Product Security Engineer

IDM Innovative Digitale Medizin gGmbH; Hamburg; Hybrid; EUR 65,000 - 90,000; Full time

Benefits offered by this job

Nintendo Switch für Pause

Job summary

IDM Innovative Digitale Medizin gGmbH sucht eine Product Security Engineer, die Security-in-Produktsystemen vorantreibt. Du entwickelst Sicherheitsprozesse, modellierst Bedrohungen und sicherst Cloud- und Kubernetes-Umgebungen als Code ab.

Du arbeitest eng mit dem CTO zusammen, kommunizierst sicherheitsrelevante Anforderungen und unterstützt ISO 27001/BSI C5. Die Position ist hybrid in Hamburg, ab sofort zu besetzen.

Qualifications

• Starke Praxis in sicherer Softwareentwicklung und DevSecOps.
• Deutschkenntnisse auf B2+ Niveau für Zusammenarbeit und Dokumentation.
• Wohnort in Hamburg oder Umgebung; regelmäßige Büropräsenz.
• Erfahrung mit ISO 27001, BSI C5, Cloud-Sicherheit ist von Vorteil.

Responsibilities

• Sicherheit in ARGO/ORPHEUS integrieren: Design-Reviews, Threat Modeling, Code-Reviews.
• Sicherer Entwicklungsprozess verantworten: Scans, Secrets-Management, signierte Builds.
• Cloud- und Kubernetes-Infrastruktur sicher implementieren und als Code festhalten.
• Identität und Zugriff gestalten (Entra ID, SSO, OIDC, RBAC).
• Anforderungen aus BSI C5, ISO 27001 in Kontrollen übersetzen und Nachweise liefern.
• PENTESTs koordinieren und Befunde mit externen Partnern schließen.

Skills

Application Security

Threat Modeling

Kubernetes

Terraform

Entra ID

ISO 27001 / BSI C5

Tools

CI/CD Sicherheitsprozesse

Job description

Engineering·Hamburg

Product Security Engineer

• hybrid·Vollzeit

Security im Produkt bauen. AppSec, Cloud-Security, BSI C5 und ISO 27001.

Vergütung: 65.000–90.000 €

• je nach Berufserfahrung

Tech-Stack

• Application Security
• Threat Modeling
• Kubernetes
• Terraform
• Entra ID
• ISO 27001 / BSI C5

Standort

Hamburg, Deutschland (Hybrid)

Anstellung

Vollzeit

Berichtet an

CTO

Start

Ab sofort

Über IDM

Die IDM gGmbH ist ein gemeinnütziges Health-Tech-Unternehmen und baut KI-Produkte, die Ärztinnen und Ärzte täglich nutzen. Unsere Technologie läuft am Universitätsklinikum Hamburg-Eppendorf und in weiteren Universitätskliniken, Klinikgruppen und Praxen in Deutschland.

Wir entwickeln zwei Kernprodukte: ARGO, eine Plattform für die klinische Dokumentation auf FHIR-Basis, die die Bestandssysteme einer Klinik verbindet, und ORPHEUS, KI-Spracherkennung und Ambient-Dokumentation für die medizinische Dokumentation. Als agiles Startup bewegen wir uns schnell, shippen oft und geben unserem Team echte Verantwortung für die eigene Domäne.

Die Rolle

Du bist zuerst Engineer. Du baust in unserem Produktteam mit, und Security ist das, was dich am meisten interessiert. Du schreibst und reviewst Code, modellierst Bedrohungen, bevor ein Feature live geht, sicherst unsere Cloud- und Kubernetes-Umgebung als Code ab und baust mit uns das Sicherheitsregime auf, das Kliniken von uns erwarten (BSI C5, ISO 27001, Security für Medizinprodukte).

Das ist keine Admin- und keine Audit-Rolle. Du prägst, wie wir bauen, und wächst mit dem Thema: Security wird bei IDM gerade eines der größten Themen. Gesundheitsdaten verdienen die beste Security, und die soll von der ersten Zeile Code an im Produkt stecken.

Was dich erwartet

• Security in ARGO und ORPHEUS einbauen: Design-Reviews, Threat Modeling, Code-Reviews und das Beheben dessen, was du findest
• Den sicheren Entwicklungsprozess verantworten: Abhängigkeits- und Container-Scans, Umgang mit Secrets, signierte Builds in CI/CD
• Unsere Cloud- und Kubernetes-Infrastruktur härten, als Code
• Identität und Zugriff für unsere Produkte und unsere eigene Plattform gestalten (Entra ID, SSO, OIDC, RBAC)
• Die Anforderungen aus BSI C5, ISO 27001 und IEC 81001-5-1 in Kontrollen und Nachweise übersetzen, die wirklich greifen
• Pentests und Bug-Meldungen mit externen Partnern steuern und dafür sorgen, dass die Befunde geschlossen werden

Das bringst du mit

• Du baust selbst: Code, Infrastruktur als Code, Automatisierung
• Echtes Interesse an Security, sichtbar in deiner Arbeit, in eigenen Projekten, CTFs, Bug-Bounties oder Open Source
• Deutschkenntnisse (B2+) für die Zusammenarbeit mit klinischen Partnern und die Compliance-Dokumentation
• Wohnort in Hamburg oder Umgebung und Lust, regelmäßig im Büro zu sein

Starkes Plus

• Application Security, Threat Modeling, Pentesting
• Cloud- oder Kubernetes-Security, DevSecOps
• Erfahrung mit ISO 27001, BSI C5, NIS-2 oder Security für Medizinprodukte (MDR, IEC 81001-5-1)
• Bezug zur Health-IT (KIS, FHIR, gematik/TI)

Seniorität ist nicht der Punkt. Wenn du am Anfang deiner Laufbahn stehst und Security klar dein Thema ist, bewirb dich.

Was wir bieten

• Security-Arbeit, die jeden Tag Patientendaten in Kliniken schützt
• Echte Verantwortung: Du bestimmst mit, wie Security bei IDM funktioniert
• Ein kleines Team mit kurzen Wegen zum CTO und zur Geschäftsführung
• Hybrides Arbeiten, Büro in Hamburg-Eppendorf direkt am UKE
• Fortbildungsbudget und Konferenzteilnahmen
• Und ja, eine Nintendo Switch mit Mario Kart für die Pause

Klingt nach dir?