Trivy Experten in Deutschland

Multi-Agenten-Plattform zur Dokumentenerstellung

Problem:

Aus einem einzelnen Prompt ein gut recherchiertes, strukturiertes und mit Quellen belegtes Dokument erstellen und dabei die Kontrolle beim Nutzer belassen: Jeder Schritt kann geprüft, korrigiert oder erneut aufgerufen werden, bevor das System fortfährt.

Architektur:

Ein Multi-Agenten-System, das von einer zentralen Steuerung koordiniert wird. Mehr als 20 spezialisierte pydantic-ai-Subagenten (Verstehen, Strukturieren, Planen, Recherchieren, Schreiben, Zusammenstellen, Querverweise prüfen, Glossar, Zitate, Referenztabelle und mehr) geben Ergebnisse anhand eines gemeinsamen, in Postgres gespeicherten Plans (asyncpg) weiter. Eine Runner-Schicht weist jede Aufgabe anhand ihres Namens einem Agenten zu. Mechanische Schritte wie Formatierung, Inhaltsverzeichnis und Abbildungsverzeichnis werden durch deterministischen Code statt durch LLM-Aufrufe erledigt. Der Anbieter (Anthropic oder OpenAI) wird über eine Konfiguration festgelegt, und Antworten werden über Server-Sent Events gestreamt.

Hosting & Infrastruktur:

Ein zustandsloser Container läuft als Scaleway Serverless Container in einem privaten Netzwerk mit verwaltetem PostgreSQL, Objektspeicher für fertige Dokumente und Assets sowie zentraler Protokollübertragung (Loki / Scaleway Cockpit). Bereitstellung mit OpenTofu-Modulen und Deployment über GitLab CI; die Nutzung wird pro API-Schlüssel abgerechnet.

Mein Beitrag und wichtige Entscheidungen:

• Zentrale Entscheidungssteuerung: Ein Zufriedenheitsklassifikator wandelt die Freitext-Rückmeldung des Nutzers in eine Entscheidung um (weiterarbeiten, fortfahren, abbrechen oder eine frühere Aufgabe überarbeiten). Eine Middleware wendet sie auf den Plan an. Der Plan kann zu früheren Aufgaben zurückspringen und die darauffolgenden Schritte erneut ausführen.
• Parallele Recherche und Texterstellung: Die Planung erstellt einen Plan, aus dem ein Recherche-Design-Agent einzelne Rechercheaufgaben und ein Schreib-Design-Agent einzelne Schreibaufgaben erstellt, die jeweils mit der benötigten Recherche verknüpft sind. Jede Aufgabe wird in einem eigenen Agenten mit eigenem Gesprächsverlauf ausgeführt.
• Selbstprüfung und Einbindung des Menschen: Nach jedem Schritt prüft ein Agent für kritisches Denken das Ergebnis. Bevor der Plan fortgesetzt wird, kann der Nutzer eine Kritik annehmen, überarbeiten oder Fragen dazu stellen.
• MCP-Integrationen: Zwei entfernte MCP-Server für die Websuche und die interne Dokumentensuche sind über pydantic-ai angebunden, mit Wiederholungsversuchen und Timeouts für lang laufende Tool-Aufrufe. Klassifikator-Agenten entscheiden für jede Aufgabe, ob eine Websuche nötig ist. Ein kleines Modell fasst rohe Suchergebnisse zu strukturierten Erkenntnissen zusammen, bevor sie die Schreibagenten erreichen.

Nutzungsabrechnung:

Kunden authentifizieren sich mit einem API-Schlüssel, der über einen Schlüsselverwaltungsdienst geprüft wird. Der Verbrauch wird in Credits abgerechnet, berechnet anhand der Token-Nutzung pro Modell zuzüglich eines Aufschlags. Bei ausgeschöpftem Kontingent wird HTTP 429 zurückgegeben.

Red Hat OpenShift Container Platform

Aufgabenbereich:

• Betrieb und Konfiguration der Red Hat OpenShift Container Platform einschließlich Netzwerk-, Speicher- und Sicherheitsdesign.
• Umsetzung zentraler Observability-Lösungen (Prometheus, Grafana, Alerting).
• Entwicklung von CI/CD-Pipelines, GitOps-Workflows und Automatisierungsframeworks.
• Schulung und Befähigung von Betriebs- und Entwicklungsteams.

Ergebnis: Schnellere Bereitstellung von Services, transparente Betriebskennzahlen und nachhaltiger Wissenstransfer.

• Kubernetes: EKS-Management, Cluster-Upgrades und Verbesserungen der Stabilität, Reviews und Updates von Infrastructure as Code, AWS-Support und Kostenoptimierung.

• Fehleranalyse und -bereinigung inkl. Performance-Optimierung der eigenentwickelten Plattform API
• Change- und Incidentmanagement im Tagesbetrieb
• Verantwortlich für Einhaltung Security- und Compliancevorgaben
• Dienstleistersteuerung für Software-Entwicklung und -Wartung
• Planung und Durchführung Migration Legacy Services auf Cloud Native Plattform

Rolle im Projekt: Projektmitarbeiter Umsetzungsteam

Eingesetzte Skills: Anforderungsanalyse, IT-Service- und Anwendungsmanagement, IT-Betrieb, Fehleranalyse und Performance-Optimierung, Software-Wartung und Lifecyclemanagement

Projektumgebung: Cloud Native Platform (Kubernetes, Crossplane, AWS, ArgoCD, Grafana)

• Aufbau, Wartung und Härtung von Kubernetes-Clustern mit Ansible und ArgoCD
• Schlagwörter: Ansible, AWX, Kubernetes, NetApp, Prometheus, CI/CD ArgoCD, SSO, Fluent-bit, HAProxy, Calico, Keycloak, oauth2-proxy, SealedSecrets, kubeseal, Aqua kube-bench, CIS-Benchmarks, Aqua Trivy operator

• PRISMA-Projekt
• Ansible-Automatisierung
• Windows Third Level Support für Windows NT, Windows 2000, Windows 2013, Windows 2016, Windows 2019

• Bereitstellung maßgeschneiderter, skalierbarer IT-Lösungen mit Schwerpunkt auf Cloud-Plattformen, On-Premise-Systemen, Kubernetes-Orchestrierung, CI/CD-Automatisierung, Datenmanagement und Sicherheit, auch in abgeschotteten deutschen Umgebungen.
• Automatisierung der Infrastruktur-Bereitstellung, Optimierung von Workflows und Sicherstellung der Einhaltung von Standards wie ISO 27001 unter Einsatz von Tools wie Terraform, Helm, GitOps und Open Tofu.
• Unterstützung von Unternehmen bei einer sicheren und effizienten digitalen Transformation.

• Reguliertes Konzernumfeld einer deutschen Bankengruppe (ca. 8.500 Mitarbeiter, Hybrid Cloud-Strategie).

• Verantwortlich für den Betrieb, die Bereitstellung und die kontinuierliche Absicherung geschäftskritischer Plattformen – darunter eine GenAI-Chat-Anwendung, eine Big-Data/AI-Plattform sowie Data-Science-Arbeitsplätze auf Basis von Azure Virtual Desktops und VMs. Ownership der AzureDevOps Projekte nach ShaiHulud und React2Shell sowie BSI-Warnungen – Security Operations Improvements im gesamten SDLC.

• Deployment-Verantwortung für GenAI-Chat-Anwendung, Big-Data/AI-Plattform (BDAI) sowie Data-Science-Arbeitsplätze (AVD/VM-basiert) in den jeweiligen LZs.

• Deployment & Release Management: End-to-End-Verantwortung für Deployments von Portal- und Service-Applikationen in mehreren Azure Landing Zones, inklusive technischer Freigaben, Approvals nach Deployment-Guidelines der Entwicklungsteams sowie Sicherstellung ITIL-basierter Change- und Release-Prozesse im laufenden Betrieb via ServiceNow.

• Azure Landing Zones & Netzwerkarchitektur: Aufbau, Provisionierung und Betrieb von Azure Landing Zones für 3-Tier-Web-Applikationen mit verbesserter Netzwerksegmentierung, VNet-Peering, Hub-Spoke-Architekturen, Private Endpoints und Firewall-Integration in separaten Subscriptions und Tenants.

• Azure DevOps Governance & Betrieb: Ownership der Azure-DevOps-Organisation inklusive Projekte, Repositories und CI/CD-Pipelines, Umsetzung von Governance-Vorgaben wie Branch-Policies, Approval-Gates, Berechtigungskonzepten und Audit-fähigen Betriebsstrukturen.

• Infrastructure as Code (Terraform): Design, Implementierung und Betrieb einer modularen Terraform-Architektur zur standardisierten Bereitstellung von Cloud-Infrastruktur, inklusive State-Management, Provider-Versionierung, Wiederverwendbarkeit und Policy-as-Code-Ansätzen.

• CI/CD Pipeline Engineering: Konzeption, Betrieb und Optimierung komplexer YAML-basierter CI/CD-Pipelines mit Multi-Stage-Deployments, Template-Standardisierung, Self-Hosted Agents, integriertem Secret-Management und automatisierten Qualitäts- und Sicherheitsprüfungen.

• Git-Migration & Plattformkonsolidierung: Planung und Umsetzung der Migration von Repositories und Pipelines von Azure DevOps zu GitLab CI/CD, inklusive automatisierter Skripte, Inklusive Git-History, Pipeline-Portierung und Konsolidierung der Entwicklungsplattformen.

• Container- & Plattformbetrieb (AKS): Betrieb und sicherheitstechnische Bewertung containerbasierter Workloads auf Azure Kubernetes Service, Zentralisierung der On-Premises Container Registry für ACR. OpenShift (OCP) Security Reviews: Sicherheitsbewertung von Codebaselines, Build-Pipelines und Deployment-Prozessen für On-Premises-OpenShift-Cluster mit kritischen Anwendungen sowie Ableitung konkreter Hardening-Empfehlungen.

• Shift-Left Security & DevSecOps Transformation: Einführung eines unternehmensweiten Shift-Left-Ansatzes zur frühzeitigen Integration von Sicherheit in Entwicklungs- und Deployment-Prozesse, Enablement der Entwickler zur eigenständigen Sicherheitsprüfung und nachhaltige Reduktion von Schwachstellen vor Produktivsetzung (IDE-Integrationen, Pre-Commit Hooks, lokale Scanner).

• Software Supply-Chain Security: Analyse und Mitigation von Supply-Chain-Risiken in NPM- und Yarn-basierten Anwendungen durch Dependency-Audits, Absicherung von CI/CD-Pipelines, Token-Rotation und Einschränkung riskanter Build- und Lifecycle-Mechanismen.

• Frontend- & Framework-Security (React / Next.js): Sicherheitsbewertung und Koordinierung der Behebung kritischer Schwachstellen in allen Plattform-Anwendungen und Web-Frameworks, inklusive Abstimmung und ergänzenden technischen Mitigationsmaßnahmen mit allen Teams nach BSI-Warnung.

• Software Composition Analysis (SCA): Einführung und Betrieb automatisierter Schwachstellen-Scans für Container-Images, Pipelines/Artefakte und Third-Party-Dependencies inklusive SBOM Exports innerhalb der CI/CD-Pipelines.

• SAST / DAST Integration: Konzeption und Pilotierung statischer und dynamischer Anwendungssicherheitstests in enger Zusammenarbeit mit Security-Architektur und Entwicklungsteams zur kontinuierlichen Verbesserung der Code- und Runtime-Security und Etablierung betrieblicher Abnahme-Tests (BATs).

• Artefakt- & Registry-Konsolidierung: Analyse und Konsolidierung aller Paket- und Container-Repositories für Service-Applikationen und AKS-Workloads mit dem Ziel einer zentralisierten, abgesicherten Registry-Strategie inklusive zentralisierter Vulnerability-Scanning und Governance.

• Dependency-Track & SBOM-Strategie: Beratung des Compliance-Boards zur Einführung einer zentralen SBOM- und Vulnerability-Management-Plattform zur konzernweiten Erhöhung der Transparenz über Abhängigkeiten und Beschleunigung der CVE-Reaktionsfähigkeit.

• CI/CD Pipeline Hardening: Sicherheitsanalyse und Bereinigung der bestehenden Pipeline-Landschaft durch Entfernung ungenutzter Pipelines, Verbesserung der Secrets-Hygiene, Umsetzung des Least-Privilege-Prinzips und Isolation von Build-Agent-Umgebungen.

• Azure Web Application Firewall (WAF) Optimierung: Analyse und Optimierung bestehender Azure-WAF-Regelwerke (OWASP Top 10 Core Rule Set, DSR/SDC, Custom Rules) zur Abwehr bekannter Schwachstellen und Exploit-Patterns, inkl. Reduktion von False Positives und Verbesserung der Angriffserkennung.

• Dokumentation & Stakeholder-Kommunikation: Erstellung und Pflege technischer Dokumentationen, Runbooks und Architekturübersichten in Jira und Confluence sowie aktiver Wissenstransfer zwischen Operations, Development, Security und Compliance-Stakeholdern.

Ich implementierte eine Zero-Trust-Architektur fuer robuste, militaertaugliche maritime Container-Mini-Rechenraeume auf Basis von VMware & Tanzu zur Unterstuetzung containerisierter GIS-Workloads fuer Bodentruppen. Der besondere Fokus lag auf der Absicherung der Kommunikation, dem Workload-Schutz und dem Datenzugriff in umkaempften elektronischen Gefechtsumgebungen, die durch Jamming, Abfangen, Signalmanipulation und staendig wechselnde Einsatzbedingungen beeinflusst werden. Ich habe Use Cases so entworfen und architektonisch umgesetzt, dass jedes Element von Workload, Identitaet und System auch in degradierten oder gestoerten Szenarien weiterhin unabhaengig und sicher funktionieren konnte. Parallel dazu definierte ich die Enterprise- und Solution-Security-Architektur mit LeanIX, Bizzdesign und HOPEX als Enterprise-Architecture-, Repository- und Governance-Plattformen, um Architekturinventar, Beziehungen, Nachverfolgbarkeit, Zielbilder und Security Governance in komplexen Umgebungen zu pflegen. Fuer die architektonischen Designs nutzte ich Sparx Enterprise Architect, um formale Architekturperspektiven, Schnittstellen, Vertrauensgrenzen und Systemarchitektur sowohl in IT- als auch OT-Umgebungen zu beschreiben. Das Tool IriusRisk wurde fuer das Threat Modeling der Loesung eingesetzt, um architekturgetriebene Risiken zu identifizieren, Sicherheitsanforderungen abzuleiten und Gegenmassnahmen sowie Designluecken direkt aus den Loesungsmodellen zu erkennen. Das Risiko- und Compliance-Management wurde mit Archer unterstuetzt. Architekturentscheidungen, Kontrollluecken und operative Risiken wurden in gesteuerte Governance- und auditierbare Compliance-Massnahmen ueberfuehrt. Fuer Dokumentation, Zusammenarbeit und visuelles Design nutzte ich Confluence zur Pflege von Architecture Decision Records, Security Blueprints und Workflows. Lucidchart und draw.io verwendete ich zur Erstellung stakeholdergerechter Design-Artefakte. Ich habe ausserdem OT-Sicherheitskonzepte mit Unterstuetzung von Elektro- und Maschinenbauingenieuren in den Bereichen Oel, Fahrzeug-Bordsysteme, Bahn, Kraftwerke, Pharma, Gasturbinen und Nukleartechnik definiert. Ich erstellte die End-to-End-OT-Sicherheitsstrategie, beginnend bei der globalen Policy, weiterentwickelt zu Standards und Verfahren und schliesslich korreliert mit Bell-LaPadula, Purdue Model, SABSA, TOGAF ADM, CENELEC 50701, IEC 62443 und NIST-Standards. Zudem arbeitete ich mit Engineering-Teamleads zusammen, um kritische KBP-Assets zu identifizieren und sie unter Schutzmassnahmen zu stellen, mit denen SCADA-, PLC- und HMI-Assets segmentiert wurden. Ich trieb die Zusammenarbeit zwischen Security-, IT- und OT-Teams voran, um standardisierte Workflows und Use Cases fuer den OT-Security-Loesungskatalog zu erstellen, waehrend Defense-in-Depth- und Zero-Trust-Prinzipien in operative Umgebungen integriert wurden. Entscheidend war die Integration multidisziplinaerer Engineering-, Security- und Operations-Akteure in eine einheitliche Security-Blueprinting-Strategie und die Sicherstellung, dass Architektur, Threat Modeling, Governance und Dokumentation technisch robust und operativ praktikabel waren.

• Erfolgreiche Implementierung des Schwachstellenmanagements mit DefectDojo
• Beratung und Umsetzung technischer und prozessualer Aspekte des Schwachstellenmanagements mit DefectDojo
• Beratung bei der Implementierung bezüglich sicherem Softwareentwicklungslebenszyklus
• Skills: GitLab, DefectDojo, Vulnerability Management, SCA, SAST, DAST, Python, Kubernetes, ArgoCD, Docker, AWS, Azure, Whitesource/Mend, Greenbone

• Grundlagen des Cloud Computing & Architektur: Fundiertes Wissen zu den zentralen Cloud-Konzepten, einschließlich der drei Service-Modelle (IaaS, PaaS, SaaS) und der verschiedenen Bereitstellungsmodelle (Public, Private, Hybrid, Multi-Cloud).
• Moderne Anwendungsbereitstellungsstrategien (GCP-Fokus): Einführung in das GCP Application Hosting-Spektrum, einschließlich virtueller Maschinen, Container (Kubernetes und Cloud Run), Platform as a Service (App Engine) und serverlosem Computing (Functions as a Service - FaaS).
• Datenmanagement & Big Data Analytics: Umfassende Darstellung der Cloud-Speicheroptionen (Object, Block, File) und Datenbanklösungen, einschließlich relationaler (Cloud SQL), NoSQL (Firestore, Bigtable, Memorystore) und serverlosem Enterprise-Data-Warehousing (BigQuery).
• DevOps und Infrastruktur-Automatisierung: Kenntnisse in DevOps-Prinzipien, einschließlich Continuous Integration (CI), Continuous Delivery (CD), Infrastructure as Code (IaC) mit Tools wie Terraform, und Implementierung von effektivem Monitoring und Logging für Systembeobachtbarkeit.
• Neue Technologien & verantwortungsbewusste Cloud-Nutzung: Fokus auf wichtige Themen wie Cloud und IoT-Sicherheit, Identity and Access Management (IAM), Datenschutz und ethische Aspekte bei Cloud- und Massendaten-Sammlung.

Refactoring des CRM-Systems eines IT-Dienstleisters Dazu gehört ein vollständiges Refactoring der Altanwendung, ins- besondere die Migration von JDK 1.6 auf JDK 25 sowie der Austausch selbst- entwickelter Infrastrukturkomponenten, etwa des Object-Relational-Mapper (ORM) und der Template-Engine des Frontends, durch heute übliche Stan- dardkomponenten auf Basis von Spring Boot. Gleichzeitig wird die bisher enge Verzahnung von Backend und Frontend aufgehoben und die Anwen- dung in eine moderne Microservice-Architektur überführt. Die Microservices werden als unabhängige, wiederverwendbare Einheiten implementiert und in autonomen Docker-Containern betrieben. Die Backend-Komponenten werden über REST-APIs bereitgestellt. Im Rahmen des Projekts wurden zudem CI/CD- und Deployment-Prozesse für die Container-basierte Microservice-Architektur etabliert und über GitLab CI automatisiert. Parallel dazu wird die Qualitätssi- cherung durch die Implementierung und Automatisierung von Modul-, Integrations- und Systemtests sichergestellt. Die Arbeiten erfolgen KI-unterstützt, insbe- sondere durch den Einsatz von GitHub Copilot und LM Studio (gpt-oss) für die Code-Entwicklung und das Prompt-Engineering. Position: Software-Entwicklung, Software-Qualitätssicherung, Tester, Testautomatisie- rer

Ausgeführte Arbeiten:

• Analyse der fachlichen und technischen Use Cases (Workflows, beteiligte Prozesse/Systeme, Kommunikationswege, Security-Anforderungen)
• Refactoring des Codes (code cleanup, Optimierung)
• Refactoring der Dependencies
• Refactoring der Rest-Services (SpringBoot)
• Refactoring der ORM-Schicht
• Testdurchführung / Testautomatisierung (Serenity, Selenium, Playwright, JUnit)
• Aufbau und Automatisierung von CI/CD-Pipelines für Build-, Test- und Deployment- Schritte in einer Docker-/Microservice-Umgebung Teamgröße: 2 Personen DV-Basis: Technologien: Java (JDK 25), Spring Boot, Hibernate, JPA, SQLServer, Ma- riaDB, Docker, Yaml, Markdown, JSON, HTML/CSS, REST Tools: IntelliJ, DBeaver, Git/GitLab, GitHubCopilot (KI) Arbeitsverwaltung: Gitlab Tests: Serenity, Selenium, Playwright, JUnit Plattform: Linux, Windows Versionsverwaltung: Gitlab Build-Management: Gitlab CI

• Wartung einer SaaS-Abrechnungsplattform auf AWS im Site Reliability Engineering (SRE) Team.
• Wesentliche Rolle bei einem AWS-Cloud-Migrationsprojekt: Implementierung von Terraform (IaC), Aufbau von CI/CD-Prozessen und Pipelines, Härtung von Images, Aktualisierung von Tool-Versionen und Entwicklung von Skripten.
• Erstellung von Dokumentation.

AWS-Cloud-Migration:

• Entwurf und Implementierung von CI/CD für die Bereitstellung von AWS-Ressourcen mit GitLab CI, Terraform und GitOps.
• Einrichtung und Konfiguration der DevOps-Toolchain, inklusive Jenkins, Harbor und Vault.
• Bereitstellung der Abrechnungsanwendung, von Microservices und unterstützenden Infrastruktur-Services in Nomad-Clustern.
• Neugestaltung des TLS/mTLS-Zertifikatsmanagements mit Vault und Lambda.

Sicherheit (Infrastruktur-Härtung, Patch-Management & Schwachstellen-Scanning):

• Verwaltung mehrerer AWS-Accounts für Consul/Nomad/Traefik-Cluster (10–20 EC2-Instanzen/Account, ASG) und für die DevOps-Toolchain (Harbor, Jenkins, Vault).
• Erstellung gehärteter AMIs mit Packer basierend auf CIS-Benchmarks für Nomad, Jenkins, Harbor und Vault; Bereitstellung mit Terraform.
• Integration von Trivy über das Harbor-Plugin zum Scannen von Container-Images.
• Implementierung strenger AWS-VPC-Sicherheitsgruppenregeln.
• Entwicklung und Pflege eines Patch-Management-Prozesses für alle Umgebungen mit Qualys und Wiz.
• Bereitstellung des Qualys Cloud Agents auf allen EC2-Instanzen, Verfolgung von CVEs und Testen von Patches in niedrigeren Umgebungen vor dem Rollout.
• Automatisierte Verteilung von Patches über alle AWS-Accounts mit Terraform und GitLab CI und Überprüfung der Patch-Konformität über Qualys-/Wiz-Dashboards.

• Java 11/21

• Spring Boot

• Swagger/OpenAPI

• Azure Pipelines

• Trivy-Integration

• Apache Sling

• OSGI

• Java Content Repository (JCR)

• Apache Jackrabbit Oak

• Adobe HTL

• GraphQL

• Maven

• GitLab

• IntelliJ

• Azure Cloud

• Azure DevOps

• Terraform

• AEM-Spezialist im Scrum-Team

• Entwicklung und Bereitstellung von Microservices über Open-API-Schnittstellen

• Betrieb von Microservices in der Azure Cloud

• Implementierung von AEM-Modulen und Integration mit Microservices

• Mitglied im Wissenstransferteam und in einem Backend-Koordinationsteam