Leitung Security Engineering

Arbeitszeit: Es werden flexible Arbeitszeiten angeboten.
Erfahrung: Gefordert sind fundierte Softwareentwicklungspraxis, Erfolge in der Produktsicherheit und Erfahrung mit Schwachstellenbehebung sowie der Förderung von Engineers oder kleiner Teamleitung.
Vergütung: Gehalt nicht angegeben

Die Rolle in Kürze

Die Rolle verantwortet Aufbau, Ergebnisse und Betriebsmodell von Product Security Engineering, um wiederkehrende Schwachstellen und Sicherheitsvorfälle mit Auswirkungen auf Kundinnen und Kunden zu verhindern. Sie entwickelt zwei Engineers weiter und arbeitet mit Engineering, InfoSec, Product Operations, Quality Operations, DevRel, Legal, Customer Support und der Product-Leitung zusammen. Die Funktion bleibt von SecOps und Information Security abgegrenzt; InfoSec-Governance, Verantwortung der Engineering-Domänen und Freigaben durch Quality oder Product Operations bleiben bestehen.

Deine Aufgaben

Die Rolle baut eine dauerhafte Product-Security-Engineering-Funktion auf und leitet eine risikobasierte Roadmap für Commerce Core, Services und weitere Produktbereiche mit ausgewogener Prävention, Erkennung, Incident-Bereitschaft und Behebung.
Sie verantwortet einen einheitlichen Eingang und die Triage von Findings aus externen Meldungen, Bug-Bounty-Programmen, Penetrationstests, Dependency-Sicherheitshinweisen, internen Entdeckungen und Incident-Nacharbeiten. Mit Domänenverantwortlichen und InfoSec vereinbart sie Schweregrade und Reaktionsziele, ordnet jeden Vorgang dem zuständigen Code Owner zu und hält Reaktionsfristen und Abschlussnachweise sichtbar.
Sie erstellt Threat Models für sicherheitskritische Änderungen, prüft risikoreiche Designs, untersucht Schwachstellen und implementiert wirksame Sicherheitskontrollen in gemeinsam genutzten Produktkomponenten oder entwickelt sie gemeinsam mit anderen. Sie etabliert wiederholbare Verfahren für sicheres Design, Sicherheitsreviews, Missbrauchstests, Dependency- und Code-Scanning, Offenlegung und Incident-Bereitschaft.
Sie koordiniert produktübergreifende Sicherheitsarbeit mit GHSA für Offenlegungsangaben, einem privaten GitHub-Issue oder Epic für Fixes und Backports sowie einer Confluence-Seite je Sicherheitsvorfall oder Release für Rollen, Entscheidungen, QA-Status und Kommunikationsbereitschaft. Die operative Abstimmung erfolgt über Slack; Entscheidungen werden in der Dokumentation verlinkt, Betroffenheit, Behebungen und Tests nachvollziehbar festgehalten.
Gemeinsam mit Engineering Leads weist sie jedem bestätigten Problem eine technisch verantwortliche Person und einen Fälligkeitstermin zu. Blockierte Behebungen und verbleibende Risiken eskaliert sie über die etablierten Entscheidungswege von Product, InfoSec und Führungsebene; konkurrierende Sicherheits- und Produktarbeit macht sie mit klaren Abwägungen in der Planung sichtbar.
Sie verbessert die Sicherheitsabdeckung unterstützter Versionen, des Security Plugins, der Commercial-Komponenten, Services und relevanter App- und Extension-Schnittstellen. Für Sicherheits-Releases koordiniert sie einen vereinbarten Umfang, zentrale Dokumentation, benannte technische und QA-Verantwortliche sowie verifizierte Release-Artefakte.
Sie leitet die technische Aufarbeitung nach Sicherheitsvorfällen und Releases, überführt Ursachen in Präventionsmaßnahmen mit klarer Verantwortung, Tests, Tools oder Designänderungen und verfolgt deren Wirkung gegen Wiederholungen. Wiederkehrende Schwachstellenklassen werden durch konkrete Kontrollen und Regressionstests adressiert.
Sie fördert die beiden Engineers, sichert die Abdeckung von Commerce Core und Services und vertritt die Teamarbeit in der Produktplanung. Mit InfoSec, Product Operations, Quality Operations, DevRel, Legal, Customer Support und Product-Leitung stimmt sie Sicherheitsrichtlinien, Reaktionen, Releases und Kommunikation ab und klärt die Verantwortungsgrenzen der beteiligten Funktionen.

Das solltest du mitbringen

Erforderlich

Erforderlich sind fundierte praktische Erfahrung in der Softwareentwicklung und nachweisbare Erfolge bei der Verbesserung der Sicherheit produktiv eingesetzter Produkte.
Erforderlich sind praktische Kenntnisse der Anwendungssicherheit, insbesondere zu Authentifizierung, Autorisierung, Zugriffskontrolle, Datentrennung, API-Sicherheit, Umgang mit Zugangsdaten, sicheren Integrationen und gängigen Schwachstellenklassen.
Erforderlich ist Erfahrung darin, Schwachstellenmeldungen zu untersuchen und daraus einen getesteten und priorisierten Behebungsplan für mehrere Teams oder unterstützte Versionen zu entwickeln.
Erforderlich ist die Fähigkeit, direkt mit Code und Tests zu arbeiten und Sicherheitstools wie SAST, Dependency Scanning, Fuzzing oder Tests für Missbrauchsszenarien einzusetzen und zu verbessern.
Erforderlich ist gutes Urteilsvermögen bei der Einschätzung von Ausnutzbarkeit, Auswirkungen auf Kundinnen und Kunden, Schweregrad, koordinierter Offenlegung und Incident Response.
Erwartet werden klare technische Dokumentation und souveräne, ruhige Zusammenarbeit mit verschiedenen Teams bei dringenden und unklaren Aufgaben.
Erforderlich ist Erfahrung darin, Engineers zu fördern oder ein kleines technisches Team zu leiten.
Technische Führung und Coaching sind wesentlich.

Von Vorteil

Formale Personalverantwortung ist hilfreich.
Kenntnisse von Open-Source-Produkten, Extension-Ökosystemen, Cloud-Services und Release-Modellen mit mehreren unterstützten Versionen sind von Vorteil.

So ist Remote hier geregelt

Es bestehen Optionen für mobiles Arbeiten und Full-Remote-Verträge.

Das wird angeboten

Die Anstellung ist unbefristet.
Eine offene Kultur mit flachen Hierarchien unterstützt Eigeninitiative.
Die Arbeits-Hardware ist frei wählbar; ein strukturiertes Onboarding wird durch einen persönlichen Buddy unterstützt.
Es bestehen Möglichkeiten zur persönlichen Entwicklung und zum Wachstum.
Zu den Zusatzleistungen gehören betriebliche Altersvorsorge, Gesundheitsprogramme und regelmäßige Teamevents.

Veröffentlicht: 13.10.2026 · Quelle geprüft: 17.10.2026.

Die Angaben sind für RemoteFruit einheitlich aufbereitet. Maßgeblich bleibt die Originalanzeige. RemoteFruit steht in keiner Partnerschaft mit dem ausschreibenden Unternehmen.