Fachliche Leitung Cybersicherheit

Arbeitszeit: Nicht angegeben
Erfahrung: Erforderlich sind Senior-Security-Praxis in reguliertem Fintech, Payments, SaaS oder ähnlich vertrauenssensiblen Umfeldern und eigene Programmverantwortung für ISO 27001 oder vergleichbare Assurance.
Vergütung: 65.000 – 95.000 € / Jahr

Die Rolle in Kürze

Die Position schützt Kunden- und Unternehmensdaten, unterstützt zuverlässige Zahlungs- und Benefit-Dienste und sichert ISO-27001- sowie vertragliche Verpflichtungen. Sie verantwortet zunächst als praktisch arbeitende Fachrolle ohne Personalführung die Cybersicherheitsfunktion und berichtet an die technische Geschäftsleitung. Die Zusammenarbeit umfasst technische Teams, Produkt, IT, Datenschutz, Recht/Compliance, Einkauf, Finanzen, Personal, kundennahe Teams und externe Prüf- und Sicherheitsdienstleister. Umsetzung, Behebung, Serviceverantwortung und Wiederherstellung bleiben bei den systemverantwortlichen Teams; wesentliche Restrisiken und geschäftliche Abwägungen entscheidet abschließend das Management.

Deine Aufgaben

Die Rolle bündelt wesentliche Sicherheitsrisiken, Befunde, Ausnahmen, kritische Lieferanten, Sicherheitsmaßnahmen, Werkzeuge, Ausgaben und personelle Abhängigkeiten. Sie veröffentlicht eine nach Risiken priorisierte 12-Monats-Roadmap und pflegt Backlog, Betriebskennzahlen, Werkzeuge und gezielte externe Fachunterstützung.
Innerhalb von 90 Tagen sollen 100 % der wesentlichen Sicherheitsrisiken eine verantwortliche Person, Behandlungsentscheidung, Fälligkeit und monatliche Überprüfung haben. Dazu etabliert die Rolle ein monatliches Dashboard und eine vierteljährliche Risikoprüfung durch das Management.
Die Rolle pflegt ISMS- und Cybersicherheitsunterlagen samt Informationssicherheitsrichtlinie und Cyberrisikomanagementplan. Nach 90 Tagen sollen alle erforderlichen ISMS-, Cybersecurity- und zugehörigen Datenschutzunterlagen Verantwortliche, Prüfturnus und aktuelle genehmigte Fassungen haben. Datenschutz- und DSGVO-Unterlagen stimmt sie mit Datenschutzbeauftragten und Recht/Compliance ab; die Verantwortung wird je Dokument vereinbart.
Die Rolle klärt Eskalationswege, Risikoschwellen, Kontrollverantwortung, Nachweisanforderungen, Schwachstellen-SLAs und Ausnahmeverfahren. Innerhalb von 90 Tagen sollen mindestens eine Risikoübung auf Führungsebene und eine technische Kontrollvalidierung abgeschlossen sein; die Validierung umfasst einen kritischen Zahlungspartner, und mindestens 90 % der daraus entstehenden Maßnahmen sollen fristgerecht erledigt sein.
Die Rolle steuert die Nachverfolgung von Schwachstellen und Sicherheitsausnahmen. Innerhalb von 90 Tagen sollen mindestens 95 % der kritischen oder hoch eingestuften Schwachstellen innerhalb der richtliniengemäßen SLA behoben sein; alle Ausnahmen müssen formell genehmigt und zeitlich befristet sein.
Die Rolle etabliert risikobasierte Prüfschritte für risikoreiche Produkteinführungen, Architekturänderungen und kritische Anbieter sowie wiederholbare Threat-Modelling-Muster. Innerhalb von 90 Tagen sollen 100 % der definierten Hochrisikoänderungen vor ihrer Einführung risikobasiert geprüft werden.
Die Rolle stuft kritische Drittanbieter nach Risiko ein und verfolgt wesentliche vertragliche und technische Lücken bis zur Schließung. Innerhalb von 90 Tagen sollen 100 % der kritischen Lieferanten eingestuft und die risikoreichsten Lieferanten bewertet sein.
Die Rolle unterstützt Engineering, Produkt, IT, Recht/Compliance, Datenschutz und Führung durch Priorisierung, fachliche Prüfung, wiederverwendbare Muster und direkte technische Hilfe. Sie reduziert Abhängigkeiten von einzelnen technischen Führungskräften und verbindet technische Nachweise mit geschäftlichen Risikoentscheidungen, ohne die Verantwortung der systemführenden Teams zu übernehmen; wesentliche Restrisiken und größere geschäftliche Abwägungen entscheidet weiterhin das Management.

Das solltest du mitbringen

Erforderlich

Erforderlich ist fundierte praktische Security-Erfahrung auf Senior-Niveau in einem regulierten Fintech-, Zahlungsverkehrs- oder SaaS-Umfeld oder einem ähnlich vertrauenssensiblen Umfeld.
Erforderlich sind selbst durchgeführte Sicherheitsuntersuchungen, die Optimierung von Erkennungsregeln, die Bewertung von Cloud- und Identitätskontrollen, Architekturprüfungen und die Validierung von Schwachstellenbehebungen.
Erforderlich ist ausgeprägtes Urteilsvermögen in Cloud-, Anwendungs- und Produktsicherheit, IAM, Erkennung und Reaktion, Schwachstellenmanagement und Drittparteirisiken.
Erforderlich ist Erfahrung mit eigener Verantwortung für ISO 27001 oder vergleichbare Assurance bei konsequenter Ergebnisorientierung des Programms.
Erforderlich ist die Fähigkeit, in einem wachsenden Unternehmen ein angemessenes Sicherheitsprogramm aufzubauen; reine Tätigkeit innerhalb einer ausgereiften Konzernfunktion reicht dafür nicht aus.
Erforderlich sind Glaubwürdigkeit gegenüber technischen Fachkräften und die Fähigkeit, technische Einzelheiten in klare geschäftliche Empfehlungen zu übersetzen.
Erforderlich sind fließende, beruflich einsetzbare Englischkenntnisse.
Erforderlich sind sicheres Arbeiten zwischen technischen Untersuchungen, Cloud- und Produktsicherheit, Risiko und Assurance, Partnermanagement und Führungskommunikation sowie Einfluss ohne Übernahme fremder Verantwortung. Dazu gehören konsequente Priorisierung bei begrenzten eigenen Kapazitäten und hilfreiche Sicherheitsleitplanken, ohne zum blockierenden Kontrollpunkt zu werden.
Erwartet werden Pragmatismus, Ruhe unter Druck, Neugier, evidenzbasiertes Urteilen und Handlungsorientierung sowie konstruktives Hinterfragen und sachliche Risikokommunikation ohne Angstmache. Dazu gehören eigene praktische Arbeit, wirksame Standards, Automatisierung und Zusammenarbeit sowie Verständnis geschäftlicher Abwägungen, klare Empfehlungen und angemessene Eskalation wesentlicher Risiken statt des Strebens nach umfassender Kontrolle.
Erwartet werden fachliche Sicherheitstiefe, verlässliche Verantwortungsübernahme und konsequente Nachverfolgung bei klarer Verantwortung der system- und entscheidungsführenden Teams. Die Rolle soll durch Priorisierung, fachliches Hinterfragen, wiederverwendbare Muster und direkte technische Unterstützung helfen, Abhängigkeiten von einzelnen technischen Führungskräften reduzieren und technische Nachweise mit geschäftlichen Risikoentscheidungen verbinden.
Erwartet werden ein eigener Standpunkt, gründliches Faktenverständnis und die Fähigkeit, unklare Situationen zu strukturieren. Rückfragen, das Zusammenfassen des Verstandenen und ausdrückliche Entscheidungen sind wichtig; geschätzt werden die Klärung gemeinsamer Ziele und Prioritäten, das Verdichten von Kontext zu Entscheidungen und nächsten Schritten sowie konstruktives Hinterfragen und das Schärfen von Problemformulierungen.
Erwartet werden ein wechselseitiger Feedbackdialog und Rückfragen, wenn Rückmeldungen nicht ausreichend klar oder umsetzbar sind.

Von Vorteil

Portugiesisch-, Spanisch- oder Italienischkenntnisse sind von Vorteil.
Erfahrung mit Zahlungsabwicklern, Kartenökosystemen, regulierten Partnern oder länderübergreifendem Fintech-Betrieb ist von Vorteil.
Erfahrung mit dem wirksamen Einsatz verwalteter Sicherheitsdienste und spezialisierter Anbieter ist von Vorteil.
Erfahrung mit Sicherheitsautomatisierung und der Sammlung von Nachweisen ist von Vorteil.
Erfahrung mit Risikoübungen auf Führungsebene und Resilienz-Szenarien für Lieferanten ist von Vorteil.
Einschlägige Zertifizierungen wie CISSP, CISM, CCSP, OSCP oder ISO 27001 Lead Implementer/Auditor sind von Vorteil; praktische Nachweise wiegen stärker als Zertifikate.

Weitere Angaben

Als zentrale Arbeitsmittel sind AWS- und/oder GCP-Sicherheitswerkzeuge, SIEM, Erkennung und Reaktion, EDR/MDM, Identitäts-, SSO-, MFA- und privilegierte Zugriffsverwaltung vorgesehen. Hinzu kommen Schwachstellenscans, Anwendungssicherheitstests, Penetrationstest-Abläufe, Jira/Notion oder gleichwertige Werkzeuge zur Risiko-, Behebungs-, Nachweis- und Roadmap-Verfolgung sowie Skripting und Automatisierung für Kontrollbetrieb und Nachweissammlung.

So ist Remote hier geregelt

Die Tätigkeit erfolgt remote und ist auf Europa beschränkt.

Das wird angeboten

Das jährliche Bruttogrundgehalt beträgt 65.000 bis 95.000 Euro; Bonuszahlungen und Provisionen sind nicht vorgesehen.
Zum Angebot gehören Aktienoptionen im Rahmen eines Beteiligungsprogramms und ein unbefristeter Vertrag.
Die Rolle bietet eigenständiges Arbeiten, Zugang zur Führungsebene und Unterstützung bei notwendigen Risikoeskalationen.

So läuft die Bewerbung

Für die Bewerbung genügt ein berufliches Profil oder ein Lebenslauf; ein Anschreiben ist nicht erforderlich. Kurze relevante Fragen können hinzukommen, und der gesamte Zeitaufwand beträgt ungefähr 3–5 Stunden.
Zunächst prüfen Personalteam und einstellende Führungskraft die Unterlagen anhand der Pflichtqualifikationen; eine Rückmeldung erfolgt innerhalb von 7 Arbeitstagen. Die Bewertung berücksichtigt nachweisbare Ergebnisse und nutzt strukturierte Kriterien, mehrere Bewertende und überwiegend anonymisierte Vorauswahl bis zur Interviewphase.
Ein asynchroner Fragebogen mit Auswahlfragen und kurzen Antworten erfasst Sprachen, Werkzeuge und situationsbezogenes Urteilsvermögen und dient der Einordnung des Erfahrungsniveaus. Als Alternative ist ein kurzes Gespräch möglich.
Das Gespräch mit der einstellenden Führungskraft dauert 45–60 Minuten und behandelt Arbeitsergebnisse, Entscheidungen und Zusammenarbeit. Anschließend folgt ein verhaltensorientiertes Interview von ebenfalls 45–60 Minuten, bei dem ein bereitgestellter Fall oder ein eigenes Arbeitsbeispiel genutzt werden kann.
Eine Fallaufgabe oder Arbeitsprobe dauert höchstens 90 Minuten; dafür kann ein bereitgestellter Fall oder ein eigenes Beispiel wie eine Präsentation, ein Pull Request, eine Analyse oder ein Ablaufhandbuch verwendet werden. Bewertet werden Klarheit, Entscheidungsqualität, die Berücksichtigung beteiligter Gruppen und Ethik.
Die Besprechung der Fallaufgabe mit Teamgespräch und Fragen dauert 20–30 Minuten. Das Abschlussgespräch mit der Geschäftsleitung über Werte, Strategie und Entwicklung dauert 30–45 Minuten; optional können asynchron Referenzen von 2–3 Personen eingeholt werden, die die jüngste Arbeit kennen.
Jede Bewerbung wird von einem Menschen geprüft; KI trifft weder Einstellungs- noch Ablehnungsentscheidungen. Werkzeuge können zur Anonymisierung, Aufzeichnung und Strukturierung von Gesprächsnotizen oder Transkripten eingesetzt werden; Aufzeichnungen werden transparent gemacht und erfordern, soweit vorgeschrieben, eine Einwilligung.
Die Entscheidung erfolgt innerhalb von 4 Wochen nach Bewerbungseingang; bei längerem Verlauf gibt es wöchentliche Zwischenstände. Interviews finden zwischen 18:00 und 20:00 Uhr CET statt, mit Flexibilität innerhalb Europas. Ab der Fallaufgabe erfolgt unabhängig vom Ergebnis schriftliches oder mündliches Feedback zu Stärken und Verbesserungsmöglichkeiten.

Veröffentlicht: 22.09.2026 · Quelle geprüft: 17.10.2026.

Die Angaben sind für RemoteFruit einheitlich aufbereitet. Maßgeblich bleibt die Originalanzeige. RemoteFruit steht in keiner Partnerschaft mit dem ausschreibenden Unternehmen.