lucidchart und draw.io verwendete ich zur Erstellung stakeholdergerechter Design-Artefakte. Ich habe ausserdem OT-Sicherheitskonzepte mit Unterstuetzung von Elektro- und Maschinenbauingenieuren in den Bereichen Oel, Fahrzeug-Bordsysteme, Bahn, Kraftwerke, Pharma, Gasturbinen und Nukleartechnik definiert. Ich erstellte die End-to-End-OT-Sicherheitsstrategie, beginnend bei der globalen Policy, weiterentwickelt zu Standards und Verfahren und schliesslich korreliert mit Bell-LaPadula, Purdue Model, SABSA, TOGAF ADM, CENELEC 50701, IEC 62443 und NIST-Standards. Zudem arbeitete ich mit Engineering-Teamleads zusammen, um kritische KBP-Assets zu identifizieren und sie unter Schutzmassnahmen zu stellen, mit denen SCADA-, PLC- und HMI-Assets segmentiert wurden. Ich trieb die Zusammenarbeit zwischen Security-, IT- und OT-Teams voran, um standardisierte Workflows und Use Cases fuer den OT-Security-Loesungskatalog zu erstellen, waehrend Defense-in-Depth- und Zero-Trust-Prinzipien in operative Umgebungen integriert wurden. Entscheidend war die Integration multidisziplinaerer Engineering-, Security- und Operations-Akteure in eine einheitliche Security-Blueprinting-Strategie und die Sicherstellung, dass Architektur, Threat Modeling, Governance und Dokumentation technisch robust und operativ praktikabel waren.

• Grundlagen des Cloud Computing & Architektur: Fundiertes Wissen zu den zentralen Cloud-Konzepten, einschließlich der drei Service-Modelle (IaaS, PaaS, SaaS) und der verschiedenen Bereitstellungsmodelle (Public, Private, Hybrid, Multi-Cloud).
• Moderne Anwendungsbereitstellungsstrategien (GCP-Fokus): Einführung in das GCP Application Hosting-Spektrum, einschließlich virtueller Maschinen, Container (Kubernetes und Cloud Run), Platform as a Service (App Engine) und serverlosem Computing (Functions as a Service - FaaS).
• Datenmanagement & Big Data Analytics: Umfassende Darstellung der Cloud-Speicheroptionen (Object, Block, File) und Datenbanklösungen, einschließlich relationaler (Cloud SQL), NoSQL (Firestore, Bigtable, Memorystore) und serverlosem Enterprise-Data-Warehousing (BigQuery).
• DevOps und Infrastruktur-Automatisierung: Kenntnisse in DevOps-Prinzipien, einschließlich Continuous Integration (CI), Continuous Delivery (CD), Infrastructure as Code (IaC) mit Tools wie Terraform, und Implementierung von effektivem Monitoring und Logging für Systembeobachtbarkeit.
• Neue Technologien & verantwortungsbewusste Cloud-Nutzung: Fokus auf wichtige Themen wie Cloud und IoT-Sicherheit, Identity and Access Management (IAM), Datenschutz und ethische Aspekte bei Cloud- und Massendaten-Sammlung.

• Bereitstellung maßgeschneiderter, skalierbarer IT-Lösungen mit Schwerpunkt auf Cloud-Plattformen, On-Premise-Systemen, Kubernetes-Orchestrierung, CI/CD-Automatisierung, Datenmanagement und Sicherheit, auch in abgeschotteten deutschen Umgebungen.
• Automatisierung der Infrastruktur-Bereitstellung, Optimierung von Workflows und Sicherstellung der Einhaltung von Standards wie ISO 27001 unter Einsatz von Tools wie Terraform, Helm, GitOps und Open Tofu.
• Unterstützung von Unternehmen bei einer sicheren und effizienten digitalen Transformation.

• Erstellung, Wartung und Absicherung von Kubernetes-Clustern mit Ansible und ArgoCD
• Stichworte: Ansible, AWX, Kubernetes, NetApp, Prometheus, CI/CD ArgoCD, SSO, Fluent-bit, HAProxy, Calico, Keycloak, oauth2-proxy, SealedSecrets, kubeseal, Aqua kube-bench, CIS-Benchmarks, Aqua Trivy operator

• Anforderungsanalyse für die unternehmensweite Observability-Plattform.
• Erstellung von Playbooks und Pipelines für den Rollout von Envoy, OpenTelemetry Collectors und OpenTelemetry Agents.
• Durchführung von Lasttests zur Kapazitätsplanung von Metriken für die Observability-Plattform.
• Dokumentation und Implementierung von Compliance-Standards zur Produktionsreife des Produkts.
• Erstellung und Design von RED-Metriken-, Spanmetrics-, JBoss- und Tomcat-Dashboards für geschäftskritische Anwendungen.
• Einrichtung von Alerts für kritische Anwendungen zur proaktiven Incident Response.
• Integration von OpenShift-Anwendungen in den unternehmensweiten Observability-Stack.

• Wartung einer SaaS-Abrechnungsplattform auf AWS im Site Reliability Engineering (SRE) Team.
• Wesentliche Rolle bei einem AWS-Cloud-Migrationsprojekt: Implementierung von Terraform (IaC), Aufbau von CI/CD-Prozessen und Pipelines, Härtung von Images, Aktualisierung von Tool-Versionen und Entwicklung von Skripten.
• Erstellung von Dokumentation.

AWS-Cloud-Migration:

• Entwurf und Implementierung von CI/CD für die Bereitstellung von AWS-Ressourcen mit GitLab CI, Terraform und GitOps.
• Einrichtung und Konfiguration der DevOps-Toolchain, inklusive Jenkins, Harbor und Vault.
• Bereitstellung der Abrechnungsanwendung, von Microservices und unterstützenden Infrastruktur-Services in Nomad-Clustern.
• Neugestaltung des TLS/mTLS-Zertifikatsmanagements mit Vault und Lambda.

Sicherheit (Infrastruktur-Härtung, Patch-Management & Schwachstellen-Scanning):

• Verwaltung mehrerer AWS-Accounts für Consul/Nomad/Traefik-Cluster (10–20 EC2-Instanzen/Account, ASG) und für die DevOps-Toolchain (Harbor, Jenkins, Vault).
• Erstellung gehärteter AMIs mit Packer basierend auf CIS-Benchmarks für Nomad, Jenkins, Harbor und Vault; Bereitstellung mit Terraform.
• Integration von Trivy über das Harbor-Plugin zum Scannen von Container-Images.
• Implementierung strenger AWS-VPC-Sicherheitsgruppenregeln.
• Entwicklung und Pflege eines Patch-Management-Prozesses für alle Umgebungen mit Qualys und Wiz.
• Bereitstellung des Qualys Cloud Agents auf allen EC2-Instanzen, Verfolgung von CVEs und Testen von Patches in niedrigeren Umgebungen vor dem Rollout.
• Automatisierte Verteilung von Patches über alle AWS-Accounts mit Terraform und GitLab CI und Überprüfung der Patch-Konformität über Qualys-/Wiz-Dashboards.

• PRISMA-Projekt
• Ansible-Automatisierung
• Windows-Third-Level-Support für Windows NT, Windows 2000, Windows 2013, Windows 2016, Windows 2019

• Java 11/21

• Spring Boot

• Swagger/OpenAPI

• Azure Pipelines

• Trivy-Integration

• Apache Sling

• OSGI

• Java Content Repository (JCR)

• Apache Jackrabbit Oak

• Adobe HTL

• GraphQL

• Maven

• GitLab

• IntelliJ

• Azure Cloud

• Azure DevOps

• Terraform

• AEM-Spezialist im Scrum-Team

• Entwicklung und Bereitstellung von Microservices über Open-API-Schnittstellen

• Betrieb von Microservices in der Azure Cloud

• Implementierung von AEM-Modulen und Integration mit Microservices

• Mitglied im Wissenstransferteam und in einem Backend-Koordinationsteam

• Vollständige CI/CD-Pipelines mit GitHub Actions, Docker Compose, PostgreSQL, PHPStan, Newman, Gitleaks, Trivy, SQL-Validierung und HTMLExtra-Reports erstellt.
• Automatisierten SQL-Import in CI (docker-entrypoint-initdb.d) implementiert und benutzerdefinierte Postman-Collections mit Node.js zusammengeführt für deterministisches API-Testing.
• Organisationsweiten PR-Auto-Labeling-Workflow und ein Developer-Mapping-System (GitHub, Entwickler, Discord) für gezielte CI-Benachrichtigungen erstellt.
• Vollständige lokale DevOps-Umgebung (Dockerfile.local, Nginx, Supervisor) und ein über 400 Zeilen umfassendes Makefile entwickelt, das CI2, lokale CI-Replikation, Tests, Monitoring und Pre-Commit-Checks unterstützt.
• Strenges SQL-Validierungssystem entwickelt, das sichere Migrationsregeln durchsetzt und unsichere PRs blockiert.
• Automatisiertes QA-Reporting: HTMLExtra, Deployment auf GitHub Pages und Auto-Pruning.
• Produktions-API-Monitoring implementiert (Bash, Python, cron und Telegram-Benachrichtigungen).
• Mintbot-Automatisierung gebaut und deployed (GraphQL-Queries, Retries, Logging, cron).
• Backend- und Datenbank-Deployment-Automatisierung entworfen (SQL-Diff-Erkennung, DB-Klonen, SSH-ProxyJump-Deployment, Rollback-Logik, Discord-Benachrichtigungen).
• Wiederverwendbare Workflow-Bibliothek erstellt (Discord-Messaging, Artefakt-Upload, Trivy, Gitleaks, Branch-Sync, automatisches PR-Update, Auto-Label).
• Interne DevOps-Dashboard-Architektur entworfen für CI-Gesundheit, PR-Aktualität und Repository-Analyse.
• GHCR-Basis-Image-Pipelines mit FFmpeg, Rust und PHP-Erweiterungen erstellt für schnellere CI-Builds.
• .github/-Dokumentation, Namenskonventionen und Workflow-Strukturen standardisiert.
• Dependabot für das Backend-Repository eingeführt und Cloudflare Worker für CVE-Benachrichtigungen in Discord erstellt.
• GitHub Actions Enforcement implementiert: erforderliche Checks, blockierte veraltete PRs, geschützte Branches, verpflichtende Reviews.

• Implementierung eines Java-Services (Deamon) im Rahmen der automatisierten Verarbeitung von Sterbemitteilungen

• Eingesetzte Technologien: Java17, SpringBoot, Hexagonale Architektur, REST-API, Oracle, Maven, SonarQube, Findbugs, Checkstyle