Senior Engineer für Anwendungssicherheit

Arbeitszeit: Vollzeit
Erfahrung: Gefordert sind mindestens 5 Jahre AppSec-Erfahrung oder mindestens 3 Jahre AppSec-Erfahrung mit fundiertem Hintergrund in Softwareentwicklung oder Web-Pentesting.
Vergütung: Gehalt nicht angegeben

Die Rolle in Kürze

Die Rolle verantwortet den Aufbau der AppSec-Praxis und sicherer Entwicklungswege für rund 150 Engineers. Sie arbeitet mit Entwicklung und DevOps an Sicherheitsprüfungen, Schutzmaßnahmen und der Behebung von Schwachstellen.

Deine Aufgaben

Die Rolle baut die AppSec-Praxis und sichere Entwicklungswege für rund 150 Engineers auf, legt Prüfumfänge fest und leitet Bedrohungsanalysen sowie sichere Designprüfungen für risikoreiche Änderungen, Partnerintegrationen und Zahlungsabläufe.
Sie implementiert und optimiert Sicherheitsprüfungen in GitLab CI/CD mit SAST, SCA, Secrets-Scanning und DAST und setzt diese durch. Dabei hält sie die Belastung für die Entwicklung gering.
Sie übernimmt die technische Hauptverantwortung für Sichtung, Reproduktion und Priorisierung von Befunden aus Bug-Bounty-Programmen, Partner-Penetrationstests und automatisierten Scannern.
Sie setzt gemeinsam mit DevOps GCP-Organisationsrichtlinien, IAM-Architekturen nach dem Least-Privilege-Prinzip und Cloud Armor mit WAF und Ratenbegrenzung um.
Sie etabliert ein Security-Champions-Netzwerk über die Entwicklungsteams hinweg und skaliert Codeprüfungen durch Automatisierung und KI-gestützte Werkzeuge.
Sie verantwortet das gesamte Schwachstellenmanagement mit risikobasiertem Backlog, Behebungs-SLAs und Eskalationsweg und schließt Befunde gemeinsam mit den Teams ab.
Sie definiert den Umfang des jährlichen externen Penetrationstests, koordiniert ihn und erstellt Nachweise sicherer Entwicklung für PCI-DSS und ISO 27001.

Das solltest du mitbringen

Erforderlich

Erforderlich sind mindestens 5 Jahre Erfahrung in AppSec oder mindestens 3 Jahre AppSec-Erfahrung zusammen mit einem fundierten Hintergrund in Softwareentwicklung oder Web-Pentesting sowie nachweislich eigenverantwortliches Handeln.
Produktionscode muss gelesen und geschrieben werden können, beispielsweise in Python, Go, TypeScript oder Ruby. Ein tiefes Verständnis von Webframeworks, CI/CD und Kubernetes ist erforderlich.
Erforderlich sind tiefgehende Kenntnisse der Web- und API-Sicherheit, insbesondere zu Authentifizierung und Autorisierung mit OAuth2 und JWT, Ratenbegrenzung, Mandantenisolierung, IDOR und XSS.
Gefordert sind fundierte Grundlagen der Cloud-Sicherheit, insbesondere zu öffentlicher Erreichbarkeit, sicherem Umgang mit Secrets und WAF-Regeln.
Bedrohungsanalysen und sichere Designprüfungen müssen bereits an realen Systemen durchgeführt worden sein, mit STRIDE oder vergleichbaren Methoden.
Praktische Erfahrung mit SAST, SCA und Secrets-Scanning in CI wird vorausgesetzt, etwa mit Aikido, Semgrep, Snyk oder vergleichbaren Werkzeugen.
Erwartet werden eine Priorisierung nach tatsächlichem Risiko, das Vorschlagen sinnvoller Abwägungen statt perfektionistischer Forderungen und die verständliche Kommunikation komplexer Risiken gegenüber Entwicklung und Führungskräften.

Von Vorteil

Kenntnisse in GCP sind bevorzugt.
Von Vorteil ist Erfahrung mit der Absicherung stark frequentierter, mandantenfähiger B2B-APIs sowie mit KI-Werkzeugen zur Beschleunigung der Befundsichtung und Prüfung.

So ist Remote hier geregelt

Die Arbeit folgt einem Remote-first-Modell mit der Möglichkeit, remote zu arbeiten. Die Teams sind weltweit verteilt; der Hauptsitz liegt in Berlin.

Das wird angeboten

Geboten werden flache Organisationsstrukturen, eigenständige Verantwortung und die Zusammenarbeit in einem internationalen Team.
Ein wettbewerbsfähiges Gehalt und internationale Möglichkeiten im Zuge der weiteren Expansion werden angeboten.

Veröffentlicht: 07.09.2026 · Quelle geprüft: 18.10.2026.

Die Angaben sind für RemoteFruit einheitlich aufbereitet. Maßgeblich bleibt die Originalanzeige. RemoteFruit steht in keiner Partnerschaft mit dem ausschreibenden Unternehmen.