Leitung eines Zentrums für operatives Schwachstellenmanagement

Arbeitszeit: Nicht angegeben
Erfahrung: Erforderlich sind 5–8 Jahre Informationssicherheit, davon mindestens 3 Jahre im Schwachstellenmanagement oder Sicherheitsbetrieb, sowie Erfahrung mit Cloud-Schwachstellen und Engineering-Teams.
Vergütung: Gehalt nicht angegeben

Die Rolle in Kürze

Die Rolle verantwortet das Schwachstellenmanagement für Cloud-Infrastruktur, Produkte und Hardware und gestaltet Prozesse, Werkzeugauswahl und den Aufbau eines eigenen Teams. Gemeinsam mit Engineering, Security, Operations und weiteren Beteiligten verbessert sie die Datenqualität, treibt die Behebung voran und koordiniert die Reaktion auf kritische Schwachstellen.

Deine Aufgaben

Die Leitung baut das operative Schwachstellenzentrum, das zugehörige Plattform-Sicherheitsprogramm und ein eigenes Team auf. Sie definiert Prozesse, wählt Werkzeuge aus und pflegt deren Integration in das weitere Sicherheitsökosystem.
Sie verantwortet den gesamten Schwachstellenzyklus für Cloud-Infrastruktur, Produkte und Hardware einschließlich Erkennung, Eingang aus Scannern, Bug-Bounty-Programmen, Bedrohungsinformationen und Penetrationstests sowie Nachverfolgung und Berichterstattung.
Sie verbessert automatisierte Triage und Datenqualität durch interne und externe Informationsanreicherung, Qualitätskennzahlen, KI-Unterstützung, kontextbezogene Risikobewertung sowie Korrelation und Verkettung von Schwachstellen.
Sie priorisiert Befunde anhand von CVSS, EPSS, SSVC, Kritikalität der betroffenen Systeme, Ausnutzbarkeit und Geschäftsauswirkungen und reduziert Fehlalarme. Besonders kritische und Zero-Day-Schwachstellen validiert und bewertet sie praktisch.
Sie liefert verwertbare Befunde für Engineering-, Compliance- und regulatorische Anforderungen, verbessert das Patchmanagement und treibt verbindliche Behebungsmaßnahmen in Infrastruktur-, Plattform- und Produktteams sowie Geschäftsbereichen voran.
Sie entwickelt interne Plattformen für einheitliches Schwachstellenmanagement und Sicherheitsorchestrierung mit, um Kernabläufe zu automatisieren und manuelle Arbeit zu reduzieren. Perspektivisch kann die interne KI-gestützte Plattform zu einem Cloud-Sicherheitsangebot weiterentwickelt werden.
Sie ermittelt, verfolgt und berichtet Kennzahlen des Schwachstellenmanagements und präsentiert Leistungskennzahlen und Trends gegenüber der Sicherheitsleitung.
Sie koordiniert die Reaktion auf kritische und Zero-Day-Schwachstellen und fungiert dabei als zentrale Ansprechperson zwischen Security, Engineering und Operations.

Das solltest du mitbringen

Erforderlich

Erforderlich sind 5–8 Jahre Erfahrung in der Informationssicherheit, davon mindestens 3 Jahre mit Schwerpunkt Schwachstellenmanagement oder Sicherheitsbetrieb.
Erforderlich ist umfassende Vertrautheit mit Werkzeugen zum Schwachstellenscanning und deren Stärken und Grenzen in cloudnativen Umgebungen.
Erforderlich sind fundierte Kenntnisse von CVE/NVD, CVSS-Bewertung, EPSS und SSVC sowie deren Anwendung auf die praktische Priorisierung.
Erforderlich ist Erfahrung im Schwachstellenmanagement für IaaS- beziehungsweise Cloud-Infrastruktur mit AWS, GCP, Azure oder einer privaten Cloud.
Erforderlich ist ein tiefes Verständnis der Grenzen von Schwachstellenquellen und der Sonderfälle verschiedener Schwachstellenklassen.
Erforderlich ist die Fähigkeit, Code zu schreiben und zu prüfen, sowie die Fähigkeit oder Bereitschaft, in Go zu entwickeln. Die Kenntnisse müssen ausreichen, um Ausnutzbarkeit zu beurteilen, Korrekturen zu validieren und einfache Automatisierungen wie Skripte zur Variantenerkennung, Triage-Werkzeuge und Datenpipelines für Trendanalysen zu erstellen.
Erforderlich sind fundierte Kenntnisse gängiger Schwachstellenklassen auf Code- und Infrastrukturebene.
Erforderlich ist Sicherheit darin, gut dokumentierte Schwachstellenmuster in KI-gestützte Codeprüfungen einzubringen und deren Ergebnisse kritisch zu bewerten.
Erforderlich ist nachgewiesene bereichsübergreifende Zusammenarbeit mit Engineering-Teams sowie die Fähigkeit, Beteiligte zur Termineinhaltung anzuhalten, ohne selbst zum Engpass zu werden.
Erforderlich sind starke schriftliche und mündliche Kommunikationsfähigkeiten sowie die Fähigkeit, technische Risiken für Personen außerhalb des Sicherheitsbereichs in Geschäftsauswirkungen zu übersetzen.
Bewerbende müssen im jeweiligen Bewerbungsland arbeitsberechtigt sein und diese Berechtigung als Voraussetzung für die Einstellung nachweisen.

Von Vorteil

Erfahrung mit GPU-/HPC-Umgebungen ist von Vorteil.
Erfahrung mit dem vollständigen Neuaufbau eines Schwachstellenmanagementprogramms ist erwünscht.
Vertrautheit mit Container- und Kubernetes-Sicherheit ist erwünscht.
Erfahrung mit Software-Lieferkettensicherheit einschließlich Software-Stücklisten und Abhängigkeitsscanning ist erwünscht.
Erfahrung mit der Triage von Bug-Bounty-Meldungen ist erwünscht.
Öffentliche Vorträge oder Forschungsartikel sind erwünscht.

So ist Remote hier geregelt

Die Arbeit erfolgt in einer flexiblen Arbeitskultur mit Vorrang für Remote-Arbeit.

Das wird angeboten

Die Vergütung umfasst eine Eigenkapitalbeteiligung mit Wertsteigerungspotenzial.
Es bestehen Lernmöglichkeiten und Chancen zur beruflichen Weiterentwicklung sowie Gestaltungsspielraum und Eigenverantwortung.
Die Tätigkeit bietet Zusammenarbeit in internationalen Teams und die Mitwirkung an KI-Projekten.

So läuft die Bewerbung

Der Auswahlprozess beginnt mit einem 30-minütigen Recruiting-Gespräch.
Es folgen ein 60-minütiges Live-Coding-Interview zur Prüfung grundlegender Programmierkenntnisse, ein 60-minütiges Security-Interview zur Fachkompetenz und ein 90-minütiges Interview zum Entwurf von Sicherheitssystemen zur Bewertung praktischer Erfahrung.
Optional ist eine 90-minütige technische Vertiefung vorgesehen, in der ein komplexes Projekt mit wesentlicher Wirkung vorgestellt wird. Ein 45-minütiges Abschlussgespräch beendet den Auswahlprozess.
Voraussetzung für die Einstellung ist ein Nachweis der Arbeitsberechtigung im jeweiligen Bewerbungsland.
Bei Bedarf sind Anpassungen im Bewerbungsverfahren möglich.

Veröffentlicht: 15.07.2026 · Quelle geprüft: 17.10.2026.

Die Angaben sind für RemoteFruit einheitlich aufbereitet. Maßgeblich bleibt die Originalanzeige. RemoteFruit steht in keiner Partnerschaft mit dem ausschreibenden Unternehmen.