Senior DevSecOps Engineer (Supply Chain Security) | bis 31.12.27 | Remote

Randstad Deutschland; Bonn; Remote; EUR 90,000 - 130,000; Full time

Job summary

Randstad Deutschland sucht für unseren Kunden einen Senior DevSecOps Engineer (Supply Chain Security) mit Expertise in CI/CD-Sicherheit und Governance. Die Tätigkeit erfolgt 100% remote, Laufzeit projektbasiert, Vollzeit.

Zu den Aufgaben gehören Aufbau sicherer CI/CD-Ketten, Policy as Code, Secrets Management, SBOM- und Signaturprozesse sowie Tools wie Vault, Trivy, Cosign und Argo CD. Voraussetzungen: SÜ2, deutsche Staatsangehörigkeit.

Qualifications

• Bereitschaft für eine erweiterte Sicherheitsüberprüfung (SÜ2).
• Deutsche Staatsangehörigkeit.
• Kein Besetzungsverbot gemäß 13 Absatz 1 Nummer 17 SÜG2.
• Erfahrung im Aufbau sicherer CI/CD-Ketten.

Responsibilities

• Aufbau und eigenständige Umsetzung im Pilot sicherer CI/CD-Ketten im Eigenbetrieb für abgetrennte Zonen: gespiegelte Bezugsquellen, kontrollierte Artefaktübergabe.
• Supply-Chain-Security und Policy as Code.
• Mehrjährige eigene Arbeit an CI/CD-Ketten in eigenbetriebener Installation.
• Aufbau/Betrieb gespiegelter Paket- und Image-Quellen (Container, OS- und Sprachpakete).
• Kontrollierte Artefaktübergabe über Zonen- und Netzgrenzen (Prüfung, Quarantäne, Freigabe, Datendioden, Übergabegateways).
• Signatur- und Herkunftsprüfung ohne Online-Dienste (eigener Vertrauensanker, eigene Signierung).
• Secrets Management inkl. Rotation und Ablösung hinterlegter Zugangsdaten.
• Software-Supply-Chain-Security: SBOM nach CycloneDX oder SPDX.
• Automatisierte Prüfungen (SAST, Dependency-/Image-Scanning, IaC-Scanning) mit Befundtriage und Schwellenwerten.
• Policy as Code
• Build-Ketten (GitLab CI, Jenkins, Tekton)
• Registry/Artefaktverwaltung (Harbor, Nexus, Artifactory, Zot, Pulp)
• Praxiserfahrung mit Secrets-Tools: Vault, OpenBao, External Secrets Operator, SOPS
• Praxiserfahrung mit Prüfwerkzeugen: Semgrep, SonarQube, Grype, Checkov, KICS
• Policy Enforcement (OPA/Gatekeeper, Kyverno, Conftest)
• GitOps (Argo CD, Flux)

Skills

CI/CD-Ketten

Sicherheitsüberprüfung

Secrets-Management

Policy as Code

SBOM

Signaturprüfung

Provenance-Überprüfung

Dependency-Scanning

Paket-Quellenverwaltung

Tools

Vault

SOPS

Syft

Trivy

Cosign

Notation

in-toto

Semgrep

SonarQube

Grype

Checkov

KICS

OPA/Gatekeeper

Kyverno

Conftest

Argo CD

Flux

Job description

Für unseren Kunden suchen wir aktuell einen Senior DevSecOps Engineer (Supply Chain Security) (m/w/d).

• Rahmendaten:
• Laufzeit: 02.11.2026 - 31.12.2027
• Auslastung: 100% / Vollzeit (2.500 Stunden geplant)
• Einsatzort: 100% remote
• Branche: Public
• Aufgrund der Sicherheitsanforderungen des Auftraggebers werden folgende Voraussetzungen genannt:
• Bereitschaft für eine erweiterte Sicherheitsüberprüfung (SÜ2)
• Deutsche Staatsangehörigkeit
• Keine Besetzung aus der Staatenliste im Sinne von
• 13 Absatz 1 Nummer 17 SÜG2
• Aufgabenbeschreibung:
• Aufbau und eigenständige Umsetzung im Pilot sicherer CI/CD-Ketten im Eigenbetrieb für abgetrennte Zonen: gespiegelte Bezugsquellen, kontrollierte Artefaktübergabe.
• Supply-Chain-Security und Policy as Code.
• Mehrjährige eigene Arbeit an CI/CD-Ketten in eigenbetriebener Installation
• Aufbau/Betrieb gespiegelter Paket- und Image-Quellen (Container, OS- und Sprachpakete)
• Kontrollierte Artefaktübergabe über Zonen- und Netzgrenzen (Prüfung, Quarantäne, Freigabe, Datendioden, Übergabegateways)
• Signatur- und Herkunftsprüfung ohne Online-Dienste (eigener Vertrauensanker, eigene Signierung)
• Secrets Management inkl. Rotation und Ablösung hinterlegter Zugangsdaten
• Software-Supply-Chain-Security: Abhängigkeitsanalyse, SBOM nach CycloneDX oder SPDX
• Automatisierte Prüfungen (SAST, Dependency-/Image-Scanning, IaC-Scanning) mit Befundtriage und Schwellenwerten
• Policy as Code
• Build-Ketten (GitLab CI, Jenkins, Tekton)
• Registry/Artefaktverwaltung (Harbor, Nexus, Artifactory, Zot, Pulp)
• Praxiserfahrung mit möglichst vielen der folgenden Secrets-Tools: (Vault, OpenBao, External Secrets Operator, SOPS); SBOM/Signierung/Provenance (Syft, Trivy, Dependency-Track, Cosign, Notation, in-toto)
• Praxiserfahrung mit möglichst vielen der folgenden Prüfwerkzeuge: (Semgrep, SonarQube, Grype, Checkov, KICS); Policy Enforcement (OPA/Gatekeeper, Kyverno, Conftest)
• GitOps (Argo CD, Flux)