Leitende Fachkraft für IT-Sicherheit

Arbeitszeit: Die Tätigkeit ist in Vollzeit vorgesehen. Die Arbeitszeiten können flexibel organisiert werden.
Erfahrung: Erforderlich sind eigenständige Sicherheitsverantwortung für ein Unternehmen oder einen großen Bereich und die vollständige Bearbeitung realer Sicherheitsvorfälle.
Vergütung: Gehalt nicht angegeben

Die Rolle in Kürze

Als erste und zunächst einzige Sicherheitsfachkraft baut die Rolle Sicherheitsstrukturen auf, setzt Prioritäten und entscheidet über Sicherheitsmaßnahmen. Sie arbeitet zunächst operativ, berichtet direkt an die technische Leitung und unterstützt gemeinsam mit DevOps rund 25 Entwickelnde in Produktteams. Innerhalb des Plattformbereichs erfolgt die Zusammenarbeit mit Technik sowie Risiko und Zahlungsabwicklung, später auch mit allen Abteilungsleitungen. Bevorzugt ist eine unbefristete Anstellung; alternativ ist eine freiberufliche Zusammenarbeit möglich.

Deine Aufgaben

Die Rolle baut eine zentrale Identitätsverwaltung mit SSO, SCIM-Provisionierung und starker MFA auf. Sie setzt minimale Berechtigungen sowie zeitlich begrenzte, protokollierte Rechteerhöhungen um, sichert Eintritte, Teamwechsel und Austritte einschließlich externer Dienstleistender ab und verwaltet Passwortmanager und Dienstkonten.
Sie sichert AWS-Mehrkontenumgebungen, Bereitstellungsplattformen sowie CDN und WAF ab, ersetzt statische Geheimnisse durch kurzlebige Identitäten mit OIDC und IAM-Rollen und automatisiert deren Rotation. Sie härtet Konfigurationen und prüft neue Architekturkomponenten auf Sicherheit.
Sie sichert die Arbeitsplatzgeräte durch MDM, Verschlüsselung und Aktualisierungen und führt Zero Trust für den Zugriff auf kritische Werkzeuge ein.
Sie zentralisiert Sicherheitsprotokolle, erstellt aussagekräftige Alarme und verantwortet Sicherheitsvorfälle von der Erkennung über Eindämmung und Behebung bis zur Nachbereitung.
Sie bekämpft Credential Stuffing, Kontoübernahmen, Card Testing, massenhafte Kontoerstellung, Scraping und DDoS-Angriffe auf B2C-Produkte.
Sie führt interne Penetrationstests und Sicherheitsprüfungen von Code mit KI-Werkzeugen durch. Sie steuert externe Penetrationstests und gegebenenfalls ein Bug-Bounty-Programm.
Sie vermittelt Sicherheitswissen durch interne Schulungen, Praxisleitfäden und Phishing-Übungen und unterstützt Produktteams beim sicheren Programmieren.
In einer späteren Phase führt sie Sicherheitsaudits in allen Abteilungen durch. Langfristig unterstützt sie Compliance-Vorhaben zu ISO 27001, SOC 2 und PCI DSS sowie die Zusammenarbeit mit Prüfenden und Zahlungspartnern.

Das solltest du mitbringen

Erforderlich

Erforderlich ist bisherige eigenständige Verantwortung für die Sicherheit eines Unternehmens oder eines großen Bereichs. Ein Wechsel aus Entwicklung oder DevOps in die Sicherheit durch Praxis oder persönliches Interesse ist ein häufiger Hintergrund, aber keine verbindliche Voraussetzung.
Erforderlich sind die vollständige Bearbeitung tatsächlicher Sicherheitsvorfälle und die Fähigkeit, nach realem Risiko statt nach einer Checkliste zu priorisieren.
Fundierte AWS-Cloud-Sicherheit und Kenntnisse der nativen Sicherheitswerkzeuge wie IAM, Organizations, SCP, CloudTrail und GuardDuty sind erforderlich.
Erforderlich sind Web- und API-Penetrationstests einschließlich OWASP Top 10 und Schwachstellenausnutzung sowie die Beherrschung von Pentest-Werkzeugen, idealerweise mit KI-Unterstützung.
Eine ausgeprägte Automatisierungspraxis mit Python, Scripting und Go ist erforderlich.
Erwartet werden große Selbstständigkeit, Eigenverantwortung und die Fähigkeit, ohne vorgegebenen Lösungsweg voranzukommen.
Erwartet werden didaktische Fähigkeiten und gute Kommunikation, um Sicherheit auch nichttechnischen Teams verständlich zu vermitteln.
Erwartet werden ein pragmatisches Gleichgewicht zwischen Sicherheit und Liefergeschwindigkeit sowie ruhiges, methodisches Vorgehen unter Druck.
Neugier und Sicherheit im intensiven Einsatz von KI werden erwartet.
Fließendes Französisch ist als primäre Arbeitssprache erforderlich.
Englisch mindestens auf Niveau B2 ist als zweite Arbeitssprache erforderlich und wird im Auswahlverfahren geprüft. Die Kommunikation mit Cloud-Partnern und Lieferanten erfolgt insbesondere schriftlich.

Von Vorteil

Idealerweise besteht Erfahrung in einem Unternehmen oder Team, das ein Compliance-Vorhaben umgesetzt hat; dessen eigene Leitung ist dafür nicht erforderlich. Die Leitung oder Begleitung eines Audits nach ISO 27001, SOC 2 oder PCI DSS ist ein zusätzlicher Vorteil.
Erfahrung mit Betrug und Missbrauch bei zahlungsabwickelnden B2C-Produkten ist von Vorteil.
Kenntnisse zu Identitäten und Zugriffen mit SAML, OIDC, SCIM, MFA und dem Prinzip minimaler Berechtigungen sind von Vorteil.
Kenntnisse zur Sicherheit moderner Webkomponenten wie CDN und WAF, DNS, Bereitstellungsplattformen und Geheimnisverwaltung sind von Vorteil.
Als zusätzliche Pluspunkte gelten Zertifizierungen wie OSCP, OSWE, AWS Security Specialty, CISSP oder gleichwertige Nachweise, Bug Bounty beziehungsweise CTF, Mac-Geräteverwaltung mit MDM, Open-Source-Beiträge sowie Artikel oder Vorträge.

Weitere Angaben

Eine vorherige Lead-Rolle oder Tätigkeit in einer großen Sicherheitsabteilung oder einem Red Team ist nicht erforderlich.
Gesucht werden außerdem findige, begeisterungsfähige Personen, die gerne praktisch arbeiten, testen, aufbauen und verbessern und dabei anspruchsvolle Ziele verfolgen.

So ist Remote hier geregelt

Die Tätigkeit erfolgt zu 100 % remote aus Europa innerhalb der Zeitzonenspanne CET ±4 Stunden; grundsätzlich ist jedes europäische Land möglich.
Für einen Monat ist weltweites Remote-Arbeiten aus einer anderen Zeitzone möglich.
Zweimal jährlich finden gemeinsame Teamseminare statt, eines im Frühjahr und eines im Herbst.

Das wird angeboten

Die neu geschaffene Rolle bietet direkten Zugang zur technischen Leitung, Entscheidungsspielraum beim Sicherheitsaufbau und die Zusammenarbeit mit DevOps in einer kleinen Teamstruktur ohne schwerfällige Hierarchie.
Ein eigenes Werkzeugbudget und Mitsprache bei der Werkzeugauswahl stehen zur Verfügung. Für Penetrationstests gibt es Zugang zu führenden Cloud-KI-Modellen und sicherheitsorientierten Open-Source-Modellen sowie Unterstützung bei API-Kosten.
Es bestehen Lern- und berufliche Entwicklungsmöglichkeiten sowie Perspektiven für die weitere Entwicklung durch das Unternehmenswachstum. Eigene Ideen und Initiativen können Arbeitsweisen, Projekte und die weitere Ausrichtung mitgestalten.
Remote-Arbeit ist aus jedem europäischen Land innerhalb von CET ±4 Stunden möglich; für einen Monat kann auch weltweit aus einer anderen Zeitzone gearbeitet werden.
Wer außerhalb der eigenen Wohnung arbeiten möchte, erhält für einen Coworking-Platz einen Zuschuss von bis zu 200 Euro monatlich.
Ein Ausstattungsbudget steht beispielsweise für Laptop, Schreibtisch, Stuhl, Bildschirm und Kopfhörer bereit.
Die Arbeitszeiten lassen sich flexibel organisieren. Urlaub kann nach persönlichem Erholungsbedarf eigenverantwortlich geplant werden.
Zwei gemeinsame Teamseminare pro Jahr finden im Frühjahr und im Herbst statt.

So läuft die Bewerbung

Der Einstieg ist möglichst bald vorgesehen, idealerweise im Dezember 2026 oder Januar 2027. Eine Kündigungsfrist von bis zu 3 Monaten ist denkbar.
Zunächst findet ein 30-minütiges Kennenlerngespräch mit der Personalgewinnung statt.
Eine Sicherheitsfallstudie wird zu Hause vorbereitet; dafür ist etwa eine Woche vorgesehen. Im anschließenden technischen Gespräch mit technischer Leitung und DevOps folgen die Präsentation, eine praktische Live-Aufgabe und ein Austausch zum Berufsverständnis.
Es folgen ein einstündiges Gespräch zur kulturellen Zusammenarbeit mit der Leitung Personal und Finanzen sowie Referenzprüfungen. Die Englischkenntnisse werden während des Auswahlverfahrens bewertet.

Veröffentlicht: 21.10.2026 · Quelle geprüft: 22.10.2026.

Die Angaben sind für RemoteFruit einheitlich aufbereitet. Maßgeblich bleibt die Originalanzeige. RemoteFruit steht in keiner Partnerschaft mit dem ausschreibenden Unternehmen.