Application Security Engineer (m/w/d)

Bundesdruckerei Gruppe GmbH; Berlin; Vor Ort; EUR 70.000 - 100.000; Vollzeit

Zusammenfassung

Bundesdruckerei Gruppe GmbH in Berlin sucht eine/n Application Security Engineer, der Sicherheit in den gesamten Softwareentwicklungszyklus integriert und SAST/DAST/SCA in CI/CD-Pipelines betreibt.

Sie führen Code-Reviews, Schwachstellenanalysen und Threat Modeling mit Entwicklungsteams durch und begleiten Remediation sowie Vulnerability Management. Erwartet werden fundierte IT-Sicherheitskenntnisse und Deutsch/Englisch-Kommunikation auf hohem Niveau.

Qualifikationen

• Abgeschlossenes Studium der Informatik oder IT-Sicherheit oder vergleichbare Ausbildung mit Praxis im Info- und IT-Sicherheitsbereich.
• Mehrjährige Erfahrung in Anwendungssicherheit oder sicherheitsorientierter Softwareentwicklung.
• Fundiertes Verständnis gängiger Schwachstellenklassen (OWASP Top 10) sowie sicherer Architekturprinzipien.
• Erfahrung mit Threat Modeling und AppSec-Tooling inkl. SAST, DAST, SCA in CI/CD.
• Kenntnisse in Java, C#, Python oder JavaScript oder vergleichbaren Sprachen.
• Wünschenswert: Kenntnisse zu BSI IT-Grundschutz, ISO 27001, Zertifizierungen wie OSCP/OSWE/GWAPT.
• Analytisch, priorisierbar, lernbereit, offen für neue Bedrohungen und Technologien.
• Moderations- und Beratungsfähigkeit sowie Kommunikationsstärke auf Deutsch und Englisch (C1).

Aufgaben

• Integration von Sicherheit in den gesamten Entwicklungszyklus (Secure SDLC).
• Aufbau und Betrieb von SAST-, DAST-, SCA- und Secret-Scanning in CI/CD.
• Durchführung von Code-Reviews, Schwachstellenanalysen und Threat Modeling mit Entwicklungsteams.
• Vulnerability Management inkl. Remediation-Begleitung und Priorisierung von Schwachstellen.
• Unterstützung und Coaching der Security Champions in den Teams.
• Mitwirkung an Quality Gates und sicherheitsrelevanten Abnahmekriterien.
• Beratung der Fachbereiche zu sicheren Architektur- und Implementierungsentscheidungen.
• Mitgestaltung von Standards, Richtlinien und sicheren Vorgaben zur Code-Sicherheit.

Kenntnisse

Security mindset

Threat modeling

Analytisches Denken

Team- und Kommunikationsfähigkeit

Ausbildung

Abgeschlossenes Studium in Informatik / IT-Sicherheit

Berufsausbildung mit mehrjähriger Praxis im IT-Sicherheitsbereich

Tools

SAST

DAST

SCA

Secret-Scanning-Tools

Jobbeschreibung

Zum nächstmöglichen Zeitpunkt suchen wir Sie als Application Security Engineer für den Standort Berlin.

Ihr Aufgabenbereich

• Integration von Sicherheit in den gesamten Entwicklungslebenszyklus (Secure SDLC) – von Design und Threat Modeling über sichere Implementierung bis Release und Betrieb
• Aufbau und Betrieb von SAST-, DAST-, SCA- und Secret-Scanning-Werkzeugen in CI/CD-Pipelines
• Durchführung von Code-Reviews, Schwachstellenanalysen und Threat Modeling gemeinsam mit den Entwicklungsteams
• Bewertung, Priorisierung und Nachverfolgung von Schwachstellen (Vulnerability Management) inkl. Remediation-Begleitung
• Unterstützung und Coaching der Security Champions in den Entwicklungsteams unter zentraler fachlicher Führung
• Mitwirkung an Quality Gates und der Definition sicherheitsrelevanter Abnahmekriterien
• Beratung der Fachbereiche zu sicheren Architektur- und Implementierungsentscheidungen
• Mitgestaltung von Standards, Richtlinien und tätigkeitsorientierten Vorgaben zur Code-Sicherheit

Ihr Profil

• Abgeschlossenes Studium mit dem Schwerpunkt Informatik oder Informations- oder IT-Sicherheit oder eine Berufsausbildung mit mehrjähriger praktischer Erfahrung im Bereich Informations- und IT Sicherheit
• Mehrjährige Erfahrung in der Anwendungssicherheit oder Softwareentwicklung mit Security-Schwerpunkt
• Fundiertes Verständnis gängiger Schwachstellenklassen, z. B. OWASP Top 10, sicherer Entwicklungspraktiken und sicherer Softwarearchitekturen
• Erfahrung mit Threat Modeling sowie AppSec-Tooling, insbesondere SAST, DAST und SCA, einschließlich der Integration in CI/CD
• Kenntnisse in mindestens einer relevanten Programmiersprache, z. B. Java, C#, Python oder JavaScript
• Wünschenswert: Kenntnisse des BSI IT-Grundschutzes, insbesondere BSI 200-2 und 200-3, relevanter Standards wie ISO 27001 sowie Zertifizierungen wie OSCP, OSWE oder GWAPT
• Analytisches Denken, Priorisierungsfähigkeit, Lernbereitschaft und Offenheit gegenüber neuen Sicherheitsbedrohungen und Technologien
• Moderations- und Beratungskompetenz, Team- und Kommunikationsfähigkeit sowie die Fähigkeit, Sicherheitsanforderungen adressatengerecht in deutscher und englischer Sprache auf C1-Niveau zu vermitteln