remotefruitFilter
Remote-RegionAlle
ErfahrungAlle
VeröffentlichungAlle
Senior-Penetrationstester für APIs, Web und Cloud – auf Vertragsbasis
Die Rolle verantwortet eigenständig geplante, authentifizierte Sicherheitstests an öffentlichen Partner-Buchungs-APIs, Zahlungsabläufen sowie Web- und Mobilanwendungen für Millionen Reisende und der zugehörigen Cloud-Infrastruktur. Sie untersucht Berechtigungen, Authentifizierung, Geschäftslogik und personenbezogene Fahrgastdaten sowie kombinierbare Angriffspfade über Anwendungen, Container und Entwicklungspipelines. Hinzu kommen regelmäßige Prüfungen der extern erreichbaren Angriffsfläche und Red-Teaming von KI-Funktionen. Reproduzierbare, risikobewertete Befunde werden mit konkreten Behebungsvorschlägen dokumentiert, mit Entwicklungsteams besprochen und durch Nachtests überprüft.
DE
DERemote aus Deutschland · Belegte Arbeits-/Kandidatenstandorte: Deutschland. · Die Tätigkeit bietet im Rahmen einer flexiblen Arbeitsregelung die Möglichkeit zum Remote-Arbeiten. Das Unternehmen arbeitet nach einem Remote-first-Modell mit weltweit verteilten Teams.
+6
- OWASP-API-Sicherheit · erforderlich
Erforderlich sind fundierte praktische Kenntnisse der OWASP API Security Top 10 sowie von WSTG und ASVS, einschließlich OAuth2/OIDC, JWT, IDOR/BOLA, Mass Assignment, SSRF, Injection und XSS.
- Burp Suite Pro · erforderlich
Erforderlich ist sicherer Umgang mit Burp Suite Pro oder einem vergleichbaren Werkzeug.
- Kubernetes · erforderlich
Erforderlich ist Sicherheit bei der Bewertung von Containerumgebungen einschließlich Kubernetes; zusätzlich werden Cloud-Umgebungen und CI/CD-Pipelines bewertet.
- Google Cloud · von Vorteil
Bei der geforderten Bewertung von Cloud- und Containerumgebungen werden GCP-Kenntnisse bevorzugt.
- KI-Red-Teaming · von Vorteil
Erfahrung im Red-Teaming von LLM-Anwendungen oder KI-Agenten ist von Vorteil.
- PCI-DSS-Tests · von Vorteil
Erfahrung mit Tests in PCI-DSS-Umgebungen ist von Vorteil.
- OWASP-API-Sicherheit · erforderlich
- Gehalt
- Annahme: Anstellung als Arbeitnehmer in Deutschland. Ob diese Bedingungen für die Stelle gelten, ist nicht vollständig belegt. Rechnerischer Jahresvergleich: 40 Stunden/Woche × 52 Wochen = 2.080 Stunden/Jahr. 32,37 € je Stunde × 2.080 Stunden, auf volle 100 € gerundet: ≈ 67.300 €. Einheitliche Vollzeit-Vergleichsbasis, keine Angabe der tatsächlichen Arbeitszeit dieser Stelle. Keine Berechnung des tatsächlichen Jahres- oder Teilzeitgehalts; zusätzliche Sonderzahlungen werden nicht hinzugerechnet. Statistischer Mittelwert (kein Median) für die breite ISCO-08-Berufsgruppe 2: Professionals. Eurostat SES 2022, Deutschland, April 2022: 32,37 € brutto je bezahlter Stunde. Vergleichsgruppe: Arbeitnehmer in Voll- und Teilzeit einschließlich bezahlter Werkstudenten, Unternehmen mit mindestens 10 Beschäftigten, Wirtschaftsbereiche B–S ohne öffentliche Verwaltung (O). Kein studentenspezifischer Wert, kein Anforderungsniveau und kein konkretes Stellengehalt. Bei deutschen Bildungsberufen sind öffentliche Beschäftigtendaten teilweise geschätzt; auch die amtliche Berufszuordnung ist mit Unsicherheit behaftet. Quelle: https://doi.org/10.2908/EARN_SES22_14 (Abruf 28.10.2026). Auswahl und deutschsprachige Erläuterung: RemoteFruit; Eurostat trägt dafür keine Verantwortung.
- Umfang
- Nicht angegeben
- Erfahrung
- Senior
Deine Aufgaben
- Die Partner-Buchungs-APIs werden anhand der OWASP API Security Top 10 auf objekt- und funktionsbezogene Autorisierung, Mandantentrennung, Mass Assignment, Datenoffenlegung und Rate Limiting geprüft.
- Die Rolle prüft API-Authentifizierung und Integrität durchgängig, einschließlich OAuth 2.0/OIDC, API-Schlüsseln, JWTs, Webhooks und Anfragesignierung.
- Buchungs-, Checkout-, Zahlungs- und Erstattungsabläufe werden auf missbrauchbare Geschäftslogik, Race Conditions und Preismanipulation untersucht.
- Web- und Mobilanwendungen für Reisende, Partner und Betreiber werden authentifiziert nach OWASP WSTG und ASVS getestet. Dies umfasst die Speicherung, Anzeige und den Export personenbezogener Fahrgastdaten.
- Die Rolle untersucht Cloud-, Kubernetes- und CI/CD-Konfigurationen sowie den Umgang mit Secrets auf Angriffspfade, die sich mit Anwendungsfehlern verketten lassen.
- Die extern über das Internet erreichbare Angriffsfläche wird erfasst und regelmäßig getestet.
- KI-Assistenten, Agenten und Support-Bots werden durch Red-Teaming anhand der OWASP Top 10 for LLM Applications geprüft.
- Die Rolle plant und führt Tests eigenständig durch, dokumentiert klare, reproduzierbare und risikobewertete Befunde mit praktischen Behebungsvorschlägen, begleitet Entwicklungsteams bei Korrekturen und bestätigt diese durch Nachtests.
Das solltest du mitbringen
Erforderlich sind mindestens 5 Jahre praktische Pentests, vor allem von Webanwendungen und APIs, jüngst selbst geleitete Gesamtprojekte sowie Funde von Geschäftslogik- und Race-Condition-Lücken in Transaktionssystemen.
Erforderlich7 Punkte
- Erforderlich sind mindestens 5 Jahre praktische Erfahrung mit Penetrationstests, hauptsächlich von Webanwendungen und APIs, sowie nachweisbare aktuelle Einsätze, die eigenständig von Anfang bis Ende geleitet wurden.
- Erforderlich sind fundierte praktische Kenntnisse der OWASP API Security Top 10, WSTG und ASVS, einschließlich Authentifizierungs- und Autorisierungsmodellen mit OAuth2/OIDC und JWT, IDOR/BOLA, Mass Assignment, SSRF, Injection und XSS.
- Vorausgesetzt werden bereits entdeckte Geschäftslogik- und Race-Condition-Schwachstellen in Transaktionssystemen, beispielsweise für Buchungen, E-Commerce, Zahlungen oder Fintech.
- Erforderlich sind sicherer Umgang mit Burp Suite Pro oder einem vergleichbaren Werkzeug sowie das Schreiben eigener Skripte und Werkzeuge in Python, Go oder einer vergleichbaren Sprache.
- Erforderlich ist Sicherheit bei der Bewertung von Cloud- und Containerumgebungen einschließlich Kubernetes sowie von CI/CD-Pipelines.
- Erwartet werden selbstständige Abgrenzung, Priorisierung, Durchführung und Berichterstattung von Tests mit wenig Anleitung sowie eine verständliche Erklärung komplexer Risiken gegenüber Entwicklungsteams und Führungskräften.
- Ein kurzfristiger Einstieg muss möglich sein.
Von Vorteil4 Punkte
- Kenntnisse in GCP werden bevorzugt.
- Zertifizierungen wie OSCP, OSWE, BSCP oder vergleichbare Nachweise sind von Vorteil.
- Erfahrung im Red-Teaming von LLM-Anwendungen oder KI-Agenten ist von Vorteil.
- Erfahrung mit Tests in PCI-DSS-Umgebungen ist von Vorteil.
So ist Remote hier geregelt
- Remote
Die Tätigkeit bietet im Rahmen einer flexiblen Arbeitsregelung die Möglichkeit zum Remote-Arbeiten. Das Unternehmen arbeitet nach einem Remote-first-Modell mit weltweit verteilten Teams.
Belegte Arbeits-/Kandidatenstandorte: Deutschland.
Das wird angeboten
- Geboten werden flache Organisationsstrukturen, eigene Verantwortung und Gestaltungsmöglichkeiten in einem internationalen Team mit gegenseitiger Unterstützung und fachlichen Herausforderungen.
- Eine flexible Arbeitsregelung ermöglicht Remote-Arbeit; mit der weiteren globalen Expansion entstehen internationale Möglichkeiten.
- Es wird eine wettbewerbsfähige Vergütung geboten.
Passt die Stelle? Öffne mit Premium den Bewerbungsweg.
Bewerbungslink freischaltenÄhnliche Remote-Stellen
Weitere aktuelle Angebote mit passenden beruflichen Schwerpunkten.
DE+
DE+Remote in mehreren Gebieten · Belegte Arbeits-/Kandidatenstandorte: Kanada oder Vereinigte Staaten oder EMEA. · Das Team arbeitet weltweit verteilt mit einem Remote-first-Ansatz. Der Arbeitsort ist flexibel; bei veränderten Lebensumständen kann die Arbeitsumgebung angepasst werden.
Technische Leitung im Engineering für Produktsicherheit
Die Rolle sichert Infrastruktursoftware durch Penetrationstests, Bedrohungsmodellierung und Schwachstellenbehebung ab. Schwerpunkte sind Kubernetes, Container-Isolation und sichere Produktentscheidungen im Engineering.
80.000 – 135.000 € · Brutto-/Nettobasis offen / Jahr (DE). Laut OriginalanzeigeEU
EURemote in Europa · mit Bedingungen · Belegte Arbeits-/Kandidatenstandorte: Europa. Eine Bedingung zur Arbeitsberechtigung ist angegeben. · Die Arbeitskultur ist flexibel und auf Remote-Arbeit ausgerichtet. · Bewerbende müssen im jeweiligen Bewerbungsland zur Arbeit berechtigt sein und diese Berechtigung als Einstellungsvoraussetzung nachweisen.
Ingenieur für offensive IT-Sicherheit
Die Rolle prüft eine Cloud-Plattform durch Penetrationstests, Red-Team-Einsätze und Angriffsforschung. Gemeinsam mit Sicherheitsteams werden Erkennungslücken geschlossen und Erkenntnisse in messbare Sicherheitsverbesserungen umgesetzt.
Bedingter Berufsvergleich: 62.820 – 95.136 € brutto / Jahr Annahme: Vollzeit-Anstellung in Deutschland. Ob diese Bedingungen für die Stelle gelten, ist nicht vollständig belegt. Die Spanne zeigt das 25. bis 75. Perzentil der Bruttoentgelte sozialversicherungspflichtiger Vollzeitbeschäftigter in der zugeordneten Berufs- und Anforderungsgruppe in Deutschland, einschließlich Sonderzahlungen. Die Berufszuordnung erfolgt durch RemoteFruit. Datenquelle: BA/Entgeltatlas 2025. Monatswerte × 12. Keine Prognose des konkreten Stellengehalts und keine Gehaltszusage des Unternehmens. BA/Entgeltatlas 2025 · Annahme: Vollzeit-Anstellung in DE · mittlere 50 % · inkl. Sonderzahlungen Zuordnung berechnet am: 01.11.2026.EU
EURemote in Europa · mit Bedingungen · Belegte Arbeits-/Kandidatenstandorte: Europa. Eine Bedingung zur Arbeitsberechtigung ist angegeben. · Die Arbeitskultur ist flexibel und auf Remote-Arbeit ausgerichtet. · Bewerbende müssen im Land ihrer Bewerbung zur Arbeit berechtigt sein und diese Berechtigung als Einstellungsvoraussetzung nachweisen.
Leitung Offensive Security
Die Rolle baut ein internes Red Team auf und leitet offensive Sicherheitsprüfungen einer KI-Cloud-Plattform. Angriffssimulationen und Forschung führen zu konkreten Sicherheitsverbesserungen.
≈ 94.200 € brutto / Jahr Annahme: Vollzeit-Anstellung in Deutschland. Ob diese Bedingungen für die Stelle gelten, ist nicht vollständig belegt. Die Statistik beschreibt die Bruttoentgelte sozialversicherungspflichtiger Vollzeitbeschäftigter in der zugeordneten Berufs- und Anforderungsgruppe, einschließlich Sonderzahlungen. Q25, Median und Q75 markieren das 25., 50. und 75. Perzentil. Bei „über 96.600 €“ veröffentlicht die BA nur eine Untergrenze; der tatsächliche Quantilwert liegt darüber. Eine obere Grenze ist nicht bekannt. Die Berufszuordnung erfolgt durch RemoteFruit. Datenquelle: BA/Entgeltatlas 2025. Monatswerte × 12. Keine Prognose des konkreten Stellengehalts und keine Gehaltszusage des Unternehmens. BA/Entgeltatlas 2025 · Annahme: Vollzeit-Anstellung in DE · inkl. Sonderzahlungen Unteres Quartil (Q25): 75.660 € brutto / Jahr Median (Q50): 94.200 € brutto / Jahr Oberes Quartil (Q75): über 96.600 € brutto / Jahr Zuordnung berechnet am: 01.11.2026.Weltweit
WeltweitRemote weltweit · mit Bedingungen · Belegte Arbeits-/Kandidatenstandorte: weltweit. Eine Zeitzonenbedingung ist angegeben. · Das Arbeitsmodell ist Remote-first.
Ingenieur für offensive IT-Sicherheit
Die Rolle plant und realisiert vollständige Red-Team-Operationen gegen überwachte IT-Umgebungen. Gemeinsam mit dem Blue Team werden Angriffsergebnisse in bessere Erkennung und konkrete Schutzmaßnahmen übersetzt.
Bedingter Berufsvergleich: 62.820 – 95.136 € brutto / Jahr Annahme: Vollzeit-Anstellung in Deutschland. Ob diese Bedingungen für die Stelle gelten, ist nicht vollständig belegt. Die Spanne zeigt das 25. bis 75. Perzentil der Bruttoentgelte sozialversicherungspflichtiger Vollzeitbeschäftigter in der zugeordneten Berufs- und Anforderungsgruppe in Deutschland, einschließlich Sonderzahlungen. Die Berufszuordnung erfolgt durch RemoteFruit. Datenquelle: BA/Entgeltatlas 2025. Monatswerte × 12. Keine Prognose des konkreten Stellengehalts und keine Gehaltszusage des Unternehmens. BA/Entgeltatlas 2025 · Annahme: Vollzeit-Anstellung in DE · mittlere 50 % · inkl. Sonderzahlungen Zuordnung berechnet am: 01.11.2026.
Veröffentlicht: 27.10.2026 · Quelle geprüft: 06.11.2026.
Die Angaben sind für RemoteFruit einheitlich aufbereitet. Maßgeblich bleibt die Originalanzeige. RemoteFruit steht in keiner Partnerschaft mit dem ausschreibenden Unternehmen.