Zero Trust Experten in Deutschland

• PMO Lead Sicherheitsüberprüfung 2 (SÜ2) überprüft
• Bericht an Teilprogrammleitung GMN
• Systempflege 25+
• Fachliche Steuerung & Koordination des Jira-Aufbaus
• Ausarbeitung von Entscheidungsvorlagen (z. B. Projektplanung, Steuerungsmodell, Kommunikationspläne, Controlling-Modelle, Rollen- & Verantwortungs-Matrizen)
• Entwicklung eines programmweiten Wissensmanagements mittels Confluence, Erarbeitung Jira-Konzept
• Erarbeitung eines Zugangskonzepts für alle Projekttools
• Analysieren bestehender Prozesse, Identifikation von Verbesserungspotenzialen und Entwurf von Lösungen zur Effizienz- und Effektivitätssteigerung
• Entwicklung eines Konzepts zur Einführung von Automatisierungsansätzen in bestehenden Tools
• Erstellen von Intranetartikeln als Projektmarketing
• Verantwortlich für Projektgovernance durch Reporting & Ressourcenplanung im Teilprogramm
• Agile Weiterentwicklung der Projektmethodik
• Aufnahme von Kundenanforderungen (Requirements Engineering)
• Vorbereitung & Support der Vertragsverhandlungen (7 Jahre Laufzeit, 500+ Mio Budget)

• Optimierung und Beschleunigung unserer GitLab-CI-Pipeline

• Konzeptarbeit für den PoC des Zero-Trust-Systems

• Erweiterung des Policy-Engine-Backends in Go

• Erweiterung des Policy-Testing-Mechanismus in Python

• Architekturelle Gestaltung der PEP-Komponente von Zero Trust

• Dokumentation des Produkts

• Technologien: Zero Trust, Go, Python, GitLab CI, Docker, JWT, Domain-Driven Design

Europaweites Re-Platforming & Zentralisierung

• Eigenverantwortliche Erstellung von Migrationskonzept und Umsetzungsplan für die europaweite Zentralisierung und Konsolidierung der IT-Services von rund 20 europäischen Gesellschaften im Rahmen eines Re-Platforming-Programms.
• Migrationsbewertung: Analyse der bestehenden IT-, Infrastruktur-, Applikations- und Service-Landschaften der Gesellschaften als Grundlage der Migrationsstrategie.
• Entwicklung des zentralisierten Zielbildes und der Zielarchitektur auf Basis eines modernen Technologie-Stacks unter Berücksichtigung von Plattform- und Containerisierungsansätzen.
• Konzeption einer hochverfügbaren zentralen Infrastruktur im Active-Active-Modell über zwei Rechenzentren; Betrachtung von Cloud-, Infrastruktur-, Applikations-, CMDB- und IAM-Services.
• Entwicklung der Migrations- und Transformations-Roadmap inkl. Definition von Migrationswellen, Abhängigkeiten, Voraussetzungen und Prioritäten für den Übergang dezentraler Services auf die zentrale Plattform.
• Analyse technischer und organisatorischer Abhängigkeiten, Identifikation von Migrationsrisiken sowie Entwicklung eines strukturierten Vorgehens für die schrittweise Migration und Zentralisierung.
• Erarbeitung von Ziel-, Lösungs- und Umsetzungsbildern je Service-Domäne; Konzeption des End-to-End-Join-Move-Leave-Prozesses als Blaupause für den europäischen Rollout (Jira/Jira Asset Management).
• Abstimmung von Migrationsstrategie und Roadmap mit europäischen Gesellschaften, Management, IT, Providern und weiteren Stakeholdern; Präsentation der 12-Monats-Roadmap an den Managing Director Europe.

• Reguliertes Konzernumfeld einer deutschen Bankengruppe (ca. 8.500 Mitarbeiter, Hybrid Cloud-Strategie).

• Verantwortlich für den Betrieb, die Bereitstellung und die kontinuierliche Absicherung geschäftskritischer Plattformen – darunter eine GenAI-Chat-Anwendung, eine Big-Data/AI-Plattform sowie Data-Science-Arbeitsplätze auf Basis von Azure Virtual Desktops und VMs. Ownership der AzureDevOps Projekte nach ShaiHulud und React2Shell sowie BSI-Warnungen – Security Operations Improvements im gesamten SDLC.

• Deployment-Verantwortung für GenAI-Chat-Anwendung, Big-Data/AI-Plattform (BDAI) sowie Data-Science-Arbeitsplätze (AVD/VM-basiert) in den jeweiligen LZs.

• Deployment & Release Management: End-to-End-Verantwortung für Deployments von Portal- und Service-Applikationen in mehreren Azure Landing Zones, inklusive technischer Freigaben, Approvals nach Deployment-Guidelines der Entwicklungsteams sowie Sicherstellung ITIL-basierter Change- und Release-Prozesse im laufenden Betrieb via ServiceNow.

• Azure Landing Zones & Netzwerkarchitektur: Aufbau, Provisionierung und Betrieb von Azure Landing Zones für 3-Tier-Web-Applikationen mit verbesserter Netzwerksegmentierung, VNet-Peering, Hub-Spoke-Architekturen, Private Endpoints und Firewall-Integration in separaten Subscriptions und Tenants.

• Azure DevOps Governance & Betrieb: Ownership der Azure-DevOps-Organisation inklusive Projekte, Repositories und CI/CD-Pipelines, Umsetzung von Governance-Vorgaben wie Branch-Policies, Approval-Gates, Berechtigungskonzepten und Audit-fähigen Betriebsstrukturen.

• Infrastructure as Code (Terraform): Design, Implementierung und Betrieb einer modularen Terraform-Architektur zur standardisierten Bereitstellung von Cloud-Infrastruktur, inklusive State-Management, Provider-Versionierung, Wiederverwendbarkeit und Policy-as-Code-Ansätzen.

• CI/CD Pipeline Engineering: Konzeption, Betrieb und Optimierung komplexer YAML-basierter CI/CD-Pipelines mit Multi-Stage-Deployments, Template-Standardisierung, Self-Hosted Agents, integriertem Secret-Management und automatisierten Qualitäts- und Sicherheitsprüfungen.

• Git-Migration & Plattformkonsolidierung: Planung und Umsetzung der Migration von Repositories und Pipelines von Azure DevOps zu GitLab CI/CD, inklusive automatisierter Skripte, Inklusive Git-History, Pipeline-Portierung und Konsolidierung der Entwicklungsplattformen.

• Container- & Plattformbetrieb (AKS): Betrieb und sicherheitstechnische Bewertung containerbasierter Workloads auf Azure Kubernetes Service, Zentralisierung der On-Premises Container Registry für ACR. OpenShift (OCP) Security Reviews: Sicherheitsbewertung von Codebaselines, Build-Pipelines und Deployment-Prozessen für On-Premises-OpenShift-Cluster mit kritischen Anwendungen sowie Ableitung konkreter Hardening-Empfehlungen.

• Shift-Left Security & DevSecOps Transformation: Einführung eines unternehmensweiten Shift-Left-Ansatzes zur frühzeitigen Integration von Sicherheit in Entwicklungs- und Deployment-Prozesse, Enablement der Entwickler zur eigenständigen Sicherheitsprüfung und nachhaltige Reduktion von Schwachstellen vor Produktivsetzung (IDE-Integrationen, Pre-Commit Hooks, lokale Scanner).

• Software Supply-Chain Security: Analyse und Mitigation von Supply-Chain-Risiken in NPM- und Yarn-basierten Anwendungen durch Dependency-Audits, Absicherung von CI/CD-Pipelines, Token-Rotation und Einschränkung riskanter Build- und Lifecycle-Mechanismen.

• Frontend- & Framework-Security (React / Next.js): Sicherheitsbewertung und Koordinierung der Behebung kritischer Schwachstellen in allen Plattform-Anwendungen und Web-Frameworks, inklusive Abstimmung und ergänzenden technischen Mitigationsmaßnahmen mit allen Teams nach BSI-Warnung.

• Software Composition Analysis (SCA): Einführung und Betrieb automatisierter Schwachstellen-Scans für Container-Images, Pipelines/Artefakte und Third-Party-Dependencies inklusive SBOM Exports innerhalb der CI/CD-Pipelines.

• SAST / DAST Integration: Konzeption und Pilotierung statischer und dynamischer Anwendungssicherheitstests in enger Zusammenarbeit mit Security-Architektur und Entwicklungsteams zur kontinuierlichen Verbesserung der Code- und Runtime-Security und Etablierung betrieblicher Abnahme-Tests (BATs).

• Artefakt- & Registry-Konsolidierung: Analyse und Konsolidierung aller Paket- und Container-Repositories für Service-Applikationen und AKS-Workloads mit dem Ziel einer zentralisierten, abgesicherten Registry-Strategie inklusive zentralisierter Vulnerability-Scanning und Governance.

• Dependency-Track & SBOM-Strategie: Beratung des Compliance-Boards zur Einführung einer zentralen SBOM- und Vulnerability-Management-Plattform zur konzernweiten Erhöhung der Transparenz über Abhängigkeiten und Beschleunigung der CVE-Reaktionsfähigkeit.

• CI/CD Pipeline Hardening: Sicherheitsanalyse und Bereinigung der bestehenden Pipeline-Landschaft durch Entfernung ungenutzter Pipelines, Verbesserung der Secrets-Hygiene, Umsetzung des Least-Privilege-Prinzips und Isolation von Build-Agent-Umgebungen.

• Azure Web Application Firewall (WAF) Optimierung: Analyse und Optimierung bestehender Azure-WAF-Regelwerke (OWASP Top 10 Core Rule Set, DSR/SDC, Custom Rules) zur Abwehr bekannter Schwachstellen und Exploit-Patterns, inkl. Reduktion von False Positives und Verbesserung der Angriffserkennung.

• Dokumentation & Stakeholder-Kommunikation: Erstellung und Pflege technischer Dokumentationen, Runbooks und Architekturübersichten in Jira und Confluence sowie aktiver Wissenstransfer zwischen Operations, Development, Security und Compliance-Stakeholdern.

Arbeitnehmerüberlassung

• System-Black-Box-Integrationstests (BBIT, IVVQ): Durchführung von Regressions-, Freigabe-, Bestätigungs- und Konformitätstests für sicherheitskritische Bremssteuergeräte in Bahnindustrie
• Softwaretest-Applikation & Integration: Runtime-Konfiguration von Software-Komponenten und Bibliotheken, Validierung von Schnittstellen, Konfigurationsabhängigkeiten und Komponenteninteraktionen
• Testautomatisierung (FEAT-Framework): Mitentwicklung und Weiterentwicklung eines automatisierten Testframeworks für Testausführung, Reporting und Ergebnisanalyse
• Funktionale Sicherheit (SiL4, FuSi): Sicherstellung der Einhaltung von Sicherheitsanforderungen, Traceability und Coverage sowie Normkonformität gemäß EN50126/28/29
• Testautomatisierung für Kommunikationskomponenten: Konfiguration und Validierung der Feldbus-(CAN) und Ethernet-basierten TCMS Datenkommunikation-Schnittstellen (TRDP und CIP)
• Anforderungsanalyse & Shift-Left (PTC Windchill ALM): Analyse von Software- und Systemartefakten zur Identifikation von Lücken, Mehrdeutigkeiten und Redundanzen im frühen SDLC
• Testdesign & Testfallentwicklung: Ableitung von Testbedingungen, Abdeckungsstrategien und Implementierung datengetriebener Testfälle (DDT) inkl. wiederverwendbarer Testdaten-Fixtures
• CI/CD & Automatisierung (Python, PowerShell, Jenkins, SVN): Automatisierung von Build-, Test- und HIL-Deployment-Prozessen sowie Integration in CI/CD-Pipelines
• Testdaten & Konfigurationsmanagement (XML): Pflege und Anpassung von XML-Testvektoren und Systemkonfigurationen mit automatisierter Integration in Testumgebungen
• Nicht-funktionales Testen: Durchführung von Performance- und Lasttests zur Bewertung von Stabilität und Systemverhalten
• Agile Entwicklung & Defect Management (JIRA, Confluence): Mitarbeit in Scrum-Teams, Testkoordination, Review von Testartefakten sowie Defect Tracking und Root-Cause-Analyse
• Fehleranalyse & Debugging (CANoe, CANalyzer): Analyse von Fehlern und Nachrichtenflüssen über mehrere Systemebenen (Applikation bis Bus)
• Modellbasierte Analyse (UML, Enterprise Architect): Spezifikation von SUT/SOW und Unterstützung der systematischen Teststeuerung
• Prozess- & Testdokumentation: Erstellung von Integrations- und Testdokumentation gemäß internen Qualitäts- und Zertifizierungsanforderungen

Evaluierung und Auswahl einer neuen Endpoint-Management-Plattform für eine Umgebung mit ca. 50.000 Clients. Unterstützung eines Produktionsunternehmens bei der Evaluierung einer zukünftigen Endpoint-Management-Plattform zur möglichen Ablösung der bestehenden Client-Management-Lösung. Durchführung eines strukturierten Software-Auswahlprozesses inklusive Proof of Concept sowie Vorbereitung der Entscheidungsgrundlagen für das Enterprise Architecture Board (EAM). Ausarbeitung der technischen Anforderungen und Bewertungskriterien sowie Erstellung einer Shortlist möglicher Lösungen (Tanium, Baramundi, Microsoft Intune / MECM). Planung und Begleitung des technischen Proof of Concept sowie Bewertung der Architektur- und Betriebsaspekte der verschiedenen Plattformen. Zusätzlich Evaluierung von Werkzeugen für die Migration bestehender Softwarepakete aus der Ivanti-DSM-Umgebung. Vergleich und Test von IDERI Move und PACE zur automatisierten Überführung der bestehenden Paketstruktur in die neue Plattform, mit dem Ziel, den Migrationsaufwand deutlich zu reduzieren. Unterstützung bei der Auswahl der benötigten Tanium-Module sowie Vorbereitung der Entscheidungsunterlagen für das Enterprise Architecture Board.

Tools: Tanium, Baramundi, Microsoft Intune, Microsoft MECM, Ivanti DSM, IDERI Move, Pace, Windows 10, Windows 11, Windows Server. VDI

• Gesamtverantwortung für den Projektlebenszyklus von der Umfangsdefinition bis zum Abschluss
• Enge Zusammenarbeit mit Plattform-Teams, IT-Führungskräften und externen Dienstleistern
• Anwendung von SAFe-Prinzipien und strukturierte Sprint-Arbeit
• Erstellung eines Migrationsfahrplans mit klaren Meilensteinen
• Überwachung des Lifecycles: Onboarding, Repository-Migration, Replikation von Berechtigungen und Systemtests
• Visualisierung der Architektur mit PlantUML und Gliffy sowie Dokumentation in Confluence
• Regelmäßige Statusberichte und Durchführung von Wissenstransfer-Sessions

• IST-Aufnahme der aktuellen Netzwerkinfrastruktur und deren Dokumentation inklusive Vor-Ort-Begehung
• Eigenverantwortliche Planung von neuen Verteiler- und Hauptverteilerräumen in den einzelnen Bezirksämtern (eingesetzte Komponenten, Schranklayout, Anbindung) unter Berücksichtigung des BSI IT-Grundschutzes und Vorgaben von InfoSic
• Planung der neuen Kupfer- und LWL-Verkabelung inklusive Patchpanel
• Abstimmung mit TGA (Technische Gebäudeausrüstung) zur Einhaltung entsprechender Vorgaben in den Räumlichkeiten
• Erarbeitung von Ausführungsplänen und Grobkonzepten für den Rollout der neuen Infrastruktur
• Zusätzliche Unterstützung nach dem Produktionsstart der Komponenten (Hypercare-Phase)
• Regelmäßiger Austausch mit der Projektleitung und den Verantwortlichen auf Kundenseite

• Aufbau von Azure-Kubernetes-Clustern (AKS) mit Network Policies, Security Groups und RBAC
• Terraform-basierte Infrastructure-as-Code für sichere, reproduzierbare Bereitstellungen in der BMW-Azure-Cloud
• Härtung der CI/CD-Pipelines mit Jenkins, SonarQube, Fortify SSC und Contrast AST
• Integration von SAP BTP/Kyma und ServiceNow GRC

• Enterprise-taugliche Multi-Agent-KI-Orchestrierungsplattform, gebaut mit Go und Kubernetes für skalierbare, sichere Agentenkoordination in Cloud-native-Umgebungen.
• Multi-Agent-Orchestrierung mit intelligenter Workload-Verteilung und dynamischer Skalierung.
• Cloud-native Architektur mit Kubernetes-Deployment und horizontalem Auto-Scaling.
• Echtzeit-Koordination mit Agentenkommunikation unter 100 ms über Go-Channels.
• Enterprise-Sicherheit mit Zero-Trust-Architektur, RBAC und umfassenden Audit-Trails.
• Visuelle Workflow-Engine mit Monitoring, Observability und API-Gateway-Integration.
• Technologien: Go, Kubernetes, ArangoDB, gRPC, Prometheus, Grafana.

• Ermittlung von Anforderungen (rechtlich, organisatorisch und technisch)
• Entwurf von Lösungsarchitekturen
• Bewertung von Konzepten und Technologien
• Erstellung von Entscheidungsvorlagen
• Architekturelle Entscheidungsaufzeichnungen (ADR)
• Koordination der Umsetzung
• Überprüfung der Implementierungen
• Dokumentation

• Bedarfsanalyse und Ersetzung lokales SharePoint als CMDB durch OpenSource Netbox zur Vorbereitung des Einsatzes von Cisco ACI (SD-WAN) mit Microsoft Azure
• Abstimmung mit Systemen wie Checkmk und Grasp
• Einführung und Koordination von cmdbsyncer als CMDB-Datendrehscheibe; Weiterentwicklung des Syncers mit Kuhn & Ruess GmbH
• Einführung von SNMPv3 auf AIX LPAR/VIO, Linux, Windows, SAN/Storage, Netzwerkkomponenten (Cisco-Switches, F5-LoadBalancer, Palo Alto und CheckPoint Firewalls, ILO-Boards)
• Einführung und Weiterentwicklung des Netz-Scanners JDisc in Zusammenarbeit mit Hersteller (Utimaco HSMs, Linuxerkennung)
• Integration von Netbox, JDisc und cmdbsyncer in Infrastruktur mittels Docker-Containern
• Anwenderschulungen: Vorbereitung, Erstellung der Unterlagen und Durchführung
• Erstellung von Datenfluss- und Netzwerkdiagrammen
• IPv4/IPv6-Befüllung und Planung mit Netbox inkl. VLAN-Import
• Dual-Stack-Ausstattung von Servern und Clients mit IPv4 und IPv6
• Anbindung von REST-Schnittstellen für Checkmk, JDisc, vSphere, HMC, i-doit, Netbox Software: Confluence, Jira, MS-Office 365, Teams, i-doit, Netbox, JDisc, cmdbsyncer, DB Visualizer, vSphere, HMC

Konzeption und Umsetzung eines modular aufgebauten Kundenportals auf Basis von Laravel.

Schwerpunkte waren die Definition einer wartbaren Systemarchitektur unter weitgehender Anwendung von Domain-Driven-Design-Prinzipien (im Rahmen der Laravel-Architektur), die Einführung automatisierter Qualitätssicherungsprozesse (Teststrategie, CI-Integration) sowie die Vorbereitung eines auditierbaren Betriebs (Logging, Nachvollziehbarkeit von Änderungen) in einer AWS-basierten Infrastruktur unter Berücksichtigung von IT-Sicherheitsstandards nach NIST und Prozessanforderungen nach ISO 9001.

Leistungen:

• Analyse und Strukturierung fachlicher Anforderungen in enger Abstimmung mit den Stakeholdern
• Dokumentation der Systemarchitektur und Infrastruktur inkl. Change- und Release-Management
• Konzeption und Umsetzung einer Schnittstelle zur Integration von SAP-Systemen
• Planung und Implementierung automatisierter Tests zur Qualitätssicherung
• Umsetzung von Security- und Compliance-Anforderungen, u. a. SBOM-Generierung, Software-Lizenzmanagement und QS-Prozesse
• Technische Beratung und Unterstützung des internen IT-Teams
• Einführung und Etablierung KI-gestützter Entwicklungsprozesse (Spec-Driven Development) inkl. KI-lesbarer Spezifikationen, Integration von KI-Anweisungen in die Entwicklungsumgebung sowie Schulung der Entwickler im produktiven Einsatz

Techniken und Tools: SAP, Docker, ddev, PHP 8.4, Laravel, Filament, C4 Model, Architecture Decision Records (ADR), Mermaid, PlantUML, Spec-Driven Development, Claude, GitHub Copilot, Codex

Ich implementierte eine Zero-Trust-Architektur fuer robuste, militaertaugliche maritime Container-Mini-Rechenraeume auf Basis von VMware & Tanzu zur Unterstuetzung containerisierter GIS-Workloads fuer Bodentruppen. Der besondere Fokus lag auf der Absicherung der Kommunikation, dem Workload-Schutz und dem Datenzugriff in umkaempften elektronischen Gefechtsumgebungen, die durch Jamming, Abfangen, Signalmanipulation und staendig wechselnde Einsatzbedingungen beeinflusst werden. Ich habe Use Cases so entworfen und architektonisch umgesetzt, dass jedes Element von Workload, Identitaet und System auch in degradierten oder gestoerten Szenarien weiterhin unabhaengig und sicher funktionieren konnte. Parallel dazu definierte ich die Enterprise- und Solution-Security-Architektur mit LeanIX, Bizzdesign und HOPEX als Enterprise-Architecture-, Repository- und Governance-Plattformen, um Architekturinventar, Beziehungen, Nachverfolgbarkeit, Zielbilder und Security Governance in komplexen Umgebungen zu pflegen. Fuer die architektonischen Designs nutzte ich Sparx Enterprise Architect, um formale Architekturperspektiven, Schnittstellen, Vertrauensgrenzen und Systemarchitektur sowohl in IT- als auch OT-Umgebungen zu beschreiben. Das Tool IriusRisk wurde fuer das Threat Modeling der Loesung eingesetzt, um architekturgetriebene Risiken zu identifizieren, Sicherheitsanforderungen abzuleiten und Gegenmassnahmen sowie Designluecken direkt aus den Loesungsmodellen zu erkennen. Das Risiko- und Compliance-Management wurde mit Archer unterstuetzt. Architekturentscheidungen, Kontrollluecken und operative Risiken wurden in gesteuerte Governance- und auditierbare Compliance-Massnahmen ueberfuehrt. Fuer Dokumentation, Zusammenarbeit und visuelles Design nutzte ich Confluence zur Pflege von Architecture Decision Records, Security Blueprints und Workflows. Lucidchart und draw.io verwendete ich zur Erstellung stakeholdergerechter Design-Artefakte. Ich habe ausserdem OT-Sicherheitskonzepte mit Unterstuetzung von Elektro- und Maschinenbauingenieuren in den Bereichen Oel, Fahrzeug-Bordsysteme, Bahn, Kraftwerke, Pharma, Gasturbinen und Nukleartechnik definiert. Ich erstellte die End-to-End-OT-Sicherheitsstrategie, beginnend bei der globalen Policy, weiterentwickelt zu Standards und Verfahren und schliesslich korreliert mit Bell-LaPadula, Purdue Model, SABSA, TOGAF ADM, CENELEC 50701, IEC 62443 und NIST-Standards. Zudem arbeitete ich mit Engineering-Teamleads zusammen, um kritische KBP-Assets zu identifizieren und sie unter Schutzmassnahmen zu stellen, mit denen SCADA-, PLC- und HMI-Assets segmentiert wurden. Ich trieb die Zusammenarbeit zwischen Security-, IT- und OT-Teams voran, um standardisierte Workflows und Use Cases fuer den OT-Security-Loesungskatalog zu erstellen, waehrend Defense-in-Depth- und Zero-Trust-Prinzipien in operative Umgebungen integriert wurden. Entscheidend war die Integration multidisziplinaerer Engineering-, Security- und Operations-Akteure in eine einheitliche Security-Blueprinting-Strategie und die Sicherstellung, dass Architektur, Threat Modeling, Governance und Dokumentation technisch robust und operativ praktikabel waren.