Veröffentlicht 29.10.2026

Leitende Fachkraft für Security Engineering

Die generalistisch angelegte Rolle verbindet technische Leitung mit praktischer Umsetzung von Sicherheit und Compliance in einem Unternehmen, das sich auf KI ausrichtet. Sie priorisiert Sicherheitsprobleme, entwickelt Lösungen und führt die Bearbeitung von Vorfällen. Das Produktumfeld umfasst eine öffentliche GraphQL-API mit MCP-Server und CLI; mehr als 35.000 Organisationen haben ein KI-Werkzeug angebunden, und ein Plugin-Ökosystem ist geplant. Sichere Abläufe sollen einfach nutzbar bleiben, ohne die vertrauensbasierte Zusammenarbeit durch unnötige Zugangshürden einzuschränken. Im dreiköpfigen Security-Team werden geplante Verbesserungen und laufende Betriebsaufgaben gemeinsam getragen. Die Berichtslinie führt zur Engineering-Leitung für Infrastruktur und Security. Mit den Produktentwicklungsteams erfolgen technische Reviews und der Ausbau eines Security-Champions-Netzwerks. Kundenservice und Personalteam werden bei Sicherheitsfragen, Lieferantenprüfungen und Richtlinien unterstützt.

DE
DE
DE · Standardzuordnung · DE ist die Standardzuordnung für diese freigegebene Remote-Stelle. Die Anzeige nennt keine abweichende Länderbeschränkung. · Die Arbeit erfolgt in einem vollständig verteilten Team. Für diese Rolle kommen derzeit Personen mit Standort zwischen UTC-3 und UTC+3 infrage. · Arbeitszeiten müssen sich mit UTC−3 bis +3 überschneiden. Aus Deutschland (CET/CEST) ist das erfüllbar.
+6
- API-Sicherheit · erforderlich
  Erwartet wird praktische Anwendungs- und API-Sicherheit in Multi-Tenant-SaaS, idealerweise mit öffentlicher API, einschließlich Berechtigungen, OAuth/OIDC, Sitzungs- und Authentifizierungsabläufen, IDOR, SSRF und Bedrohungsmodellierung. Fehler wurden selbst gefunden und behoben.
- TypeScript · erforderlich
  TypeScript-Code muss so gelesen und geändert werden können, dass Fehlerbehebungen ausgeliefert und Änderungen anderer geprüft werden können.
- Incident Response · erforderlich
  Erwartet wird die vollständige Leitung von Sicherheitsvorfällen einschließlich Statusmeldungen, Kundenkommunikation und Nachbetrachtungen mit tatsächlich umgesetzten Folgemaßnahmen.
- Compliance-Programme · erforderlich
  Erwartet wird die Leitung eines SOC-2- oder vergleichbaren Programms oder enge Mitarbeit daran. Automatisierte Nachweissammlung wird manueller Arbeit vorgezogen.
- Schwachstellenmeldungen · erforderlich
  Erwartet wird der Betrieb oder die Triage eines Vulnerability-Disclosure- oder Bug-Bounty-Programms sowie die schnelle Unterscheidung echter Meldungen von irrelevanten.
- KI-Sicherheit · Aufgabe · erforderlich
  Für Agenten mit Werkzeugzugriff, Konnektoren und KI-Funktionen im Produkt werden Bedrohungsanalysen und Sicherheitsleitplanken entwickelt.
DEAPI-SicherheitTypeScriptIncident ResponseCompliance-ProgrammeSchwachstellenmeldungenKI-Sicherheit+6+5+4+3+2+1

Gehalt: pro Jahr
Umfang: Vollzeit
Erfahrung: Lead

Deine Aufgaben

Die Rolle definiert Sicherheitsstrategie, Roadmap, Prioritäten und Standards, treibt deren Umsetzung voran und stößt auch außerhalb des eigenen Zuständigkeitsbereichs nötige Verbesserungen an.
Sie entwickelt gemeinsam mit dem Security-Kollegen Werkzeuge, Automatisierungen und Prozesse, schreibt Fehlerbehebungen und bearbeitet gemeinsam Sicherheits-Postfach, interne Anfragen, Wartung und Routineaufgaben. Manuelle Abläufe werden nach Möglichkeit automatisiert.
Sie integriert Sicherheitsprüfungen in jeden Pull Request, Bedrohungsanalysen in technische Spezifikationen sowie Prüfungen von Abhängigkeiten, Geheimnissen und Software-Lieferketten. Review-Schritte werden auch für zunehmend durch KI-Agenten geschriebenen Code gestaltet; Security Champions werden ausgebaut.
Sie verbessert die operative Sicherheit nach branchenweiten Standards und erhält dabei die Flexibilität des vertrauensbasierten Arbeitsumfelds.
Sie leitet Sicherheitsvorfälle, beteiligt sich an der entwicklungsweiten Rufbereitschaft und setzt verbindliche Standards für die Vorfallbearbeitung. Mit dem Engineering-Team führt sie Planspiele durch und sorgt für die Behebung erkannter Lücken.
Sie analysiert Bedrohungen durch Agenten mit Werkzeugzugriff, Konnektoren und KI-Funktionen im Produkt und definiert Sicherheitsleitplanken für diese Systeme.
Sie betreibt das Vulnerability-Disclosure-Programm, bewertet externe Meldungen, behebt echte Schwachstellen oder leitet sie weiter und entscheidet über die Weiterentwicklung des Programms.
Sie verantwortet SOC 2 und Meta-Plattform-Compliance, verbessert damit die Sicherheit über reine Audit-Erfüllung hinaus und automatisiert Nachweise nach Möglichkeit. Sie unterstützt Kundenservice und Personalteam bei Sicherheitsfragen, Lieferantenprüfungen und Richtlinien, beantwortet Kundenfragebögen und entwickelt Selbstbedienungsangebote wie ein Trust Center.

Das solltest du mitbringen

Erforderlich11 Punkte

Erwartet wird Erfahrung als ranghöchste Security-Fachkraft ohne übergeordneten CISO sowie die Fähigkeit, ohne formales Mandat durch die eigene Arbeit Richtung und Akzeptanz zu schaffen.
Erwartet wird praktische Tiefe in Anwendungs- und API-Sicherheit eines Multi-Tenant-SaaS, idealerweise mit öffentlicher API: Berechtigungsmodelle, OAuth und OIDC, Sitzungs- und Authentifizierungsabläufe, IDOR, SSRF und Bedrohungsmodellierung. Solche Fehler wurden selbst gefunden und behoben, nicht nur gemeldet.
Die Person programmiert und kann TypeScript-Code so lesen und ändern, dass sie Fehlerbehebungen ausliefern und fremde Änderungen prüfen kann. Legacy-PHP und Python kommen ebenfalls, aber seltener vor.
Erwartet wird die vollständige Leitung von Sicherheitsvorfällen einschließlich schriftlicher Statusmeldungen, Kundenkommunikation und Nachbetrachtungen, deren Ergebnisse tatsächlich umgesetzt werden.
Erwartet wird Arbeitserfahrung mit AWS, Kubernetes und Cloudflare oder vergleichbaren Technologien, die zur gemeinsamen Bewertung von Infrastrukturrisiken mit einem Infrastrukturteam befähigt. Eigenständiger Betrieb der Infrastruktur ist nicht erforderlich.
Erwartet wird die Leitung eines SOC-2- oder vergleichbaren Programms oder enge Mitarbeit daran. Die automatisierte Sammlung von Nachweisen wird manueller Arbeit vorgezogen.
Erwartet wird Erfahrung im Betrieb oder in der Triage eines Vulnerability-Disclosure- oder Bug-Bounty-Programms sowie die Fähigkeit, echte Meldungen schnell von irrelevanten zu unterscheiden.
Erwartet werden begründete, aber revidierbare Standpunkte und die Bereitschaft, Entwürfen erfahrener Engineers zu widersprechen, gemeinsam Lösungen zu finden und bei besseren Argumenten die eigene Meinung zu ändern.
Erwartet werden sicherer Umgang mit modernen KI-Werkzeugen zur Steigerung der eigenen und der Teamleistung sowie vertiefte Überlegungen zur Absicherung von Systemen, die solche Werkzeuge einsetzen.
Erwartet werden wirksame Zusammenarbeit in verteilten, asynchronen Umgebungen, Verlässlichkeit, klares Denken, ausführlicher Kontext und das Abschließen zugesagter Aufgaben. Einfluss wird überwiegend schriftlich ausgeübt.
Gesucht wird eine teamorientierte Person, die andere zur sicheren Arbeit befähigt, statt als Zugangshürde zu wirken.

Von Vorteil1 Punkt

Bevorzugt werden bereits bestehende Nutzung des betreffenden Social-Media-Management-Produkts oder Vertrautheit mit Social-Media-Management-Werkzeugen.

So ist Remote hier geregelt

Remote: Die Arbeit erfolgt in einem vollständig verteilten Team. Für diese Rolle kommen derzeit Personen mit Standort zwischen UTC-3 und UTC+3 infrage.
Präsenz: Ein- bis zweimal jährlich finden Reisen zur persönlichen Zusammenarbeit statt. Die Teilnahme wird nachdrücklich empfohlen.
Arbeitszeit: Die Zeitzonenlage ermöglicht Teamüberschneidung und geteilte Vorfallabdeckung, damit beide Security-Fachkräfte nicht nachts durcharbeiten müssen. Die Rolle nimmt an der entwicklungsweiten Rufbereitschaft teil.

DE ist die Standardzuordnung für diese freigegebene Remote-Stelle. Die Anzeige nennt keine abweichende Länderbeschränkung.

So läuft die Bewerbung

Der Einstieg erfolgt über ein kurzes Formular mit Lebenslauf, LinkedIn-Profil, einigen Ja-Nein-Fragen und einer Schreibprobe. Bei passender Bewerbung folgt ein kurzer zusätzlicher Fragebogen.
Es folgen mehrere Zoom-Gespräche, zunächst mit der einstellenden Engineering-Leitung für Infrastruktur und Security, anschließend mit weiteren Teammitgliedern und Fachkollegen.
Während der Gespräche wird eine asynchrone Praxisaufgabe bearbeitet und anschließend live besprochen. Danach ist ein Gespräch mit der geschäftsführenden Gründungsperson vorgesehen.
Zum Abschluss sind zwei bezahlte Tage gemeinsamer Arbeit mit dem Team an einem realen Projekt vorgesehen.
Mit der Bewerbung wird der Erhebung und Verarbeitung personenbezogener Daten für das Recruiting zugestimmt.

Passt die Stelle? Öffne mit Premium den Bewerbungsweg.

Bewerbungslink freischalten