Security Engineering Lead (m/w/d)

Shopware; Schöppingen; Hybride; EUR 120 000 - 180 000; Plein temps

Avantages offerts par ce poste

Flexible Arbeitszeiten

Full-Remote-Verträge

Betriebliche Altersvorsorge

Gute Arbeitsausstattung

Résumé du poste

Shopware sucht eine erfahrene Product-Security-Führung, die eine risikobasierte Roadmap für Commerce Core entwickelt und eine ausgewogene Balance von Prävention, Erkennung und Reaktion sicherstellt.

Sie verantworten Eingang und Triaging von Findings, koordinieren mit Domänenverantwortlichen, InfoSec und Code Ownern, erstellen Threat Models, prüfen risikoreiche Designs und implementieren robuste Sicherheitskontrollen.

Qualifications

• Fundierte praktische Erfahrung in der Softwareentwicklung mit nachweisbarer Sicherheitsverbesserung.
• Praxis in Anwendungssicherheit, inklusive Authentifizierung, Autorisierung, API‑Sicherheit.
• Erfahrung in der Untersuchung von Schwachstellenmeldungen und Priorisierung von Behebungen.
• Führungserfahrung oder Teamleitung ist wünschenswert; Coaching ist wichtig.

Responsabilités

• Entwickle und leite eine risikobasierte Product‑Security‑Roadmap für Commerce Core und weitere Bereiche.
• Verantworte das Eingang- und Triagemodell von Findings und koordiniere Reaktionsziele.
• Erstelle Threat Models, prüfe Designs und implementiere wirksame Sicherheitskontrollen.
• Etabliere wiederholbare Sicherheitsprozesse wie Reviews, Tests und Code‑Scanning.
• Koordiniere sicherheitsübergreifende Arbeiten mit Engineering Leads, InfoSec und QA.
• Leite technische Aufarbeitung nach Vorfällen und Releases; klare Verantwortlichkeiten setzen.

Connaissances

Sicherheitsanalyse

Threat Modeling

SAST

Dependency Scanning

Fuzzing

Teamführung

Outils

SAST

Dependency‑Scanning

Fuzzing

Description du poste

Jobbeschreibung

Shopware ist ein führendes E-Commerce-System, das es Unternehmen weltweit ermöglicht, im digitalen Handel schnell und effizient zu skalieren. Als zukunftsweisende Open-Source-Lösung wird Shopware bereits von einigen der größten europäischen Marken, Einzelhändlern und Herstellern im B2C- und B2B-Bereich eingesetzt.

Das sind deine Aufgaben:

• Entwickle und leite eine risikobasierte Product-Security-Roadmap für Commerce Core, Services und weitere Produktbereiche. Sorge für eine ausgewogene Gewichtung von Prävention, Erkennung, Incident-Bereitschaft und Behebung.


• Verantworte das Modell für Eingang und Triage von Product-Security-Findings aus externen Meldungen, Bug-Bounty-Programmen, Penetrationstests, Dependency-Sicherheitshinweisen, internen Entdeckungen und Nacharbeiten zu Sicherheitsvorfällen. Vereinbare Schweregrade und Reaktionsziele mit den Domänenverantwortlichen und InfoSec, leite jeden Vorgang an den zuständigen Code Owner weiter und mache die laufenden Reaktionsfristen sichtbar.


• Arbeite selbst aktiv mit: Erstelle Threat Models für sicherheitskritische Änderungen, prüfe risikoreiche Designs, untersuche Schwachstellen und implementiere besonders wirksame Sicherheitskontrollen in gemeinsam genutzten Produktkomponenten oder entwickle sie gemeinsam mit anderen.


• Etabliere wiederholbare Vorgehensweisen für sicheres Design, Sicherheitsreviews, Tests von Missbrauchsszenarien, Dependency- und Code-Scanning, die Offenlegung von Schwachstellen und Incident-Bereitschaft.


• Koordiniere produktübergreifende Sicherheitsarbeit über eine vereinbarte Dokumentation: GHSA für Angaben zur Offenlegung, ein privates GitHub-Issue oder Epic für Fixes und Backports sowie eine Confluence-Seite zum Sicherheitsvorfall oder Release für Rollen, Entscheidungen, QA-Status und Kommunikationsbereitschaft. Nutze Slack für die operative Abstimmung und verlinke getroffene Entscheidungen zurück in die Dokumentation.


• Weise gemeinsam mit den Engineering Leads jedem bestätigten Problem eine technisch verantwortliche Person und einen Fälligkeitstermin zu. Escaliere blockierte Behebungen und verbleibende Risiken über die etablierten Entscheidungswege von Product, InfoSec und der Führungsebene.


• Verbessere die Sicherheitsabdeckung für unterstützte Versionen und zugehörige Produkte, darunter das Security Plugin, Commercial-Komponenten, Services sowie relevante App- und Extension-Schnittstellen.


• Leite die technische Aufarbeitung nach Sicherheitsvorfällen und Releases. Überführe Ursachen in konkrete Präventionsmaßnahmen mit klarer Verantwortung, Tests, Tools oder Designänderungen und verfolge, ob diese Änderungen Wiederholungen reduzieren.


• Fördere und entwickle die beiden Engineers weiter, stelle die Abdeckung von Commerce Core und Services sicher und mache die Arbeit des Teams in der Produktplanung sichtbar.


• Arbeite mit InfoSec, Product Operations, Quality Operations, DevRel, Legal, Customer Support und der Product-Leitung an Entscheidungen zu Sicherheitsrichtlinien, Reaktionen, Releases und Kommunikation.

Das bringst du mit:

• Fundierte praktische Erfahrung in der Softwareentwicklung und nachweisbare Erfolge bei der Verbesserung der Sicherheit produktiv eingesetzter Produkte.


• Praktische Kenntnisse in der Anwendungssicherheit, insbesondere zu Authentifizierung, Autorisierung, Zugriffskontrolle, Datentrennung, API-Sicherheit, Umgang mit Zugangsdaten, sicheren Integrationen und gängigen Schwachstellenklassen.


• Erfahrung darin, Schwachstellenmeldungen zu untersuchen und daraus einen getesteten und priorisierten Behebungsplan für mehrere Teams oder unterstützte Versionen zu entwickeln.


• Die Fähigkeit, direkt mit Code und Tests zu arbeiten und Sicherheitstools wie SAST, Dependency Scanning, Fuzzing oder Tests für Missbrauchsszenarien einzusetzen und zu verbessern.


• Gutes Urteilsvermögen bei der Einschätzung von Ausnutzbarkeit, Auswirkungen auf Kundinnen und Kunden, Schweregrad, koordinierter Offenlegung und Incident Response.


• Klare technische Dokumentation und souveräne, ruhige Zusammenarbeit mit verschiedenen Teams bei dringenden und unklaren Aufgaben.


• Erfahrung darin, Engineers zu fördern oder ein kleines technisches Team zu leiten. Formale Personalverantwortung ist hilfreich; technische Führung und Coaching sind wesentlich.


• Kenntnisse von Open-Source-Produkten, Extension-Ökosystemen, Cloud-Services und Release-Modellen mit mehreren unterstützten Versionen sind von Vorteil.

Woran du deinen Erfolg erkennst:

• Für Product-Security-Findings gibt es einen einheitlichen Eingang, eine namentlich benannte technische Verantwortung, einen Schweregrad, ein Reaktionsziel und einen sichtbaren Abschlussnachweis.


• Teams können nachvollziehen, wer betroffen ist, was behoben wird und was getestet wurde, ohne den Status aus Slack rekonstruieren zu müssen.


• Sicherheitskritische Änderungen erhalten rechtzeitig fachliche Unterstützung. Wiederkehrende Schwachstellenklassen führen zu konkreten Kontrollen und Regressionstests.


• Sicherheits-Releases haben einen vereinbarten Umfang, eine zentrale Koordinationsdokumentation, klar benannte technische und QA-Verantwortliche sowie verifizierte Release-Artefakte.


• Sicherheitsarbeit ist mit klaren Abwägungen und Eskalationswegen in der Planung vertreten, wenn sie mit bereits zugesagter Produktarbeit konkurriert.


• Entwicklerinnen und Entwickler, Product Operations, Quality, InfoSec und DevRel wissen, wo Product Security Engineering die Führung übernimmt und wofür die jeweiligen Partner verantwortlich bleiben.

Das bieten wir dir:

• Unternehmenskultur: Offene Kultur, flache Hierarchien, Eigeninitiative wird gefördert.


• Arbeitsverträge: Unbefristete Anstellungen bieten langfristige Sicherheit.


• Flexibilität: Flexible Arbeitszeiten und Optionen für mobiles Arbeiten und Full-Remote-Verträge.


• Ausstattung: Freie Wahl der Arbeits-Hardware.


• Onboarding: Gut strukturiertes Onboarding mit Unterstützung durch einen persönlichen \"Buddy\".


• Arbeitsumfeld: Inspirierendes Umfeld mit engagierten Kollegen und einer dynamischen Gemeinschaft.


• Entwicklungsmöglichkeiten: Vielfältige Chancen für persönliches Wachstum und Entwicklung.


• Zusatzleistungen: Attraktive Benefits wie betriebliche Altersvorsorge, Gesundheitsprogramme und regelmäßige Teamevents.


• und vieles mehr!

Einen detaillierten Einblick bekommst du auf unserer Karriereseite .

Deine Ansprechperson für diese Stelle ist Josephine Scheffler und steht dir bei Fragen gerne zur Verfügung!

Der Schutz deiner persönlichen Daten hat für uns oberste Priorität. Unsere Bewerberinformationen findest du hier .