• Konzeption und Entwicklung einer AI Risk Engineer Anwendung zur automatisierten Risikobewertung ? Reduktion der Bewertungszeit um ca. 70 %
• Aufbau von Threat-Intelligence- und OSINT-Prozessen: automatisierte Erhebung, Analyse und Bewertung offener und halböffentlicher Quellen zur Identifikation von Bedrohungslagen und Angriffsvektoren
• AI-Pipeline mit Python, LangChain und RAG (FAISS) für Dokumentenanalyse, semantische Suche und automatisiertes Risiko-Scoring
• Integration von LLM-APIs (OpenAI, Anthropic Claude) für natürlichsprachliche Risikoberichte und Handlungsempfehlungen
• Full-Stack-Entwicklung mit Python, FastAPI und Cloud Deployment (AWS); MLflow für Experiment Tracking

• Penetrationstests und Schwachstellenscans für IT-Infrastrukturen, Web- und Client-Server-Systeme (Switches, Router, LAN/WAN)
• Security-Testing von iOS-/Android-Applikationen; Prüfung von Härtung, Baseline-Konfigurationen und Konfigurations-Compliance
• Standardkonforme Durchführung nach OWASP, BSI IT-Grundschutz, CIS Benchmarks und NIST SP 800-115
• Erstellung auditfähiger technischer Berichte und Management-Reporting; Nachverfolgung von Findings in Jira/Confluence

• Anforderungsmanagement für Security-Lösungen im Bundeswehr-Umfeld: Erhebung, Priorisierung und Ableitung technischer Spezifikationen nach Security by Design
• Evaluierung und Konzeption von KI-/AI-Technologien für den Einsatz im Security Operations Center (SOC) und SIEM-Umfeld
• Prüfung und Bewertung von BSI-Sicherheitskonzepten (SiKo) auf Vollständigkeit, Umsetzbarkeit und regulatorische Konformität
• Erarbeitung von Konzepten inkl. Härtung, Baseline-Konfigurationen und Secure Architecture; fachliche Begleitung der Umsetzung

• Interne Audits zur ISO 27001-Konformität mit Fokus auf KRITISInfrastrukturen, Gematik-kompatible Prozesse und Audit Readiness
• Audit von Incident-Response-Playbooks, Notfallplänen und technischen Handbüchern; Prüfung des Statement of Applicability (SoA)
• Analyse der Telematik-Infrastruktur und Informationsverbünde gemäß BSI IT-Grundschutz-Kompendium

• Beratung zu Informationssicherheitsstrategie, Security Governance, KRITIS- und NIS2-Anforderungen für behördliche IKT-Infrastrukturen
• Erstellung und Qualitätssicherung von Sicherheitskonzepten (SiKo) nach BSI IT-Grundschutz inkl. Strukturanalyse, Schutzbedarfsfeststellung und Modellierung
• Aufbau Security Incident Management inkl. Eskalationspfaden, Klassifizierung von Sicherheitsvorfällen und CVEManagement; Verzahnung mit SIEM/SOC
• Notfallmanagement/BCM nach BSI-Standard 200-4: BIA, Notfallpläne, Wiederanlauf- und Recovery-Prozeduren (RTO/RPO)
• Risikoanalysen nach BSI-Standard 200-3, Threat Modelling und technische Schwachstellenanalysen; Datenschutzkonzepte nach DSGVO/BDSG
• Bewertung sicherheitsrelevanter Architekturen (Active Directory, PKI, TLS, Netzsegmentierung); EoL/EoS-Management technischer Altlasten
• Konzeption von Awareness- und Schulungsprogrammen; Einsatz von Verinice, Jira und Confluence für Maßnahmensteuerung und Auditvorbereitung

• Risk Engineering für internationale Konzerne: Bewertung von IT-Sicherheitsrisiken, Schutzarchitekturen und GRC-Compliance
• IT-Risikoanalysen nach BSI, ISO/IEC 27001 und NIST; Ableitung risikobasierter Maßnahmen und Management-Empfehlungen
• Unterstützung im Incident Response: Koordination sicherheitsrelevanter Vorfälle, Sofortmaßnahmen und Lessons Learned
• Qualitätssicherung von Sicherheitsrichtlinien und Nachweisdokumentation nach ISO/IEC 27001

Incident Response, Notfallmanagement & Sicherheitsrichtlinien
Rolle: IT-Sicherheitsberater & Risk Engineer
Kunde: Bauer AG

• Incident Response: Koordination sicherheitsrelevanter Vorfälle in OT-/ Produktionsumgebungen; Ableitung von Sofortmaßnahmen und Lessons Learned
• Aufbau Notfallmanagement nach BSI-Standard 200-4: BIA, Wiederanlaufpläne, Recovery-Prozeduren und Notfallvorsorge
• QS der Sicherheitsrichtlinien auf Vollständigkeit und Normkonformität; Realisierungspläne für identifizierte Maßnahmen

Kenntnisse:
BCM, BSI 200-4, ISO/IEC 27001, Incident Response, Notfallmanagement, Risk Engineering

• IT-Risikoanalysen nach BSI, ISO/IEC 27001 und NIST inkl. Risk Assessments für geschäftskritische Assets und OT-Umgebungen
• Kryptokonzepte, Rollen- und Berechtigungskonzepte (RBAC/IAM) sowie Identity-Management-Lösungen (Active Directory, PKI)
• Incident- und Schadensmanagement; Aufbau von Threat-Intelligence-Prozessen und Eskalationsmechanismen

Aufgaben:

• GAP-Analyse und ISMS-Reifegradbestimmung nach ISO/IEC 27001; Bewertung von Bedrohungen, Schwachstellen und Schutzmaßnahmen
• QS und Review von Sicherheitsrichtlinien auf Konsistenz, Normkonformität und Nachweisfähigkeit; Erstellung von Umsetzungsempfehlungen
• Bewertung der IT-Sicherheitsarchitektur und Abstimmung mit IT-Security- und Compliance-Teams; Management-Reporting

Kenntnisse:

GAP-Analyse, ISO/IEC 27001, NIST, Policy Review, QS Sicherheitsrichtlinien, Reifegradmodell

Risk Engineering Retail & PCI DSS-Compliance
Rolle: IT-Sicherheitsberater & Risk Engineer
Kunde: CECONOMY AG

Aufgaben:

• Risikobewertung für POS-Systeme, E-Commerce und Zahlungssysteme im Kontext von PCI DSS und DSGVO
• Bewertung von Schutzmaßnahmen für Kundendatenverarbeitung; Prüfung von Verschlüsselung (Data at Rest / in Transit)
• QS und Harmonisierung bestehender Sicherheitsrichtlinien; EoL/EoS-Bewer

Kenntnisse:
DSGVO, EoL/EoS, ISO/IEC 27001, PCI DSS, Policy Review, Verschlüsselung

• Implementierung von ISMS gemäß BSI IT-Grundschutz, ISO/IEC 27001, KRITIS und IT-Sicherheitsgesetz
• Durchführung von BSI IT-Grundschutz-Checks (Soll-Ist-Vergleich) und TISAX-Audits sowie Begleitung externer Prüfungen
• BIA, Risikoanalysen nach BSI-Standard 200-3 und Erstellung revisionssicherer Sicherheitsdokumentation
• Erstellung von Sicherheitsrichtlinien, Datenschutzkonzepten (DSGVO/BDSG) und Verfahrensanweisungen
• Schulung und Sensibilisierung von Mitarbeitenden zu Informationssicherheit und Datenschutz

ISMS-Aufbau, TISAX-Zertifizierung & Data Governance 
Rolle: Informationssicherheitsberater 
Kunde: Volkswagen AG

Aufgaben:

• Aufbau eines ISMS nach TISAX (VDA ISA) und ISO/IEC 27001 inkl. Scoping, Informationsverbund-Definition und Modellierung nach IT-Grundschutz-Kompendium
• GAP-Analysen auf Basis des VDA ISA-Katalogs; Ableitung priorisierter Maßnahmenpläne und Realisierungspläne
• Sicherheitsrichtlinien und Arbeitsanweisungen (Zugriffskontrolle, Prototypenschutz, Incident Management, Personalsicherheit)
• Aufbau von Data-Governance-Strukturen: Datenverantwortlichkeiten, Klassifizierungsschemata und Policy-Framework
• Vorbereitung und Begleitung des TISAX-Assessments (Level 2/3); Koordination der Dokumentensichtung mit externem Prüfdienstleister

Kenntnisse:
Data Governance, GAP-Analyse, ISMS, ISO/IEC 27001, IT-Grundschutz-Kompendium, TISAX, VDA ISA

ISMS-Aufbau & BSI-Zertifizierungsvorbereitung 
Rolle: Informationssicherheitsberater
Kunde: Fielmann AG

Aufgaben:

• ISMS-Aufbau nach BSI IT-Grundschutz (2001/2002) und ISO/IEC 27001; Definition des Informationsverbunds und Geltungsbereichs
• Strukturanalysen, Schutzbedarfsfeststellung, Modellierung und IT-Grundschutz-Checks (Soll-Ist-Vergleich)
• Risikoanalysen nach BSI-Standard 200-3; Erstellung von Realisierungsplänen und Maßnahmenverfolgung
• Auditvorbereitung und revisionssichere Nachweisdokumentation; BIA für kritische Geschäftsprozesse

Kenntnisse:
BDI 200-2, 200-3, Auditvorbereitung, BSI 200-1, BSI IT-Grundschutz, Informationsverbund, ISO/IEC 27001

• Sicherheitsaudits und Penetrationstests für Webanwendungen nach OWASP-Sicherheitsrichtlinien
• Beratung zur sicheren Webentwicklung (Security by Design, Secure Architecture)
• Implementierung von Web Application Firewalls (WAF), Systemhärtung und Schutzmechanismen