Security Engineer – Sicherheit von Drittsoftware - Specialist IT Security Management (m/w/d)

Deutsche Pfandbriefbank AG; Garching bei München; On-site; EUR 70,000 - 110,000; Full time

Benefits offered by this job

Bike Leasing

guudcard Mitarbeitervorteils card

Kinderbetreuung

Job summary

Die Deutsche Pfandbriefbank AG sucht am Standort Garching bei München einen Security Engineer – Third-Party Software Security im Spezialgebiet IT-Security-Management. Sie evaluieren Drittanbietersoftware, Open-Source-Komponenten und Container-Images, unterstützen das Vulnerability-Management und dokumentieren Befunde für Entscheidungen.

Sie arbeiten eng mit Entwicklerteams zusammen, nutzen Tools wie Tenable, Defender, Aikido Security und Nexus Repository Firewall und helfen,

Qualifications

• Hands-on-Erfahrung in IT-Sicherheit, Softwareentwicklung oder IT-Infrastruktur ist wünschenswert.
• Kein spezieller Abschluss oder formale Qualifikation erforderlich; Neugier und Lernbereitschaft zählen.
• Grundkenntnisse in SDLC, OWASP Top 10, Abhängigkeitsmanagement oder CI/CD sind hilfreich.

Responsibilities

• Bewertung von Third-Party-Software, kommerziellen Produkten, Open-Source-Bibliotheken und Container-Images vor Einsatz.
• Unterstützung des Vulnerability-Management-Prozesses für Third-Party-Komponenten.
• Überprüfung von SBOMs, Abhängigkeiten und Software-Zusammensetzung; Diskussion von Versionen oder Alternativen.

Skills

Security fundamentals

Software security

IT-Infrastruktur

Englisch-Wort/Schriftlich

Deutschkenntnisse vorteilhaft

Education

Kein formaler Abschluss erforderlich

Tools

Tenable

Microsoft Defender

Aikido Security

Nexus Repository Firewall

Job description

Deutsche Pfandbriefbank AG (pbb) is an international specialized commercial bank with over 800 employees from 37 countries. We offer our customers a wide range of financing and investment solutions for the entire real estate value chain. Our goal is to contribute to a more sustainable world of real estate.

For our CIO/COO business area based in Garching near Munich, we are currently seeking to hire, with immediate effect, a

Security Engineer – Third-Party Software Security - Specialist IT Security Management (m/f/d)

This is a hands-on engineering role within Security Governance, with guidance from experienced colleagues and opportunities to develop your skills. You will help assess the security of third-party software, open-source components and packages used in software development and infrastructure, and contribute to practical controls and technical recommendations. The focus is software and component security—not supplier questionnaires, commercial vendor assessments or ownership of third-party risk management (TPRM).

Your responsibilities

• Help evaluate third-party software, commercial products, open-source libraries, packages and container images before introduction and throughout their use. Follow established assessment steps to review technical documentation, dependencies and security findings, and carry out targeted checks with guidance from experienced colleagues
• Support the technical vulnerability-management process for third-party components across software development and infrastructure engineering. Help identify and validate findings, track remediation and verify fixes using established procedures
• Review component provenance, software composition and dependency chains, including Software Bills of Materials (SBOMs) where available. Investigate known vulnerabilities and unsupported components, and discuss suitable versions or alternatives with the team
• Apply established security evaluation criteria, minimum technical requirements and software onboarding checks. Document findings to support approval decisions by accountable owners, and help maintain records of exceptions and compensating controls
• Use and help configure security tooling such as Tenable, Aikido Security, Microsoft Defender and Nexus Repository Firewall. Support the integration of component checks into development pipelines and package repositories
• Help validate findings and assess remediation priorities using exploitability, exposure, asset criticality and deployment context, with guidance on CVSS, EPSS and CISA KEV. Work with developers and infrastructure engineers on agreed fixes, escalating complex findings to experienced colleagues
• Support secure deployment and hardening reviews of third-party software in relevant Windows, Linux, network, VMware, Kubernetes, AWS or Microsoft Azure environments. Use checklists to review permissions, configuration and integration boundaries, with support where needed
• Assist with reviews of AI-related third-party software, packages and integrations, including data handling, permissions and external services. Check AI-assisted analysis with experienced colleagues and flag uncertain results
• Help automate repeatable assessment tasks, collect evidence and track remediation. Maintain clear technical records and contribute to reporting on findings, exceptions and remediation progress for Security Governance and audit stakeholders
• Work with software engineering, infrastructure, architecture and application owners to apply agreed security requirements during software development. Help prepare technical findings for TPRM and compliance colleagues when needed, without owning their supplier-risk processes

How to convince us

• Some hands-on experience in security, software development or IT infrastructure, gained through a role, internship, apprenticeship, studies or personal projects. A specific degree or formal qualification is not required; curiosity, practical foundations and willingness to learn matter most
• Basic understanding of software vulnerabilities and dependencies, with an interest in learning how to investigate findings and support remediation. You do not need to have owned a vulnerability-management process or meet a minimum number of years of experience
• Foundational knowledge of software development or IT infrastructure, and an interest in building skills across both. Familiarity with topics such as the SDLC, OWASP Top 10, dependency management, package repositories or CI/CD is useful. Exposure to Windows/Linux, networking, Active Directory, VMware, Kubernetes or cloud platforms is welcome; you do not need experience across every area. An interest in AI-enabled software and its security risks is a plus
• Initial exposure to vulnerability scanners, software composition analysis or repository controls is helpful. You will have the opportunity to learn tools such as Tenable, Microsoft Defender, Aikido Security and Nexus Repository Firewall. Experience with these specific tools or ServiceNow is not required
• Basic scripting skills and an interest in using APIs and automating repeatable tasks. You can explain what your scripts do and are willing to learn how to produce clear, reproducible results
• Willingness to learn how security requirements translate into technical checks and how to document findings, evidence and exceptions. Prior regulatory or IT compliance experience and certifications are welcome but not required
• A careful, analytical approach, willingness to ask questions and readiness to seek support when needed. You enjoy working with developers and infrastructure colleagues, follow through on agreed tasks and can explain your findings clearly
• Good written and spoken English (German a plus)
• Basic understanding of software permissions, secure settings and system hardening, with a willingness to learn how to apply benchmarks such as CIS. Prior penetration-testing or red-team experience is not required
• Only for holders of EU work permit

Our values

We live our values and look for the same mindset in our colleagues. Together, we are forward-looking, reliable and collaborative.

What we offer

Join a sustainability-minded culture with varied, challenging projects, room to shape your work and flexibility. There is more to look forward to:

• Attractive salary and benefits
• Bike leasing and Wellpass
• guudcard employee benefits card
• Childcare and meal subsidies
• Company pension scheme
  … and much more

work–life balance

• Flexible working hours and at least two days of home working
• 30 days of annual leave plus 5 flexitime days off
• Family support service for personal assistance
• A great location in Garching near Munich
• Underground rail connections and easy motorway access
• Staff restaurant and barista bar

Interested?

• Erste praktische Erfahrung in IT-Sicherheit, Softwareentwicklung oder IT-Infrastruktur – erworben im Beruf, durch ein Praktikum, eine Ausbildung, im Studium oder in eigenen Projekten. Ein bestimmter Studienabschluss oder eine formale Qualifikation ist nicht erforderlich; entscheidend sind Neugier, praktische Grundlagen und Lernbereitschaft
• Grundlegendes Verständnis von Softwareschwachstellen und Abhängigkeiten sowie Interesse daran, die Untersuchung von Befunden und die Unterstützung ihrer Behebung zu erlernen. Sie müssen weder einen Schwachstellenmanagementprozess verantwortet haben, noch eine Mindestanzahl an Berufsjahren mitbringen
• Grundkenntnisse in der Softwareentwicklung oder IT-Infrastruktur sowie Interesse daran, Ihre Fähigkeiten in beiden Bereichen auszubauen. Vertrautheit mit Themen wie dem Softwareentwicklungslebenszyklus (SDLC), den OWASP Top 10, Abhängigkeitsmanagement, Paket-Repositories oder CI/CD ist hilfreich. Erste Einblicke in Windows/Linux, Netzwerktechnik, Active Directory, VMware, Kubernetes oder Cloud-Plattformen sind willkommen; Sie müssen nicht in allen Bereichen Erfahrung mitbringen. Interesse an KI-gestützter Software und ihren Sicherheitsrisiken ist ein Plus
• Erste Berührungspunkte mit Schwachstellenscannern, Software Composition Analysis oder Repository-Kontrollen sind hilfreich. Sie haben die Möglichkeit, Werkzeuge wie Tenable, Microsoft Defender, Aikido Security und Nexus Repository Firewall kennenzulernen. Erfahrung mit diesen konkreten Werkzeugen oder ServiceNow ist nicht erforderlich
• Grundlegende Skripting-Kenntnisse und Interesse daran, APIs zu nutzen und wiederkehrende Aufgaben zu automatisieren. Sie können erklären, was Ihre Skripte tun, und möchten lernen, klare, reproduzierbare Ergebnisse zu erzielen
• Bereitschaft zu lernen, wie Sicherheitsanforderungen in technische Prüfungen übersetzt und Befunde, Nachweise und Ausnahmen dokumentiert werden. Vorerfahrung in Regulatorik oder IT-Compliance sowie Zertifizierungen sind willkommen, aber nicht erforderlich
• Eine sorgfältige analytische Herangehensweise, die Bereitschaft, Fragen zu stellen, und die Offenheit, bei Bedarf Unterstützung zu suchen. Sie arbeiten gern mit Kolleginnen und Kollegen aus Softwareentwicklung und Infrastruktur zusammen, erledigen vereinbarte Aufgaben zuverlässig und können Ihre Befunde verständlich erläutern
• Gute Englischkenntnisse in Wort und Schrift; Deutschkenntnisse sind ein Plus
• Grundlegendes Verständnis von Softwareberechtigungen, sicheren Einstellungen und Systemhärtung sowie die Bereitschaft zu lernen, wie Benchmarks wie CIS angewendet werden. Vorerfahrung mit Penetrationstests oder Red Teaming ist nicht erforderlich
• Bereits vorhandene EU-Arbeitserlaubnis