Ingenieur für Cloud-Sicherheit

Arbeitszeit: Die Tätigkeit erfordert Vollzeitverfügbarkeit mit 40 Stunden pro Woche.
Erfahrung: Erforderlich sind mindestens fünf Jahre praktische Sicherheitsarbeit in mehreren Disziplinen; fünf Jahre Entwicklung mit Sicherheitsanteilen reichen nicht aus.
Vergütung: Gehalt nicht angegeben

Die Rolle in Kürze

Die Rolle sichert KI-Suche, Empfehlungen, eine öffentliche Content-Anreicherungs-API und die zugrunde liegende Plattform für Reiseunternehmen. Dazu gehören Kundenkonsole, Lieferanten- und Geschäftskundenintegrationen, GDS-Anbindungen, Datenaufnahme, MCP-Server und mehrere LLM-Anbieter hinter einer internen Bibliothek. Das Go-Monorepository umfasst mindestens drei Dienste ohne Framework. Die Verantwortung verbindet operative Sicherheitsarbeit mit Teamaufbau und enger Zusammenarbeit mit Entwicklung, Unternehmenskunden und Auditoren; die technische Mitarbeit bleibt erhalten. Sicherheitsmaßnahmen unterstützen Unternehmensverpflichtungen, die ab Anfang 2027 wirksam werden.

Deine Aufgaben

Die Rolle prüft Code und Architektur von APIs, Backend-Diensten und internen Werkzeugen, validiert Schwachstellen durch gezielte Penetrationstests und erarbeitet mit der Entwicklung Ursachenbehebungen. Sie verantwortet Schwachstellenmanagement und beauftragte externe Penetrationstests.
Die Rolle gestaltet Angriffserkennung und Reaktion mit Alarmierung, Intrusion Detection, Vorfallprozessen und dem Eskalationsweg zur Rufbereitschaft.
Die Rolle härtet Cloud und Plattform durch Zugriffskontrollen, Netzwerkgrenzen, Geheimnisverwaltung sowie Container- und Deployment-Sicherheit. Sie integriert Sicherheit in den Entwicklungszyklus einschließlich CI/CD, Repositories und Abhängigkeiten.
Die Rolle sichert APIs durch Authentifizierung, Autorisierung, Mandantentrennung, begrenzte Token-Berechtigungen und Token-Lebenszyklen, Missbrauchsschutz, Unternehmens-SSO und nachvollziehbare Audit-Protokolle.
Die Rolle sichert KI-Systeme gegen Prompt Injection und kontrolliert Werkzeug- und Agentenberechtigungen, MCP-Server, Retrieval und Datenaufnahme. Dabei hält sie vertragliche Vorgaben zur Datenresidenz ein.
Die Rolle verantwortet interne Identitäts- und IT-Sicherheit mit SSO, MFA, privilegierten Zugriffen, Onboarding und Offboarding, Zugriffsprüfungen, MDM, Endgeräteschutz und SaaS-Zugängen.
Die Rolle unterstützt die Entwicklungsteams mit Bedrohungsmodellierung und Designprüfungen, damit sie sichere Lösungen eigenständig umsetzen können.
Die Rolle priorisiert Risiken, erstellt die Sicherheitsroadmap und entscheidet über Eigenentwicklung, Einkauf, Automatisierung und Zurückstellung. Sie baut das Team durch Einstellungen aus, vertritt Sicherheit gegenüber Unternehmenskunden und verantwortet das SOC-2-Programm mit Drata; Compliance bleibt ein Teilbereich der Arbeit.

Das solltest du mitbringen

Erforderlich

Erforderlich sind mindestens fünf Jahre praktische Sicherheitsarbeit in mehr als einer Disziplin sowie fundiertes Urteilsvermögen. Fünf Jahre Entwicklung mit gelegentlichen Sicherheitsaufgaben reichen nicht aus.
Erforderlich sind vertiefte Kenntnisse der Anwendungssicherheit und von Angriffen auf moderne Webanwendungen und APIs. Probleme müssen eigenständig durch Codeprüfung oder gezielte Penetrationstests validiert und gemeinsam mit der Entwicklung behoben werden können.
Erforderlich ist ein starkes Verständnis von Authentifizierung und Autorisierung einschließlich OAuth, OIDC, Sessions, Token-Verarbeitung, Zugriffskontrolle und typischen Ursachen von API-Sicherheitsverletzungen.
Erforderlich sind Cloud-Sicherheitsgrundlagen für Identitäten, Netzwerke, Workloads und Pipelines sowie deren Anwendung auf selbst verantwortete Produktionssysteme einer modernen Cloud-Plattform.
Erforderlich sind defensive neben offensiver Erfahrung, die Untersuchung realer Sicherheitsvorfälle und der Aufbau oder die Verbesserung von Erkennung und Alarmierung. Hinzu kommen Bedrohungsmodellierung und sichere Architektur für Cloud-, Container- und API-Systeme.
Erforderlich sind ein Entwicklungshintergrund, sicherer Umgang mit Code, die Prüfung von durch Menschen und KI erzeugtem Code sowie die Fähigkeit, benötigte Lösungen selbst zu bauen. Vorherige Go-Erfahrung ist von Vorteil, aber nicht erforderlich.
Erforderlich ist Erfahrung mit knappen Ressourcen aus Startups, kleinen Sicherheitsteams oder Beratungen. Dazu gehören Priorisierung nach Risiko, Geschäftsauswirkungen und verfügbaren Ressourcen sowie eigenständige Umsetzung.
Erforderlich ist der Wunsch, ein Sicherheitsteam aufzubauen, die Funktion auszubauen und später zu leiten. Frühere Führungserfahrung ist von Vorteil, aber nicht erforderlich; fachliche Tiefe hat Vorrang vor bereits entwickelter Führungserfahrung.
Erforderlich ist praxistaugliche Kompetenz mit Claude Code, die durch konkrete Beispiele belegt werden soll.
Erforderlich ist Urteilsvermögen beim Umsetzungstempo, um tägliche Auslieferungen durch Sicherheitsleitplanken zu unterstützen, ohne sie durch Freigabehürden aufzuhalten.
Erforderlich ist Erfahrung mit SOC 2, ISO 27001 oder anspruchsvollen Sicherheitsprüfungen durch Unternehmenskunden.
Erforderlich sind ausgezeichnete mündliche und schriftliche Englischkenntnisse für den Austausch mit Auditoren, Sicherheitsteams von Kunden und der eigenen Entwicklung.
Erforderlich sind eine europäische oder afrikanische Zeitzone innerhalb von ±3 Stunden zu CET und Vollzeitverfügbarkeit mit 40 Stunden pro Woche.

Von Vorteil

Wünschenswert sind Kenntnisse der KI- und LLM-Sicherheit einschließlich Prompt Injection, Agenten- und Werkzeugberechtigungen, Modellsicherheit und Retrieval-Pipelines.
Wünschenswert sind Erfahrung als erste oder eine der ersten Sicherheitsfachkräfte in einem Startup oder Scale-up sowie Erfahrung in der Führung oder im Mentoring von Sicherheitsingenieuren.
Wünschenswert sind selbst entwickelte Sicherheitswerkzeuge oder Automatisierungen.
Wünschenswert sind Kenntnisse in MDM, Endgeräteschutz und der Administration von Identitätsanbietern wie Google Workspace oder vergleichbaren Systemen.
Wünschenswert sind Kenntnisse von Werkzeugen zur Compliance-Automatisierung wie Drata, Vanta, Secureframe oder vergleichbaren Lösungen.
Sicherheitszertifizierungen werden als Qualifikationssignal geschätzt, sind aber keinesfalls erforderlich.
Wünschenswert sind vertiefte DSGVO-Kenntnisse und Berührungspunkte mit der Reisebranche oder GDS.
Deutschkenntnisse sind wünschenswert.

Weitere Angaben

Zum Profil passen ein ingenieurmäßiges Sicherheitsverständnis mit praktisch umgesetzten Korrekturen und Leitplanken sowie die Fähigkeit, Schwachstellen der Entwicklung und deren Geschäftsrisiken der Sicherheitsleitung eines Kunden kurzfristig verständlich zu erklären.
Zum Profil passen offensive Erfahrung als Penetrationstester oder Berater und der Wunsch nach umfassender Verantwortung über Berichte hinaus. Dazu gehört der Wille, selbst etwas aufzubauen und zu verantworten, statt ausschließlich fremde Vorhaben zu beraten.
Zum Profil passen die Bereitschaft, unnötige Sicherheitsbürokratie ebenso wie tatsächlich riskante Entwicklungsentscheidungen zu hinterfragen, und der Anspruch, Sicherheitskorrekturen in Tagen statt erst nach Wochen umzusetzen.

So ist Remote hier geregelt

Vorausgesetzt wird eine europäische oder afrikanische Zeitzone mit höchstens drei Stunden Abweichung von CET.

So läuft die Bewerbung

Für die praktische Arbeit mit Claude Code werden konkrete Beispiele erwartet.

Veröffentlicht: 01.10.2026 · Quelle geprüft: 19.10.2026.

Die Angaben sind für RemoteFruit einheitlich aufbereitet. Maßgeblich bleibt die Originalanzeige. RemoteFruit steht in keiner Partnerschaft mit dem ausschreibenden Unternehmen.