Web Application Security Experten in Deutschland

Ich implementierte eine Zero-Trust-Architektur fuer robuste, militaertaugliche maritime Container-Mini-Rechenraeume auf Basis von VMware & Tanzu zur Unterstuetzung containerisierter GIS-Workloads fuer Bodentruppen. Der besondere Fokus lag auf der Absicherung der Kommunikation, dem Workload-Schutz und dem Datenzugriff in umkaempften elektronischen Gefechtsumgebungen, die durch Jamming, Abfangen, Signalmanipulation und staendig wechselnde Einsatzbedingungen beeinflusst werden. Ich habe Use Cases so entworfen und architektonisch umgesetzt, dass jedes Element von Workload, Identitaet und System auch in degradierten oder gestoerten Szenarien weiterhin unabhaengig und sicher funktionieren konnte. Parallel dazu definierte ich die Enterprise- und Solution-Security-Architektur mit LeanIX, Bizzdesign und HOPEX als Enterprise-Architecture-, Repository- und Governance-Plattformen, um Architekturinventar, Beziehungen, Nachverfolgbarkeit, Zielbilder und Security Governance in komplexen Umgebungen zu pflegen. Fuer die architektonischen Designs nutzte ich Sparx Enterprise Architect, um formale Architekturperspektiven, Schnittstellen, Vertrauensgrenzen und Systemarchitektur sowohl in IT- als auch OT-Umgebungen zu beschreiben. Das Tool IriusRisk wurde fuer das Threat Modeling der Loesung eingesetzt, um architekturgetriebene Risiken zu identifizieren, Sicherheitsanforderungen abzuleiten und Gegenmassnahmen sowie Designluecken direkt aus den Loesungsmodellen zu erkennen. Das Risiko- und Compliance-Management wurde mit Archer unterstuetzt. Architekturentscheidungen, Kontrollluecken und operative Risiken wurden in gesteuerte Governance- und auditierbare Compliance-Massnahmen ueberfuehrt. Fuer Dokumentation, Zusammenarbeit und visuelles Design nutzte ich Confluence zur Pflege von Architecture Decision Records, Security Blueprints und Workflows. Lucidchart und draw.io verwendete ich zur Erstellung stakeholdergerechter Design-Artefakte. Ich habe ausserdem OT-Sicherheitskonzepte mit Unterstuetzung von Elektro- und Maschinenbauingenieuren in den Bereichen Oel, Fahrzeug-Bordsysteme, Bahn, Kraftwerke, Pharma, Gasturbinen und Nukleartechnik definiert. Ich erstellte die End-to-End-OT-Sicherheitsstrategie, beginnend bei der globalen Policy, weiterentwickelt zu Standards und Verfahren und schliesslich korreliert mit Bell-LaPadula, Purdue Model, SABSA, TOGAF ADM, CENELEC 50701, IEC 62443 und NIST-Standards. Zudem arbeitete ich mit Engineering-Teamleads zusammen, um kritische KBP-Assets zu identifizieren und sie unter Schutzmassnahmen zu stellen, mit denen SCADA-, PLC- und HMI-Assets segmentiert wurden. Ich trieb die Zusammenarbeit zwischen Security-, IT- und OT-Teams voran, um standardisierte Workflows und Use Cases fuer den OT-Security-Loesungskatalog zu erstellen, waehrend Defense-in-Depth- und Zero-Trust-Prinzipien in operative Umgebungen integriert wurden. Entscheidend war die Integration multidisziplinaerer Engineering-, Security- und Operations-Akteure in eine einheitliche Security-Blueprinting-Strategie und die Sicherstellung, dass Architektur, Threat Modeling, Governance und Dokumentation technisch robust und operativ praktikabel waren.

• Mitwirkung an der Entwicklung einer fortschrittlichen RAG-KI-Chat-Anwendung, die mehrere LLM-Modelle integriert und es Benutzern ermöglicht, je nach Aufgabe nahtlos zwischen den Modellen zu wechseln. Dadurch wurde die Benutzererfahrung verbessert, da für verschiedene Anwendungsfälle wie Terminplanung, Buchungssysteme und die Verwaltung komplexer Aufgaben passende und effiziente Lösungen bereitgestellt werden.
• Beteiligung am Entwurf und an der Implementierung einer robusten Backend-Architektur mit Spring AI, die fortschrittliche KI-Funktionen wie intelligente Aufgabenautomatisierung, Sprachverarbeitung und kontextbezogene Empfehlungen ermöglicht. Einsatz von Spring-AI-Tools und Advisors zur Verbesserung der Leistung und Entscheidungsfindung der KI-Modelle.
• Mitarbeit bei der Integration von Vektordatenbanken zur Unterstützung von Embeddings, wodurch die Anwendung Benutzeranfragen besser verstehen und auf Grundlage komplexer Echtzeit-Dateneingaben Aktionen ausführen kann.
• Mitwirkung an der Entwicklung einer nahtlosen und benutzerfreundlichen Frontend-Oberfläche mit React und TypeScript, um eine moderne, responsive und skalierbare Benutzererfahrung auf verschiedenen Plattformen sicherzustellen.
• Unterstützung bei der Implementierung der Zustandsverwaltung mit Redux RTK für einen effizienten Datenfluss und Echtzeitaktualisierungen. Dadurch wurde die Benutzererfahrung in dynamischen Szenarien wie Terminplanung und Aufgabenverwaltung optimiert.
• Zusammenarbeit mit Stakeholdern bei der Definition von Funktionsanforderungen, um sicherzustellen, dass die Anwendung an sich ändernde Geschäftsanforderungen angepasst und in andere Systeme wie Kalender- und E-Mail-Dienste integriert werden kann. Zusammenarbeit mit funktionsübergreifenden Teams, darunter Data Scientists und UI/UX-Designer, zur Feinabstimmung der KI-Modelle und zur Abstimmung mit den Projektzielen.
• Mitwirkung an der Sicherstellung der durchgängigen Systemleistung, Sicherheit und Compliance durch die Integration von Authentifizierungsmechanismen, rollenbasierter Zugriffskontrolle und sicheren Kommunikationsprotokollen in Backend und Frontend.

Technologie-Stack und wichtigste Beiträge:

• Java / Spring Boot / Spring AI: Entwicklung von Backend-Services mit Spring AI für intelligente Antworten, Aufgabenautomatisierung und komplexe Workflows.
• React / TypeScript: Entwicklung intuitiver Benutzeroberflächen mit React und TypeScript für ein reibungsloses und skalierbares Frontend.
• Redux RTK: Verwaltung des Anwendungszustands mit Redux RTK für eine optimierte Zustandsverwaltung und dynamische Echtzeitaktualisierungen.
• Vektordatenbanken: Integration von Vektordatenbanken (pgVector) zur Unterstützung von Embeddings und Verbesserung der Leistung von KI-Modellen bei komplexen Anfragen.
• PostgreSQL / Redis: Verwaltung dauerhafter und temporärer Daten mit relationalen und In-Memory-Datenspeichern für Datenintegrität und Geschwindigkeit.
• Kafka: Einsatz von Apache Kafka für ereignisgesteuerte Kommunikation und eine nahtlose Integration zwischen Microservices.
• Spring Security: Sicherung der Backend-Services durch robuste Authentifizierungs- und Autorisierungsmechanismen.
• CI/CD und DevOps: Integration kontinuierlicher Integrations- und Deployment-Pipelines für eine schnelle und sichere Bereitstellung von Funktionen und Aktualisierungen.

• Über 25 praxisorientierte Labs abgeschlossen, mit Fokus auf digitale Forensik, Incident Response und fortgeschrittene Threat-Hunting-Techniken.
• Top-Badges in Malware-Analyse, Enterprise-Log-Analyse und Threat Intelligence erworben.
• Spezialisierte Fähigkeiten im Erstellen forensischer Berichte und in Methoden der Beweissammlung zur Unterstützung von Vorfalluntersuchungen entwickelt.

• Erfolgreiche Implementierung des Schwachstellenmanagements mit DefectDojo
• Beratung und Umsetzung technischer und prozessualer Aspekte des Schwachstellenmanagements mit DefectDojo
• Beratung bei der Implementierung bezüglich sicherem Softwareentwicklungslebenszyklus
• Skills: GitLab, DefectDojo, Vulnerability Management, SCA, SAST, DAST, Python, Kubernetes, ArgoCD, Docker, AWS, Azure, Whitesource/Mend, Greenbone

• Beratung, Konzeption, Analyse, Softwarearchitektur und Entwicklung
• Konzeption, Entwicklung, Gestaltung sowie Implementierung einer Pimcore Umgebung und Anbindung mehrerer externer API-Systeme in Kubernetes Umgebung sowie diverse PIM- und ERP-Systeme
• Technologien: Unix Umgebung, Konzeption, Entwicklung Symfony, Konzeption, PHP 8+, Softwarearchitektur, MySQL/SQL, Shell Script, Git Dev Ops Aufgaben, KI-Coding Unterstützung, Pimcore 12, Shopware 6
• Team Größe: >10 Personen

• Infrastruktur für Red Team aufgebaut, um realistische Angriffssimulationen mit Sliver C2 und eigenen Tools durchzuführen
• Komplexe Red-Team-Operationen ausgeführt und KI-/LLM-Sicherheitsforschung für Prompt-Injection-Angriffe integriert
• Umfassende Breach-Assessment-Angriffe und Schwachstellenbewertungen in der Unternehmensinfrastruktur durchgeführt
• Ursachenanalysen und Purple-Team-Übungen durchgeführt und Berichte für die Geschäftsleitung erstellt
• LLM-Red-Team-Initiativen geleitet, um die Sicherheit von KI-Modellen wie GPT-4, Mistral und internen GenAI-Modellen zu verbessern